200812f Zertificon E-Mail-Verschlüsselung

»manage it« als

E-Paper 5-6 2011
E-Paper 3-4 2011
E-Paper 1-2 2011
E-Paper 11-12 2010
E-Paper 9-10 2010
E-Paper 7-8 2010
E-Paper 5-6 2010

E-Mail-Verschlüsselung

Anwenderfreundliche IT-Lösung

Täglich werden milliardenfach ungeschützte geschäftliche Nachrichten über das Internet versendet. Insbesondere Öffentliche Verwaltungen, Wirtschaftsprüfer, Notare und Unternehmen, die auf elektronischem Weg hochsensible Daten austauschen, sind gesetzlich zum Datenschutz verpflichtet. Anwendergerechte E-Mail-Verschlüsselungslösungen helfen bei der Umsetzung der Richtlinien.

ie Krux: Der Gesetzgeber setzt Unternehmen unter Zugzwang, indem er sie durch verschiedene Bestimmungen zur Absicherung sensibler Daten und Wahrung der Privatsphäre ihrer Kunden verpflichtet. Beispielsweise stellt der Versand personenbezogener Informationen durch unverschlüsselten E-Mail-Verkehr einen Verstoß gegen die Verpflichtung durch das Bundesdatenschutzgesetz (BDSG) zur Geheimhaltung beziehungsweise der vertraulichen Behandlung von persönlichen Daten dar. Viele Betriebe und Organisationen können diese Anforderungen allerdings nur schwerlich erfüllen, da sie beziehungsweise ihre Kunden und Geschäftspartner oft nicht über die erforderliche IT-Sicherheitsinfrastruktur verfügen.

Da es sich beim Übertragungsmedium Internet um ein offenes Netz handelt, in dem Daten leicht einsehbar sind, ist E-Mail-Verschlüsselung für den Schutz unabdingbar. Der größte Teil der E-Mail-Kommunikation geht ungeschützt über das Internet und stellt dadurch ein hohes unternehmenskritisches Risiko dar. Täglich werden ungesicherte Nachrichten milliardenfach auf Basis des E-Mail-Protokolls SMTP (Simple Mail Transfer Protocol) versendet – eine oft unterschätzte Gefahr. Die strafrechtlichen Risiken sind dabei häufig nicht bekannt. Wurden im Unternehmen beispielsweise die erforderlichen IT-Sicherheitsstrukturen gar nicht oder nur unzureichend implementiert, so riskiert der IT-Verantwortliche die Haftung des Unternehmens und seiner eigenen Person, das heißt er muss gegebenenfalls mit seinem Privatvermögen für entstandene Schäden aufkommen. Anders als im Strafrecht haftet der IT-Verantwortliche im Zivilrecht auch für Fahrlässigkeit.

E-Mail-Verschlüsselung – ein Buch mit sieben Siegeln?

Lange Zeit war E-Mail-Verschlüsselung eine komplexe Thematik, die technologische Voraussetzungen erforderte, die viele Unternehmen nicht erfüllen konnten. Aus Hilflosigkeit wird die Verantwortung daher oft noch durch Klauseln in den Verträgen auf die Kunden beziehungsweise Mandanten abgewälzt – und dies, obwohl die E-Mail-Verschlüsselung durch verfügbare IT-Lösungen längst auf einfache Weise zu bewältigen ist.

Eine Möglichkeit, den gesamten ausgehenden E-Mail-Verkehr zu verschlüsseln und zu signieren, stellt der Einsatz eines zentral gesteuerten IT-Systems dar. Um den administrativen Aufwand so gering wie möglich zu halten, muss die zentrale Lösung auch eingehende Nachrichten entschlüsseln und eine Signaturüberprüfung der signierten E-Mails durchführen. Hierzu gibt es andererseits Client-basierte IT-Lösungen, die sich allerdings auf Grund des extrem hohen administrativen Aufwands und der umständlichen Bedienung nicht als alltagstauglich erwiesen haben. Daher haben sich die zentral gesteuerten IT-Lösungen, die eine Passwort- oder PKI-basierte Verschlüsselung ermöglichen, durchgesetzt. Diese sind speziell auf die jeweiligen Anforderungen zugeschnitten und lassen sich demzufolge nicht nur in großen und mittelständischen Unternehmen einsetzen, sondern problemlos auch in kleineren Firmen sowie in Klein- und Heimbüros (SOHOs).

