E-Mail-Sicherheit

aus SecuPedia, der Plattform für Sicherheits-Informationen

Anzeige
Wechseln zu: Navigation, Suche

Maßnahmen zur Sicherstellung der E-Mail-Kommunikation und der Abwehr unerwünschter und gefährlicher E-Mail-Nachrichten.

Allgemeines

E-Mail-Sicherheit beinhaltet folgende wesentliche Aspekte:

  1. Schutz vor Spam, Viren und anderer Malware: Spam-Filter und Anti-Virus-Lösungen schützen vor unerwünschten Werbe-E-Mails (Spamming), Nachrichten, die Viren oder Trojaner verbreiten sowie solchen, die dem Phishing dienen. Dabei sind Lösungen zu unterscheiden, die individuelle E-Mail-Postfächer auf einem Client (z. B. PC), und solche, die bereits am Gateway die gesamte Infrastruktur schützen. Umfassende E-Mail-Sicherheitslösungen sollten alle Ebenen der E-Mail-Infrastruktur wirksam schützen.
  2. Sicherstellung der E-Mail-Kommunikation: Extreme Lastspitzen (z.B. bei großen Spam-Wellen oder Denial-of-Service-Attacken) können E-Mail-Infrastrukturen an ihre Belastungsgrenzen und im schlimmsten Fall zum Zusammenbruch bringen. Mit Hilfe einer E-Mail-Firewall kann gewährleistet werden, dass legitime, geschäftsrelevante E-Mail-Nachrichten auch in Hochlastsituationen zugestellt werden, während nachrangige E-Mail-Kommunikation vorübergehend nachrangig behandelt oder temporär abgewiesen wird. Anti-Spam-Lösungen können ebenfalls dazu beitragen, die Systembelastung zu reduzieren. Dies gilt für Lösungen, die Spam bereits am E-Mail-Gateway zurückweisen oder die als ausgelagerter Managed Service die Überprüfung auf dem Server eines Dienstleisters vornehmen, so dass Spam die Infrastruktur des Empfängers gar nicht erst erreicht.
  3. Ein weiterer Aspekt der E-Mail-Sicherheit ist der Schutz der E-Mail-Nachricht vor dem Zugriff Dritter. Dies geschieht in der Regel durch unterschiedliche Verschlüsselungstechniken (Verschlüsselung).


Intitiative "E-Mail made in Germany"

Firmen-Initiative "E-Mail made in Germany"

Die Deutsche Telekom und United Internet (mit GMX und Web.de ) haben auf Grund der NSA-Ausspähaffäre ein Projekt "E-Mail made in Germany" gestartet. Hier wurde eine SSL-Verschlüsselung zwischen den beteiligten Mail-Servern eingerichtet werden, ab 2014 können so nur noch SSL-verschlüsselte Mails transportiert werden. Zudem werde derzeit geprüft, wie die zwei größten deutschen Hosting-Anbieter und Tochterfirmen Strato (Telekom) und 1&1 (United Internet) mit ihrem auf Kleingewerbe ausgerichteten Profil ebenfalls in das System eingebunden werden können. Der E-Mail-Anbieter Freenet hat sich zwischenzeitlich der Initiative angeschlossen, damit umfasst die Initiative rund 2/3 der privaten Mail-Konten Deutschlands.

Allerdings handelt es sich hier genau wie bei der De-Mail um eine reine Transportverschlüsselung. Entgegen zunächst anderslautenden Mitteilungen werden die Mails werden auf den Servern der beteiligten Unternehmen mit einem Virenscanner auf Virenfreiheit geprüft, eine Ende-zu-Ende-Verschlüsselung findet damit nicht statt. Außerdem gilt (analog zur De-Mail) auch hier, dass einige deutsche staatliche Behörden entsprechend des Telekommunikations-Gesetzes (bzw. Telekommunikations-Überwachungsverordnung - TKÜV) auch ohne richterlichen Beschluss Zugriff auf die Mail-Konten erhalten können, der Kunde muss davon nicht mal informiert werden. Somit beschränkt sich auch die Wirkung auf den Schutz gegen Abhören der Mails auf den Leitungen (z.B. durch ausländische Geheimdienste).

Das besonders sichere PFS (Perfect Forward Secrecy) setzten dabei nur GMX und Web.de ein, bei T-Online und 1&1 muss PFS erst durch spezielle Nutzereinstellungen erzwungen werden. Zudem wird die Validität der SSL-Zertifikate bzw. die Identität der beteiligten Mail-Server untereinander geprüft. Dabei wird allerdings ein eigenes Verfahren (Inter Mail Provider Trust) verwendet, der neue Internet-Standard DANE blieb so zunächst außen vor. Zwischenzeitlich hat der Internet-Konzern United Internet (GMX und Web.de) nun erklärt, auch auf eine DANE-Absicherung zu setzen.


Vorgeschlagene Erweiterung zu einem nationalen E-Mail-Netz

Die Deutsche Telekom hat zusätzlich eine Erweiterung zu einem nationalen E-Mail-Netz vorgeschlagen. Die Mails zwischen Teilnehmern in Deutschland sollen so geroutet werden, dass "kein Byte Deutschland verlässt und auch nicht vorübergehend die Grenze überschreitet." Allerdings müssten auch die Mitbewerber der Telekom dabei mitmachen. Notfalls solle man dies eben gesetzlich fixieren.


Sicherheit bei E-Mail-Anbietern

Das BSI hat eine Technische Richtlinie "Secure E-Mail Transport" (TR-03108) veröffentlicht, die sich an Betreiber von E-Mail-Diensten richtet und ein Mindestmaß an IT-Sicherheitsmaßnahmen für E-Mail-Diensteanbieter definiert , die einen sicheren Betrieb ihrer Dienste gewährleisten möchten. Darüber hinaus hat das BSI eine Prüfspezifikation erarbeitet, welche die Basis für das Zertifizierungsverfahren nach der TR-03108 bildet. Jeder E-Mail-Diensteanbieter erhält so die Möglichkeit, die Konformität seines Dienstes zu der Technischen Richtlinie gegenüber seinen Nutzern sowie Dritten nachzuweisen. Die TR und der Entwurf der Prüfspezifikation stehen auf der Webseite des BSI zum [www.bsi.bund.de/DE/Publikationen/TechnischeRichtlinien/tr03108/index_htm.html Download] zur Verfügung.[1]


Einzelnachweis

  1. SecuPedia Aktuell: BSI veröffentlicht Technische Richtlinie für E-Mail-Diensteanbieter


Weblinks


Siehe übergeordnete Stichworte


Siehe auch



Diese Seite wurde zuletzt am 20. Mai 2016 um 17:45 Uhr von Peter Hohl geändert. Basierend auf der Arbeit von Oliver Wege, Simone Rosenthal, Admin und Sascha Krieger.

Anzeigen