E-mails zu Kunden mit End-to-End Verschlüsselung

[Daniel Albert]

Hallo, ich verwende "noch" M365 und Outlook in der Kommunikation mit meinen Kunden.
Nun suche ich eine End-to-End Verschlüsselung die auch von allen großen Providern wie Freenet, gmail, gmx usw. verwendet wird.

Microsoft bietet dafür eine Zusatzlizenz Azure Information Protection Plan 1 an. Ich bin mir nicht sicher ob das auch richtig ist.
Eigentlich dachte ich immer das die End to End von allen großen Providern eh schon gegeben ist.

Es muss ein Verschlüsselung sein die alle Provider können sonst macht das keinen Sinn

Was wäre denn der richtige Weg?

 

[andy_m4]

Nun suche ich eine End-to-End Verschlüsselung die auch von allen großen Providern wie Freenet, gmail, gmx usw. verwendet wird.

Ende-zu-Ende-Verschlüsselung ist es ja eigentlich nur dann, wenn keine Provider involviert ist.
Weil so bald es in die Richtung geht: "Jemand macht (aus Kormfortgründen) die Verschlüsselung/Entschlüsselung für mich", ist es keine Ende-zu-Ende-Verschlüsselung mehr.

 

[snakesh1t]

Nennt sich S-MIME Zertifikat und ist Mailclient-abhängig.
Es wird ein Zertifikat im Mailclient (z.B. Thunderbird oder Outlook) installiert und es ist egal welche Domain oder Provider vorhanden ist.
Aber dafür müssen beide Parteien ein S-MIME Zertifikat haben.

Bei PGP oder co. läuft im Hintergrund ein Programm, das ist bei S-MIME nicht nötig.

 

[CoMo]

Es muss ein Verschlüsselung sein die alle Provider können sonst macht das keinen Sinn

Nun suche ich eine End-to-End Verschlüsselung die auch von allen großen Providern wie Freenet, gmail, gmx usw. verwendet wird.

Wie schon erwähnt, macht das keinen Sinn. End-to-End bedeutet das, was der Name andeutet. Welches Übertragungsmedium oder Provider dazwischensitzt, ist völlig irrelevant.

Du hast die Wahl zw. S/MIME und GPG.

https://www.bsi.bund.de/DE/Themen/V...is/e-mail-verschluesselung-in-der-praxis.html

 

[qiller]

GPG

GPG

PGP

GPG 4 Win ist eine Programminstallation für Windows, die PGP und Schlüsselmanagement zur Verfügung stellt.

/klugscheiß

 

[CoMo]

PGP ist der Name des ursprünglichen von Phil Zimmermann entwickelten kommerziellen Produkts. OpenPGP ist der daraus hervorgegangene offene Standard. GPG ist die quelloffene Implementierung des OpenPGP-Standards. Nicht nur auf Windows, sondern auf allen Betriebssystemen. Es ist also völlig korrekt, von GPG zu sprechen.

 

[Cat Toaster]

Hallo, ich verwende "noch" M365 und Outlook in der Kommunikation mit meinen Kunden.
Nun suche ich eine End-to-End Verschlüsselung die auch von allen großen Providern wie Freenet, gmail, gmx usw. verwendet wird.

Was die "alle" nutzen ist Transportverschlüsselung. Sogar Microsoft tut das. Das bedeutet die Mailserver untereinander übertragen die Daten verschlüsselt.

Ende2Ende ist ein ganz anderes Brett. Damit verschlüsselst DU Deine Emails mit Deinem eigenen Schlüssel. Nur damit der Empfänger Deine Email entschlüsseln kann, muss er ein entsprechendes Gegenstück haben. Das ist IMMER gefuchtel am Endpunkt, und zwar an jedem einzelnen.

 

[qiller]

Damit verschlüsselst DU Deine Emails mit Deinem eigenen dem öffentlichen Schlüssel des Empfängers.

 

[snakesh1t]

Zum Verständnis: man verschlüsselt nie mit dem eigenen Schlüssel sondern mit dem (öffentlichen) Schlüssel des Gegenübers.
Ich nehme bei S-MIME gerne die Metapher "Schlüssel" (privater Schlüssel, nur bei einem selbst hinterlegt) und "geöffnete Schlösser" (öffentlicher Schlüssel, den man an andere verteilt z.B. durch Email signieren).
Man selbst behält den Schlüssel und verteilt an andere Personen geöffnete Schlösser, so dass die anderen Personen Mails an einem selbst mit dem geöffneten Schloss geschlossen werden kann. Und nur man selbst kann es mit dem Schlüssel öffnen. Aber vorher müssen beide Parteien die geöffneten Schlösser austauschen.