Die allgemein bekannte und gängige Methode, die sich für den vertraulichen E-Mail-Austausch mit Empfängern und entsprechender Public Key Infrastructure eignet, ist die PKI-Verschlüsselung. Diese basiert auf den beiden international etablierten Standards für E-Mail-Verschlüsselung und -Signatur: S/MIME (Secure Multipurpose Internet Mail Extensions) und OpenPGP (Open Pretty Good Privacy). Da diese Variante jedoch digitale Zertifikate, auch öffentliche Schlüssel genannt, auf Seiten der Kommunikationspartner voraussetzt, sind Unternehmen oft nicht in der Lage, die Sicherheitsrichtlinien adäquat umzusetzen. Die Probleme entstanden in der Vergangenheit dadurch, dass nicht jeder potenzielle Empfänger einer E-Mail über ein vertrauenswürdiges Zertifikat verfügt, welches für den Austausch von verschlüsselten E-Mails über PKI erforderlich ist.

E-Mail-Verschlüsselung leicht gemacht

Auf Grund der technologischen Voraussetzungen, die eine PKI-basierte Verschlüsselung erfordert, geht der Trend in der Kommunikation mit kleineren Unternehmen, Organisationen und Einzelpersonen derzeit mehr und mehr hin zu vereinfachten Methoden. So ist die passwortbasierte Verschlüsselung eine unkomplizierte und sichere Variante zur Übertragung sensibler Daten via E-Mail, die sich als serverbasierte Lösung mit vollautomatisiertem Passwort-Management für jedes Unternehmen eignet. Diese Methode erfordert keine Zertifikate auf Empfängerseite, um vertrauliche E-Mails verschlüsselt über das Internet zu externen Kommunikationspartnern zu senden. Das Prinzip funktioniert wie folgt: Die vertrauliche Nachricht wird zum Beispiel in eine passwortverschlüsselte PDF-Datei umgewandelt und als Anhang selbst wieder per E-Mail übermittelt. Dabei ersetzt das automatisierte Passwort-Management für die externen Empfänger den komplexen Prozess der Zertifikatsausstellung bei sogenannten Trust Centern. Einzige Voraussetzung ist, dass der Empfänger über einen PDF-Reader verfügt.

Diese anwenderfreundliche IT-Lösung ermöglicht es Unternehmen, auf einfache Weise mit ihren Mandanten, Kunden und Lieferanten sensible Informationen und Daten auf dem schnellsten Wege via E-Mail auszutauschen. Vorteile wie Hochverfügbarkeit, Skalierbarkeit und Modularisierung tragen dazu bei, dass diese Methode beginnt, sich in unterschiedlichen Branchen wie Gesundheitswesen, Energieversorgung, aber auch beispielsweise bei Rollouts von Bundesländern durchzusetzen. Somit erhalten Unternehmen eine adäquate Lösung, um die gesetzlichen Anforderungen in vollem Umfang erfüllen zu können.

Dr. Burkhard Wiegel

__________________________________________

Dr. Burkhard Wiegel, Geschäftsführer der Zertificon Solutions GmbH

Die Appliance Z1 SecureMail, verfügbar in den Ausführungen SMA 500, SMA 1000 und SMA 2000, eignet sich ideal für die Security-Lösungen Z1 SecureMail Station, Gateway und Messenger der Zertificon Solutions.

Folgen Sie »manage it«

auf Google+

Copyright © 2003-2012 ap Verlag GmbH