Was ist S/MIME?

Der Schutz von Privatsphäre und sensiblen Daten spielt eine zunehmend wichtige Rolle in digitalen Umgebungen. Jede unverschlüsselte Datenübertragung könnte von unberechtigten Dritten abgefangen und mitgelesen werden. S/MIME ist ein Standard für die Verschlüsselung von E-Mails und kann dabei helfen, die ausgetauschten Daten und Informationen vor unbefugten Einblicken zu sichern. Wie der Standard anzuwenden ist und welche Vor- und Nachteile er mit sich bringt, zeigen wir im folgenden Beitrag.

Grundlagen zu S/MIME

S/MIME steht für Secure / Multipurpose Internet Mail Extensions. Mit dieser Technologie lassen sich E-Mails verschlüsseln und signieren. Es können auch beide Operationen auf eine Mail angewendet werden. Damit kann der elektronische Postverkehr vor unbefugten Zugriffen abgesichert werden.

Spezifiziert wurde S/MIME im RFC 2633, welche eine Erweiterung des RFCs 1847 aus dem Jahr 1995 darstellt. Demnach verwendet S/MIME die Content-Typs application/pkcs7-mime zur Verschlüsselung und multipart/signed zur Signierung von E-Mails. Da der Standard schon seit vielen Jahren etabliert ist, wird er von den meisten E-Mail-Clients unterstützt.

Um E-Mails zu verschlüsseln oder zu signieren, nutzt S/MIME ein asymmetrisches Verschlüsselungsverfahren. Hierfür ist ein Schlüsselpaar nötig, welches aus einem öffentlichen (Public Key) und einem privaten Schlüssel (Private Key) besteht. Der öffentliche Schlüssel ist dabei für jeden einsehbar. Der private Schlüssel hingegen darf nur dem Absender bekannt sein. Nachrichten, die mit dem Private Key verschlüsselt sind, können nur mit dem Public Key entschlüsselt werden und umgekehrt.

Erzeugung der Schlüssel durch Zertifikate

Zur Erzeugung der entsprechenden Keys benötigen Anwender ein Zertifikat. Zum Einsatz kommen hierbei X.509-Zertifikate, welche auch bei der verschlüsselten Datenübertragung durch TLS bzw. SSL eine Rolle spielen. Dieses erhalten Antragsteller von einer offiziellen Zertifizierungsstelle (CA), nachdem sie eine Zertifizierungsanforderung (CSR) gestellt haben. Diese CSR muss folgende Angaben enthalten, welche nach deren Verifikation durch die CA im Zertifikat eingetragen werden:

• öffentlicher Schlüssel
• Name des Besitzers
• E-Mail-Adresse des Besitzers
• Signatur des Zertifikatsausstellers

Es gibt sowohl kostenlose als auch kostenpflichtige Zertifikate. Diese lassen sich in 4 Klassen einteilen:

• Klasse 1: Die E-Mail-Adresse ist von der CA geprüft.
• Klasse 2: Zusätzlich zu Klasse 1 sind Name und Organisation von der CA geprüft.
• Klasse 3: Zusätzlich zu Klasse 2 sind Handelsregisterauszug und Personalausweis von der CAgeprüft.
• Klasse 4: Der Antragsteller hat sich persönlich mit den Originaldokumenten bei der Zertifizierungsstelle verifiziert.

Kostenlose Zertifikate entsprechend in der Regel der Klasse 1 und sind nicht länger als ein Jahr gültig.

Anwendung von S/MIME

Die beiden Anwendungsgebiete Verschlüsselung und Signierung unterscheiden sich grundsätzlich voneinander. Doch erhöhen sie beide die Sicherheit und den Datenschutz bei E-Mail-Korrespondenzen.

Signatur von E-Mails

Durch die Signierung weist der Absender seine Identität nach. Er fügt seinen Nachrichten eine Signatur hinzu, die er mit dem privaten Schlüssel erzeugt hat. Ist dem Empfänger der zugehörige öffentliche Schlüssle bekannt, kann er die Identität des Absenders prüfen. Durch die Signierung kann der Empfänger verifizieren, dass die Nachricht tatsächlich vom angegebenen Absender stammt. Die E-Mail selbst jedoch bleibt unverschlüsselt und kann frei eingesehen werden.

Die Signierung von E-Mails ein wirksames Instrument gegen Phishing-Versuche. Hierbei geben sich Kriminelle als vertrauenswürdige Absender aus und versuchen so Daten, Informationen oder auch Geld des Empfängers zu stehlen.

Verschlüsselung von E-Mails

Wird eine Nachricht mit einem Public Key verschlüsselt, kann sie nur durch die Anwendung des zugehörigen Private Key wieder entschlüsselt und damit lesbar gemacht werden. Demnach sollte der Absender dem Empfänger den privaten Schlüssel zur Verfügung stellen. Dies kann beispielsweise über eine signierte E-Mail geschehen. Sicherer hingegen ist der separate Versand zum Beispiel per Fax oder per Post.

Ist eine Nachricht mit S/MIME verschlüsselt, kann sie von Unbefugten nicht gelesen werden. Auch der Scan nach Viren oder Spam ist im verschlüsselten Zustand nicht möglich. Erst auf dem Endgerät des Empfängers kann die Mail nach der Entschlüsselung wieder lesbar gemacht werden. Der Header einer E-Mail, welcher aus Absender und Betreffzeile besteht, bleibt jedoch unverschlüsselt und weiterhin lesbar.

Vor- und Nachteile bei der Anwendung von S/MIME

Der Standard S/MIME ist eine effektive Lösung, die Kommunikation über elektronische Postfächer vor unberechtigtem Zugriff zu schützen. So können Absender ihre Vertrauenswürdigkeit bei ihren Empfängern stärken.

Tipp: Eine eigene Mail-Domain unterstützt dieses Vertrauen zusätzlich.

Dennoch findet der Verschlüsselungsstandard in der Praxis relativ selten Anwendung, denn die Technologie hat auch einige Nachteile, die ihre Handhabung umständlich machen.

Vorteile von S/MIME

• effektiv und sicher zur Verschlüsselung und Signierung von E-Mails
• weit verbreiteter Standard, der von den gängigen Mail-Clients bekannter Betriebssysteme unterstützt wird
• Schutz vor Phishing-Angriffen

Nachteile von S/MIME

• begrenzte Gültigkeit von Zertifikaten
• Absender und Empfänger müssen die Schlüssel in regelmäßigen Abständen (nach Ablauf des Zertifikats) auf einem sicheren Weg austauschen.

Unser Artikel stützt sich auf eigene Erfahrungen und Recherche sowie Informationen aus externen Quellen.

Quellenangaben & weiterführende Links zum Thema:
Informationen zur Nutzung von S/MIME mit Microsoft Outlook
Informationen zur Nutzung von S/MIME mit Google Mail
Informationen zur Nutzung von S/MIME mit Apple Mail

Bildnachweis:
Gerd Altmann auf Pixabay