Wege des sicheren Nachrichten und Datenaustausches mit unserer Kanzlei ■

Wir haben uns für ein Mailgateway entschieden, das eine Reihe von zusätzlichen Leistungen bietet, unter anderem einen sehr effizienten Schutz vor unerwünschten Mails. Das Hauptaugenmerk für uns liegt darin, Ihnen die Kommunikation unter Einhaltung der Datenschutzvorschriften so komfortabel wie möglich zu gestalten.
Mittels des Gateways ist es uns möglich, unsere und damit auch Ihre Datensicherheit deutlich zu erhöhen und zugleich eine funktionale Möglichkeit zu schaffen, um den Nachrichten und Datenaustausch für alle Beteiligten so einfach und angenehm wie möglich zu gestalten und einen sicheren Nachrichten und Datenaustausch zu gewährleisten.

Die eingesetzte Maillösung schützt uns unter anderem vor ungewollten Mails (Spam). Dies kann beim ersten Kontakt mit unserer Kanzlei zu falschpositiven Ergebnissen führen. Falschpositiv heißt in diesem Zusammenhang, dass eine Mail positiv als Spam erkannt wird, diese Beurteilung jedoch falsch ist, da es sich um eine gewollte Mail handelt.

Aufgrund § 206 StGB i.V. mit § 88 Telekommunikationsgesetz gilt eine Mail bereits dann als angenommen, wenn Sie in eine weitere Verarbeitung aufgenommen wird, sprich auch dann, wenn sie automatisch in einen besonderen Bereich wie Spam-Ordner oder Quarantänebereiche des Mailservers verschoben wird. Daher werden die Mails nach bestimmten Kriterien geprüft und deren Annahme gegebenenfalls verweigert. Dies bedeutet, dass wir keinerlei Information darüber bekommen, dass überhaupt versucht wurde, uns diese Mail zukommen zu lassen.
Sollte das eine der Mails betreffen, die Sie uns gesendet haben, bekommen Sie eine entsprechende Mitteilung, dass die Annahme verweigert wurde. Bitte setzten Sie sich daraufhin mit uns in Verbindung.
Das Mailgateway beurteilt die eingehenden Mails mittels eines selbstlernenden "Level of Trust", einer "Stufe der Vertrauenswürdigkeit". Hierbei werden die eingehenden Mails durch eine Reihe von Kriterien geprüft und beurteilt, insbesondere ist hierbei von Bedeutung, ob bereits in der Vergangenheit Mailverkehr zwischen dem Absender und uns stattgefunden hat.

Im Bereich der Bewertung von Mailabsender kommen bei allen Maillösungen "Blacklists", "Greylists" und "Whitelists" zum Einsatz. Black- und Greylists werden sowohl von eigenen Mailservern als auch im Internet geführt. Dort werden Absenderadressen von denen sicher (Blacklist) oder wahrscheinlich (Greylist) davon ausgegangen werden kann, dass es sich um nicht seriöse Absender handelt, eingetragen. Ist ein solcher Eintrag auf eine Black- oder Gerylist erfolgt verwirft der Mailserver die ankommende Nachricht und stellt diese nicht zu. Unglücklicherweise kann es immer wieder vorkommen, dass auch seriöse Absender aus unterschiedlichen Gründen auf einer Black- oder Greylist aufgeführt werden.

Um diesen fehlerhaften Einträgen entgegenzuwirken, führt unser Mailserver eine Whitelist, in der uns bekannte seriöse Absender eingetragen werden. Dies geschieht beispielsweise automatisch, indem wir eine Mail versenden. Der Empfänger wird automatisch in die Whitelist eingetragen und so die Zustellwahrscheinlichkeit deutlich erhöht, da die Whitelist eine starke Auswirkung auf den "Level of Trust" des Mailservers hat.

Bei den anderen Verschlüsselungsmethoden die wir anbieten wird die Mail selbst verschlüsselt und kann nur durch den Empfänger wieder lesbar gemacht werden. Man spricht hier von End-to-End Verschlüsselung. Eine End-to-End Verschlüsselung bietet eine Mailsicherheit in jedem erdenklichen Fall und ist grundsätzlich die sicherste Methode des Mailverkehrs.

Bei der Transportverschlüsselung mittels TLS (Transport Layer Security) findet eine verschlüsselte Übertragung der Mail statt, die Mail selbst jedoch bleibt unverschlüsselt. Das dahinterliegende System ist vom Prinzip das Gleiche wie bei HTTPS. Zwischen den beiden datenaustauschenden Stellen wird, zunächst unverschlüsselt, eine Verbindung aufgebaut. Dann identifizieren sich die datenaustauschenden Stellen mittels ihrer hinterlegten Zertifikate und führten einen "Handshake" durch. Nach erfolgreichem Handshake wird die Verbindung verschlüsselt, sodass ab diesem Zeitpunkt sicher Daten übertragen werden können.

