Hallo in die Runde 

mittlerweile werden ja oft auch "heiklere" oder "offizielle" Angelegenheiten per E-mail und übers Internet erledigt, z.B. Kündigungen von Abos oder evtl. auch andere Anliegen.

Mir ist das langsam zu unsicher, zumal kein Mensch weiß, ob die E-mail stimmt, ob sie von demjenigen, den man vermutet, auch kommt. Daher überlege ich mir ein digitales Zertifikat für meine persönlichen Zwecke zu zulegen um hier in gewissem Maße abgesichert zu sein.

Damit kann ich dann signierte (d.h. beglaubigte) E.mails schreiben, die von mir autorisiert und für den Empfänger lesbar sind. Wird die E-mail auf dem Transportweg manipuliert, wird die Signatur gebrochen und ist damit komprimittiert.

Ich kann die E-mail mit einem Zertifikat dann auch verschlüsseln, dann braucht aber der Empfänger ebenfalls das Gegenzertifikat, damit er diese E-mail entschlüsseln kann. Hier ist nicht nur der Transportweg geschützt, sondern auch der Inhalt, da bis auf die Headerdaten (Absender / Empfänger) der Inhalt der E-mail nicht lesbar ist.

Mich interessiert hier Eure Sicht darauf - Schon mal darüber Gedanken gemacht?
Würdet ihr das nutzen - auch wen es was kostet?


Hier noch ein kleiner Exkurs zu der gesamten Thematik:

Es gibt zwei weit verbreitete Technologien zum Signieren / Verschlüsseln von E-mails und Daten: GnuPG / PGP und S/MIME

GnuPG und PGP kennt keine neutrale Zertifizierungsstelle, sondern vertraut darauf, daß sich die Benutzer untereinander vertrauen. Dieser "Ring-of-Trust" - du vertraust mir, dann vertraue ich Dir, dann kann auch der Freund Deines Freundes mir vertrauen ist das Prinzip von GnuPGP / PGP. Die Programme und Utilities dazu sind Freeware und können von jedermann/frau
genutzt werden gpg4win ist ein solches Projekt.

S/MIME
Auch bei S/MIME kann man Zertifikate selbst erstellen (d.h. SelfSigned), allerdings sind diese nicht von einer neutralen Stelle beglaubigt z.B. kann man sowas innerhalb von Windows Domänen aufsetzen, da Windows eine eigene Zertifizierungs-Services mitbringt) D.h. man muß demjenigen, von dem man das Zertifikat bekommt, vertrauen. Das geht, wenn ich weiß, daß mein Partner mir eine E-mail mit seinem Zertifikat schickt und andersherum.

Von einer zentralen und zertifizierten Stelle herausgegebene S/MIME Zertifikate kosten meistens etwas Geld (20- 60 EUR/Jahr).
Die Stammzertifikate dieser Trustcenter sind z.B. in den Browsern hinterlegt, somit kommt hier keine Abfrage, wenn man mit einem Zertifikat eines Trustcenters eine E-mail öffnet. Bei unbekannten Zertifizierungsstellen (z.B. selbstausgestellten Zertifikaten) kommt hier eine Abfrage, ob man dem Zertifikat wirklich vertrauen will, erst dann kann man die E-mail öffnen.

Für S/MIME Zertifikate gibt es verschiedene Trustlevel.

Der einfachste Level ist auch am günstigsten. Hier wird allerdings nur die E-mail-Adresse verifiziert, aber niemand weiß, welche Identität dahinter steckt. D.h. jeder der das Zertifikat hat, kann auch eine E-mail mit diesem Absender schicken.

Ein weiterer Level ist die Zertifizierung mit E-mail-Adresse und der Person (Identität). Hier wird die E-mail-Adresse und die Person mittels Ausweis (etc.) überprüft. D.h. Adresse und Person stimmen mit der E-mail-Adresse über ein.

Es gib hier dann auch noch andere Abstufungen, z.B. ob das Zertifikat mit Smartcard-Readern genutzt werden kann usw.
und für Unternehmen sieht es nochmals anders aus, die können dann je nach Art des Zertifikats der Zertifizierungsstelle selbst Zertifikate für Benutzer ausstellen.

Komplett ist das Vertrauen eigentlich nur, wenn sich die Person an einem dedizierten Rechner mit einem fest verbauten Kartenleser mit dem Zertifikat anmelden muß, um an diesem Rechner dann eine signierte oder verschlüsselte E-mail zu schreiben.

Kompliziert? Eigentlich nicht so.. 