 

[Daniel Albert]

Optimierte Fassung:

Vielen Dank für die Erklärung. Dann war ich hier offenbar auf dem Holzweg.

Eine Ende-zu-Ende-Verschlüsselung funktioniert – wie ihr bereits geschrieben habt – nur mit Personen, die ebenfalls über den entsprechenden Schlüssel bzw. das erforderliche Zertifikat verfügen. Für meinen Anwendungsfall ist das daher kaum praktikabel, da ich täglich mit neuen Kunden per E-Mail korrespondiere.

Mir ging es in erster Linie um die neue EU-Regelung zur sogenannten „Chatkontrolle“. So wie ich das verstanden habe, könnten davon auch E-Mails betroffen sein, die nicht Ende-zu-Ende-verschlüsselt sind. Allerdings wird mir gerade klar, dass es dabei nicht um den Übertragungsweg geht – dieser ist, wie ihr beschrieben habt, zwischen den Mailservern in der Regel bereits transportverschlüsselt. Vielmehr scheint der Ansatz zu sein, dass große Anbieter unverschlüsselte Inhalte, die auf ihren Servern gespeichert werden, automatisiert nach bestimmten Merkmalen oder Schlagwörtern durchsuchen.

Wenn ich das richtig verstanden habe, könnte ich eine solche Inhaltsanalyse nur durch eine echte Ende-zu-Ende-Verschlüsselung mittels Zertifikaten oder eines vergleichbaren Verfahrens verhindern. Genau das ist in meinem Fall jedoch nur schwer umsetzbar.

Ist meine Einschätzung soweit korrekt?

 

[Cat Toaster]

Jein. Aber für Email zu Neukontakten ist SMIME eher Grütze. Zur Verschlüsselung mit Stammkontakten erträglich.

Zur Chat-Kontrolle: Es ist viel schlimmer, denn diese erlaubt Endgeräte direkt zu überwachen, bevor der Inhalt im Messenger überhaupt erst verschlüsselt wird. Und das aus bloßem Verdacht (anlasslos!), ohne richterliche Anordnung.


Die Mechanismen unterscheiden sich je nach rechtlicher Säule:

1. Die Übergangsregelung (Chatkontrolle 1.0):
   
   Diese Regelung erlaubt es Anbietern wie Google, Meta oder Microsoft freiwillig und ohne richterliche Anordnung, unverschlüsselte Dienste (wie Gmail, Outlook oder Direct Messages auf Instagram) automatisiert nach bekanntem Missbrauchsmaterial zu durchsuchen. Nach einem heftigen Tauziehen im EU-Parlament wurde diese Übergangslösung im Juli 2026 bis April 2028 verlängert. Ein Änderungsantrag, der für diese Scans verpflichtende richterliche Beschlüsse gefordert hatte, verfehlte knapp die absolute Mehrheit.
   
   
2. Die geplante permanente Verordnung (Chatkontrolle 2.0):
   
   Hier sollen nationale Behörden die Befugnis erhalten, sogenannte Detektionsanordnungen (Detection Orders) gegen Messenger-Dienste auszusprechen. Die Plattformen müssten dann die Kommunikation aller Nutzer präventiv scannen.

Und wenn halt jemand direkt mittels "Staatstrojaner" auf Deinem Gerät mitlesen könnte, dies anlasslos legal wäre, da nützt Dir dann die beste Verschlüsselung nix.

 

[Daniel Albert]

OK können die den Staatstronjaner einfach so installieren oder muss ich da was unbeabsichtigt anklicken?

 

[Piktogramm]

@Daniel Albert Die Chatkontrolle 1 erlaubt es den Anbietern der Software bereits das Installieren dieser Überwachungsmaßnahme und Chatkontrolle 2 verpflichtet die Softwareanbieter bedingt.

Die Software selbst ist der Trojaner.

 

[Evil E-Lex]

Mir ging es in erster Linie um die neue EU-Regelung zur sogenannten „Chatkontrolle“.

Die jetzt beschlossene Regelung "Chatkontrolle 1.0" ist nicht neu, sondern setzt nur die bis April 2026 geltende Ausnahme wieder in Kraft. Für die Überwachung von E-Mails braucht es die aber gar nicht, dafür gibt es schon seit Jahren § 100a StPO.