Rundum-Sicherheit für E-Mails

Die Sicherheit von Informationen und Daten ist ein unerschöpfliches Thema für alle IT-Verantwortlichen, Administratoren und Anwender. Den meisten Beteiligten ist in der Zwischenzeit zumeist auch klar geworden, dass Antiviren-Software und Firewall als Schutz vor Datenverlust oder Angriffen oft allein nicht ausreichen - es existieren einfach zu viele Wege, auf denen unerwünschte Daten und Programme ins Netz hineinkommen können. Weiterhin stehen ebenso viele Kanäle zur Verfügung, auf denen Daten aus einer Firma "abfließen" können -- Daten, die für die Firma unersetzlich oder vielleicht geschäftsschädigend sind, wenn sie in falsche Hände geraten.

Wir wollen mit diesem Artikel einen Überblick darüber geben, wie es um die Sicherheit des Kanals bestellt ist, auf dem die meisten Informationen in ein Firmennetz hereinkommen, beziehungsweise auf dem sie dieses Netz auch verlassen: die E-Mail. Die elektronischen Nachrichten sind ohne Zweifel Dreh- und Angelpunkt der modernen Kommunikation. Wenn es auch im Rahmen des anhaltenden Hypes um Facebook, Twitter und ähnlichen Medien häufig so scheint, als sei das Ende dieser Kommunikationsform bereits abzusehen, zeigt die tägliche Praxis in kleinen und mittelständischen Firmen ebenso wie in deutschen Großkonzernen das Gegenteil. Grund genug, sich über die Sicherheit dieser wichtigen Komponente der Unternehmenskommunikation einmal etwas mehr Gedanken zu machen.

Das bekannteste Problem: Spam und was Sie dagegen tun können

Wer über Probleme mit der E-Mail spricht, der meint damit sehr häufig das Thema Spam. Solche unerwünscht zugesandten E-Mail-Werbungen gehören für die meisten Benutzer von E-Mail heute zum Alltag. Im Stunden- wenn nicht Minutentakt wird das Postfach mit Angeboten von Online-Casinos, Pillenverkäufern oder skurrilen Geschäftsideen aus Afrika gefüllt. Doch mit welchen Technologien soll Spam bekämpft werden? Schließlich ist ja nicht alles, was uns im elektronischen Postkasten als (uninteressante) Werbezusendung auffällt, auch wirklich als Spam zu bezeichnen. So ist ein bewusst bestellter Newsletter mit Produktangeboten eines Versandhauses zwar eine Werbesendung, jedoch wurde diese gezielt auf Wunsch des Empfängers an ihn versandt. Spam ist hingegen traditionell eine unverlangte Massen-E-Mail, die auch als UBE ("Unsolicited Bulk E-Mail") oder UCE ("Unsolicited Commercial E-Mail") bezeichnet wird. Diesen beiden Untergruppen von Spam ist jedoch eines gemein: es handelt sich um unverlangte elektronische Werbepost.

In vielen aktuellen E-Mail-Systemen, wie zum Beispiel Microsofts Exchange-Server, wurde bereits eine ganze Reihe von Antispam-Techniken eingearbeitet. Das gilt auch für die E-Mail-Systeme der großen Provider und Anbieter von Web-Mail-Systemen wie etwa Google Mail. So können also sowohl die Administratoren als auch Endanwender aktiv die Sicherheit der E-Mail erhöhen, indem sie sich mit den Möglichkeiten dieser integrierten Schutzfunktionen vertraut machen.

Dadurch ist es bereits ohne den Einsatz einer zusätzlichen Antispam-Software oder -Appliance möglich, die Anzahl von Spam-Nachrichten nachhaltig zu senken. Dabei werden gefilterte Nachrichten in der Praxis nicht automatisch gelöscht, sondern an ein Quarantäne-Mail-Subsystem überführt. Hier kommt dann auch bereits die Eigenverantwortung der Anwender ins Spiel: Im Falle einer irrtümlichen Spam-Erkennung, sind die Benutzer selbstständig in der Lage, diese Nachrichten einzusehen, ohne dass die IT-Abteilung dazu beauftragt werden müsste. Über tägliche Reports werden Benutzer im idealen Fall über ausgefilterte Nachrichten automatisiert in Kenntnis gesetzt.

