E-Mail Verschlüsselung – Pflicht oder Kür?

Zum Thema E-Mail Verschlüsselung liest man immer mal wieder und in letzter Zeit immer häufiger Meinungen in der (Fach)Presse. Aus Sicht der Anwender ist es ein ausgesprochen ungeliebtes Thema. Wir wollen an dieser Stelle einmal etwas näher darauf eingehen, warum wir dieses Thema gar nicht so schlimm finden.

Doch bevor wir unsere Lobgesänge auf die Verschlüsselung starten, noch einmal kurz der Blick auf den Hintergrund:

Die DSGVO fordert explizit Verschlüsselung

In Art. 5 Abs. 1 lit. f DSGVO wird festgelegt, dass personenbezogene Daten „in einer Weise verarbeitet werden [müssen], die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen […]“. Darüber hinaus regelt Art. 32 Abs. 1 Satz 1 DSGVO, dass „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“ sind. Art. 32 Abs. 1 lit. a DSGVO erwähnt dann sogar explizit die Verschlüsselung von Daten.

Nachdem im früheren BDSG die Verschlüsselung als eine Möglichkeit zum Schutz personenbezogener Daten scheinbar beispielhaft erwähnt wurde (das war in Wirklichkeit natürlich viel ernster gemeint…), schreibt die DSGVO die Verschlüsselung nun als Maßnahme vor. Auch vorgeschrieben wird, sich am Stand der Technik zu orientieren (schon wieder Art. 32 Abs. 1 Satz 1 DSGVO). Wir meinen, dass man die Ende-zu-Ende-Verschlüsselung von E-Mails durchaus als Stand der Technik sehen kann. Sie ist – zumindest in der Theorie – flächendeckend und falls gewünscht sogar kostenlos verfügbar. Darüber hinaus unterstützen nahezu alle (und ja, wir meinen hier wirklich: alle) professionell einsetzbaren E-Mail Programme die Verschlüsselung mittels S/MIME. Interessanterweise ist das kaum bekannt und alle sprechen beim Thema Verschlüsselung meist über PGP-Verschlüsslung. Bei beiden Verfahren handelt es sich letztlich um asymmetrische Verschlüsselungsverfahren. Das bedeutet, der Schlüssel, welcher für die Verschlüsselung genutzt wird (der sog. public key), kann nicht zur Entschlüsselung verwendet werden (hierfür wird der private key benötigt).

TLS verschlüsselt nicht Ende-zu-Ende

Interessanter Weise erhalten wir im Rahmen von Bestandsaufnahmen und Audits häufig die Antwort „Natürlich verschlüsseln wir. Hierfür nutzen wir TLS [oder SSL]“. Das ist gleichzeitig die korrekte und die falsche Antwort auf unsere Frage, ob E-Mails verschlüsselt versandt werden. Wir zielen mit der Verschlüsselung nämlich tatsächlich auf eine Ende-zu-Ende-Verschlüsselung ab. Bei TLS (und SSL) handelt es sich jedoch um eine sogenannte Transportverschlüsselung. Das bedeutet, dass sozusagen die Leitung verschlüsselt wird, der Inhalt allerdings unverschlüsselt dort hindurch geschickt wird. Am Anfang und am Ende der Leitung liegen die E-Mails also unverschlüsselt vor. Ende-zu-Ende-Verschlüsselung hingegen bedeutet, dass die E-Mails auch am Ende der Leitung noch verschlüsselt sind, und vom Empfänger erst entschlüsselt werden müssen, bevor sie lesbar sind.

Das heißt nun nicht, dass TLS keine sichere Übertragung ermöglichen würde. Als Sender weiß man jedoch lediglich, dass die (Transport)Verschlüsselung bis zum empfangenden E-Mail-Server erfolgt. Auf welchem Weg eventuell noch im Rahmen von Weiterleitungen oder im Rahmen des Abrufs auf das Endgerät eine unverschlüsselte Übertragung erfolgt, ist dem Sender üblicherweise nicht bekannt. Daher kann TLS-Verschlüsselung nur für Fälle empfohlen werden, in denen Sender und Empfänger miteinander vereinbaren, dass sie für die gesamte Übertragung gesicherte Verbindungen gewährleisten.

Ende-zu-Ende-Verschlüsselung ist unbequem und birgt auch Risiken

Bei einer Ende-zu-Ende-Verschlüsselung liegt die Krux hauptsächlich in der Usability: Ende-zu-Ende-Verschlüsselung (die auf öffentlichen und privaten Schlüsseln basiert) ist unbequem. Und sie erfordert Disziplin. Nicht nur, dass Sender und Empfänger ständig mit Schlüsseln (und den dazugehörigen Passwörtern) hantieren müssen. Sie müssen auch immer alle Schlüssel parat haben. Da diese Schlüssel gewöhnlich eine begrenzte Gültigkeitsdauer haben (bei S/MIME häufig nur 1 Jahr), bedeutet das, dass im Laufe der Jahre zahlreiche Schlüssel genutzt werden. Soll nun eine E-Mail von vor 7 Jahren entschlüsselt werden, wird der dazugehörige 7 Jahre Schlüssel und das dazugehörige 7 Jahre alte Passwort benötigt. Je nach Aufbewahrungsdauer der E-Mails müssen also zahlreiche Schlüssel mit dazugehörigem Passwort verfügbar sein.

