Wie aufwendig ist E-Mail-Verschlüsselung?

Support
,
1

Hallo,

ich möchte gerne einen Dienstleister in Anspruch nehmen und ihm per Mail Informationen und Unterlagen schicken. Ich würde gerne fragen, ob man die Sachen verschlüsselt schicken kann (was aktuell bestimmt nicht geht) bzw. nahelegen, so eine Möglichkeit einzurichten.
Ich weiß nicht, auf welchem System oder mit welcher Software er arbeitet, würde ihm ggf. Anleitungen schicken. Wäre sowas kompliziert umzusetzen? Auf dem kuketz-Blog gab es schon lange keine Artikel mehr zu dem Thema, ich weiß nicht, ob man das abwandeln muss (weil veraltet) oder man es für ein anderes System machen muss. Ich würde um Eure Einschätzung bitten, bevor ich den Dienstleister überhaupt frage. Was für ein zeitlicher Umfang wäre das grob für einen (ich vermute) IT-Laien?

Danke!

2

Möchtest du die Email selbst verschlüsseln oder soll der Dienstleister nur die Unterlagen verschlüsselt erhalten? Und muss es unbedingt per Email sein? Du könntest die Unterlagen auch verschlüsselt in der Cloud (Dropbox, Google Drive, Onedrive) ablegen, von wo er sie sich dann herunterladen kann.

3

Hallo Xellpher,

in beide Richtungen (er verwendet google-Mail, und ich möchte vermeiden, dass google die Daten bekommt). Cloud wäre da vielleicht auch eine Idee (kann vermutlich jeder damit umgehen). Ich weiß nur nicht (das würde ich bei der Gelegenheit noch fragen), ob er google auch zur Datenverarbeitung selbst nutzt, dann könnte man sich das sparen. Seine Website hat einiges an google-Trackern und hat die google-Kalenderverwaltung, von daher nicht abwegig.

Ach so, ja, ich würde nach Möglichkeit sowohl die Mail selbst als auch die Unterlagen verschlüsseln wollen (aber sonst wenigstens die Unterlagen).

4

Die Einrichtung und Pflege einer E-Mail-Verschlüsselung (sei es mit S/MIME oder PGP) ist schon sehr aufwendig.

Man benötigt z. B.

  • passende Software für die Verschlüsselung (E-Mail-Client, Add-Ins für den E-Mail-Client, Gateway-Lösungen)
  • passendes Schlüsselmaterial (kostenpflichtige Zertifikate bei S/MIME)
  • Lösungen für die sichere Schlüsselverwaltung
  • Lösungen für Stellvertretungsregelungen
  • Lösungen für eine Archivierung von E-Mails und des dazu gehörigen Schlüsselmaterials
  • KnowHow für die Authentisierung der Schlüssel zum Kommunikationspartner

Es hat schon viele Gründe, warum sich Ende-zu-Ende-Verschlüsselung bei E-Mails nicht durchgesetzt hat. Die Komplexität ist auf jeden Fall ein ganz großer Hinderungsgrund und aus meiner Sicht für Laien nicht sinnvoll umsetzbar.

Aus meiner Sicht solltest Du mit dem Dienstleister sprechen und nach Methoden für einen vertraulichen Dateiaustausch fragen und von Deiner Seite aus mögliche Verfahren vorschlagen:

  • Die Idee Daten über eine datenschutzfreundliche Cloud die Dateien auszutauschen ist aus meiner Sicht zielführender und dürfte recht wahrscheinlich funktionieren. Du hast jedoch das Problem, wie Du den Zugriff auf einen solchen Cloud-Speicher organisierst ohne, dass die Zugangsmöglichkeit dann doch wieder bei Google landet. (Zugangs-Passwort, URL)

  • Eventuell kannst Du auch Dateianhänge in einem mit einem Passwort verschlüsselten ZIP-File vor dem Zugriff durch Google schützen. Hierfür müsstest Du im Vorfeld mit dem Dienstleister ein „Passwort“ auf einem Google-freien Weg absprechen.

  • Als drittes könnte man ggf. noch einen verschlüsselten Messenger nutzen, jedoch ist die Wahrscheinlichkeit, dass die Daten dann doch wieder über eine Apple oder Google Cloud aus dem Messenger zur internen Datenablage übermittelt werden auch wieder groß.

Ab dem Empfang der Dateien durch den Dienstleister weißt Du aber eh nicht mehr was damit weiter geschieht. Wie Du ja selbst schriebst, wenn der Dienstleister die Google Cloud für seine Daten nutzt, dann helfen alle vorherigen Kommunikationsverschlüsselungen auch nicht mehr.