Anfällig ist dieses System bei E-Mails in mehreren Punkten.
Es sind zum Beispiel „Man in the Middle“-Attacken möglich, bei denen sich ein fremder Dritter in die ungesicherte Datenverbindung vor dem Handshake einklinkt und dann beiden Seiten die Zertifikate der jeweils anderen Stelle vorgaukelt. Ist dies geschafft, ist der "Man in the Middel" in der Lage, den Datenverkehr selbst zu empfangen und weiterzuleiten. Hierdurch kann der Angreifer die gesendeten Daten mitlesen oder auch vor der Weiterleitung verändern.
Hinweis: Ein Mitlesen ist für den Empfänger nicht erkennbar. Mails, die von uns versendet werden sind jedoch grundsätzlich signiert. Werden diese inhaltlich verändert, wird die Signatur gebrochen. Ein Verändern des Inhaltes ist hierdurch nicht unmöglich, aber durch den Signaturbruch für den Empfänger erkennbar.

Grundsätzlich kann die Transportverschlüsselung dann problematisch sein, wenn eine Mail nicht direkt von einem Mailserver zum anderen übermittelt wird, sondern über mehrere Internetserver läuft. Dies ist z.B. immer dann der Fall, wenn kein eigener Mailserver betrieben wird, sondern ein Maildienst (1und1, gmx, t-online, iCloud, Office 365, usw) genutzt wird. Selbst wenn die Mail zwischen uns und dem Maildienstanbieter verschlüsselt übertragen wird, liegt sie auf dessen Servern immer unverschlüsselt vor. Daher ist es wichtig, dass der Weg zwischen dem Mailserviceprovider und dem Endgerät mit dem die Nachricht gelesen wird, ebenfalls verschlüsselt stattfindet.

Wenn wir z.B. eine Mail an eine T-online-Adresse übertragen, geschieht dies selbstverständlich mittels TLS-Verschlüsselung. Nach der Übertragung liegt die Mail unverschlüsselt beim Mailserviceprovider, in diesem Fall T-online vor. Betrachten Sie die Mail auf der Webseite von T-Online geschieht dies ebenfalls gesichert, mittels Https-Protokoll. Wird die Mail jedoch z.B. auf das Handy des Empfängers weiterübertragen, kommt es darauf an, wie die Verbindung vom Endgerät zum Maildiensteanbieter aufgebaut wird. Hier muss ebenfalls eine gesicherte Mailverbindung herstellt werden. Dies geschieht über die verwendeten Ports, die zum Verbindungsaufbau verwendet werden. Bei einem Abruf mit POP3 (die Mail wird abgerufen und beim Mailanbieter gelöscht) sind dies in der Regel die Ports 995 für den Posteingang und 465 für den Postausgang. Bei einem Abruf mittels IMAP (die Mail bleibt beim Mailanbieter erhalten und es wird nur ein Spiegelbild auf das Handy übertragen, sodass die gleiche Mail dann auch auf ein anderes Gerät übertragen werden kann) sind das in der Regel die Ports 993 für den Posteingang und ebenfalls die 465 für den Postausgang.

Um sicher mittels TLS Mailverkehr zu betreiben, muss also gewährleistet werden können, dass der Übertragungsweg der Mail vom ersten Sender bis zum endgültigen Empfänger verschlüsselt wird. Dies ist kein Problem, wenn Sie einen eigenen Mailserver betreiben oder sich die Mails auch bei ihrem Mailanbieter mittels TLS-Verschlüsselung abholen, egal ob mit POP3 oder IMAP.

Wenn Sie einen eigenen Mailserver betreiben, sprechen Sie bitte mit Ihrem Anbieter oder IT-Fachmann um einen TLS-Empfang einzurichten. Hierzu wird ein auf Ihre Domäne ausgestelltes SSL-Zertifkat benötigt.

Bitte informieren Sie sich selbst umfassend über die eventuellen Sicherheitsprobleme bei ausschließlicher Verschlüsselung des Transportweges bevor Sie uns das ausgefüllte Formular, pdf-Version, MS-Office-Version, zukommen lassen.

Wenn Sie nicht über ein Schlüsselpaar verfügen und von uns sensible Informationen zugesandt bekommen erhalten Sie eine Mail mit einem Anhang. Der Anhang ist ein PDF-Container. Den Container können Sie mit dem Adobe Acrobat Reader öffnen. Darin ist dann die eigentliche Nachricht sowie eventuell mitgesendete Anhänge enthalten.

