Verschlüsselte E-Mails für jedermann
Fraunhofer SIT und Telekom bieten Privatnutzern kostenlose Volksverschlüsselung
Einfach bedienbare Lösung für Ende-zu-Ende-Verschlüsselung - Permanente Weiterentwicklung und Öffnung für weitere Standards
(28.01.16) - Die Deutsche Telekom und das Fraunhofer-Institut für Sichere Informationstechnologie SIT bieten künftig eine einfache Möglichkeit zur Verschlüsselung von E-Mails für jedermann an. Dies haben die beiden Partner im Rahmen des IT-Gipfels in Berlin bekanntgegeben. Die Volksverschlüsselung ist eine Entwicklung von Fraunhofer, die Deutsche Telekom betreibt die Lösung in einem Hochsicherheits-Rechenzentrum. Die Software ist besonders benutzerfreundlich, soll im ersten Halbjahr 2016 verfügbar sein und wird nach ihrem Start sukzessive ausgebaut und erweitert.
"Die Volksverschlüsselung ist kostenlos, unkompliziert und transparent. Für uns das beste Werkzeug, um eine Ende-zu-Ende-Verschlüsselung von E-Mails in der breiten Bevölkerung zu verankern. Mit jedem Entwicklungsschritt der Software wollen wir die Volksverschlüsselung für weitere Nutzer zugänglich machen und damit die Nutzerbasis verbreitern", sagt Dr. Thomas Kremer, Datenschutzvorstand der Deutschen Telekom.
Prof. Michael Waidner, Leiter des Fraunhofer SIT, sagte: "Mit der Volksverschlüsselung setzen wir die Prinzipien "Security by Design" und "Usability by Design" in die Praxis um. Beide haben in jeder Phase des Entwurfs eine wichtige Rolle gespielt. Durch die Volksverschlüsselung wollen wir kryptografische Methoden, die in der Forschung etabliert sind, endlich allen Menschen zugänglich machen. Als Institut der Fraunhofer-Gesellschaft sehen wir das als Teil unseres gesellschaftlichen Auftrags an."
Mit der Volksverschlüsselung erfüllen Fraunhofer und die Telekom ein Bekenntnis zur Stärkung einer vertrauenswürdigen Kommunikation, das Vertreter aus Politik, Wirtschaft und Verbänden mit einer gleichnamigen Charta im Rahmen des IT-Gipfels abgeben. Die Charta war in der Fokusgruppe "Verschlüsselung" innerhalb der Plattform "Sicherheit, Schutz und Vertrauen für Gesellschaft und Wirtschaft" des IT-Gipfels entwickelt worden.
Die Volksverschlüsselung ist eine Software, die sowohl die notwendigen Verschlüsselungsinformationen generiert, als auch die E-Mail-Programme der Benutzer entsprechend vorkonfiguriert. Für die eigentliche Verschlüsselung brauchen die meisten Nutzer kein neues Programm, denn die meisten E-Mail-Programme können von Haus aus verschlüsseln, wenn entsprechende Schlüssel vorhanden sind. Somit können selbst unerfahrene Nutzer verschlüsselte E-Mails verschicken.
Mit der Volksverschlüsselung können im ersten Schritt Windows-Nutzer über E-Mail-Programme wie Outlook oder Thunderbird verschlüsselt per E-Mail kommunizieren. In weiteren Schritten sind Versionen für Mac OS X, Linux, iOS und Android geplant. Die Software unterstützt zunächst den S/MIME-Standard, in einem nächsten Schritt wird sie zusätzlich OpenPGP unterstützen. Fraunhofer wird den Quellcode nach Veröffentlichung der Software allgemein zur Verfügung stellen. So können sich Experten selbst davon überzeugen, dass die Volksverschlüsselung keine Hintertüren hat.