Spam-Filter: Blacklists und Whitelists

Hauptarbeitsmittel der einfachen Filter sind die so genannten Black- und Whitelists. Auflistungen mit Domänen-Namen, E-Mail-Adressen und IP-Adressen, die entweder negativ auffielen oder für eine Kommunikation grundsätzlich freigegeben wurden. Glücklicherweise sind Mail-Administratoren nicht gezwungen diese Listen komplett von Null an zu füllen - hinter dem Kürzel RBL ("Realtime Blackhole List"), auch als DNS-based Blackhole List (DNSB) bezeichnet, steckt beispielsweise eine laufend aktualisierte Datenbank mit Negativeinträgen im Internet. Dort werden IP-Adressen von Rechnern aufgeführt, die bereits durch den häufigen Versand von Spam in Erscheinung getreten sind.

In diesem Zusammenhang ist die Technik des "Greylisting" erwähnenswert. Hierbei wird eine E-Mail-Adresse, von der eine Nachricht empfangen wird, zunächst auf eine "graue Liste" gesetzt. Der Absender erhält die Meldung vom Mailserver, dass die Nachricht bitte erneut zu senden ist. Automatisierte Spam-Roboter reagieren typischerweise nicht auf Rückmeldungen, sodass im Umkehrschluss vorwiegend "echte Kommunikationspartner" einen erneuten Versand durchführen. Wird die Nachricht ein zweites Mal empfangen, so wird der Absender automatisch auf die Whitelist gesetzt und gilt als vertrauenswürdiger Kontaktpartner.

Weiteres Bordmittel im Kampf gegen Spam ist die traditionelle Schlüsselwortliste. Ist ein Unternehmen beispielsweise nicht im Gesundheitsbereich tätig, so handelt es sich bei Nachrichten mit den Worten "Valium", "Cialis" oder "Viagra" wohl grundsätzlich um Spam. Die Wirkungsweise von Schlüsselwortlisten wird jedoch durch das bewusste Falschschreiben von Begriffen von Seiten der Spammer getrübt. Daher kann die Schlüsselwortsuche lediglich ein zusätzliches Hilfsmittel aber kein alleiniges Mittel bei der Spam-Bekämpfung sein.

Spam erkennen mit Vipul´s Razor

Eine weitaus ausgereiftere Technik stellt "Vipul’s Razor" zur Verfügung: Hier handelt es sich um ein Prüfsummen-basiertes, verteiltes und gemeinschaftliches Spam-Erkennungs- und Filternetzwerk. Die Razor-Datenbank wird über Benutzerrückmeldungen ständig aktualisiert, so dass bekannte Spam-Nachrichten ausgefiltert werden. Derzeit wird Razor vorwiegend von Spamfiltern genutzt, die direkt auf den E-Mail-Servern zum Einsatz kommen. Ein kommerzieller Ableger von Razor ist "Cloudmark DesktopOne". Diese Software arbeitet als Erweiterung für die bekanntesten E-Mail-Client-Programme und steht sowohl in einer Freeware-Variante als auch in einer kostenpflichtigen Version zur Verfügung. Ein Vorteil der Techniken, die bei diesen Razor-Lösungen zum Einsatz kommen, besteht darin, dass sie auch gegen Spam-Nachrichten wirksam sind, die über keinen eigentlichen Textinhalt verfügen, sondern ihre Werbebotschaft als grafisches Element darstellen.