--
lg,
volker

so long and thank you for the fish >~°>

Meine Fotos

> Hallo in die Runde 
>
> mittlerweile werden ja oft auch "heiklere" oder "offizielle"
> Angelegenheiten per E-mail und übers Internet erledigt, z.B. Kündigungen
> von Abos oder evtl. auch andere Anliegen.
>
> Mir ist das langsam zu unsicher, zumal kein Mensch weiß, ob die E-mail
> stimmt, ob sie von demjenigen, den man vermutet, auch kommt. Daher
> überlege ich mir ein digitales Zertifikat für meine persönlichen Zwecke
> zu zulegen um hier in gewissem Maße abgesichert zu sein.

GMX.net und Web.de bieten die kostenlose DE-Mail an, für die man sich registrieren muss, habe mich mit dem Verschlüsselungs- und Übertragungsverfahren noch nicht näher befasst.

GMX De-Mail Einfach - und so sicher wie ein Brief! Kostenlose Standard De-Mails senden Persönliche De-Mail Adresse Rechtssichere Kommunikation Sicher und rund um die Uhr verfügbar

WEB.DE De-Mail Einfach - und so sicher wie ein Brief! Kostenlose Standard De-Mails senden Persönliche De-Mail Adresse Rechtssichere Kommunikation Sicher und rund um die Uhr verfügbar

--
Vernetzte Treffgrüße ausTübingen
Reinhard

Historisches Stadtwappen.
Das amtliche Wappen für
den Schriftverkehr kann man
in der Pfeife rauchen, es erspart
halt die Kosten für den Farbdruck.

------------------------------------------------------------------------
Notiz:
Ich verwende auf dieser Website allein aus Gründen
des Leseflusses das generische Maskulinum (oder "-ende")
und lege Wert darauf, dass alle Inhalte genderunabhängig
zu verstehen sind.

Für mich war und ist E- Mail schon immer wie Post- oder Ansichtskarten mit der Post. Ich konnte auch nie den Aufschrei mit der ganzen Verschlüsselei nicht verstehen.
Trotzdem kann man Verträge auch per Mail kündigen. Name und Anschrift sind im digitalen Zeitalter eh kein Geheimnis (mehr). Und mit einer Vertragsnummer kann man meiner Meinung nach noch keinen Schaden anrichten.

me3

> Mich interessiert hier Eure Sicht darauf - Schon mal darüber Gedanken
> gemacht?


Ich baue weder Atomkraftwerke noch bin ich Geheimagent.
Von daher ist die ganze Verschlüsselei in meinen Augen überflüssig.

Wer unbedingtes Unteresse auf den Inhalt meiner Mails hat soll sie lesen 

Ich habe leider oft mit dem Kontra dieses Verschlüselungswahns zu tun.
Wenn z.B. MSR Programmierer zum Ortstermin geladen werden und der Kerl 350KM anreist - um dann festzustellen daß Ihn irgend eine Verschlüsselung "ausgesperrt " hat.

--
Gruß Hausdoc

Heizungsfragen?? - Hier klicken

Das mit dem Verschlüsseln scheitert meistens daran, daß der Empfänger damit überfordert ist und keine Lust darauf hat. Sowohl privat als auch im Firmenumfeld. Auch wenn die Werkzeuga dazu schon oft im Mailprogramm integriert sind, bring mal einem "Ich bin nur Anwender!" bei, daß er sich jetzt mit öffentlichen und privaten Schlüsseln befassen soll.
Fazit: vergiß es.

--
Grüße aus Strasshof an der Nordbahn (ja, da wo die Natascha im Keller lebte)
bender

sudo apt-get install brain_2.0

> > Mich interessiert hier Eure Sicht darauf - Schon mal darüber Gedanken
> > gemacht?
>
>
> Ich baue weder Atomkraftwerke noch bin ich Geheimagent.
> Von daher ist die ganze Verschlüsselei in meinen Augen überflüssig.

Du schreibst also keine Briefe sondern grundsätzlich nur Postkarten? U d hast nur in Problem damit, dass der Zusteller die Karte ließt bevor er sie einwirft?

Das ist dann tatsächlich deine Sache, aber gehe bitte nicht davon aus, dass andere das auch so sehen.

Im übrigen stehe ich auf dem Standpunkt, dass der Inhalt meiner Kommunikation exakt NIEMANDEN auch nur das geringste angeht; und das schließt die sogenannten Sicherheitsbehörden explizit mit ein.

--
Im übrigen bin ich der Meinung, dass der Gender-Neusprech bekämpft und eliminiert werden muss.