6 „Gefällt mir“
5

Ich schließe mich @Reklow an: da dein Dienstleister Google nutzt, ist es relativ wahrscheinlich, dass deine Daten dort letztlich ohnehin unverschlüsselt landen.
Ein verschlüsselter Messenger wie Signal wäre eine Idee, aber wenn der Dienstleister die Dateien dann in „seiner“ Google Cloud speichert, hast du auch nichts gewonnen.

Und was für eine Art Dienstleister handelt es sich? IT? Handwerker? Da schwankt dann ja das Vorwissen und dementsprechend sind die Möglichkeiten u.U. auch arg beschränkt. Aberd je nach Auftrags-Verhältnis könnte man auch Vorgaben machen (oder eben nicht).

Es klingt aber insgesamt eher so, als wärst du mit einem Papierausdruck, der per Einschreiben durch die Post gesendet wird, noch am Besten bedient.

2 „Gefällt mir“
6

Irgendwie war ich nicht auf die analoge Variante gekommen, aber das dürfte tatsächlich der datenschutzfreundlichste Weg sein.

7

naja, wenn es um einfach geht und beide Seiten keine Ahnung/Praxis von kontinuierlicher Verschlüsselung nutzen/haben, bietet sich immer als einfachster gemeinsamer Nenner das Packen der Daten an, z.B. im Format zip. Das ist jahrelange, praktizierte Praxis, teils schon vor DSGVO bei Behörden, Krankenkassen etc.
Gute Packer können auch Verschlüsselung, z.B. https://de.wikipedia.org/wiki/PeaZip
Das Passwort sollte lang sein (>12 Zeichen), ob komplex hängt von der Relevanz der Daten ab. Übermittlung dann des Passwortes über einen anderen Kanal, z.B. über Telefon.

1 „Gefällt mir“
8

Wenn es nur um die Anhänge geht, kannst du diese auch verzippen und das ZIP-Archiv mit einem Passwort schützen. Moderne Tools wie 7-Zip oder WinZip nutzen AES-Verschlüsselung. Wenn du dort die Option AES-256 auswählst und ein wirklich starkes Passwort verwendest, ist das für typische Bedrohungen beim E-Mail-Versand absolut ausreichend. Damit verhinderst du zuverlässig, dass unterwegs jemand „mal eben reinschaut“. Du musst nur das Passwort einmal auf einem anderen Weg austauschen.

1 „Gefällt mir“
9

Tuta ware vielleicht eine Möglichkeit!? Da kann man auch an google Nutzer verschlüsslte Nachrichten senden. Sie bekommen dann einen Link zu tuta und können dann mit einem Passwort (was Du festlegst) die Nachricht lesen uns auch direkt veeschlüsselt antworten.

10

Auch eine gute Möglichkeit, quasi Cloud-Webmail-Lösung des Mailanbieters für den
Empfänger.

Solche Funktionen gibt es meines Wissens nach auch bei Mailbox.org, Proton

1 „Gefällt mir“
11

Danke an alle! Da sind ja ein paar Ideen zusammengekommen.

  • Messenger: wird nicht gehen (es sind DIN A4-Unterlagen, die wird er bestimmt nicht mit so einem Winzteil/ Smartphone ansehen)

  • Papierausdruck wird keinen Vorteil bringen, weil er es dann selbst digitalisiert und es kann auch viel an Unterlagen werden.

Bleiben

  1. verschlüsselt in cloud
  2. passwort-verschlüsseltes zip-File
  3. Tuta

Den (verschlüsselten) Link (ich hoffe, das wird nicht ewig lang zum Abtippen) bzw. das Passwort würde ich per Brief verschicken.

Bisher ist Google Cloud nicht bekannt, nur google-Mail und und google-Calendar, zudem bietet er Beratung über google-Meet-Videokonferenzen an. Also wenn er google Workspace verwendet oder die Daten mit Smartphone synchronisiert… (was könnte denn noch schiefgehen, wo ich besser explizit nachfrage?)

