Bisher reagieren nur wenige Unternehmen auf die Risiken der E-Mail-Kommunikation. Lediglich knapp 40 Prozent von 222 befragten IT-Entscheidern gaben in einer Studie des Online-Marktforschungsinstituts Dialego an, für eine Verschlüsselung des E-Mail-Verkehrs mit Kunden und Lieferanten zu sorgen. Alle anderen sind Lauschern ungeschützt ausgeliefert. Noch weniger, nämlich rund 32 Prozent, nutzen bisher digitale Signaturen, um sicherzustellen, dass eine E-Mail wirklich vom angegebenen Absender stammt (Authentisierung).
Dabei steigt die Anzahl der verschickten Mails ständig. Nach Prognosen von IDC werden im Jahr 2005 weltweit täglich 35 Milliarden elektronische Mails versendet, 2000 waren es noch zehn Milliarden Mails im gesamten Jahr. Mit der Verlagerung der schriftlichen Kommunikation weg vom klassischen Briefpostweg lassen sich Kosten sparen. Diesen Vorteil bezahlen Unternehmen jedoch häufig mit Einbußen bei der Vertraulichkeit ihrer Korrespondenz.
Während das Postgeheimnis Papierbriefe recht zuverlässig vor den Augen Dritter schützt, lassen sich E-Mails leicht "mitlesen". Angebote, Designskizzen, vertrauliche Personalinformationen, die im guten Glauben an die Vertraulichkeit auf dem digitalen Weg verschickt werden, können so in den falschen Händen landen. Berühmtestes Werkzeug im Kampf gegen Lauscher ist die von Philip Zimmermann entwickelte Krypto-Software Pretty Good Privacy (PGP).
Verschlüsselung mit PGP
Ursprünglich entwickelt, um die User vor der Neugier staatlicher Institutionen in den USA zu schützen, könnte PGP bald auch in Deutschland die geplante Telekommunikations-Überwachungs-Verordnung (TÜKV) unterwandern, vorausgesetzt, die Briefeschreiber verschlüsseln ihre Post mit der Software. Bisher zumindest erhalten staatliche Stellen keinen "Nachschlüssel", mit dem sie Pretty Good verschlüsselte Post in Klartext verwandeln könnten.
Das Prinzip von PGP beruht auf der asymmetrischen Public-Key-Verschlüsselung, bei der jeder Teilnehmer einen privaten und einen öffentlichen Schlüssel besitzt. Um eine Nachricht zu kodieren, verwendet der Absender den öffentlichen Schlüssel des Empfängers. Dieser kann die empfangene Post mit seinem privaten Schlüssel, dem nur ihm bekannten mathematischen Gegenstück zu seinem öffentlichen Schlüssel, dechiffrieren.
Auch digitale Signaturen sind mit diesem Prinzip möglich. Dabei nutzt der Absender seinen privaten Schlüssel, um eine digitale Signatur, also eine Art Prüfsumme des Nachrichteninhalts, zu erstellen. Die Software des Empfängers überprüft nach Erhalt der Mail mit dem öffentlichen Schlüssel des Absenders, ob die E-Mail tatsächlich vom Absender stammt und der Inhalt unverändert ist.
Genannter Absender haftbar
Immerhin sieht die juristische Situation zurzeit so aus, dass im Fall von gefälschten E-Mail-Adressaten zum Beispiel beim Bestellbetrug der genannte Adressat vom Opfer in Regress genommen werden kann. Laut Oliver Loock-Wagner, Medienwissenschaftler und Jurist für Internet-Recht in Berlin, wird das Mitverschulden des angegebenen Adressaten geprüft. Wer Dritten Zugriff auf den eigenen Rechner ermögliche oder das Eindringen in fremde Mail-Anwendungen leicht mache, sei dem Grunde nach haftungspflichtig.
Die Problematik einer Public-Key-Infrastruktur (PKI) besteht darin, den Besitzer eines Schlüssels glaubwürdig zu authentisieren. Dazu gibt es verschiedene Ansätze, von denen in erster Linie das hierarchische Trust-Modell zum Einsatz kommt. Basis sind digitale Zertifikate, die von unterschiedlichen Instanzen (in der Regel nach Vorlage des Personalausweises) ausgestellt werden können.
In Deutschland gehören zu den Certification Authorities (CA) beispielsweise die Post AG (SignTrust), die Telekom AG (Telesec) und die Bundesnotarkammer, die sämtlich der Regierungsbehörde für Telekommunikation und Post (RegTP) unterstellt sind. Beliebt sind zudem TC Trustcenter, gemeinsame Tochter von vier deutschen Bankinstituten, und die amerikanische VeriSign. Nicht nur die Preise für ein Zertifikat variieren stark, sondern auch die Beurteilung der Vertrauenswürdigkeit der jeweiligen Urkunden.