Starker Lösungsweg: Spam an der Wurzel gepackt

Neben einer inhaltlichen Überprüfung von E-Mails beim Empfang auf Ebene des Posteingangsservers oder auch des Clients bietet es sich für Unternehmen eine vorangestellte "Verteidigungslinie" an. Eine derartige Lösung wurde erstmalig Anfang des Jahres 2000 vom US-amerikanischen Hersteller Ironport zur Produktreife geführt und auf den Markt gebracht. Dabei kommt eine Appliance des heute zu Cisco gehörenden Herstellers zum Einsatz. Diese prüft, ob das bisherige Verhalten des absendenden Servers durch Spam-Aktivitäten gekennzeichnet ist. Das bisherige Verhalten wird hierbei als "Reputation" bezeichnet. Ist ein Server bereits mehrfach zum Versand von Spam-Mails benutzt worden, so ist dies in einer speziellen Datenbank festgehalten. Der Reputations-Wert wird von Ironport auf einer Skala von -10 bis +10 dargestellt. Ab welchem Wert mit einer Mail wie zu verfahren ist, kann der Mail-Administrator einstellen. In der typischen Einstellung einer solchen Appliance werden Mailserver mit einem Reputationswert von -10 bis -6 komplett als Kommunikationspartner abgelehnt. In einem Bereich von -5 bis -2 lassen sich "Throttle"-Einstellungen wählen. Eine derartige Einstellung beinhaltet dann beispielsweise, dass lediglich drei E-Mails pro Stunde von einem solchen Server entgegen genommen werden.

In der öffentlich zugänglichen Cisco/Ironport-Datenbank mit Namen Senderbase werden laut Hersteller die Serverdaten und Transaktionsergebnisse von über 30.000 Providern, Universitäten und Unternehmen gespeichert und als Grundlage für eine Einschätzung des Spampotentials genutzt. Ironport-Systeme, die entsprechend konfiguriert wurden, übermitteln ihre Informationen automatisch an die Senderbase-Datenbank. Dank der großen Anzahl von Sensoren erkennt das System sehr zügig eine neu entstehende Spam-Schwemme und ist für manipulierte Fehldaten unsensibel.

Mail-Security: Vorsicht bei POP3!

Die Aussage, eine E-Mail sei nur so sicher wie eine mit Bleistift geschriebene Postkarte, ist ebenso alt wie immer noch aktuell. Dabei ist das "Simple Mail Transfer Protocol" (SMTP) das primäre Protokoll für den Versand von E-Mails. Es wurde bereits im August 1982 unter dem RFC 821 zum Standard erklärt. Der Nutzungsgrad und die Größe der Netzwerke haben sich seither indes stark verändert. Bei Festlegung des Standards waren die Verbindungen zwischen den Servern sehr langsam und mitunter instabil. Vor diesem Hintergrund erklärt sich, warum auf die Zuverlässigkeit sehr hohen Wert gelegt, eine Authentifizierung aber nicht berücksichtigt wurde. Der Datentransfer zwischen den Servern geschah komplett unverschlüsselt und konnte mit jeder Sniffer-Software mitgelesen werden.

Die Erfahrung zeigt leider, dass Änderungen an Internet-Standardprotokollen eine lange Zeit in Anspruch nehmen können. Bis zu einer möglichen Neueinführung eines Nachfolgers des altgedienten SMTP-Protokolls bleibt aktuell als eine Lösung die DNS-Prüfung des versendenden E-Mail-Servers. Hierbei wird beim Empfang einer E-Mail die Absende-IP-Adresse mit dem Hostnamen-Eintrag im DNS ("Domain Name Service") geprüft. Stimmen die Werte überein, so wird die Nachricht an die nächste Prüfungsebene weitergereicht. Weicht die verwendete IP-Adresse des Mailservers vom hinterlegten DNS-Eintrag ab, stammt die Nachricht nicht vom zu erwartenden Mailserver und ist somit abzuweisen. Das hat den Vorteil, dass entsprechende gesetzliche Anforderungen wie etwa das Postgeheimnis, so nicht berührt werden: Schließlich wird die Nachricht überhaupt nicht angenommen.