Da stellt sich uns sofort die Frage, was eigentlich passiert, wenn ein Mitarbeiter das Unternehmen verlässt. Hierfür müssen Prozesse existieren, die sicher stellen, dass auch dann noch sämtliche Schlüssel und Passworte verfügbar bleiben, ansonsten käme das Unternehmen seinen Aufbewahrungspflichten nicht nach, denn zur Aufbewahrungspflicht gehört nicht nur, dass die E-Mails vorhanden sind, sondern sie müssen auch lesbar sein.

TLS häufig nur optional

Zurück zur TLS (SSL) Verschlüsselung: Diese ist unseres Erachtens durchaus eine adäquate Verschlüsselungs-Technologie, wenn denn sichergestellt ist, dass alle Kommunikationspartner garantiert in 100% aller Fälle hierauf zurückgreifen. Hierzu ist es notwendig im Mailserver das sogenannte „forced TLS“ einzustellen. Das bedeutet, dass der Mailserver die TLS-Verschlüsselung zwingend voraussetzt. Unterstützt der andere an der Kommunikation beteiligte E-Mail Server den TLS-Standard nicht, darf der E-Mail Versand nicht durchgeführt werden. Ohne „forced TLS“ würde der E-Mail Server zwar versuchen über TLS zu verschlüsseln, würde gegebenenfalls aber auch unverschlüsselt kommunizieren. Unsere Kunden berichten uns in solchen Fällen häufig stolz, dass sie ermittelt haben, dass beispielsweise 95 % aller E-Mails bereits verschlüsselt übertragen werden. Welche E-Mails jedoch unverschlüsselt übermittelt werden, kann nicht beeinflusst und immer erst im Nachhinein festgestellt werden. Aus Sicht des Datenschutzes gilt: Wenn nicht im Voraus sichergestellt ist, dass eine verschlüsselte Übertragung stattfindet, dann muss von einem unsicheren Übertragungsweg ausgegangen werden.

Straftatbestand nach § 203 StGB?

Insbesondere für die Berufe, welche einer beruflichen Schweigepflicht unterliegen stellt sich die Frage, ob der unverschlüsselte Versand von E-Mail überhaupt zulässig ist. Hierauf wollen wir in diesem Artikel nicht näher eingehen, außer dass wir darauf verweisen, dass der hamburgische Beauftragte für den Datenschutz und die Informationsfreiheit, Prof. Caspar, bereits sehr deutlich darauf hingewiesen hat (leider ist das Schreiben nicht mehr im Internet verfügbar), dass ein solches Vorgehen inakzeptabel und ein Verstoß gegen § 203 StGB sei. Selbst bei Vorliegen einer Einwilligung des Empfängers sei gemäß dieser Veröffentlichung ein unverschlüsselter Versand von E-Mails unzulässig. Wie sehen dies anders und erachten diese Auffassung als einen unzulässigen Eingriff in das Recht auf informationelle Selbstbestimmung der betroffenen Person. Die Antwort der hamburgischen Rechtsanwaltskammer auf diese Stellungnahme der Aufsichtsbehörde mit einer ähnlichen Meinung finden  Sie hier.

Wir verschlüsseln „bequem“ und ohne Risiko

Auch wir haben erkannt, dass die Hürden bei der Ende-zu-Ende-Verschlüsslung für viele Unternehmen schlicht zu hoch sind. Und wir sind der Meinung, dass IT auch für Nicht-Informatiker bedienbar bleiben muss. Daher haben wir uns nach einer praktikablen Lösung für die Ende-zu-Ende-Verschlüsselung umgesehen, welche insbesondere das Schlüssel-Handling vereinfacht. Wir mussten sehr intensiv suchen, sind aber fündig geworden.

Da wir in unserem Blog grundsätzlich keine Werbung für bestimmte Hersteller oder Produkte machen, werden wir die Lösung hier nicht namentlich nennen. Aber wir sind sehr froh, dass wir seit ca. einem Monat eine Lösung im Einsatz haben, welche das Schlüssel-Handling für uns vollkommen transparent macht. Wir markieren eine zu verschlüsselnde E-Mail in unserem E-Mail Programm als „zu verschlüsseln“ (oder „zu signieren, oder beides) und versenden die an den oder die Empfänger. Bevor der Mailserver die E-Mail nun verschickt, übernimmt dieser (bzw. die dort „eingeklinkte“ Verschlüsselungs-Lösung) die Verschlüsselung. Dann erst wird die E-Mail versandt. Erhalten wir verschlüsselte E-Mails, ist der Weg genau umgekehrt: Die Verschlüsselungs-Lösung entschlüsselt die E-Mail und erst dann wird sie dem Empfänger unverschlüsselt ins Postfach zugestellt.

Wir können sogar verschlüsselt kommunizieren, wenn der Empfänger das nicht kann

Das Besondere dabei ist, dass wir sogar an Personen verschlüsselte E-Mails versenden können, die keine Verschlüsselung unterstützen. Das hört sich im ersten Moment merkwürdig an, stimmt aber tatsächlich. In solchen Fällen erhält der Empfänger nur eine Benachrichtigung, dass er/sie eine verschlüsselte E-Mail von uns erhalten hat und kann diese dann über ein Portal bei uns über Browser (https-verschlüsselt) herunterladen. Auf diesem Weg können auch verschlüsselte E-Mails an uns versandt werden, ohne dass der Versender selbst mit eigener Technik verschlüsseln können muss.

Sie sehen: Verschlüsselung kann so einfach sein . Sprechen Sie uns gerne an, wenn auch Sie einfach und sicher verschlüsseln können wollen (und: Nein, wir erhalten keine Provision).