Als Standard für digitale Zertifikate hat sich X.509 durchgesetzt, das auch von marktüblichen E-Mail-Programmen wie Microsoft Outlook, Lotus Notes oder dem Netscape Messenger unterstützt wird. Bisher hapert es jedoch noch bei der Einbindung von Zertifikat-Servern verschiedener CAs in die Anwendungen - dies ist jedoch notwendig, wenn die Kommunikationspartner ihre Urkunden nicht alle bei der gleichen Instanz beantragt haben.
Grundlage für den Umgang der E-Mail-Clients mit digitalen Signaturen und Verschlüsselung ist die Spezifikation S/MIME (Secure Multipurpose Internet Mail Extensions). Da die Spezifikation von den Softwareherstellern zum Teil unterschiedlich ausgelegt und umgesetzt wird, kommt es häufig zu Inkompatibilitäten zwischen den Anwendungen. Zudem ist der Umgang der Programme mit den Zertifikaten recht unterschiedlich.
In der Linux/Unix-Welt ticken die Uhren anders. Vorreiter bei der E-Mail-Kommunikation ist hier die Open-Source-Software Sendmail auf Basis von Simple Mail Transfer Protocol (SMTP), die jedoch nicht per se kryptographische Elemente umfasst. Die kalifornische Sendmail Inc. hat den Standard für kommerzielle Anwendungen um Sicherheits-Features erweitert. Ihr Ansatz besteht darin, die gesamte Session zwischen den Mail Transfer Agents (MTA) des Senders und des Empfängers zu verschlüsseln, statt umständlich einzelne Mails zu kodieren.
Dazu nutzt Sendmail Transport Layer Security (TLS), eine Weiterentwicklung des für geschützte Verbindungen weit verbreiteten Secure Socket Layer (SSL). Laut Stephan Schindler, Managing Director der deutschen Sendmail GmbH, merkt der Benutzer nichts von der Verschlüsselung und muss sich nicht wie bei PGP selbst um die Kodierung seiner Nachricht kümmern. Voraussetzung sei jedoch der Einsatz eines IMAP-Servers, da das ältere Post Office Protocol TLS nicht unterstütze.
Neben der Problematik des Ausspioniertwerdens und der Datenmanipulation birgt die elektronische Post eine weitere Gefahr: Dateianhänge, in denen sich ausführbare Dateien befinden, können ohne weiteres auf den Rechner zugreifen und Schaden anrichten. Bevor E-Mail-Viren wie "I love you" ihr Unwesen trieben, stolperten die User oftmals ohne Vorwarnung seitens der Mail-Software in die Falle. Neugier und ein Doppelklick auf die angehängte Datei reichten aus, um unerwünschte Programme zu starten. Indem sich der Virus Zugriff auf das Adressverzeichnis des MailTools verschaffte, verbreitete er sich durch den Versand an alle eingetragenen Adressaten.
Microsoft bessert bei Outlook nach
Seither hat sich der Sicherheitsstandard der E-Mail-Clients ein wenig gehoben. Insbesondere Microsoft, das heftige Kritik an den Security-Vorkehrungen sowohl des Betriebssystems Windows als auch seiner Mail-Software hinnehmen musste, besserte bei Outlook und Outlook Express nach. Attachments mit den Endungen .exe oder .bat werden nach Installation eines Patches generell nicht mehr ausgeführt. Vorsicht ist auch bei Endungen wie .js (Java Script), .scr (Bildschirmschoner) oder .reg (Registrierungsdateien) geboten oder wenn Mails mit gleichem Subject von verschiedenen Absendern eingehen. Dennoch zeigte jüngst die Warnung von Microsoft an die Anwender des Moduls "Outlook Web Access" des Messaging-Servers Exchange 2000, dass weitere Sicherheitslöcher nicht auszuschließen sind. Durch den Fehler sei der unberechtigte Zugriff auf Postfächer möglich. Tatsächlich hatten unter E-Mail-Viren bisher vor allem die Outlook-Nutzer zu leiden.
Lotus-Notes-Anwender haben es aufgrund der Sicherheitsphilosophie der IBM-Tochter besser. "Bisher konnte die Notes-Gemeinde immer interessiert zuschauen, wie sich die Viren auf anderen Systemen verbreitet haben", sagt Matthias Hertel, Geschäftsführer der Dresdener ULC Groupware GmbH. Das Security-Konzept von Notes sehe zudem Code-Signaturen vor, die seiner Ansicht nach den einzigen nicht knackbaren Makrovirenschutz bieten.