Allerdings istdas SMTP-Protokoll bereits 1995 mit Extended SMTP (ESMTP) in RFC 1869 erweitert worden, wobei die Möglichkeit einer Verschlüsselung überSSL/TLS eingearbeitet wurde. Dank dieser Erweiterung ist die Vertraulichkeit der Nachricht beim Transfer gewährleistet. So stellten dann auch einige deutsche Provider - häufig angeregt durch die vielen Meldungen rund um die Snowden-Affäre - ihre E-Mail-Kommunikation in den letzten Wochen und Monaten auf eine Kombination von SSL/TLS beim E-Mail-Empfang via POP3- und IMAP-Clients um. Während beim Senden der Nachrichten vermehrt SMTP mit STARTTLS (Transport Layer Security) zum Einsatz kommt. Dies erfordert von den Anwendern in der Regel nicht mehr, als dass sie die Ports für das Senden und den Empfang von E-Mails in ihren Client-Programmen entsprechend ändern.

Sofern in einer Firma ein moderner und professioneller E-Mail-Server wie beispielsweise Microsoft Exchange durch die IT-Verantwortlichen eingesetzt wird, kommt POP3 üblicherweise überhaupt nicht mehr zum Einsatz. Wer die Wahl hat, sollte grundsätzlich auf das ebenfalls oft angebotene IMAP (Internet Message Access Protocol) ausweichen. Dieses Protokoll ist in der aktuellen Ausprägung durch einen Verschlüsselungsalgorithmus gesichert.

Sicherheit beim E-Mail-Transfer: Verschlüsselung

Wird POP3 dennoch verwendet und kann darauf nicht verzichtet werden, so sollte dringend eine Verschlüsselung der E-Mail-Inhalte auf der Client-Seite eingesetzt werden. Eine solche Verschlüsselung der Nachricht direkt auf dem Client hat für den Benutzer einen maßgeblichen Vorteil: Er weiß selbst, dass die Nachricht gesichert rausging - unabhängig davon, wie der E-Mail-Administrator den Server konfiguriert. Zwei Verschlüsselungsansätze haben sich zur Echtheitsprüfung (stammt die Nachricht tatsächlich vom genannten Absender) und Integritätsprüfung (wurde die Nachricht unerlaubt modifiziert) etabliert: "Pretty Good Privacy" (PGP) und "Secure / Multipurpose Internet Mail Extensions" (S/MIME).

Bei PGP handelt es sich um ein von Phil Zimmermann zu Studentenzeiten entwickeltes Programm, das zur Verschlüsselung und zur Erstellung digitaler Signaturen dient. Dieses Programm scheint in der öffentlichen Wahrnehmung die verbreitetere Lösung zur Verschlüsselung von E-Mail-Nachrichten zu sein. Sie erfordert eine Installation der PGP-Software auf beiden kommunizierenden Computern. Dies ist zwar aufwändiger als die Einrichtung von S/MIME, hat aber den Vorteil, dass neben E-Mails auch Dateien verschlüsselt werden können. Beide Techniken, PGP und S/MIME, verwenden dieselben Arten von Verschlüsselungsalgorithmen und unterscheiden sich lediglich in Details und nicht in der Sicherheit.

Zertifikate für S/MIME: Die einfache "Class 1"-Variante

Viele Softwarehersteller wie Microsoft scheinen S/MIME den Vorzug zu geben und erlauben eine einfache und direkte Integration in ihre Lösungen. Eine Installation einer zusätzlichen Software ist dabei nicht erforderlich, da die Komponenten bereits durch die E-Mail-Clientsoftware gestellt werden. Bei Verwendung von S/MIME ist stets die Erstellung eines Zertifikats durch eine "Certification Authority" (CA - Zertifizierungsstelle) erforderlich. Je nach Anwendungsgebiet gibt es unterschiedlich "starke Zertifikate". Für Privatpersonen und kleine Firmen ist die Variante "Class 1" ausreichend und zudem kostenlos erhältlich. Wer ein solches Zertifikat beispielsweise für S/MIME verwenden will, kann dies in weniger als fünf Minuten bekommen. Einer der vielen Anbieter, die kostenlose Zertifikate anbieten, ist StartSSL. Die Anmeldung verlangt einige persönliche Informationen. Für ein kostenfreies Zertifikat muss sie mit einem unterstützten Browser wie dem Microsoft Internet Explorer oder dem Mozilla Firefox erfolgen. Danach wird das erstellte Zertifikat im Zertifikatsspeicher des Browsers abgespeichert. Eine einfach zu lesende und umzusetzende Anleitung in verschiedenen Sprachen, die auch im Rahmen der Zertifikatserstellung angezeigt wird, beschreibt dem Anwender, wie er das Zertifikat auf einen lokalen Datenspeicher sichern kann.