Der Dienstleister ist nicht aus dem IT-Bereich. Er hat auch 2 Webdesigner, die seinen Internetauftritt gestalten (zumindest sind sie dort namentlich erwähnt)

zu 2.:

Aber da ist dann wieder die Frage, ob es noch einfach ist, wenn es so viele zip-Varianten und erst ein unbekanntes Programm installiert werden muss. Gibt es da auch ein Programm mit gutes Verschlüsselung, was verbreitet ist? → ah, 7zip, lt. @Cyberduck. Format ist dann egal? Braucht der andere zum Ver- und Entschlüsseln dann unbedingt auch 7zip oder geht da was gängiges von Windows (ich weiß nicht mehr, was für Tools bei Windows üblich sind, gut, vielleicht hat er auch Mac).
Kann man dann zukünftig dann immer dasselbe PW verwenden? Für beide Richtungen das gleiche? (dann hat man den Passwort-Austausch auf anderem Kanal nur 1x)

zu 3.:
Ist es nicht nur so voll verschlüsselt, wenn BEIDE bei Tuta sind? Und kann man darüber Unterlagen (pdfs) verschicken? Die der andere auch runterladen kann? (ich meine, dass man die Mails selbst nicht dort runterladen kann)

12

Das ist nicht notwendig. Das Verfahren was Tuta und auch andere anwenden ist, dass die E-Mail-Inhalte überhaupt nicht von Tuta verschickt werden, sondern stattdessen nur eine Informations-E-Mail mit einem Link auf eine Web-Oberfläche von Tuta. Auf diese kann der Empfänger dann nur mit dem zuvor vom Absender festgelegtes und z. B. telefonisch oder per Messenger an den Empfänger übermitteltes Passwort zugreifen, die Inhalte einsehen und auch dem Absender innerhalb von Tuta antworten.

Das sieht dann in etwa wie folgt aus:

Absender aktiviert den verschlüsselten Versand über das Schloßsymbol und die Vergabe eines Zugangspasswortes für den Empfänger:

IMG_3797
IMG_37971179×2556 121 KB

Empfänger erhält eine E-Mail mit einem Link auf die „Web-Oberfläche“ von Tuta:

IMG_3798
IMG_37981179×2556 215 KB

Der Link führt auf eine Anmeldemaske, in der das vom Absender festgelegte Passwort eingegeben werden muss:

IMG_3800
IMG_38001179×2556 103 KB

Danach hat der Empfänger Zugriff auf die verschlüsselte E-Mail-Kommunikation die Ihm vom Absender zugeschickt wurde und kann die Inhalte der verschickten E-Mail einsehen und auch innerhalb von Tuta antworten.

IMG_3801
IMG_38011179×2556 88.9 KB

IMG_3802
IMG_38021179×2556 84.8 KB

2 „Gefällt mir“
13

Das größte Problem bei der Mail/Zip-Kombination dürfte die Begrenzung von Anhang-Größen durch die Mailanbieter sein. Teilweise darf der Anhang maximal 5 MB groß sein, was mit modernen Office-Formaten bei umfangreichen Dokumenten durchaus schnell mal erreicht ist.

14

Hallo,

Nee, das glaub ich nicht, dass das ein Problem wird (bei mir nicht und bei google-Mail eher auch nicht, vermute ich). Abgesehen davon wäre das doch auch ohne zip-Verschlüsselung so?

Mir ist noch eingefallen, dass wenn er sich auf irgendeine der Lösungen einlässt, es immer noch passieren kann, wenn er (vielleicht Wochen später) antwortet, er nicht mehr an Tuta denkt (und stattdessen meine andere Mailadresse nimmt). Oder er vergisst bei den anderen Lösungen bei einer Antwort, dass er es verschlüsseln/zippen oder verschlüsselt in die cloud hochladen wollte (wäre dann wohl bei Mailverschlüsselung via pgp nicht anders). Bleibt schwierig…

Danke @Reklow für die vielen Screenshots, die geben einen guten Einblick. Mal sehen, ob er die Maske von Tuta verwenden würde, und nicht alle Infos für alle Kunden an einer Stelle haben will (Workflow usw.). Immerhin hätte Tuta den Vorteil (wenn man ihn auffordert, die andere Mailadresse zu löschen), dass alles weitere auf jeden Fall verschlüsselt ist. Aber kann er nun die Unterlagen von Tuta runterladen und falls ja, kann auf dem Weg von Tuta zu seinem Rechner nicht google irgendwie doch noch dazwischen sein?

15

Er kann die Dateianhänge von Tuta herunterladen oder auch die E-Mail selbst als .eml Datei exportieren oder drucken (z. B. auf Papier oder durch das Betriebssystem in ein PDF).

Da der Zugriff auf die Tuta-Oberfläche mit https:// erfolgen, gibt es grundsätzlich eine Transport-Verschlüsselung der Übertragung zwischen Tuta und dem Webbrowser des Empfängers. Es kann also erst einmal niemand in die Übertragung hineinschauen.