Die in Office-Dokumenten wie Word oder Excel versteckten, in Visual Basic programmierten Makroviren halten nach wie vor eine der vorderen Positionen der unerwünschten Eindringlinge. Bannen lässt sich die Makrovirengefahr, indem die unter Windows jedem Dateityp zugewiesenen Standardapplikationen verändert werden. Wenn für ein .doc-Dokument Word als Standard hinterlegt ist, werden die Viren durch einen Doppelklick mit dem Öffnen der Datei aktiviert. Ist hingegen Wordpad als Applikation definiert, können etwaige Makroviren keinen Schaden anrichten, da die Anwendung lediglich den Text anzeigt. Der kleine Umweg erlaubt zunächst jedoch nur das Ansehen, nicht die Weiterverarbeitung der Dokumente.
Bei Excel ist es schon schwieriger, hier benötigt der Anwender einen Excel-Viewer, in dem die Datei zunächst angezeigt wird. Generell gilt, dass E-Mail-Anwendungen den Benutzer auf fragwürdige Attachments aufmerksam machen und im Dialogfenster zunächst sein "Go" einholen sollten.
Kritisch, wenn auch nicht ganz so dramatisch, ist darüber hinaus der Umgang der Software mit Mails im HTML-Format. Die Mehrzahl der Mailtools zeigt die HTML-Nachrichten ohne Rückmeldung in der Vorschau an und aktiviert dabei eventuell enthaltene Java-Script-Funktionen. Will der User die Ausführung des "Active Scripting" bei Mails vermeiden, muss er dies in der Regel über die Einstellungen seines Browsers tun - allerdings werden dann beim Surfen viele Seiten nur unzureichend angezeigt.
Vorhandene Antivirensoftware reicht im Internet-Zeitalter nicht mehr zum Schutz der Unternehmensdaten aus. Voraussetzung für ein hohes Maß an Sicherheit ist neben einer durchdachten E-Mail-Architektur die Verbindung mit Antiviren- sowie Spam- und Content-Control-Programmen. Eine Fire-wall gilt als Selbstverständlichkeit. Security-Maßnahmen beginnen schon bei dem Check, ob im Rahmen der Verbindung zum Internet-Provider die Passwörter verschlüsselt oder im Klartext übertragen werden. Positiv wirkt sich in der Sicherheitsstrategie vor allem die Einbeziehung der Mitarbeiter aus - letztlich gehört ein Mindestmaß an Aufklärung dazu, damit der Anwender nicht auf Bärenfängertricks à la "Photos von Anna Kournikowa" hereinfällt.
Mit der Zunahme mobiler Devices und der Möglichkeit, E-Mails unterwegs zu versenden und abzurufen, stellt sich mittlerweile auch in diesem Bereich die Frage nach der Sicherheit. Network Associates bietet die PGP-Software seit kurzem auch für das Palm-Betriebssystem an. Nachteil am drahtlosen PGP ist jedoch die mangelnde Rechenleistung der Handhelds: Die Chiffrierungsaktivitäten können sich dadurch bis zu mehreren Minuten ausdehnen. Ob und wann Krypto-Software für andere Endgeräte zur Verfügung stehen wird, ist derzeit noch unklar.
*Daniela Hoffmann ist freie Journalistin in Berlin.
Marktzahlen
Den steigenden Bedarf an Sicherheitstechnologien registrieren auch die Marktforschungsinstitute. So geht Frost & Sullivan von einer Ausweitung des europäischen Marktes für Datensicherheit von 524,6 Millionen US-Dollar 2000 auf 3,13 Milliarden Dollar 2007 aus. Ein überdurchschnittliches Wachstum wird den Analysten zufolge der Bereich Verschlüsselungssoftware verzeichnen. Von 38 Millionen Dollar im vergangenen Jahr prognostiziert Frost & Sullivan 1,36 Milliarden Dollar für 2007. Auch die Gartner Group geht von einem Boom bei Security-Fragen aus. Bis zu zehnmal mehr als derzeit geben Unternehmen bis 2011 für ihre IT-Sicherheit aus, so die Marktforscher. Werden bisher nur 0,4 Prozent der Erträge aufgewendet, sollen es in zehn Jahren vier Prozent sein.
Abb.:Prinzip Public-Key-Verschlüsselung
Bei der Public-Key-Verschlüsselung besitzt jeder Teilnehmer einen privaten und einen öffentlichen Schlüssel. Um eine Nachricht zu codieren, verwendet der Absender den öffentlichen Schlüssel des Empfängers. Dieser kann die Post mit seinem privaten Schlüssel dechiffrieren. (Quelle: Hoffmann)