Seitdem dank Edward Snowden bekannt wurde, dass amerikanische und britische Geheimdienste wie die National Security Agency (NSA) und die Government Communications Headquarters (GCHQ) unsere E-Mails und Datenströme auslesen, speichern und auswerten (und uns niemand davor schützt), suchen Privatleute und Unternehmen nach Möglichkeiten, die Vertraulichkeit ihrer Internetkommunikation irgendwie selbst zu gewährleisten. Als eine Möglichkeit, Kriminellen und Geheimdiensten das Spionieren und Überwachen zu erschweren, wird E-Mail-Verschlüsselung empfohlen. Aber wie geht das und bringt das überhaupt was?
Implementierung von E-Mail-Verschlüsselung
Die, die in größeren Unternehmen arbeiten, müssen sich über die Einrichtung von Verschlüsselungsfunktionen wenig Gedanken machen. Der Administrator kriegt den Auftrag, richtet die Verschlüsselung zentral ein, es gibt ein Rundschreiben mit einer Anleitung und fertig. Aber was macht man als Privatperson oder Freiberufler? Hier werden einige Möglichkeiten vorgestellt, die theoretisch geeignet sind.
E-Mails verschlüsseln mit PGP
Ein Programm, das derzeit überall zur Verschlüsselung empfohlen wird, heißt Pretty Good Privacy (PGP).
Mit PGP kann man eine Nachricht signieren, verschlüsseln oder beides. Die Signatur bescheinigt, dass die Nachricht wirklich von dem angegebenen Absender ist (Authentizität) und nach der Signierung nicht verändert wurde (Integrität). Bei der Verschlüsselung werden Nachricht und - falls vorhanden - die Signatur - komprimiert verschlüsselt.
PGP basiert auf einer Public-Key-Infrastruktur (PKI). Das bedeutet: Mithilfe einer PGP-Software erzeugt man für seine E-Mail-Adresse einen öffentlichen und einen privaten Schlüssel. Hat man mehrere E-Mail-Adressen, muss man das für jede einzelne tun. Den öffentlichen Schlüssel muss man vorher den Leuten schicken, von denen man verschlüsselte Post haben will, den privaten Schlüssel hält man geheim. Und umgekehrt schicken einem die ihren öffentlichen Schlüssel, die verschlüsselte E-Mails bekommen möchten.
Eine kommerzielle Version von PGP wird von Symantec, einer amerikanischen Firma, als Symantec Desktop Email Encryption angeboten. Gnu Privacy Guard (GnuPG) ist eine freie PGP-Software, die es als Gpg4win auch für Windows gibt. (Links alle unten)
E-Mails verschlüsseln bei Microsoft Outlook (Office 2010)
Bei Microsoft Outlook (Office 2010) findet man die Signierungs- und Verschlüsselungsfunktionen in einem geöffneten Nachrichtenfenster, wenn man den Reiter
Optionen anklickt, dann im Feld
Verlauf (die Feldnamen stehen im unteren Bereich der Felder im Menüband) auf den kleinen Pfeil rechts unten klickt und so die weiteren Optionen öffnet. Es erscheint ein Fenster
Eigenschaften. Hinter dem Button
Sicherheitseinstellungen... verbirgt sich ein Fenster
Sicherheitseigenschaften, in welchem man die Sicherheitseigenschaften angeben kann (z. B. Nachrichten und Anlagen verschlüsseln, die Nachricht digital signieren etc.).
Allerdings funktioniert das Verschlüsseln und Signieren laut Microsoft Online-Hilfe nur, wenn man eine digitale ID von VeriSign hat. Der entsprechende Dienst von Verisign gehört inzwischen dem amerikanischen Unternehmen Symantec. Die digitale ID für sichere E-Mail heißt nun Symantec Digital ID for Secure Email. Eine Testversion kann man 25 Tage lang kostenlos ausprobieren. Ansonsten kostet sie pro Jahr 22,95 US-Dollar.
E-Mails verschlüsseln in Mozilla Thunderbird
Wer Mozilla Thunderbird als E-Mail-Programm benutzt, kann seine E-Mails mit der Verschlüsselungssoftware Gnu Privacy Guard und der Erweiterung Enigmail verschlüsseln. Anleitungen gibt es überall im Internet (siehe auch die Links unten).
Elektronischer Dokumentenaustausch mit regify
Von regify, einem Unternehmen mit Sitz in Luxemburg, gibt es einen Service namens regimail (registered electronic mail). Als potenzieller Anwender registriert man sich bei einem der regify-Provider und nutzt den Service über das Webportal des Providers oder lädt sich die regify-Client-Software herunter. Die Software gibt es als Addins für Microsoft Outlook, Lotus Notes und Thunderbird auf Windows, als eigenständige Software für Windows, MacOS und Linux sowie als App für iPhone/iPad, Android- und BlackBerry-Geräte. Die Schlüsselverwaltung für die regify-Nachrichten liegt bei einem regify-Clearing-Service. regimail funktioniert mit jeder normalen E-Mail-Adresse. Für Privatanwender gibt es kostenlos regimail Private - der Service erlaubt bis zu 10 nicht kommerzielle Versendungen pro Monat, bei denen man eine Werbeeinblendung in Kauf nehmen muss.
