Will E-mails verschlüsseln

Hi Arne,

schön, dass du dich mit diesem Thema befasst.
Hast du in unseren FAQ meinen Beitrag über Verschlüsselung und Signatur gelesen? Dort wird unter anderem ausführlich beschrieben, woher du deinen Schlüssel bekommen kannst. Und dort steht auch etwas zu den beiden "konkurrierenden" Verfahren S/MIME und GnuPG. Du kannst beide nutzen, aber es hängt auch von den Empfängern deiner Mails ab, bzw., welche Verfahren diese Nutzen.
Also, informiere dich zuerst einmal, und dann kannst du mit Fragen kommen, die wir dir gern beantworten.

MfG Peter

Zitat von "api"

Die Empfänger kennen sich nur unzureichend...

Hallo Arne,
das ist leider das Haupthindernis in dieser Frage und gilt zunächst mal für beide Verfahren (S/MIME & GnuPG). Ersteres halte ich insofern als etwas leichter zu handhaben, als es in fast allen ernstzunehmenden Mailclients bereits implementiert ist. Ledigleich ein Zertifikat wird benötigt, das aber kostenfrei (in der Basic-Variante) bei einigen Anbietern (z.B. TrustCenter, web.de u.a.) zu haben ist. Allerdings werden viele Nutzer auch hier nicht ohne sachkundige Einweisung zurechtkommen.

Ferner bleibt der Nachteil, das die Nutzer des jeweils anderen Verfahrens ausgeschlossen bleiben, es sei denn, man richtet beide Varianten ein...
Aber auch hier gilt der vorhergehende Satz.

Die aktuellste GnuPG-Version soll auch S/MIME unterstützen, existiert aber bisher nur für Linux. Evtl. gibt es unter Linux-Nutzer schon erste Erfahrungen...

Bliebe als dritte Möglichkeit, den Rundbrief usw. als verschlüsselten Mailanhang (passwortgeschütztes Archiv) zu versenden. Mit dessen Handhabung sind immerhin bereits weite Kreise einigermassen vertraut.
Dies wiederum setzt die vorherige Weitergabe bzw. Absprache des Passworts voraus.

Soweit nur mal so als kleine Entscheidungshilfe...

Gruss
Matthias

Ich denke, man wird sich etwas leichter tun, wenn man dem Standardnutzer die S/MIME-Variante ans Herz legt. Nimmt man als CA z.B. http://www.thawte.com, dann hat man (im Gegensatz zu Trustcenter.de) keine Probleme mit den Root-Zertifikaten

Heiggo

S/MIME versuche ich in meinem Umfeld auch mit viel Erklärungsaufwand allmählich durchzusetzen.

Zertifikate: Thawte.com ist auch empfehlenswert, hatte ich vergessen.
Welches Problem bei Trustcenter meinst Du ? Ich hatte bisher keins...

MaP

Zitat von "MaP"

Welches Problem bei Trustcenter meinst Du ? Ich hatte bisher keins...

Es gibt auch kein Problem mit Zertifikaten von Trustcenter.de.
Es ist nur so, dass auf Sicherheit bedachte Hersteller von Anwendungen, welche X.509-Zertifikate nutzen, keine root-Zertifikate von Ausstellern für "einfache Zertifikate" zu den "Vertrauenswürdigen Zertifikaten" von sich aus hinzufügen. Das Hinzufügen von derartigen root-Z. weicht das Vertrauensprinzip auf. Selbstverständlich können wir jederzeit "Einfache Zertifikate" (auch class1 genannt) nutzen. Aber der Nutzer sollte das jeweilige root-Zertifikat manuell importieren und derartigen Zertifikaten bewusst das Vertrauen aussprechen.

Und das root-Z. für class1 des Hamburger Trustcenters ist eben nicht von Hause aus im TB integriert. Du musst es also vorher importieren ... .
Das hat Heiggo gemeint.

MfG Peter

Danke Peter, alles klar, das hatte ich nicht als Problem angesehen.
Aber es stimmt, dann sollte man z.B. Thawte bevorzugen. Es bedeutet für den geneigten Nutzer ein paar Gedankengänge und Mausklicks weniger...

Gruss
Matthias

Nein, so sehe ich das eben nicht.
Ich betrachte es generell als Fehler, wenn irgend ein Hersteller eines Zertifikate nutzenden Programmes (Browser, Mailclients uvam) derartige (class1) root-Zertifikate von Hause aus einbaut. Dabei spielt es überhaupt keine Rolle, ob es sich um Thawte oder TC handelt, wenn es sich um class1-root-Zertifikate handelt.