Wer dann ein solches Zertifikat zur Signierung von persönlichen E-Mails, beispielsweise mit Microsoft Outlook, nutzen möchte, muss es in die Applikation importieren. Leider unterscheidet sich die Vorgehensweise bei den verschiedenen Outlook-Versionen im Detail. Unter Outlook 2007 findet der Benutzer die benötigte Eingabemaske unter dem Menübefehl "Extras" und anschließend durch einen Mausklick auf "Vertrauensstellungscenter". Im daraufhin erscheinenden Dialogfenster ist dann die Rubrik "E-Mail-Sicherheit" auszuwählen. In dieser ist dann auch die Schaltfläche für "Import und Export" von Zertifikaten zu finden. Weitere Informationen zur Beurteilung von Zertifikaten im Microsoft Office 2007-Umfeld finden sich auf einer dazu von Microsoft bereitgestellten Webseite. Die Installation des persönlichen Zertifikats unter "Mozilla Thunderbird" wird unter Extras, Erweitert, Zertifikate durchgeführt. Auf MacOS-Rechnern wird das Zertifikat aus dem Zertifikatsspeicher des Browsers exportiert und in den "Schlüsselbund" des Betriebssystems importiert. Alles in Allem dauert die Erstellung des Zertifikats und die Einrichtung nicht mehr als fünf Minuten.

Bevor die Verschlüsselung zwischen zwei E-Mail-Kontaktpartnern effektiv genutzt werden kann, muss der "öffentliche Schlüssel" zur Codierung auf den jeweils anderen Computer gelangen. Dies geschieht recht unkompliziert dadurch, dass ausgehende Nachrichten stets "signiert" versendet werden. Jede versendete E-Mail trägt auf diese Weise den öffentlichen Schlüssel des eigenen Zertifikats. Ist auf beiden Seiten der öffentliche Schlüssel des Kommunikationspartners bekannt, so kann die nächste E-Mail verschlüsselt werden. Wird der E-Mail-Verkehr auch an Smartphones oder Handheld-PCs weitergeleitet, so ist sicherzustellen, dass auch diese Geräte über die Zertifikate verfügen.

Ungeliebt aber notwendig: Backup, Restore und Archive des E-Mail-Servers

Welche Sicherungsstrategie für einen E-Mail-Server durch den Administrator angewendet wird, ist von vielen verschiedenen Faktoren abhängig. Es gibt am Markt kleinere E-Mail-Server die auf eine Datenbank komplett verzichten und alle Nachrichten direkt im Dateisystem ablegen. Das hört sich zwar zunächst etwas altmodisch an, hat aber für die Sicherung und die Wiederherstellung große Vorteile: Eine spezielle Software für Backup- und Restore-Aufgaben muss überhaupt nicht eingesetzt werden. Selbst ein kleiner Copy-Skript-Job ist dann in der Lage die E-Mail-Nachrichten zu sichern. Große E-Mail-Server wie auch Microsoft Exchange verwenden eine eigene Datenbank. Der Administrator kann somit nicht mehr die einzelnen Nachrichtendateien sichern, sondern muss wie bei anderen Backup-Strategien auch, zunächst einmal die komplette Datenbank sichern. Danach kann er in einem Wochenturnus mit inkrementellen Sicherungen pro Tag sicherstellen, dass sein Backup auf dem aktuellen Stand bleibt.

Die meisten Administratoren werden bestätigen, dass Restore-Aufgaben heute glücklicherweise nur noch sehr selten darin bestehen, eine Komplettwiederherstellung eines E-Mail-Servers auszuführen. Die beiden Klassiker heißen aber weiterhin "Wiederherstellung einer einzelnen E-Mail, die ein Benutzer versehentlich gelöscht hat" und "Das Konto eines ausgeschiedenen Mitarbeiters wurde gelöscht und einige Zeit später bemerkt ein Kollege, dass im Fach noch wichtige Daten vorhanden waren."