Probleme mit Windows? Reboot
Probleme mit Unix? Be root

> GMX.net und Web.de bieten die kostenlose DE-Mail an, für die man sich
> registrieren muss, habe mich mit dem Verschlüsselungs- und
> Übertragungsverfahren noch nicht näher befasst.
>
> GMX De-Mail Einfach - und so
> sicher wie ein Brief! Kostenlose Standard De-Mails senden Persönliche
> De-Mail Adresse Rechtssichere Kommunikation Sicher und rund um die Uhr
> verfügbar
>
> WEB.DE De-Mail Einfach - und so
> sicher wie ein Brief! Kostenlose Standard De-Mails senden Persönliche
> De-Mail Adresse Rechtssichere Kommunikation Sicher und rund um die Uhr
> verfügbar

DE-Mail kommt mir definitiv nicht ins Haus.
Wenn du es einmal hast, dann wirst du es so schnell nicht mehr los.
Und: im Falle eines Falles gilt hier eine Beweislastum mehr. D.h. nicht der Absender muss beweisen, dass du seine Mail erhalten hast, sondern du, dass du sie nicht erhalten hast - was praktisch unmöglich ist.
Viel Spaß mit den sich daraus ergebenden Folgen.

--
Im übrigen bin ich der Meinung, dass der Gender-Neusprech bekämpft und eliminiert werden muss.

Probleme mit Windows? Reboot
Probleme mit Unix? Be root

E-Mail ist das größte Provisorium des Internet. Es fehlt generell an Sicherheitsmerkmalen in allen Schichten. Bis heute stehen lediglich die benannten Sicherheitsmechanismen auf Anwendungsebene zur Verfügung und die, wie Bender das m.E. absolut richtig einschätzt, überfordern Standardnutzer total.
Ich habe in über 20 Jahren zwei Kommunikationspartner gehabt, mit denen das halbwegs dauerhaft funktioniert. Beides IT Spezialisten.
Aber zur Frage: Ich verwende wenn dann meist GPG in E-Mail Kontexten. Kann ich paranoid werden mit 4k großen Schlüsseln und die benötigten Key-tools stehen und standen auf so gut wie allen Plattformen gleichwertig zur Verfügung.
Weil das aber, wie gesagt, keiner kann, habe ich den Informationsaustausch privat wie geschäftlich auf allerlei Arten verschlüsselt implementiert. E-Mail ist aktuell nur mehr für belanglose Unverfänglichkeiten genutzt.

hi

ich kenne De-Mail aber würde es nicht nutzen - zu eingeschränkt und kaum verbreitet.
Wer oft mit der Verwaltung oder Gerichten zu tun hat, dem könnte es mehr nutzen.

Ich habe meine E-mails lieber offline auf meinem Rechner und nicht in der Cloud!
Und: Man muß nicht web.de oder gmx (gleicher Konzern) nutzen.

--
lg,
volker

so long and thank you for the fish >~°>

Meine Fotos

Hi Johann

> E-Mail ist das größte Provisorium des Internet. Es fehlt generell an
> Sicherheitsmerkmalen in allen Schichten. Bis heute stehen lediglich die
> benannten Sicherheitsmechanismen auf Anwendungsebene zur Verfügung und
> die, wie Bender das m.E. absolut richtig einschätzt, überfordern
> Standardnutzer total.

Ja, das sehe ich teilweise auch so. In meinem privaten Umfeld kenne ich zwei Leute, die eine PGP-Signatur mitschicken.
Ich hatte mal einen PGP-Key, aber ich hab das dann auch nicht mehr weiterverfolgt.

> Ich habe in über 20 Jahren zwei Kommunikationspartner gehabt, mit denen
> das halbwegs dauerhaft funktioniert. Beides IT Spezialisten.

Privat nutze ich das bisher auch nicht. Mir gehts aber eher um E-mails im Zusammenhang mit Kontakten zu Unternehmen und anderen Institutionen, egal, ob es um Rechnungen, Vertragsänderungen, Mitteilungen etc. geht. Aber selbst die wissen nicht immer was eine signierte E-mail bedeutet - von Verschlüsselung brauchen wir hier erst gar nicht anzufangen.

Wenn man mit Gerichten und Verwaltung oft zu tun hat, könnte man überlegen De-Mail zu nutzen, hat aber auch Nachteile.
Einrichtung ist einfacher, aber nur online verfügbar, keine durchgängige Verschlüsselung und teilweise kostenpflichtig. Nachweis bei Problemen wird schwierig.

> Aber zur Frage: Ich verwende wenn dann meist GPG in E-Mail Kontexten. Kann
> ich paranoid werden mit 4k großen Schlüsseln und die benötigten
> Key-tools stehen und standen auf so gut wie allen Plattformen gleichwertig
> zur Verfügung.