Vielleicht einige Beispiele:
Trustcenter Hamburg: Dieses TC stellt neben den Kostnix-Zertifikaten (class1) oder juristisch richtiger "Einfachen Zertifikaten" auch so genannte "Fortgeschrittene Zertifikate" (class2 oder class3) her. Für die "Fortgeschrittenen Zertifikate" ist eine strenge Identiftätsprüfung der Antragsteller gefordert. Du kannst also davon ausgehen, dass die im Z. eingetragene Person auch wirklich diese Person ist. Bei den so genannten "Qualifizierten Zertifikaten" ist diese Gewähr sogar "mit an Sicherheit grenzender Wahrscheinlichkeit" gegeben. Ich weiß aber nicht, ob das TC bereits Qualifizierte Zertifikate herstellt - das geht aus ihrer Homepage nicht so ganz sicher hervor ... .
Aber: Das TC HH nutzt für alle Arten der Zertifikate getrennte root-Zertifikate. Und die root-Z. für class2 und class3 sind in allen gängigen Browsern und MUA enthalten. Das root von class1 eben nicht bei allen. Zum Bsp. nicht in Mozilla-Produkten. Und genau dieses finde ich richtig! Du musst dich also bewusst entscheiden, einem class1 dein Vertrauen auszusprechen.

Anderes Beispiel:
Die Verwaltungs-PKI der Behörden. (Du kannst dich darüber gern im Internet informieren!)
Die einzelnen PKI der Behörden erstellen jeweils ihr eigenes root-Zertifikat. Dieses wird durch das BSI zertifiziert, also "unterschrieben". Alle diese Zertifikate und auch Beschreibungen usw. dazu findest du, wie schon geschrieben, im Internet. Wenn du von einem elektronisch signierten Dokument (nicht nur E-Mails werden signiert ...) mit einem entsprechenden Programm eine Signaturüberprüfung durchführst, dann bekommst du einen 3-stufigen Vertrauensbaum angezeigt: Zertifikat des Absenders, seiner Behörden-CA und der Verwaltungs-PKI des BSI.
Aber keine der genannten root-Zertifikate wirst du im Windows-Zertifikatsspeicher finden. Die bekannte große Softwarefirma macht das nämlich nicht umsonst ... .

Noch eines:
Qualifizierte Zertifikate gem. Dt. Signaturgesetz.
Hier hat die Bundesnetzagentur die Oberhand. Sie prüft und zertifiziert alle so genannten "Zertifikatsdiensteanbieter" (ZDA). Diese Prüfung und auch die Anforderungen gem. SigG/SigV sind das Härteste, was ich in meinen vielen Jahren Beschäftigung mit diesem Thema je erlebt habe ... .

Es geht in meinen Beispielen ausschließlich um die elektronische Signatur! Also um die Echtheitsüberprüfung der elektronisch signierten Dokumente, des Absenders und auch um die "Nicht Abstreitbarkeit".
Die vorrangig von uns genutzte Verschlüsselungsfunktion mittels S/MIME ist hier ein reines "Abfallprodukt". Im SigG wird von Verschlüsselung überhaupt nicht gesprochen ... . Und die "Qualität" der Verschlüsselung ist bei den einzelnen Zertifikatsstufen fast identisch. Der einzige Unterschied besteht in der Qualität der erzeugten Zufallszahlen. Hier gibt es schon "kleine Unterschiede", ob die Zufallszahlen vom zertifizierten Rauschgenerator einer Chipkarte oder aus dem "Zufallszahlengenerator" eines PC kommen. Letzteres trifft übrigens auch für PGP/GnuPG zu. Aber diese Unterschiede sind für uns als private Nutzer und auch für die große Menge der kommerziellen Nutzer nicht relevant. Nur für einige wenige ... .

So, war etwas länger geworden ... .

MfG Peter

Hallo Peter,

in Punkto Sicherheit/Echtheitsprüfung hast Du vollkommen recht. Das sehe ich übrigens auch nicht anders. Nur spielt diese aus Sicht der Masse der Heimanwender im überwiegend privaten Mailverkehr eine derzeit noch eher untergeordnete Rolle. Das wird sich möglicherweise irgendwann ändern, dauert aber noch. Im geschäftlichen/behördlichen Umfeld sieht das natürlich gänzlich anders aus. Dort ist 'class1' ohnehin kein Thema (oder sollte es jedenfalls nicht sein...).

Sofern sich der reine Privatanwender überhaupt für dieses Thema interessiert oder dafür zu sensibilisieren ist, liegt dessen Interesse vorrangig auf dem 'Abfallprodukt' der Verschlüsselungsmöglichkeit. Und um diese ging es (wenn ich das richtig verstanden habe) dem Fragesteller; unter dem Aspekt der Einfachheit für den Nutzer. Für diesen ausschliesslichen Zweck würde sogar ein selbst generiertes und authorisiertes Zertifikat ausreichen, was ja auf recht einfache Weise zu erstellen ist. In Sachen "Echtheitsprüfung" wäre da allerdings ein sehr grosser Vertrauens-Vorschuss zu erbringen...

Ich selbst habe für diese Zwecke (wenn eben rein privat) bisher TC genutzt und empfohlen, weil es über ein deutschsprachiges Portal abzuwickeln ist und Mancher vor Formulareingaben auf fremdsprachigen Webseiten zurückschreckt (ja, auch das kommt vor...).

