Wird also aus einer Steuerkanzlei eine E-Mail an einen Mandanten versendet, erhält dieser nicht mehr den originalen Inhalt sondern eine verschlüsselte Form. Der Inhalt liegt verschlüsselt in der Datei „secure-email.html“ vor.

Um die Email zu lesen, wird die HTML Datei geöffnet. Bei erster Verwendung muss an dieser Stelle ein Account angelegt werden. Von diesem Webportal aus, kann dann auch verschlüsselt geantwortet werden. Antwortet man dagegen aus Outlook heraus auf die E-Mail, ist der eigene Text auf dem Weg zum Datev Server nicht geschützt und nur Transport-verschlüsselt!

Soweit so einfach. Positiv ist, dass nun die Verschlüsselung für jedermann umgesetzt ist. Für viele Nachrichten pro Tag ist das Prozedere dann aber zu aufwendig und unübersichtlich – immerhin landen die eigenen Antworten die aus dem Webportal versendet werden nicht mehr im eigenen Sent-Ordner.

Secure-Mail Anhang durch S-MIME Verschlüsselung ersetzen

Um zukünftig keine Anhänge mehr im Webportal öffnen zu müssen, benötigt es auf der Sender-Seite (z.B. Ihr Steuerberater) Ihren eigenen öffentlichen Schlüssel. Da nun aber der Datev-Mail Server die Verschlüsselung übernimmt, ist es nicht notwendig jedem Sender das Zertifikat aufzudrängen, es wird einfach an zentraler Positon hinterlegt.

Nach erfolgter Anmeldung am Webportal kann nun unter Schlüsselverwaltung ein eigener S-MIME oder PGP Schlüssel hinterlegt werden.
Sobald das Zertifikat hier hochgeladen ist , erhält man „normal“ verschlüsselte E-Mails. Läuft das Zertifikat ab, erhält man wieder den erwähnten Anhang.

Adressaten-Zertifikate erhalten

Mit dem letzten Absatz ist nun sichergestellt, dass alle empfangenen Nachrichten normal verschlüsselt sind. Bleibt die Frage wie man eigene Nachrichten verschlüsselt versendet.

I.d.R. erhält man dazu eine signierte E-Mail, erhält damit den Schlüssel und ist bereit. Die E-Mails von Datev sind aber nicht signiert. Woher also den öffentlichen Schlüssel des Adressaten erhalten?

Dafür lassen sich alle Zertifikate an zentraler Stelle abrufen. Unter „Persönliche Angaben“ ist dabei die E-Mail Adresses des Empfängers, z.B. mitarbeiter1@steuerberater-musterstadt.xy , anzugeben.

Nach dem Download kann das Zertifikat dem Outlook Kontakt zugeordnet werden und ist ab dann zum verschlüsselten Versand verfügbar.

Auch wenn diese Anleitung nicht so direkt auf der Datev-Website zu finden ist, kann man sich die verschlüsselte Kommunikation doch sauber einrichten.

Das Bayrische Landesamt für Datenschutzaufsicht hat auf ihrer Website eine Todo-Liste speziell für einzelne Branchen online gestellt.

https://www.lda.bayern.de/de/kleine-unternehmen.html

Zertifikate kosten normalerweise Geld. Die, die für S/MIME benötigten, werden allerdings kostenlos erstellt. z.B. über Comodo:

• Klicken Sie hier
• Klicken Sie auf „Free Email Certificate“ und füllen das Formular aus
• Das „Revocation Password“ wird für den Fall benötigt, dass das Zertifikat abhanden gekommen ist, und man es zurückziehen möchte
• Beim Klick auf „Next“ erzeugt der Browser einen Zertifikatsrequest und sendet diesen an den Server.
• Sie erhalten nun in den nächsten Minuten eine E-Mail von Comodo. Dies ist notwendig um sicher zu stellen, dass Ihnen diese Adresse auch tatsächlich gehört.
• Klicken Sie auf den Link „Click and Install…“ in der Email. Bestätigen Sie ggf. die Frage des Browsers ob ein Zertifikat installiert werden soll.
  
• Starten Sie nun Outlook, wechseln in die Sicherheitseinstellungen zu Digitale ID und wählen das Comodo Zertifikat. In Outlook 2010 klicken Sie Optionen|Sicherheitscenter|Einstellungen für das Sicherheitscenter|E-Mail-Sicherheit|Einstellungen
  
• Browser wie Firefox haben ihren eigenen Zertifikatsspeicher, sodass das Zertifikat zuerst aus dem Browser exportiert und in Outlook importiert werden muss.
• Machen Sie am besten das Signieren der E-Mail hier zum Default.
• Exportieren Sie das Zertifikat mit dem Button „Importieren/Exportieren“ in eine Datei, um dieses Zertifikat auf anderen Geräten ebenfalls zu verwenden.