Ich vermute dieses gilt auch für Google selbst wenn der Dienstleister den Chrome Browser einsetzt. Ich bin mit den Google Produkten jedoch nicht vertraut, ob es hier wieder eine Komponente geben kann, die zur Abbildung Ihrer Funktion entweder

  • alle Inhalte am Webbrowser mitliest und an Google übermittelt oder
  • ob es ggf. auch Lösungen gibt, bei denen der gesamten Netzwerkverkehr über einen Google-Proxy geführt wird, der die https:// Verschlüsselung terminiert. (Manche Firmen machen so etwas um übertragene Inhalte durch einen Malware-Scanner schleusen zu können.)

Aber am Ende kommst Du ja eh wieder bei dem Aspekt heraus, dass wenn der Dienstleister die übertragenen Dateien in der Google Cloud speichert, Google doch wieder an die Dateien herankommt.

Um es auf den Punkt zu bringen:

Eine Verschlüsselung setzt immer voraus, dass beide Enden der Verschlüsselung keine Lösungen/Verfahren einsetzen, die die Vertraulichkeit der übertragenen Inhalte nach der Verschlüsselung untergraben.

Da der eine Kommunikationspartner (Absender) nicht weiß, wie der andere Kommunikationspartner (Empfänger) arbeitet, ist es unmöglich eine wirkliche Aussage über die potentiellen Risiken für die übermittelten Daten zu treffen. Dieses ist auch unabhängig davon auf welcher Ebene man Verschlüsselung einsetzt (Ende-zu-Ende-Verschlüsselung, Transport-Verschlüsselung zwischen Mailprovidern).

Dieses ist explizit kein Plädoyer dafür auf Verschlüsselung zu verzichten. Ich möchte nur klar stellen, dass eine Verschlüsselung der Kommunikation nicht den Verlusts von Vertraulichkeit der Übertragenen Inhalte wirklich lösen, sondern nur auf eine Teilstrecke für Vertraulichkeit sorgen kann.

Es läuft immer auf die Bewertung der Vertrauenswürdigkeit des Kommunikationspartners heraus, dass dieser mit Deinen Daten vertraulich umgeht. Das war schon immer so, schließlich konnte auch in der analogen Zeit der Kommunikationspartner Deine Inhalte weitererzählen, zeigen oder auch kopieren. In der digitalen Zeit ist jedoch das Missbrauchpotential massiv durch die zentralisierte Speicherung und die automatisierte Auswertung stark erhöht worden.

3 „Gefällt mir“
16

:pencil: [MOD]: off-topic entfernt

@fossil Tuta kann man auch kostenlos nutzen und damit testen.

17

@fossil muss für sich bewerten ob die Informationen an diesen Dienstleister gegeben werden sollen.

Vielleicht wäre es akzeptabler auf den Dienstleister zu verzichten um die Kontrolle über die Informationen zu behalten.

Politisch könnte man sich dafür stark machen, jegliche Drittnutzung digitaler Daten durch digitale Diensteanbieter zu verbieten.

Technisch lässt sich das Problem des potentiellen Vertraulichkeitsverlust und Informationsmissbrauch aus meiner Sicht niemals in Gänze lösen.

(aktualisiert um auf die Moderations-Eingriffe zu reagieren)

19

Danke sehr, Reklow!

Ja, das wäre interessant.

Das stimmt. Da muss ich eben fragen!

Ja! Aber da kann man nur fragen, ob die andere Seite gewillt ist mitzumachen. Dass eine der beiden Seiten (auch ich) über etwas nicht informiert sein können, ist bei der Komplexität und Dynamik des Themas nichts Unerwartetes. Ich will es aber nicht unversucht lassen.

Gut formuliert!

Schon. In der Praxis gibt es da 2 Hürden: Die anderen sind sich der Problematik des Datenschutzes nicht bewusst („na und, dann kriegt halt google die Daten, dann bekomme ich ein bisschen mehr Werbung“) oder man rechnet nicht mit der technischen Rafinesse von google (jedenfalls nicht an jeder Stelle). Zusätzlich zu den von Dir aufgeführten Gründen.

Natürlich gibt es dann noch die Probleme des verwendeten Betriebssystems oder der verwendeten Software., z.B. Windows, was ich an sich auch wichtig finde. Aber dazu gibt es ja schon Threads, z.B. aktuell an der Stelle.
Für mich wäre es zuviel, mich jetzt auch noch darum zu kümmern, das Thema google (was naheliegend ist) reicht mir vollauf. Ich bin eh schon ein bisschen in Sorge, wie der Dienstleister darauf reagieren wird.