Wir liegen da also garnicht weit auseinander. Es kommt nur auf den Blickwinkel und die jeweiligen Prioritäten des Nutzers an. Ich hatte mich in meinem kurzgehaltenen Vorposting auch etwas unglücklich ausgedrückt. Manchmal sind ein paar Sätze mehr eben doch hilfreich. In diesem Sinne Danke für Deine sehr ausführlichen Worte.

Gruss
Matthias

Gern geschehen ... .
Ich freue mich über jeden, der sich des Themas annimmt.

> In Sachen "Echtheitsprüfung" wäre da allerdings ein sehr grosser Vertrauens-Vorschuss zu erbringen...
Nun, den kann man sich "erarbeiten".
In meiner kleinen "Privat-CA" stelle ich manche Woche mehr Zertifikate aus, als wir in miesen Zeiten auf Arbeit. Und man kann sich auch da Methoden einfallen lassen, mit denen die Personen besser und sicherer registriert (das ist der Fachbegriff dafür) werden, als es ein class1-Anbieter mit der Mailadresse macht.
Und in meinem privaten Umfeld habe ich auch den Durchbruch bei den Nutzern schon längst erreicht. Mein TB ist jetzt so voreingestellt, dass er immer verschlüsselt. Nur manchmal finder er noch kein Zertifikat. Das kommt aber immer seltener vor.

Ich sehe es so, dass man die Nutzer (nicht nur die privaten) erst noch vom Nutzen der Anwendung standardisierter X.509-Zertifikate überzeugen muss. Wenn ich so überlege, was ich mit meiner Chipkarte alles schon mache: Anmeldung am eigenen Rechner und an diversen Servern und Proxies, Anmeldung am und Verschlüsselung des UMTS-VPN, Mailverschlüsselung, Mail- und Dokumentensignatur, LAN-Verschlüsselung uvam.

Warten wirs ab. Manche unschöne Entwicklung arbeitet uns zu.

MfG Peter

Zitat von "Peter_Lehmann"

Manche unschöne Entwicklung arbeitet uns zu.

Mit Sicherheit ! Und momentan sogar ziemlich rasant...

Stichwort eigenes "Privat-CA": Eigentlich hast Du recht. Es ist auf jeden Fall zu überlegen und würde Einiges am Prozedere wiederum vereinfachen. Im Prinzip gibt es ja erstmal kein gösseres Vertrauenssiegel als 'persönlich bekannt'. Ich werd' das für mich doch nochmal eingehender durchdenken...

Gruss
Matthias

OK, um es mal zu vereinfachen:

Es ist immer schwer, einem Otto Normalverbraucher klar zu machen, wofür Zertifikate nützlich sind. Demzufolge empfinde ich S/MIME (X-509-Zertifikate) als einfacher, denn das wird durch nahezu jeden Mailclient unterstützt, ohne dass irgendwas zusätzlich installiert werden muss.
Die Class-1-Roots von Thawte sind auch in fast jedem Client standardmäßig integriert. 'Peter' hat recht, wenn er sagt, dass es eigentlich falsch ist, aber so ist es nun einmal. Potentiell erspare ich mir als Prediger und Mentor also auch die Einweisung bei einigen Lewuten in den Import eines Root-Zertifikats (CA).
Wichtig ist beim Heimanwender erstmal, dass gewisse Dinge stressfrei auf Anhieb funktionieren, ansonsten verliert dieser die Lust. Klappt es erstmal, dann kan man auch gerne im Heimbetrieb ans eingemachte gehen und sich tiefer ins Detail reinwühlen.

Gruß aus Stuttgart

Ein gestresster USH-Mitarbeiter (User-Help-Desk)

Und jetzt mach dich nach Hause.
(Ooops => du sendest ja schon über tonline ...)
Also mache eine Flasche Wein auf und halte deine Frau vom Arbeiten ab
Den letzten Satz vor deinen Grüßen übernehme ich 100pro.

MfG Peter (der das alles hätte auch per PN schicken können - ja, ich weiß ...)

Zitat von "Peter_Lehmann"

...(Ooops => du sendest ja schon über tonline ...)
...)

Yes Sir, ich habe auffe Arbeit einen DSL-Zugang via T-Offline, um mobile Clients und VPN-Clients via Internet einzurichte (den missbrauche ich, kost aber den Steuerzahler nicht mehr und nicht weniger)

Gruß aus Stuttgart (und ich verspreche, nun bin ich zu Hause)

Heiko

Zitat von "Peter_Lehmann"

...MfG Peter (der das alles hätte auch per PN schicken können - ja, ich weiß ...)

Dir ist aber schon noch bewusst, dass du mir Informationen auch gesichert per E-Mail übersenden kannst? Viiieeeeeeel sicher als PN *duck* Mein Zertifikat hast du *kicher*