Die Volksverschlüsselung erzeugt kryptographische Schlüssel direkt auf dem Endgerät des Nutzers. Diese privaten Schlüssel verbleiben ausschließlich in der Hand des Nutzers und befinden sich zu keiner Zeit in den Händen des Betreibers der Infrastruktur. Zur Nutzung der Verschlüsselung genügt die Installation der Software und eine einfache sichere Identifikation. Im ersten Schritt erfolgt die Authentifizierung über die etablierten Anmeldeverfahren der Deutschen Telekom oder mit Hilfe des elektronischen Personalausweises. Später sind weitere Verfahren zur sicheren Identifikation geplant.
Was ist die Volksverschlüsselung?
Mit der Volksverschlüsselung starten das Fraunhofer SIT als Entwickler und die Deutsche Telekom AG als Betreiber eine Initiative, um die Nutzung von E-Mail Ende-zu-Ende-Verschlüsselung in der Bevölkerung zu verbreiten und damit den Schutz der elektronischen Kommunikation von Privatpersonen sowie Unternehmen zu erhöhen.
Was ist Ende-zu-Ende-Verschlüsselung?
Ende-zu-Ende-Verschlüsselung stellt sicher, dass ein Absender eine Nachricht so verschlüsselt, dass nur der intendierte Empfänger sie wieder entschlüsseln kann. Auch wenn die Nachricht auf ihrem Weg viele Server passiert, bleibt ihr Inhalt immer vertraulich. Das garantiert die Kryptografie.
Wie arbeitet die Volksverschlüsselungs-Software?
Die Software erzeugt zunächst auf dem Gerät des Nutzers die kryptografischen Schlüssel, mit denen sich E-Mails und Daten verschlüsseln und signieren lassen. Nachdem sich der Nutzer erfolgreich per DTAG Telekom Login (entspricht dem Anmeldeverfahren etwa an dem Kundencenter) oder dem elektronischen Personalausweis authentifiziert hat, werden bei der Zertifizierungsstelle der Volksverschlüsselung digitale Zertifikate für Verschlüsselung, Authentisierung und Signatur erzeugt.
Nach Empfang der Zertifikate sucht die Software automatisch auf dem Gerät des Nutzers nach E-Mail-Programmen, Browsern und anderen Anwendungen, die Kryptografie nutzen können. Die Schlüssel und Zertifikate werden dann automatisch in die Anwendungsprogramme zur Nutzung der Zertifikate eingebracht.
Nach diesem einmaligen Schritt sind Mails etwa in MS Outlook und Thunderbird einfach zu verschlüsseln und zu signieren.
Was ist das Besondere an der Volksverschlüsselung?
Die Volksverschlüsselung setzt auf Benutzerfreundlichkeit. Die Software übernimmt automatisch alle Schritte des Prozesses, angefangen von der Schlüsselerzeugung über die Zertifizierung bis hin zur Einrichtung und Konfiguration der Anwendungsprogramme auf den verschiedenen Geräten des Nutzers. Der Nutzer muss sich nicht mehr um die Installation der Schlüssel und Zertifikate und die Konfiguration der Anwendungen kümmern. Auch technisch weniger bewanderten Nutzern ist es somit möglich, ohne großen Aufwand ihre E-Mails und Daten zu verschlüsseln.
Welche Kosten/Gebühren fallen an?
Die Nutzung von Infrastruktur und Software in der ersten Ausbaustufe für Privatanwender kostenlos sein. Die Entwicklung von unternehmensspezifischen Lösungen soll kostenpflichtig sein.
Kann die Volksverschlüsselung auch mit Web-Mail genutzt werden?
Die Volksverschlüsslung stellt X.509-Zertifikate aus und unterstützt damit alle S/MIME-fähigen E-Mail-Clients. Die Integration in Web-Mail-Dienste ist anbieterabhängig und erfordert die Zusammenarbeit mit den Dienstanbietern. Eine enge Zusammenarbeit mit den Dienstanbietern wird vom Fraunhofer SIT angestrebt, damit E-Mail-Verschlüsselung sich weit verbreitet und auch im Web zur Normalität wird.
Was ist S/MIME?
S/MIME heißt Secure / Multipurpose Internet Mail Extensions. Das ist ein internationaler Standard, der festlegt, wie verschlüsselte E-Mails verschickt werden. S/MIME nutzt X.509-Zertifikate.