20

Danke dafür. Es freut mich immer ungemein, wenn Threads themenzentriert bleiben und nicht durch sämtliche Randaspekte zerfleddert werden.

Was auch sehr häufig in unseren Kreisen vergessen wird, sind die Ressourcen die dem Gegenüber an Wissen, Geld und Zeit zur Verfügung stehen, seine IT datenschutzfreundlich selbst zusammen zu stellen.

Ich habe immer ein wenig ein Störgefühl, wenn Leute die sich tief in dem Thema Datenschutz und IT-Sicherheit eingearbeitet haben, das eigene Verhalten und Reifegrad auch zwingend von anderen erwarten, deren Talente ggf. ganz woanders liegen, in denen Sie dann selber der Unwissende / sich unsinnig Verhaltende sind.

Leider habe ich noch nicht „die einfache, datenschutzorientierte und nicht BigTech-Lösung“ gefunden, mit der ein nicht-it-affiner Mensch mit einem Computer und Smartphone sicher und datenschutzfreundlich arbeiten kann, ohne ständig auf Fachkenntnisse des Betriebssystems und vieler Komponenten angewiesen zu sein. Insofern fällt es mir bei IT-Laien schwer Ihnen anzukreiden, wenn diese mit Apple, Google oder Microsoft 365 arbeiten.

21

Ich hab mich jetzt erstmal bevorzugt nach der zip-Lösung und Tuta umgesehen. Cloud hab ich bisher keine.

Für die zip-Lösung via Mail habe ich rausgefunden, wenn es wen interessiert, dass das zip-Format zwar AES-256-Verschlüsselung macht, aber die Metadaten (z.B. Namen der Dateien im Archiv) sind trotzdem weiter zugänglich. Beim 7z-Format, welche PeaZip und 7-zip können, ist das anders, beides gibt es auch für Windows. WinZip kann kein 7z.

Bei Tuta hatte ich mich früher schonmal angemeldet, aber mangels Kommunikationspartner nicht benutzt. Damals gab es auch ein bisschen Anleitung, was bei den verschiedenen „Abo“-Modellen zu beachten ist. Sowas hab ich nicht wiedergefunden. Ich weiß, dass ein free-Account verfällt, wenn man sich 6 Monate nicht eingeloggt hat (ich weiß von damals noch, wenn man dann an seine Mails will, wird es teuer). Auf meine zu klärenden Punkte habe ich leider keine Antwort gefunden:

  • @Reklow schrieb zwar, dass der Mailpartner auch ohne Registrierung via Link antworten kann, aber wie lange ist das möglich? Monate später?
  • In den Sreenshots von @Reklow ist zu sehen, dass der Link gültig ist, bis der Mailpartner (?) eine neue vertrauliche Nachrcht sendet (=antwortet?). Ich schließe daraus: Wenn ich von ihm nur eine Nachricht erhalte „Ist angekommen“ o.ä., muss ich jedesmal (!) drauf achten, ihm darauf zu antworten, sonst kann er sich nicht melden (das wäre heikel, denn unser einziger Austausch ist per Mail geplant)
  • damit er alle Unterlagen und den Mailtext dauerhaft lesen kann, muss er das runterladen, BEVOR er antwortet (sonst keinen Zugriff mehr)

Ich weiß nicht, ob das richtig geschlußfolgert ist, es ist schade, dass man das nicht nachlesen kann. Oder kennt von Euch noch jemand eine Quelle?
Und in meiner Erinnerung gab es einen Unterschied in der Nutzbarkeit zwischen 2 Tuta-Nutzern und von Tuta-Nutzer nach extern. Das ist alles so vage.
Bis dahin war Tuta mein Favorit für die Umsetzung.

Darüber hinaus habe ich auf der Tuta-Seite einen Artikel von Anfang des Jahres gefunden, dass google Gemini AI auf Androids bei vielen Apps angeschaltet hat (damit jetzt auch automatische Auswertung in GMail möglich), SELBST WENN die Nutzer es abgewählt haben und die Nutzer werden darüber gar nicht informiert.
Ob es für EU-Bürger anders gilt (Opt-In) ist mir nicht klar geworden, weil es an verschiedenen Stellen des Artikels (mit anderem Datum) anders klingt und die Verbraucherzentrale am 15.12.25 (=danach) aber schreibt, wie man es doch ausschalten kann, was ja gar nicht nötig wäre, wenn es in der EU nur opt-in wäre.
(ich glaube zwar, dass der Dienstleister im Wesentlichen an einem Rechner arbeitet, aber zwischendrin mal ins Smartphone gucken, kann er ja trotzdem)