Open Source im professionellen Einsatz

Neue Mail-Verschlüsselung bei Posteo

09.04.2015

Der E-Maildienst Posteo führt eine neue Verschlüsselungsoption ein: Den Posteo-Krypto-Mailspeicher. In den kommenden Wochen wird Posteo die Funktion schrittweise für alle Postfächer freischalten.

300

Mit der neuen, passwortbasierten Verschlüsselung erhöht der Provider die Sicherheit der E-Mail-Daten noch einmal: Der Krypto-Mailspeicher ermöglicht es Posteo-Kunden, sämtliche E-Mail-Daten auf Knopfdruck individuell zu verschlüsseln. Die Verschlüsselung umfasst sowohl die Inhalte und Anhänge aller bei Posteo gespeicherten E-Mails als auch die dazugehörigen Metadaten (wie z.B. die Betreffzeile oder der E-Mail-Header). Neben sämtlichen E-Mails in allen Postfach-Ordnern werden auch alle neu hinzukommenden E-Mails verschlüsselt.

Der Krypto-Mailspeicher eignet sich auch für Menschen ohne besondere Technikkenntnisse. Sobald ein Posteo-Kunde seinen Krypto-Mailspeicher in den Einstellungen aktiviert, erzeugt Posteo automatisch ein individuelles Schlüsselpaar für den Kunden. Mit diesem verschlüsselt der Provider alle E-Mail-Daten. Der Schlüssel, der die E-Mails wieder lesbar machen kann, liegt durch das persönliche Passwort des Kunden geschützt in der Posteo-Datenbank. Somit kann nur der Kunde auf seinen verschlüsselten E-Mailspeicher zugreifen.

Der Krypto-Mailspeicher ist ein durch Posteo entwickeltes Plugin für den verbreiteten Open-Source-Mailserver Dovecot. Die asymmetrische Verschlüsselung erfolgt mit Hilfe von RSA, die symmetrische Verschlüsselung sowie die Authentifizierung wurden mit AES und HMAC realisiert. Das Hashen erfolgt mit Bcrypt.

Darüber hinaus hat der E-Mailanbieter vorab die rechtliche Lage prüfen lassen. Das Ergebnis: In Deutschland können E-Mailanbieter, anders als z.B. in Großbritannien oder in den USA, nicht dazu gezwungen werden, Verschlüsselung zu "brechen". "Unseren Krypto-Mailspeicher haben wir technisch so realisiert, dass die durch den Kunden veranlasste Verschlüsselung aller E-Mail-Daten durch Posteo nicht wieder entfernt werden kann", erklärt Patrik Löhr von Posteo. "Aus Transparenzgründen ist der Code der Verschlüsselung außerdem veröffentlicht und einsehbar - dies entspricht unserer Open-Source-Strategie und ist in der Post-Snowden-Zeit als vertrauensbildende Maßnahme unerlässlich", so Löhr weiter.

Ähnliche Artikel

  • Stiftung Warentest muss Mailprovider-Test zurückziehen

    Die Stiftung Warentest muss nach peinlichen Fehlern in einem Test von E-Mail-Anbietern das einschlägige Heft aus dem Verkauf zurückziehen.

  • Mail verschlüsseln

    Abseits der sozialen, überwiegend privat genutzten Medien bleibt in der geschäftlichen Korrespondenz E-Mail die Nummer eins. Entsprechend groß ist der Schaden, wenn es Dritten gelingt, Nachrichten abzufangen oder beim Provider gespeicherte IMAP-Folder abzuschnorcheln.

  • PGP für Dummies

    E-Mail-Verschlüsselung im Stil von PGP und Gnu PG überfordert die meisten Anwender. Zudem ist sie mit den verbreiteten Webmail-Services wie Google Mail nicht benutzbar. Das Freenigma-Projekt integriert One-Click-Verschlüsselung in öffentliche Webmail-Dienste.

  • Krypto-Fails

    In den meisten Fällen haben es Angreifer gar nicht nötig, kryptographische Verfahren, Algorithmen oder Schlüssel zu brechen – fast immer gibt es alternative Wege, die es ihnen deutlich einfacher machen. Die Gründe dafür sind vielfältig, eine Lösung ist nicht in Sicht.

  • Clients

    Ob private oder betriebliche Kommunikation – das Unbehagen wächst. Denn Geheimdienste und Mitbewerber trachten danach, aus dem Urgestein E-Mail eine sprudelnde Quelle abzuschöpfen. Der Schwerpunkt dieser Ausgabe informiert über mögliche Gegenmaßnahmen. Los geht es mit verschlüsselnden Clients.

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.