Die aktuelle Corona-Pandemie hat auch auf die E-Mail-Kommunikation erhebliche Auswirkungen. Und die IT-Sicherheitsspezialisten von REDDOXX (www.reddoxx.com) warnen – denn vielfach werden derzeit vertrauliche Informationen völlig unverschlüsselt per E-Mail verschickt. Selbst Behörden sind hier nicht gefeit: So wurden in Mecklenburg-Vorpommern beispielsweise Listen mit bekannten Corona-Infizierten per E-Mail an die Polizeibehörden des Landes übermittelt. Was zum Selbstschutz der Beamten gedacht war, hat bei Datenschützern gleich in mehrfacher Hinsicht für Entsetzen gesorgt. Und in Brandenburg prüft die Datenschutzbeauftragte derzeit mögliche Verstöße im Rahmen des „Homeschoolings“ – im Fokus stehen dabei unter anderem unverschlüsselte E-Mails mit sensiblen, personenbezogenen Daten.
Banken und Steuerberater agieren pragmatisch, ohne auf den Datenschutz zu achten
Auch Banken, Versicherungen und Steuerberater agieren in der aktuellen Situation oft pragmatisch, ohne allzu großen Wert auf den Datenschutz zu legen. Da werden Kreditunterlagen per E-Mail übersandt oder Lohnabrechnungen „ausnahmsweise“ vom privaten Notebook der Steuerfachangestellten von zu Hause aus per unverschlüsselter E-Mail verschickt. Sind Schulen im Spiel, kommt in vielen Fällen noch nicht mal eine dienstliche E-Mail-Adresse zum Einsatz, sondern die Lehrkraft nutzt zum Beispiel einen gängigen, kostenfreien Freemail-Account.
„In vielen Firmen und Behörden sind die Mitarbeiter nach wie vor im Homeoffice. Dass hier im Moment auch beim Thema E-Mail-Kommunikation vor allem pragmatisch gehandelt wird, ist auf den ersten Blick verständlich. Die Sicherheitsrisiken sind allerdings enorm, da unverschlüsselte Mails sehr leicht von Dritten abgefangen und mitgelesen werden können. Das Beispiel einer Corona-Infiziertenliste etwa zeigt auf drastische Weise, welche unmittelbaren Auswirkungen ein solcher Datenverlust haben könnte. Wir empfehlen deshalb auch privaten Anwendern dringend, sich zumindest für Versand und Empfang kritischer Daten mit dem Thema E-Mail-Verschlüsselung auseinanderzusetzen“, sagt Christian Schröder von REDDOXX.
Es gibt Möglichkeiten zur E-Mail-Verschlüsselung – auch für Privatanwender
Für Unternehmen stehen bereits seit Jahrzehnten Lösungen wie S/MIME und PGP zur Verfügung. Dabei handelt es sich um eine sogenannte asymmetrische Verschlüsselung auf Basis von öffentlichen und privaten Zertifikaten, die im Vorfeld mit dem Gegenüber ausgetauscht werden müssen. Ein Vorgehen, welches in Unternehmen mit kompetenter IT-Abteilung mit einem vertretbaren Aufwand umgesetzt werden kann (und dennoch viel zu selten erfolgt). Spätestens bei privaten Anwendern hinterlässt das Thema E-Mail-Verschlüsselung aufgrund der Komplexität jedoch viele Fragezeichen.
Gerade Versicherungen, Banken, Behörden oder Einrichtungen, die geschützt mit Privatpersonen kommunizieren möchten oder müssen, können in den seltensten Fällen technisches Fachwissen auf der Gegenseite voraussetzen – ganz zu schweigen vom Vorhandensein entsprechender Zertifikate.
„Für E-Mails, bei denen die Gegenstelle keinerlei Zertifikate zur Verfügung stellt oder stellen kann, empfehlen wir alternative Lösungen wie etwa REDDCRYPT“, so Schröder. „Die Handhabung ist dabei vergleichbar mit dem Schreiben einer E-Mail im Webbrowser bei Diensten wie etwa web.de oder Gmail, so dass die Verschlüsselung auch für Anwender mit geringen IT-Kenntnissen sehr einfach nutzbar ist. Für Privatanwender steht REDDCRYPT zudem komplett kostenfrei zur Verfügung.“
Von verschlüsselten PDFs ist eher abzuraten
Alternativ gibt es Ansätze, bei denen E-Mails zum Beispiel als verschlüsselte PDF versendet werden. Zum Entschlüsseln ist dann ein Passwort notwendig. Diese Vorgehensweise ist nach Ansicht der REDDOXX-Experten in der Praxis aber deutlich schwieriger. „Häufig entsteht ein Passwort-Wirrwarr, der auf Dauer schwer zu verwalten ist“, erklärt Schröder. „Da im schlimmsten Fall für jede E-Mail ein eigenes Passwort verwendet wird, steht der Anwender vor der Herausforderung, sich diese Passwörter zu merken, um auch in einem halben Jahr noch auf eine alte E-Mail zugreifen zu können.“
Durch die Sicherheitsbrille betrachtet ist allerdings „jede Lösung besser als keine Lösung“, stellt Schröder klar. „Anwender müssen sich bewusst machen, dass es ihre eigenen Daten sind, die unter Umständen abgefangen werden. Aus diesem Grund raten wir dringend dazu, sich für den Versand solch sensibler Informationen mit Lösungen zur Verschlüsselung auseinander zu setzen.“
Banken und Steuerberater agieren pragmatisch, ohne auf den Datenschutz zu achten
Auch Banken, Versicherungen und Steuerberater agieren in der aktuellen Situation oft pragmatisch, ohne allzu großen Wert auf den Datenschutz zu legen. Da werden Kreditunterlagen per E-Mail übersandt oder Lohnabrechnungen „ausnahmsweise“ vom privaten Notebook der Steuerfachangestellten von zu Hause aus per unverschlüsselter E-Mail verschickt. Sind Schulen im Spiel, kommt in vielen Fällen noch nicht mal eine dienstliche E-Mail-Adresse zum Einsatz, sondern die Lehrkraft nutzt zum Beispiel einen gängigen, kostenfreien Freemail-Account.