Das Zertifikat ist installiert, und die Verschlüsselung ist Einsatzbereit. Um nun eine verschlüsselte E-Mail zu Versenden ist es notwendig vom Adressaten dessen öffentlichen Schlüssel zu erhalten.

Dazu reicht eine erhaltene, signierte E-Mail. Ebenso ist es notwendig dem Adressaten den eigenen Schlüssel via signierter Nachricht kenntlich zu machen.

Ausgehende Nachrichten werden mit dem öffentlichen Schlüssel des Adressaten verschlüsselt. Erst der Empfänger kann mit dem privaten Schlüssel diese E-Mail wieder lesen. Deswegen ist die sichere Verwahrung des vorher exportierten Zertifikats enorm wichtig.

Aktualisierung August 2020: Commodo stellt keine weiteren kostenlosen Zertifikate mehr aus (bzw. nur noch 30 Tage). Eine weitere Quelle für kostenlose Zertifikate ist hier.

Verschlüsselung auf Transportebene

Diese Verschlüsselung auf Basis TLS/SSL arbeitet auf der sogenannten Transportschicht (OSI Layer 4). Auf diesem Verfahren aufbauend werden verschiedene Protokolle verschlüsselt: HTTPS, IMAPS, … Damit wird aber „nur“ die Verbindung auf dem Transportweg verschlüsselt. Die Nachricht ist also auf dem Weg vom E-Mail-Server zu Ihrem Mail-Client (z.B. Outlook) verschlüsselt, liegt aber auf dem Server nach wie vor unverschlüsselt vor oder wird möglicherweise noch unverschlüsselt an den Ziel-Server weitergeleitet. Ein Angreifer kann die Nachricht also nicht mehr aus dem Netzwerkverkehr zwischen Ihnen und dem Server mitlesen, dafür aber direkt auf dem Server oder bei der Weiterleitung an den Adressaten abfangen (oder noch schlimmer : manipulieren!).

Die Initiative E-Mail made in Germany stellt durch diverse Maßnamen nun sicher, dass zumindest die Nachrichten zwischen den Servern der größten deutschen Anbieter sicher weitergeleitet werden. Bietet der Zielserver allerdings diese Verschlüsselung nicht an oder steht im Ausland, gehen Ihre Daten potentiel wieder unverschlüsselt durch das Internet. Auch wenn die Initiative ein Schritt in die richtige Richtung ist, gibt es deswegen auch viel Kritik.

Grundsätzlich ist TLS/SSL aber wichtig, damit wird der komplette Traffic zum Server verschlüsselt – inklusive Benutzername und Passwörter.

Stellen Sie also sicher, dass diese Optionen bei Ihnen aktiviert sind.

E-Mail-Verschlüsselung:

SMIME/PGP sind hier die populärsten Vertreter. Bei diesen beiden Techniken handelt es sich um zwei grundsätzlich ähnliche, zueinander aber inkompatible Verfahren zum Verschlüsseln der E-Mail auf der Anwendungsebene (OSI Layer 5-7). Erst hier findet eine echte Verschlüsselung der E-Mail selbst statt. Ihr E-Mail-Client, Ihr Rechner verschlüsselt die E-Mail selbst, schickt Sie dann (idealerweile via TLS/SSL) an den Server der Sie dann weiterleitet.

Ob nun der Weg Richtung Ziel-Server auf Transport-Ebene verschlüsselt ist oder nicht, interessiert hier weniger. Einzig der Adressat selbst auf seinem Rechner kann die Nachricht wieder lesen. Zudem ist die Nachricht vor Manipulation geschützt, da die Daten mit Hilfe der beteiligten Zertifikate nicht nur verschlüsselt, sondern zudem auch noch signiert werden.

Bevor Sie nun sofort anfangen die Verschlüsselung zu implementieren, sind noch ein paar Vorüberlegungen notwendig. Die gänigen Desktop Clients beherschen S/MIME aus dem Stand. Für PGP benötigt es dann schon Plugins. Bei den Handys wird es dann schon dünner. Abhängig vom Smartphone-Betriebssystem funktioniert das mehr oder weniger gut. Wenn allerdings das Smartphone die Verschlüsselung nicht unterstützt, landen auf Ihrem Handy Nachrichten, die Sie dort nicht lesen können – damit wird die ganze Verschlüsselung unkomfortabel.

Lesen Sie im nächsten Beitrag wie Sie die nötigen Zertifikate für S/MIME installieren.