> Weil das aber, wie gesagt, keiner kann, habe ich den Informationsaustausch
> privat wie geschäftlich auf allerlei Arten verschlüsselt implementiert.
> E-Mail ist aktuell nur mehr für belanglose Unverfänglichkeiten genutzt.

Selbst ich bin hier nicht konsequent - sonst würde ich nicht Whatsapp nutzen, aber die ganze Familie
dazu zu bringen, etwas anderes zu nutzen ist ein sinnloses Unterfangen .

--
lg,
volker

so long and thank you for the fish >~°>

Meine Fotos

Ich verwende keine Verschlüsselung mehr.
Hatte sie aber, bei meinem Geschäftskonto drauf, dass damals zu Coronazeiten 2020 noch Zuhause am PC lief.
Da waren einige Sicherheits Futures Vorschrift, da u.a. auch die Verschlüsselung der Emails dazu, wie ein aktueller und unterstützter Virenscanner.
Aber da ich dann Ende 2020 in die passive Phase der Altersteilzeit ging, lief das nur knapp etwas über ein Viertel ja,
Dann wurde mein Geschäfts Konto Deaktiviert, da ich ja kein "aktiver" Mitarbeiter mehr bin.

--

Genau die Probleme, z.B. wie neulich im behördlichen Kontext, habe ich auch. Unternehmen oder Behörden akzeptieren teilweise wider besseren Wissens alles mögliche per Mail. Ist ja alles Bequemlichkeit, Aufwandsvermeidung. Irgendwas flugs in die Mail Pappen und …zisch.
Ich habe im Laufe des letzten Jahres wegen Home Office usw. in dem mich beschäftigenden Unternehmen ein VPN eingerichtet.
Das habe ich mit allem drum und dran so einfach wie möglich für alle Beteiligten gemacht.
Um eine Datei abzulegen muss man „nur“ Doppelklick, und das auch nur falls nicht bereits verbunden, auf den OpenVPN machen und dann im Windows z.B. ganz easy den entfernten Netzwerkordner (Samba Share) öffnen.
Bei der Einführung in einer Videokonferenz sprach ich: „Ab sofort bitte keine Informationen mit vertraulichen Daten irgendwie per Mail verschicken. Nutzen Sie künftig diese Art des Datenaustausches!“ - Es dauerte noch während der VK keine 60 Sekunden bis ich trotzdem wieder eine entsprechende Datei per Mail erhielt.  
Ist halt schwierig mit der Bequemlichkeit vs. Sicherheit…

Informationen sind das Gold des 21. Jahrhunderts, heisst es, aber eigentlich sind sie es schon immer. Wer dies verschleudern möchte mag das tun aber möchte sich im Nachgang nicht wundern, daß jemand anderes das differenziert bewertet und einen Vorteil für sich daraus generiert. Wirtschaftlich oder informell, zu welchem Zweck auch immer.

Hi,
ich nutze seit Jahren PGP für E-Mails. Verschlüsseln: Ja - wenn es der Adressat unterstützt, Signieren: i.d.R. immer.
Letztendlich bleibt es aber dabei, dass das gesamte Verfahren doch viel zu kompliziert für die Anwender ist. Das grundlegende Prinzip muss verstanden werden und wenn es verstanden wurde, muss auch ein funktionierender Client hierfür gefunden werden. Das ist schon mal kompliziert und auch hier erfindet ja wieder jeder Anbieter die Umsetzung von Verschlüsselung trotz gegebener Standards neu. Teilweise kommen dann E-Mails nicht verschlüsselt an, sondern als verschlüsselter Dateianhang ohne Hinweis, dass es sich um eine verschlüsselte E-Mail handeln könnte. Das gesamte Konstrukt E-Mail basiert halt noch immer auf einem etwas in die Jahre gekommenen Protokoll (SMTP), welches ja auch schon erbärmlich gepatcht wird, um wenigstens etwas Sicherheit zu suggerieren. Stichwort: Absender-Verifizierung.
Gäbe es keine offenen Relayserver, die E-Mails ohne Absenderverifizierung versenden würden, bräuchte man schon die PGP-Signierung nicht mehr. Allerdings ist auch PGP inzwischen - neben der für Endanwender komplizierten Handhabung - etwas in Verruf geraten. Wer prüft und beglaubigt denn noch tatsächlich die Keys auf den offenen Servern und wie sicher ist dann diese Verifizierung einer signierten E-Mail überhaupt noch? Diese Web of trust-Idee funktioniert inzwischen m.E. halt nicht (mehr).
E-Mail wirds natürlich noch eine Weile geben - ich gehe aber davon aus, dass andere Protokolle oder Messenger hier früher oder später das Kommunikationsmittel der Art E-Mail übernehmen werden.