E-Mail light (fast ohne Electronic Identity)

Wer erste Erfahrungen machen möchte, ohne sich gleich mit dem ganzen Electronic Identity-Projekt herumschlagen möchte, kann auch mit den in diesem Kapitel beschriebenen Methoden beginnen. Sie beschränken sich auf die Verschlüsselung von E-Mails und sollten sich in kurzer Zeit umsetzen lassen. Der Austausch verschlüsselter Nachrichten ist natürlich nur möglich, wenn alle Teilnehmer Verschlüsselungsmethoden unterstützen. Also ermuntert eure Freunde, mitzumachen.

Einfache erste Schritte

E-Mail-Verschlüsselung ist nicht schwer und kostet nichts. Wir zeigen wie. Die ersten Schritte sind natürlich nur ein einführendes Modell, und du brauchst dazu die EI-Software noch nicht, sondern nur einige Softwarekomponenten, die auf deinem System vermutlich schon vorhanden sind oder die leicht kostenlos aus dem Internet heruntergeladen werden können; wer mehr will, muss natürlich irgendwann auf das komplette EI-Management umsteigen. Aber hier kannst du erst einmal Erfahrungen sammeln, und vielleicht findest du das ja interessant und machst weiter. Wenn nicht, sind zumindest deine Mails erst einmal verschlüsselt.

Ohne große Vorrede oder Erklärung: hier findest du eine ** Anleitung_ ** zur Installation auf deinem System

Zusätzlich ist noch die ** Datenbank ** mit dem Grunddaten notwendig. Die Verwendung ist in der Anleitung beschrieben.

Vermutlich ist die Anleitung noch erweiterungs- und verbesserungswürdig. Es wäre schön, wenn du deine Erfahrungen im Forum schilderst, um das Projekt erfolgreich zu machen.

Verschlüsselung im kommerziellen Bereich

Wenn Kunden verschlüsseln, sollten Unternehmen nicht zurück stehen. Oder umgekehrt: es wäre wünschenswert, wenn das eine oder andere Unternehmen mit einem Angebot voran gehen würde, statt wichtige E-Mails weiterhin unverschlüsselt zu senden.

Wichtig

So ein Angebot kostet fast nichts und sollte ein Werbeargument für Kundenvertrauen in das Unternehmen sein. Denken Sie einmal darüber nach!

Was Unternehmen machen können, um sicher zu werden und das Konzept zu untersützen, ist im GmbH & Co ** KG ** Papier zu finden.

Was davor geschehen ist

Die ersten Schritte in dieser Richtung waren übrigens nicht sehr erfolgreich, wie dieses ** Arbeitspapier ** nahe legt. Auch das aktuelle Ergebnis ist nicht gerade optimal, wenn man den Aufwand mit dem Root-Zertifikat betrachtet. Besser wäre natürlich gewesen, man hätte sich auf ein EI-Zertifikat beschränken können, das von den System als “Ausnahme” genehmigt wird. Aber aus der Historie wird auch ersichtlich, weshalb eigene Versuche ohne solche Anleitungen wie unserer meist im Frust enden (was nicht bedeuten soll, dass selbst unsere Anleitung nicht ebenfalls dazu führen kann, dass man dort landet; wir verzichten deshalb ausdrücklich auf Links zu Seiten mit Angeboten von Suizidartikeln).

Merkwürdigerweise (oder absichtlich?) wird gerade die Verschlüsselung im E-Mailbereich durch die Softwareunternehmen stark behindert. Das X.509-Zertifikatsystem sieht eine Signatur eines Nutzerzertifikats durch eine Zertifikatagentur, deren Root-Zertifikat in der Datenbank vorinstalliert ist, vor. Ist das der Fall, wird die Verbindung ohne Meckerei der Software aufgebaut. Ist das nicht der Fall, erhält der Nutzer eine Warnung und darf sich das Zertifikat ansehen. Bei HTTPS, SMTP, POP3, IMAP, FTP und anderen Anwendungen kann er das nicht signierte Zertifikat als temporäre oder dauerhafte Ausnahme genehmigen und die Verschlüsselung nutzen. Erstaunlicher Weise sperren sich die Software-Hersteller bei der End-2-End-Verschlüsselung von E-Mail, bei denen von Ausnahmen abgesehen die mit einem Root-Zertifikat verbundene Authentifizierung unnötig ist, gegen das Zulassen von Ausnahmen. Warum? Da kann man nur spekulieren.

Eine plausible Spekulation: der HTTPS-Markt ist groß, aber da Meckerei der Browser bei fehlendem Root-Zertifikat viele Nutzer abschreckt, werden die Serverbetreiber auch ohne Zwang die kostspieligen CA-Zertifizierungen auf sich nehmen. Der Nischenmarkt anderer Client-Server-Verschlüsselungen ist so uninteressant, dass sich keiner darum kümmert. Die End-2-End E-Mailverschlüsselung ist jedoch ein echter Massenmarkt mit enormen Verdienstmöglichkeiten für die CA. Deshalb wird er vorsichtshalber blockiert, obwohl jedem klar ist, dass sich das kostenpflichtige Modell dort nie durchsetzen wird.

Einen Schritt drauf setzt der Marktführer. Anscheinend lässt er Verschlüsselung im Privatbereich nur dann zu, wenn die Nachrichten trotzdem weiterhin im Klartext auf seinen Servern zugänglich sind. Schon alleine aufgrund solchen Geschäftsgebahrens sollte sich jeder Nutzer dringend überlegen, seine Mails fortan zu verschlüsseln, selbst wenn er das eigentlich für nicht notwendig erachtet.

Letze Aktualisierung: 09.06.2017