„In vielen Firmen und Behörden sind die Mitarbeiter nach wie vor im Homeoffice. Dass hier im Moment auch beim Thema E-Mail-Kommunikation vor allem pragmatisch gehandelt wird, ist auf den ersten Blick verständlich. Die Sicherheitsrisiken sind allerdings enorm, da unverschlüsselte Mails sehr leicht von Dritten abgefangen und mitgelesen werden können. Das Beispiel einer Corona-Infiziertenliste etwa zeigt auf drastische Weise, welche unmittelbaren Auswirkungen ein solcher Datenverlust haben könnte. Wir empfehlen deshalb auch privaten Anwendern dringend, sich zumindest für Versand und Empfang kritischer Daten mit dem Thema E-Mail-Verschlüsselung auseinanderzusetzen“, sagt Christian Schröder von REDDOXX.
Es gibt Möglichkeiten zur E-Mail-Verschlüsselung – auch für Privatanwender
Für Unternehmen stehen bereits seit Jahrzehnten Lösungen wie S/MIME und PGP zur Verfügung. Dabei handelt es sich um eine sogenannte asymmetrische Verschlüsselung auf Basis von öffentlichen und privaten Zertifikaten, die im Vorfeld mit dem Gegenüber ausgetauscht werden müssen. Ein Vorgehen, welches in Unternehmen mit kompetenter IT-Abteilung mit einem vertretbaren Aufwand umgesetzt werden kann (und dennoch viel zu selten erfolgt). Spätestens bei privaten Anwendern hinterlässt das Thema E-Mail-Verschlüsselung aufgrund der Komplexität jedoch viele Fragezeichen.
Gerade Versicherungen, Banken, Behörden oder Einrichtungen, die geschützt mit Privatpersonen kommunizieren möchten oder müssen, können in den seltensten Fällen technisches Fachwissen auf der Gegenseite voraussetzen – ganz zu schweigen vom Vorhandensein entsprechender Zertifikate.
„Für E-Mails, bei denen die Gegenstelle keinerlei Zertifikate zur Verfügung stellt oder stellen kann, empfehlen wir alternative Lösungen wie etwa REDDCRYPT“, so Schröder. „Die Handhabung ist dabei vergleichbar mit dem Schreiben einer E-Mail im Webbrowser bei Diensten wie etwa web.de oder Gmail, so dass die Verschlüsselung auch für Anwender mit geringen IT-Kenntnissen sehr einfach nutzbar ist. Für Privatanwender steht REDDCRYPT zudem komplett kostenfrei zur Verfügung.“
Von verschlüsselten PDFs ist eher abzuraten
Alternativ gibt es Ansätze, bei denen E-Mails zum Beispiel als verschlüsselte PDF versendet werden. Zum Entschlüsseln ist dann ein Passwort notwendig. Diese Vorgehensweise ist nach Ansicht der REDDOXX-Experten in der Praxis aber deutlich schwieriger. „Häufig entsteht ein Passwort-Wirrwarr, der auf Dauer schwer zu verwalten ist“, erklärt Schröder. „Da im schlimmsten Fall für jede E-Mail ein eigenes Passwort verwendet wird, steht der Anwender vor der Herausforderung, sich diese Passwörter zu merken, um auch in einem halben Jahr noch auf eine alte E-Mail zugreifen zu können.“
Durch die Sicherheitsbrille betrachtet ist allerdings „jede Lösung besser als keine Lösung“, stellt Schröder klar. „Anwender müssen sich bewusst machen, dass es ihre eigenen Daten sind, die unter Umständen abgefangen werden. Aus diesem Grund raten wir dringend dazu, sich für den Versand solch sensibler Informationen mit Lösungen zur Verschlüsselung auseinander zu setzen.“
