Kurzcheck für mehr E-Mail-Sicherheit

Kurzcheck für mehr E-Mail-Sicherheit

Spam-Mails sind der Hauptgrund für die Infizierung von Computern durch Schadprogramme. Ransomware steht dabei an der Spitze, die durch schadhafte Mail-Anhänge ganze Systeme infizieren. Zu diesem Ergebnis kommt eine aktuelle Befragung des Bundesamts für Sicherheit in der Informationstechnik (BSI) durch die Allianz für Cyber-Sicherheit. Die Auswirkungen reichen vom Befall einzelner Arbeitsplatzrechner über den Ausfall von Teilen der IT-Infrastruktur bis hin zum Totalverlust wichtiger Daten. Häufige Ursache ist der Mensch, welcher zu unbedacht die elektronische Post öffnet.

Mit einem Kurzcheck der E-Mail können Sie das Risiko einer Infizierung schon stark mindern. Dazu müssen Sie sich folgende Fragen beantworten, bevor Sie eine E-Mail öffnen.

  1. Ist der Absender bekannt?
  2. Ist der Betreff sinnvoll?
  3. Wird ein Anhang von diesem Absender erwartet?

Kurzcheck

In Kombination liefern die Antworten dieser Fragen einen guten Anhaltspunkt für die Entscheidung, ob Sie die E-Mail als vertrauenswürdig einzustufen können.

In vielen Spam-Mails ist der Betreff bewusst vage formuliert, damit Sie als Empfänger neugierig werden. Dabei werden Formulierungen gewählt wie “Ihre Rechnung”, “Mahnung”, “Dringende Nachricht” oder “Fax”. Hier ist von Ihnen besonders kritisch zu hinterfragen, ob eine Nachricht vom jeweiligen Absender sinnig erscheint, vor allem wenn Mail-Anhänge beigefügt sind. Erhalten Sie beispielsweise eine E-Mail mit dem Betreff „Mahnung“ von einem Dienstleister, den Sie kennen, aber keine Zahlung offen haben, könnte dies ein Hinweis für eine Spam-Mail sein. Auch schlecht formulierte E-Mails sind ein klarer Hinweis auf Spam-Mails. Daher ist es wichtig, dass Sie jede E-Mail hinterfragen: Ergibt die Überprüfung der drei Checkpunkte Absender, Betreff, Anhang kein stimmiges Bild, sollten Sie die E-Mail noch vor dem Öffnen löschen. Selbst der kleinste Zweifel sollte Anlass sein, diese E-Mail nicht zu öffnen. Alternativ besteht auch die Möglichkeit, persönlich beim Absender nachzufragen oder einen Experten über die E-Mail schauen zu lassen. Im Unternehmen könnte dazu die IT-Abteilung oder der IT-Dienstleister kontaktiert werden. Dazu werden u. a. die Meta-Daten der E-Mail überprüft, in der klar hervorgeht, woher die E-Mail wirklich kommt.

Spam-Mail angeklickt, was nun?

Manchmal kommt es dann doch vor, dass Sie auf eine sehr gut gestaltete Spam-Mail reinfallen und diese anklicken bzw. auf einen in der Spam-Mail enthaltenen Link oder sogar einen Anhang. Dann ist Vorsicht geboten. Wie Sie damit umgehen, habe ich in einem weiteren Beitrag in diesem Blog beschrieben.

E-Mail-Verschlüsselung leicht gemacht mit EasyGPG

cyber-securityE-Mail-Verschlüsselung ist ein wichtiger Baustein für die Vertraulichkeit, Integrität und Authentizität bei der Kommunikation via E-Mail. Aber nur die sogenannte Ende-zu-Ende-Verschlüsselung (E2E-Verschlüsselung) kann das gewährleisten. Übliche E-Mail-Programme bringen diese Funktion in der Regel nicht automatisch mit. Wenn Sie Ihre E-Mails verschlüsseln möchten, können Sie Ihr E-Mailprogramm wie z. B. Outlook oder Mozilla Thunderbird aber mit wenig Aufwand aufrüsten. Eine Teil-Verschlüsselung erfolgt allerdings schon während des Transports der E-Mail zum Empfänger.

Transportverschlüsselung nicht ausreichend

Mittlerweile Standard ist die sog. Transportverschlüsselung, in der die E-Mailprovider zwischen den Knotenpunkten des Nachrichtenweges die Verbindungen verschlüsseln. Allerdings werden die E-Mails auf den Servern der Provider unverschlüsselt zwischengespeichert. Und damit sind die E-Mails lesbar und können gelesen und manipuliert werden.

Nichtdestotrotz ist eine Transporverschlüsselung wichtig und sollte mit dem Verschlüsselungsprotokoll TLS mindestens in der Version 1.2 erfolgen. Welche Transporverschlüsselung zur Verfügung steht, können Sie bei Ihrem E-Mailprovider erfragen.

E-Mail-Verschlüsselung mit EasyGPG

Ein Verfahren zur E-Mail-Veschlüsselung ist das OpenPGP, bei dem es ein Schlüsselpaar gibt, mit dem Sender und Empfänger die E-Mail ver- und entschlüsseln. Dieses Verfahren wird auch asymmetrisches Verfahren genannt, da Sender und Empfänger zwei unterschiedliche Schlüssel verwenden. Verschlüsselt wird mit dem öffentlichen Schlüssel des Empfängers über den auch dessen Signatur geprüft werden kann. Mit dem zweiten sog. privaten und geheimen Schlüssel, den nur der Empfänger besitzt und durch ein Passwort geschützt ist, entschlüsselt dieser die erhaltene E-Mail.

Der Austausch der öffentlichen Schlüssel ließ sich bisher in der Praxis nicht so einfach realisieren und ein einheitlicher Übertragungstandard existiert auch nicht. Mit dem Verschlüsselungsverfahren „EasyGPG“ hat das BSI den Vorgang des öffentlichen Schlüsseltausches vereinfacht und eine Möglichkeit geschaffen, diesen direkt über den E-Mail-Anbieter wie z. B. posteo.de oder  mailbox.org automatisiert versenden zu lassen. Natürlich lässt sich “EasyGPG” auch in gängigen E-Mailprogrammen wie bei Thunderbird mit Enigmail und bei Microsoft Outlook mit dem freien Plugin Gpg4win integrieren. Weitere Informationen zum “EasyGPG” finden Sie auf der BSI-Webseite sehr anschaulich erklärt.

Alternative S/MIME

Das S/MIME (Secure/Multipurpose Internet Mail Extensions) Protokoll ist eine Alternative zum “EasyGPG” und funktioniert ähnlich wie das o. g. Verfahren mit einem Schlüsselpaar. Diese Funktion wird ebenfalls auch von gängigen E-Mailprogrammen unterstützt. Allerdings werden die benötigten Schlüsselpaare dabei üblicherweise nicht von den Nutzern selbst erzeugt und verteilt, sondern von Organisationen oder Firmen und sind zumeist kostenpflichtig. Daher eignet sich S/MIME vor allem für Unternehmen oder Behörden und weniger für den privaten Gebrauch.