Verschlüsselte Mail von anderem Rechner aufrufen

Und hier ist er schon ... .

Hallo Thomas,

Selbstverständlich kannst du verschlüsselte Mails auf jedem Rechner bearbeiten. Natürlich unter Beachtung von ein paar Bedingungen:

• Der Client muss grundsätzlich die betreffenden Mails empfangen, sich also an den betreffenden Mailkonto erfolgreich anmelden können. Das ist ja nach deiner Aussage gewährleistet. Ob für einen derartigen Mehrclientbetrieb unser Grufti POP3 das richtige Protokoll ist, oder IMAP das bessere wäre, ist hier nicht Gegenstand - sollte aber Inhalt eines späteren Nachdenkens sein.
• Jeder berechtigte Mailclient muss in der Lage sein, die verschlüsselte E-Mail (oder konkret den Container "smime.p7m" mit dem verschlüsselten Mailinhalt) bitgenau empfangen zu können. Jegliche vorherige Manipulation an diesem Container würde bedeuten, dass die Mail zwar evtl. weiterhin darstellbar wäre, aber die Signatur der E-Mail würde immer als ungültig angezeigt werden. Dazu reicht ein einziges "gekipptes" Bit aus!
  Ich schreibe das deswegen, weil ja bei dir eine ganze Menge an Technik dazwischengeschaltet ist, deren Auswirkungen ich nicht einschätzen kann.
• Und dann muss auf allen berechtigten Mailclients der private Schlüssel für die Mailadresse, an welche die Mail vom Absender verschlüsselt wurde, einschließlich der Herausgeberzertifikate des jeweiligen TrustCenters installiert und als vertrauenswürdig deklariert sein. Also exakt so, wie auf deinem eigenen Rechner.
  Das bedeutet also, dass jeder deiner Mitarbeiter den privaten Entschlüsselungsschlüssel der Kanzlei auf seinem Rechner haben muss!

Du siehst, ich habe das Wort "Signaturen" bisher nicht so wie du verwendet. "Signaturen" kann nämlich zweierlei bedeuten:

• Das, was unter einer Mail steht: "Mit freundlichen ....", oder ein sinnloser Disclaimer wie "Wenn Sie diese Mail lesen ...." oder das, was Staat unter bestimmten Mails fordert.
• Oder eine so genannte "elektronische Signatur", also eine kryptologisch errechnete Echtheitsbestätigung.

Letztere kann man nicht irgendwohin kopieren. Letztere wird bei einer Mail jedesmal neu berechnet und das Ergebnis angezeigt. Und entweder sie ist gültig (Mail wurde nicht manipuliert) oder sie ist es nicht.

Was du meinst, sind:

• Die privaten Schlüssel des Mailempfängers (hier: die der Kanzlei). Mit denen entschlüsselst du die ankommenden Mails bzw. signierst du neue Mails als Absender.
  Diese Schlüssel können entweder als "Softwareschlüssel" auch "Softwaretoken" oder "Schlüsseldatei" (.p12 oder .pfx) genannt, vorliegen. Dann können sie, so wie hier erforderlich, auf jedem Client installiert werden. Jeder hat aber dann auch die Möglichkeit, Dokumente und E-Mails im Namen der Kanzlei elektronisch signiert zu versenden. Und: Softwaretoken sind nur für die so genannte "fortgeschrittene Signatur" lt. SigG zugelassen.
  Nutzt ihr die "qualifizierte elektronische Signatur" (QES), dann befinden sich die privaten Schlüssel einmalig als Unikate auf einer Smartcard. Dann verfügt nur der Inhaber dieser Karte über die Schlüssel! (Und alles, was weiter oben steht, funktioniert nicht!)
• Die öffentlichen Schlüssel der Mailpartner (auch Zertifikate genannt).
  Diese Schlüssel sind für jedermann frei verfügbar und sie dienen nur zum Verschlüsseln zu sendender E-Mails sowie zur Prüfung der El. Signatur empfangener Nachrichten. Selbstverständlich ist es mit diesen Schlüsseln niemals möglich, erhaltene Mails und andere Informationen zu entschlüsseln.
  Neben den Zertifikaten der Mailpartner müssen natürlich auch die Herausgeberzertifikate der ausstellenden TrustCenter sowohl der Nutzerzertifikate eurer Mailpartner als auch der eigenen privaten Schlüssel auf jedem Client vorhanden sein.

Abhängig davon, ob Chipkarte oder Softtoken, ob die Weitergabe der privaten Schlüssel wirklich gewollt ist oder nicht, gibt es IMHO zwei Alternativen:

• Das von muzel erwähnte Mailgateway.
  Das ist ein kommerzielles Produkt, über welches alle Mails laufen, dort entschlüsselt und unverschlüsselt an die internen Mitarbeiter weitergeleitet werden. Das ganze ist nicht gerade billig. Eine "Bastellösung" würde ich an dieser Stelle niemals empfehlen. Auf jeden Fall niemals einer Einrichtung wie einer wie auch immer gearteten Kanzlei.
• Eine andere Alternative wäre, die (so wie ich verstanden habe, recht wenigen) eingehenden verschlüsselten Mails an einem zentralen Rechner anzuzeigen und dann als .pdf auszudrucken. Dieses pdf kann dann problemlos intern zu den Akten genommen werden und jeder kann damit arbeiten.

HTH
Falls du noch weitere Informationen oder Fragen hast, kann ich gern weiter auf dem Problem herumdenken.

MfG Peter