In beiden Fällen wird ein E-Mail-Administrator kaum eine Wiederherstellung eines kompletten Exchange-Servers anstoßen. Für kleinere und mittlere Unternehmen sind der Aufbau und das Vorhalten einer "Recovery Storage Group" für die Wiederherstellung einzelner Postfächer und Nachrichten eine leicht umzusetzende Variante. Wie ein Administrator beispielsweise eine solche "Speichergruppe für die Wiederherstellung" unter Exchange 2003 einrichten kann, wird in einem ausführlichen Artikel auf Microsofts Supportseiten erläutert. Kommt es häufiger zu derlei Wiederherstellungsaufgaben, so empfiehlt sich der Einsatz von Zusatzprogrammen wie beispielsweise "Quest Recovery Manager for Exchange" (wird jetzt von Dell bereitgestellt) oder "PowerControls" von Ontrack. Während das Dell/Quest-Programm auch in einer Version für den Lotus Mailserver angeboten wird, bietet Ontrack seine PowerControls auch für den Microsoft SharePoint-Server an.

E-Mail-Server: Backup alleine reicht nicht!

Allerdings kann und darf die Sicherung eines Mailservers die Archivierung nicht ersetzen. Während bei der Sicherung die Wiederherstellung aktueller Daten im Vordergrund steht, dient die Archivierung der langfristigen Datenspeicherung und als Beleg für Geschäftsvorgänge. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt im Kapitel "Archivierung" des IT-Grundschutz-Katalogs sehr detailliert die verschiedenen Gefahren und mögliche Lösungen.

Einfache Implementierungen setzen am Mail-Gateway der DMZ (Demilitarized Zone) am Außenbereich des Unternehmensnetzwerks an. Jede ausgehende und eingehende E-Mail wird durch einen speziell dafür eingerichteten Smarthost Mailserver geleitet. Diese Nachrichten werden dann regelmäßig auf Bänder gesichert und dienen als Dauerarchiv. Interne E-Mail-Dialoge bleiben in dieser Konstellation außen vor, was durchaus gewünscht sein kann, da der interne E-Mail-Verkehr möglicherweise gar nicht "archivierungswürdig" ist.

Die Archivierung ganzer Mailserver beziehungsweise deren E-Mail-Verkehrsströme darf unter keinen Umständen mit der Archiv-Datei von Outlook aus dem Microsoft Office-Paket verwechselt werden. Outlook als E-Mail-Client versucht die aktiv benötigte Datenmenge im Postfach möglichst klein zu halten, um einen schnelleren Zugriff auf aktuell benötigte Daten zu garantieren. Ältere Daten werden dabei auf das lokale Dateisystem ausgelagert. Der Archivierungsassistent wird nach einiger Zeit automatisch eingeblendet und der Benutzer nach seinen Wünschen in Bezug auf das Archiv befragt. Praktischer ist es jedoch, diese Regeln bereits über eine Gruppenrichtlinie für das gesamte Unternehmen durch den Administrator regeln zu lassen.

Data Loss Prevention (DLP): Wie gehen die Nachrichten raus?

Wer über sichere E-Mail redet, muss die Frage beantworten, auf welchen Wegen Informationen grundsätzlich seine Firma verlassen können. Dies ist ein Thema, das weit über die Sicherheit der zum Einsatz kommenden E-Mail-Anwendungen hinausgeht und häufig unter dem Begriff DLP für "Data Loss Prevention" behandelt wird. Wie häufig sind sich dabei die verschiedenen Quellen und Hersteller nicht wirklich einig darüber, wofür die drei Buchstaben DLP genau stehen: Neben der Erklärung als "Data Leak Prevention" werden aber auch die Begriffe "Data Leakage Prevention" oder "Data Loss Prevention" als Erklärung verwendet. Einige Fachleute setzen dann diese Begriffe synonym ein, während andere einen Unterschied machen, ob Daten mit Vorsatz entwendet werden (Data Loss) oder ob sie unbemerkt beziehungsweise versehentlich aus dem Firmennetz abhandenkommen (Data Leak).

