Teletrust sieht in der Signatur den Hebel gegen Phishing

Der Bundesverband IT-Sicherheit (Teletrust) hat ein Positionspapier mit dem Titel Digitale Signatur als Schlüssel zu sicherer E-Mail-Kommunikation veröffentlicht. Verfasst hat es der Arbeitskreis Mail Security des Verbands. Die Kernthese: Die Ende-zu-Ende-Verschlüsselung von E-Mails ist bislang nicht an der Technik gescheitert. „Die entscheidenden Herausforderungen liegen heute nicht mehr in der Kryptographie“, heißt es in dem Papier, sondern in Benutzerfreundlichkeit, Interoperabilität und Verbreitung. Wer das Henne-Ei-Problem lösen wolle, müsse daher zuerst bei der Signatur ansetzen.

Alte Standards, kaum Nutzer

E-Mail ist das zentrale Kommunikationsmittel im Geschäftsleben und zugleich das bevorzugte Einfallstor für Phishing, CEO-Fraud und Identitätsdiebstahl. S/MIME und OpenPGP gibt es seit Jahrzehnten, durchgesetzt haben sie sich nie. Der flächendeckende Einsatz scheitere bislang an „organisatorischen Hürden, komplexer Handhabung und fehlenden Netzwerkeffekten“, schreibt Teletrust.

Zertifikate seien zu aufwendig zu beschaffen und zu erneuern, die Unterstützung in Mailclients und auf Mobilgeräten uneinheitlich. Verschlüsseln lässt sich zudem nur an Empfänger, deren öffentlicher Schlüssel bekannt ist. Solange kaum jemand einen hat, lohnt sich der Aufwand für niemanden. Hinzu kommen Mailserver und Gateways, die Nachrichten nachträglich verändern, etwa durch Disclaimer, und damit Signaturen ungültig machen.

Signatur zuerst, Verschlüsselung später

Teletrust setzt deshalb auf einen stufenweisen Ansatz. Im ersten Schritt sollen ausgehende E-Mails standardmäßig signiert werden. Das schafft auch ohne Verschlüsselung überprüfbare Authentizität und Integrität und schützt vor gefälschten Absendern. Laut Verband ist das „besonders wichtig in Zeiten massenhafter KI-generierter Phishing-Mails“.

Der Kniff liegt im Nebeneffekt: Mit jeder signierten Mail wird der öffentliche Schlüssel des Absenders mitgeschickt. So entsteht schrittweise die Vertrauensinfrastruktur, die für eine spätere Ende-zu-Ende-Verschlüsselung bislang fehlt.

Behörden als Vorreiter und BSI als Koordinator

Den Anfang soll der Staat machen: Bundesbehörden, nach Möglichkeit auch Länder und Kommunen, sollen alle ausgehenden E-Mails standardmäßig signieren. Das BSI soll Leitfäden und Musterkonfigurationen liefern, Interoperabilitätstests koordinieren und beim Aufbau einer offenen Infrastruktur für öffentliche Schlüssel helfen. Außerdem fordert Teletrust ein möglichst kostenloses Angebot für persönliche E-Mail-Zertifikate, für das eine Prüfung der Mailadresse genügen soll.

Industrie soll Zertifikate unsichtbar machen

Von der Industrie verlangt der Verband, die Kryptografie aus dem Blickfeld der Nutzer zu nehmen. Schlüsselmanagement und Zertifikatsverwaltung sollen „vollautomatisch und unsichtbar im Hintergrund“ ablaufen. Signaturen sollen standardmäßig aktiv sein, Zertifikate sich selbst erneuern und Gateways signierte Nachrichten unverändert durchreichen. Dabei sollen ausschließlich offene Standards zum Einsatz kommen.

Als Vorbild nennt Teletrust HTTPS, das Milliarden Menschen täglich nutzen, ohne über Zertifikate nachzudenken. Der Vergleich liegt nahe: Der Durchbruch kam dort erst mit Let’s Encrypt und der kostenlosen, automatisierten Zertifikatsausstellung per ACME. Ein solches Angebot für S/MIME fehlt bislang.

Die Postkarte ist immer noch eine Postkarte

Wie groß der Nachholbedarf ist, zeigt ein älterer Teletrust-Leitfaden zur E-Mail-Verschlüsselung. Eine E-Mail zu verschicken entspreche demnach dem Transport einer Postkarte durch Unbekannte. Nur 60 Prozent der Mails würden transportverschlüsselt übertragen, der Anteil von PGP- oder S/MIME-verschlüsselten Nachrichten gehe „sogar gegen Null“. Die Broschüre erklärt die gängigen Verfahren und enthält bebilderte Einrichtungsanleitungen.

Das Positionspapier steht auf der Teletrust-Website zum kostenlosen Download bereit.

(red)