Die virtuelle Poststelle - Prof. Dr. Norbert Pohlmann

Norbert Pohlmann  (Institut für Internet-Sicherheit),
“Die virtuelle Poststelle”.
In Proceedings des 8. BSI Kongress – IT-Sicherheit im verteilten Chaos,
Hrsg.: Bundesamt für Sicherheit in der Informationstechnik,
SecuMedia Verlag,
2003

Trotz vielfältiger Möglichkeiten den Mailverkehr im Internet mitzulesen, sind heutzutage immer noch weniger als 5% aller E-Mails verschlüsselt. Doch kaum eine andere Internetanwendung erfreut sich einer vergleichbaren Akzeptanz und Verbreitung, ungeachtet der mangelhaften Cyber-Sicherheit. Nicht ohne Grund steht das Thema E-Mail Sicherheit deshalb ganz obenauf der To-do-Liste vieler Unternehmen.

E-Mails haben in vielen Bereichen die traditionelle Kommunikation per Telefon, Brief oderFax abgelöst. Bis auf wenige isolierte PGP– und S/MIME-Inseln, gibt es in der Praxis kaumfundierte Konzepte für unternehmensweite und -übergreifende E-Mail Sicherheitslösungen. Die Ursache für die zögerliche Umsetzung sind die hohen Kosten für die Infrastruktur durch Clientsoftware, Token, Lesegeräte, Rollout, Helpdesk, Migration und Zertifikatsmanagement.

Das im Folgenden beschriebene Umsetzungskonzept des Secure-E-Mail-Gateway stellt eineneuartige, pragmatische Lösung zur Sicherung des kompletten E-Mail-Verkehrs bereit. Aufgrund des zentralen Ansatzes ist diese den herkömmlichen End-to-End-Lösungen hinsichtlich Kosten und Leistungsfähigkeit weit überlegen. Als Erweiterung der bereits genutzten E-Mail-Server übernimmt das Secure-E-Mail-Gateway die Aufgabe einer “virtuellen Poststelle“, die für die Vertraulichkeit (Verschlüsselung), Integrität und Verbindlichkeit (digitale Signatur) des gesamten E-Mail-Verkehrs sorgt.

Secure-E-Mail-Gateway

Clientbasierte End-to-End Lösungen für E-Mail Sicherheit haben sich – obwohl seit langem verfügbar – in der Praxis kaum durchgesetzt. Neben hohen Kosten und aufwendiger Administration kranken diese Konzepte an vier charakteristischen Problemfeldern, für die es innerhalb dieser Konzepte bis heute keine überzeugenden Lösungen gibt. Neben der immer noch mangelhaften Interoperabilität der Lösungen, die sich immer dann als besonderes Handicap erweist, wenn der eigentlich sensible externe E-Mail-Verkehr geschützt werden soll, sind dies die Message-Recovery-Problematik, die Schwierigkeit der Abbildung interner Vertreter-Policies und die Malware-Problematik. Siehe: E-Mail-Sicherheitsherausforderungen  

…