Unter den vielen Kanälen, auf denen Informationen verloren gehen, die entscheidend für die Sicherheit und/oder den Geschäftserfolg einer Firma sein können, nimmt die E-Mail eine herausragende Stellung ein: Das reicht von der Nachricht, die unabsichtlich an den falschen Empfänger geschickt wird, bis zu der gerade in großen Firmen beliebten Unsitte, mittels "Reply-to-all" zu antworten - wobei schnell ein Empfänger auf die Liste gelangt, der diese eine Nachricht nicht erhalten durfte. Weitere Probleme entstehen schnell dadurch, dass Anwender ihrer Nachrichten mit vertraulichen Informationen an ihre private Mail-Adresse weiterleiten, die sich vielleicht sogar bei einem Webmail-Anbieter befindet, ohne die daraus entstehenden Konsequenzen für die Sicherheit zu beachten.

Diese Probleme treten aus vielen Gründen auf: Einer besteht darin, dass in vielen Unternehmen zwar die eingehende E-Mail sehr genau durch ein spezielles E-Mail-Sicherheitssystem untersucht wird, ausgehende Nachrichten aber weitgehend ungehindert das Firmennetzwerk verlassen können. So können dann auch Anhänge, die eigentlich nur für den internen Gebrauch gedacht sind, schnell in falsche Hände gelangen. Selbst wenn der ausgehende E-Mail-Verkehr auf solche Probleme untersucht wird, benutzen die meisten Firmen doch den Port 80, um die Verbindung zum Internet zu gewährleisten. Das heißt aber auch, dass Mitarbeiter über diese Art der Verbindung einen Webmail-Account verwenden können, so dass auf diese Weise wiederum wichtige und sicherheitsrelevante Informationen unbemerkt die Firma verlassen können.

Eine technische Lösung: Deep Packet Inspection (DPI)

Wer eine technische Lösung für derartige Probleme sucht, wird um die Einführung einer sogenannten "Deep Packet Inspection" (DPI) nicht umhin kommen: Im Idealfall wird eine solche Lösung an einem neuralgischen Punkt des Netzwerks alle Datenpakete untersuchen, ganz gleich um welches Protokoll oder welche Art von Dateityp es sich handelt. Wenn dann die entsprechenden Dokumenten nach bestehenden Firmenrichtlinien als vertraulich gekennzeichnet sind, kann eine derartige Lösung im Rahmen vorher festgelegter Richtlinien ihren Versand wirkungsvoll unterbinden. An diesem Punkt wird es sich häufig um die Firewall handeln, über die alle Netzwerkpakete in das Firmennetz gelangen oder dieses wieder verlassen. Eine ganze Reihe von Anbietern für Sicherheitslösungen kann entsprechende Lösungen aus ihrem Portfolio anbieten.

Fazit: E-Mail-Sicherheit braucht ein Konzept

Wir konnten im Rahmen dieses Überblicks nur einige Hauptaspekte des Themas E-Mail-Sicherheit etwas ausführlicher betrachten. Dabei sollte aber deutlich geworden sein, dass es sicher sinnvoll und notwendig ist, entsprechende Lösungen einzuführen, die beispielsweise vor Spam schützen oder eine Wiederherstellung verlorener Nachrichten erlauben. Insgesamt sollten die Verantwortlichen aber die Sicherheit ihrer E-Mail-Lösungen als einen Prozess sehen, der nur dann richtig eingeführt und gepflegt werden kann, wenn die Endanwender mit ins Boot geholt werden und um die Gefahren wissen. Erst eine sinnvolle Kombination von technischen Lösungen, wie sie hier vorgestellt wurden, mit Firmenrichtlinien zur Sicherheit der E-Mail-Nachrichten und Schulungen für die Mitarbeiter kann die Sicherheit dieses wichtigen Kommunikationskanals weit gehend gewährleisten. (wh/sh)