Kann die Volksverschlüsselung auch mobil über Apps genutzt werden?
In einem ersten Schritt ist die Volksverschlüsselung für Windows PCs ausgelegt. Perspektivisch soll die Verschlüsselungssoftware auch auf mobilen Geräten so einfach nutzbar sein wie im ersten Schritt für Windows. Hierzu ist geplant, Versionen für Android und iOS zu entwickeln, siehe nächste Frage.
Auf welchen Systemen läuft die Volksverschlüsselungs-Software?
Die Software gibt es bislang für Windows. Versionen für Mac OS X, Linux, iOS und Android sind geplant.
Ist die Volksverschlüsselung auf Hintertüren überprüfbar?
Ja. Wir wollen allen Interessierten freie Einsicht in den Source Code ermöglichen. So können sich Experten selbst davon überzeugen, dass keine Hintertüren (Backdoors) in der Software existieren. Außerdem veröffentlichen wir auch das Kommunikationsprotokoll, über das die Volksverschlüsselungs-Software mit der Zertifizierungsstelle kommuniziert.
Warum muss ich mich bei der Registrierung authentisieren?
Von der Volksverschlüsselung werden hochwertige Zertifikate, sogenannte Klasse 3-Zertifikate, ausgestellt. Ein wesentliches Sicherheitsmerkmal dieser Zertifikate ist, dass die Identität des Zertifikatsinhabers im Rahmen der Zertifizierung zuverlässig festgestellt werden konnte.
Wie unterscheidet sich die Volksverschlüsselung von E-Mail made in Germany und De-Mail?
Die Volksverschlüsselung ist eine Software zur Ende-zu-Ende-Verschlüsselung von E-Mails. Ob er diese Software nutzen möchte, entscheidet der Nutzer individuell. Bei E-Mail Made in Germany handelt es sich um eine freiwillige Selbstverpflichtung der teilnehmenden E-Mail-Anbieter für mehr Sicherheit bei der konventionellen E-Mail-Kommunikation. Die Sicherheitsstandards umfassen Datensicherung in Deutschland nach deutschem Datenschutzrecht, umfassende Verschlüsselung von E-Mails auf dem Transportweg sowie Transparenz bei der Nutzung durch Kennzeichnung sicherer E-Mails in den Webmail-Frontends. E-Mail Made in Germany und De-Mail unterscheiden sich hinsichtlich Kommunikationsanlass, Rechtsverbindlichkeit und Identifikation der Kommunikationspartner.
Bei De-Mail handelt es sich um rechtsverbindliche Kommunikation über ein eigenes Mailsystem, die eine Identifikation durch den Personalausweis erfordert und durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) nach dem De-Mail-Gesetz akkreditiert ist. Mit De-Mail ist elektronische Korrespondenz genauso rechtsverbindlich wie ein Brief und dient der papierlosen Kommunikation mit Behörden und Firmen.
Welche Anwendungen werden unterstützt?
Die Volksverschlüsselung erzeugt Zertifikate, die von allen E-Mail-Clients, Browsern und Web-Anwendungen genutzt werden können, die X.509 unterstützen. Von der neuen Software können aktuell die E-Mail-Clients MS Outlook und Thunderbird, sowie die Browser Internet Explorer, Chrome und Firefox automatisch zur Nutzung der Zertifikate konfiguriert werden. Die automatische Integration ist für weitere Anwendungen geplant, ebenso eine Unterstützung von OpenPGP in einem späteren Release.
Worin liegt der Unterschied zwischen Verschlüsseln und Signieren einer Nachricht?
Eine verschlüsselte Nachricht ist eine Nachricht, die auf dem Transportweg vollkommen unlesbar ist. Nur der Empfänger der Nachricht kann die Nachricht entschlüsseln, das heißt "lesbar" machen.
Eine signierte Mail klärt eindeutig die Urheberschaft einer Mail. Das bedeutet: Mails können nicht mehr unter falschem Namen und vorgetäuschter Mailadresse verschickt werden. (Deutsche Telekom: ra)
Deutsche Telekom: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
