Jede E-Mail ist angreifbar – theoretisch. Der Weg einer E-Mail durch das Internet ist lang, auch wenn die Schnelligkeit der Übertragung dies oft vergessen lässt. E-Mails können während des Transports abgefangen, gelesen oder sogar verändert werden. Zumindest, wenn sie unverschlüsselt versendet werden. Die Folgen sind unter Umständen verheerend: Finanzielle Schäden, Datenverlust oder Imageeinbußen drohen all denjenigen, die E-Mails unverschlüsselt austauschen. Zudem sind unverschlüsselte E-Mails schon heute nicht mehr mit dem Datenschutz vereinbar – auch im Hinblick auf die Datenschutz-Grundverordnung (DSGVO)
Ein Weg, sichere E-Mail-Kommunikation zu ermöglichen und Informationen vertraulich und geschützt zu versenden, ist die PKI-basierte E-Mail-Verschlüsselung und -Signatur. PKI steht für Public Key Infrastructure, und der bei Behörden und Firmen gebräuchlichste Standard für eine solche Verschlüsselung ist S/MIME (Secure/Multipurpose Internet Mail Extensions).
Eine PKI ist ein System, das digitale Zertifikate ausstellen, verteilen und prüfen kann. Die innerhalb einer PKI ausgestellten Zertifikate werden zur Absicherung der E-Mail-Kommunikation verwendet, da sie die Authentizität des öffentlichen Schlüssels und seinen zulässigen Anwendungs- und Geltungsbereich bestätigen. Das digitale Zertifikat ist selbst durch eine digitale Signatur geschützt, deren Echtheit mit dem öffentlichen Schlüssel des Ausstellers des Zertifikates überprüft werden kann.
Was sind S/MIME-Zertifikate?
Für das Signieren und Verschlüsseln von E-Mails werden sogenannte Zertifikate benötigt. Der Begriff Zertifikat meint hier ein Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Der private Schlüssel wird für das Signieren und Entschlüsseln von E-Mails verwendet, der öffentliche Schlüssel wird von Kommunikationspartnern verwendet, um E-Mail-Signaturen auf ihre Gültigkeit zu prüfen und Nachrichten zu verschlüsseln.
Die beiden Schlüssel bilden eine mathematische Einheit und stellen die passenden Umkehroperationen füreinander dar. Der private Schlüssel rechnet beispielsweise immer +1, während der öffentliche Schlüssel grundsätzlich -1 rechnet. Das Zertifikat als solches beinhaltet weiterhin Informationen über seinen Eigentümer, den Verwendungszweck und die Vertrauenswürdigkeit des Zertifikates.
Welche Zertifikatstypen gibt es?
Üblicherweise werden die Schlüssel auf dem Computer generiert, der sie später auch verwenden wird. Der öffentliche Schlüssel muss allerdings noch von einer Zertifizierungsstelle signiert werden. Dies entspricht der Ausstellung eines Personalausweises in Ihrem zuständigen Einwohnermeldeamt. Das Amt bestätigt Ihre Identität. Bei S/MIME-Zertifikaten übernehmen dies Zertifizierungsstellen – auch Trust Center genannt.
Das Trust Center bestätigt mit seiner Unterschrift, dass das Zertifikat einer bestimmten Person oder Organisation gehört. Die Angaben des Antragstellers werden mittels verschiedener Verfahren überprüft. Je nachdem, wie genau die Prüfung ausfällt beziehungsweise was genau überprüft wird, werden unterschiedliche Typen von Zertifikaten ausgegeben; man spricht hier auch von unterschiedlichen Trust Levels.
Die bekannteste und vermutlich meistgenutzte Art der Identifikation ist die Prüfung der E-Mail-Adresse. Diese stellt gleichzeitig das niedrigste Trust Level dar. Erst der Erwerb höherer Trust Levels setzt die Prüfung von Dokumenten oder persönliches Vorstellen voraus. Die Preise für die Zertifikate hängen dementsprechend vom Aufwand für die Zertifizierung ab.
E-Mail-validierte Zertifikate
Bei diesem Zertifikatstyp wird der Besitz einer E-Mail-Adresse bestätigt. Das kann eine Abteilungs-E-Mail-Adresse – beispielsweise sales@example.com – oder eine persönliche E-Mail-Adresse sein.
Identitätsvalidierte Zertifikate
Auf diesem Trust Level werden in der Regel Personenzertifikate ausgestellt. Diese sind für eine konkrete E-Mail-Adresse ausgestellt, die einer Person zugeordnet ist, beispielsweise max.mustermann@netatwork.de. Für diesen Zertifikatstyp muss eine Person eindeutig identifiziert worden sein. Je nach Trust Center ist dafür die Vorlage unterschiedlicher Dokumente erforderlich. Personalausweis, Führerschein oder der Sozialversicherungsnachweis sind hier Beispiele.
Organisationsvalidierte Zertifikate
Organisationsvalidierte Zertifikate sind ein besonderer Zertifikatstyp. Neben dem Vor- und Nachnamen sowie der E-Mail-Adresse ist auch der Name des Unternehmens im Zertifikat vermerkt. Da Trust Center nur geprüfte Daten in Zertifikaten vermerken dürfen, ist eine wichtige Voraussetzung, dass das Trust Center die Existenz des Unternehmens überprüft hat.
Das richtige S/MIME-Zertifikat finden
Je nach Anwendungsbereich und Unternehmensstruktur können unterschiedliche Zertifikatstypen sinnvoll sein. Hinzu kommt, dass bei den einzelnen Trust Centern unterschiedliche Definitionen der Zertifikatstypen sowie Produktnamen für diese Zertifikatstypen verwendet werden. Um sich einen Überblick verschaffen zu können und das für Sie und Ihr Unternehmen richtige Zertifikat zu finden, ist eine kompetente persönliche Beratung unerlässlich.
Bei unserem Partner SSL Plus erhalten Sie Zertifikate aller Trust Levels von den renommierten Trust Centern D-Trust, SwissSign und GlobalSign und werden bei allen Schritten des Zertifikatskaufs begleitet. Die kompetenten Berater finden die für Ihr Unternehmen empfehlenswerten Zertifikatstypen, beantworten Ihnen alle Fragen zu E-Mail-Verschlüsselung mit S/MIME-Zertifikaten und zeigen Ihnen, wie Sie diese ganz einfach in das automatische Zertifikats-Management von NoSpamProxy einbinden.