Schreiben, verschlüsseln und als Anhang versenden, z. B. mit Crypditor
Anstatt eine E-Mail direkt in Outlook oder einem anderen E-Mail-Programm zu schreiben, kann man sie auch in einer Datei verfassen, diese abspeichern, verschlüsseln und als Anhang einer E-Mail versenden. Den Schlüssel zum Entschlüsseln sollte man dem Empfänger dann aber über andere Wege zukommen lassen. Crypditor ist ein kostenloser Texteditor mit Verschlüsselung von ProtectCom, einem Münchner Unternehmen, das hauptsächlich Produkte zur PC- und Netzwerküberwachung anbietet. Der Editor speichert die Information in der Programmdatei selbst. Diese kann verschickt oder auf einen USB-Stick gespeichert werden und ist nur mit dem Passwort lesbar.
Anonymität wahren
Beim Versenden einer E-Mail sind normalerweise Absender und Empfänger über die IP-Adresse erkennbar. Verhindern kann man das durch die Nutzung eines Anonymisierungsnetzwerks wie Tor (steht für "The onion router") oder eines PrivacyDongle-USB-Sticks.
Und hilft E-Mail-Verschlüsselung tatsächlich?
Die Verschlüsselung von E-Mails ist meiner Einschätzung nach nur scheinbar sicher. Selbst
verschlüsselte E-Mails sind vermutlich weniger sicher als Postkarten, weil Postkarten, soweit man weiß, bisher von Kriminellen oder Geheimdiensten in Deutschland noch nicht in großem Maßstab digitalisiert und als Big Data ausgewertet werden.
Warum ich die E-Mail-Verschlüsselung für nur scheinbar sicher halte:
- Man kann davon ausgehen, dass Verschlüsselungen, die jetzt als sicher gelten, spätestens in ein paar Jahren geknackt werden können. Wahrscheinlich lenkt man durch die Verschlüsselung erst recht die Aufmerksamkeit von Kriminellen und Geheimdiensten auf sich.
- Amerikanische Behörden können außerdem amerikanische Unternehmen unter Druck setzen, damit diese die Schlüssel, die sie verwalten, herausgeben. Einige Serviceanbieter haben aus diesem Grund ihre Dienste bereits eingestellt, um nicht in so eine Lage gebracht werden zu können.
- Andere Unternehmen sollen Snowden zufolge der NSA sowieso direkten Zugriff auf das Backend, also auf das System selbst, gegeben haben und mit ihr freiwillig oder gezwungenermaßen kooperieren. Beispielsweise sollen Windows-Betriebssysteme schon seit Windows 98 von der NSA mit speziellen Zugriffsystemen versehen worden sein.
- Im Grunde genommen weiß man bei keiner Software, auch nicht der Verschlüsselungssoftware und auch bei keinem (Sicherheits-) Update, was man sich wirklich auf den Rechner holt und ob vielleicht ein Trojaner (Schnüffelprogramm) dabei ist.
- Trojaner lesen mit, bevor überhaupt verschlüsselt wird.
Ich kann nicht beurteilen, welche Auswirkungen die immerhin bekannte Mitarbeit der NSA an der Internetstandardisierung, an einer Sicherheitserweiterung des Linux-Kernels und den Sicherheitsfunktionen von Google's Android-System hat, und ob dadurch Verschlüsselung zur Gewährleistung von Privatsphäre sowieso zwecklos geworden ist.
Wenn es um Leben oder Tod, um Existenz oder Pleite geht, sollte man sich meiner Einschätzung nach lieber nicht auf E-Mail-Verschlüsselung verlassen.
Die Frage ist, was bleibt: persönliche Botengänge?
PS:
Von manchen Experten und Journalisten (so auch im Artikel "Der Jedermann-Code") wird Verschlüsselung empfohlen, um Kriminellen, Industriespionen und Geheimdiensten das Ausspionieren bzw. Überwachen schwer zu machen, in der Hoffnung, die sähen dann ein, dass es sich nicht lohnt, ständig das ganze Internet zu belauschen.
Das halte ich ehrlich gesagt für naiv - und für freundliche Werbung für die interviewten Kryptografen. Meiner Meinung nach wird es die Spione und Überwacher (bzw. deren Entwickler) nur anspornen, sich zu verbessern. Man sollte sich als Anwender lieber bewusst sein, dass alles, was man im Internet, oder in Anwesenheit eines mit Strom versorgten Rechners (der gelegentlich Kontakt zu anderen Rechnern oder Datenträgern hat), oder in Anwesenheit eines Smartphones im Raum tut, ausspioniert werden kann.
Ich glaube, dass es internationale Vereinbarungen geben muss und dass gleichzeitig durch Hardware-/Software-Strukturmaßnahmen dafür gesorgt werden muss, dass Internetunternehmen anderer Länder deutsche/europäische Daten in Deutschland/Europa routen und auf Servern speichern müssen (wo das für die Dienstleistung notwendig ist) und unsere Daten nach unseren Gesetzen behandelt werden müssen. Mag sein, dass das auch naiv ist, aber ich sehe keine andere Möglichkeit, damit das Internet nicht zu dem Überwachungsmonstrum wird, das sich möglicherweise manche von Anfang an gewünscht haben - was wir vor lauter blindem Idealismus nur zu dumm waren zu erkennen.
Quellen und Interessantes
Nach den Enthüllungen des Whistleblowers Edward Snowden bezüglich der Aktivitäten der amerikanischen und britischen Geheimdienste National Security Agency (NSA) und Government Communications Headquarters (GCHQ), heißt es von manchen Seiten lapidar, unverschlüsselte E-Mails seien schon immer nur so sicher wie Postkarten gewesen. Und wer die beiden - Postkarte oder unverschlüsselte E-Mail - benutze, habe mehr oder weniger selbst Schuld, wenn er oder sie ausspioniert würde.