Zum Öffnen des Containers müssen Sie Ihr Passwort, das Sie sich vergeben haben, eingeben. Dies ist leider jedes Mal, wenn Sie die Nachricht öffnen möchten, erneut notwendig.

Wenn Sie verschlüsselte Dokumente speichern, müssen Sie beim erneuten Öffnen der Datei wieder das Passwort eingeben, um diese lesen zu können.
Es gibt jedoch eine Möglichkeit, diesen Umstand zu umgehen und das Passwort nur einmal eingeben zu müssen. Um ein verschlüsseltes Dokument entschlüsselt zu speichern, öffnen Sie dieses im Adobe Acrobat Reader. Nun haben Sie die Möglichkeit, das Dokument mit Microsoft print to pdf in eine neue Datei drucken zu lassen. Diese ist nicht mit einem Passwort versehen.
Bitte beachten Sie unbedingt, dass Dateien, die mit einem Passwort gespeichert wurden, nicht mehr geöffnet werden können, wenn Ihnen das Passwort abhandenkommt! Auch durch uns nicht.

S/MIME (Secure / Multipurpose Internet Mail Extension) und PGP (Pretty Good Privacy) unterscheiden sich in einigen Punkten, haben jedoch eines gemeinsam: Das Schlüsselpaar.

Ein Schlüsselpaar besteht aus einem öffentlichen und einem privaten Schlüssel. Der private Schlüssel ist nur im Besitz des Mailadresseninhabers, der öffentliche Schlüssel jedoch ist über frei zugängliche Schlüsselserver im Internet für jederman einsehbar. Soll nun eine E-Mail versandt werden, prüft das Mailprogramm zunächst, ob der gewünschte Empfänger der Mail einen öffentlichen Schlüssel auf einem Schlüsselserver zur Verfügung gestellt hat. Ist dies der Fall und der Absender möchte gerne, dass die Mail verschlüsselt übertragen wird verschlüsselt das Mailprogramm diese.
Schlüsselserver sind über das Internet erreichbare Server auf denen die öffentlichen Schlüssel vorgehalten werden und durch das angewandte Mailprogramm abrufbar sind.

Verschlüsselter Mailverkehr mittels eines Schlüsselpaares funktioniert nach der Einrichtung sehr einfach und zuverlässig. In der Anwendung bemerkt man schlussendlich kaum, dass der Mailverkehr sicher und verschlüsselt stattfindet, da sich an der Arbeitsroutine hierdurch nichts ändert.

Der öffentliche Schlüssel ist frei zugänglich auf einem Schlüsselserver. Soll nun eine Mail verschlüsselt an einen Mailempfänger übertragen werden, prüft das Mailprogramm, ob es den öffentlichen Schlüssel des gewünschten Mailempfängers bereits kennt oder ob dieser auf einem Schlüsselserver verfügbar ist. Ist dies der Fall verwendet das Mailprogramm diesen, um die Nachricht zu verschlüsseln. Es handelt sich hierbei um eine asymmetrische Verschlüsselung. Das heißt, da dem Mailprogramm die eine Hälfte des Schlüsselpaares bekannt ist, kann es die Nachricht so digital verschlüsseln, dass diese nur noch zu entschlüsseln ist, wenn beide Schlüssel zum Einsatz kommen.
Da nur der Empfänger über den privaten Schlüssel verfügt, ist auch nur er in der Lage, die Nachricht wieder zu entschlüsseln und deren Ihnhalt zu sehen.

Die dahinterliegende Arbeit erledigt Ihr Mailprogramm, egal welches Sie einsetzen, ganz alleine. Sie müssen beim Absenden nur wählen ob, die Mail verschlüsselt und/oder signiert werden soll oder nicht.

Der Unterschied zwischen S/MIME und PGP liegt darin, dass bei PGP nur ein Schlüsselpaar erzeugt wird, wogegen S/MIME ein Zertifikat zugrunde liegt. Dieses Zertifikat wird von einer anerkannten Zertifizierungsstelle erzeugt, die zuvor eine Identifikationsprüfung vornimmt. Damit ist gewährleistet, dass der Inhaber eines Schlüsselpaares, das nach S/MIME erzeugt wurde auch tatsächlich die Person ist, als die er sich ausgibt. Apple unterstützt aktuell leider nur S/MIME. Um PGP auf Apple-Geräten zu nutzen, müssen Sie sich eine Erweiterung wie z.B. iPGMail oder oPenGP auf Ihrem Apple-Gerät installieren.