E-Mails verschlüsselt senden: keine praktikable Lösung in Sicht

Grundsätzlich ist sich die Fachwelt einig, dass ein asymmetrisches Verschlüsselungsverfahren genutzt werden muss. Dabei sind der Schlüssel zum Verschlüsseln und Entschlüsseln unterschiedlich. Den Schlüssel zum Verschlüsseln nennt man öffentlichen Schlüssel. Diesen kann man weitergeben. Man bittet Absender vertraulicher E-Mails einfach darum, die E-Mail mit dem öffentlichen Schlüssel zu verschlüsseln. Der Schlüssel zum Entschlüsseln wird privater Schlüssel genannt. Ihn muss man geheim halten und kann damit jede E-Mail, die mit dem öffentlichen Schlüssel verschlüsselt wurde, in Klartext zurückverwandeln.

Das hört sich auf den ersten Blick gut an. Allerdings gibt es zwei Standards. Zum einen S/MIME nach RFC 3851, zum anderen OpenPGP nach RFC 4880. S/MIME ist in den meisten kommerziellen E-Mail-Clients, etwa Microsoft Outlook, implementiert. Die Open-Source-Gemeinde bevorzugt OpenPGP basierend auf Pretty Good Privacy (PGP). Statt des kommerziellen PGP kommt meist der Open-Source-Klon Gnu Privacy Guard (GPG oder GnuPG) zum Einsatz. Die Standards S/MIME und OpenPGP sind von der Funktionsweise weitgehend identisch, aber leider inkompatibel.

Die Vorgehensweise bei einer asymmetrischen Verschlüsselung ist nicht gerade praktikabel, da man vor dem Versenden einer vertraulichen E-Mail an den öffentlichen Schlüssel des Empfängers kommen muss. Schreibt man einem Empfänger etwa eine E-Mail mit dem Inhalt "Ich habe eine vertrauliche Nachricht für Sie, bitte schicken Sie mir Ihren öffentlichen PGP-Schlüssel", so wird man in der Regel die Antwort "Was ist ein PGP-Schlüssel?" bekommen.

Um breite Akzeptanz eines Standards zu erreichen, muss man eine einfache Lösung schaffen, die es einem Absender ermöglicht, an den öffentlichen Schlüssel zu kommen. In der Kombination Outlook/Exchange gibt es beispielsweise die Möglichkeit, einen öffentlichen Schlüssel in der Global Address List (GAL) zu veröffentlichen. Andere Anwender können diesen Schlüssel automatisch auslesen. Leider ist die Global Address List nicht ganz so global, wie der Name vermuten lässt. Dort befinden sich im günstigsten Fall alle E-Mail-Empfänger einer Firma.

Nicht viel besser sieht es in der OpenPGP-Welt. Die PGP Corporation als kommerzieller Anbieter bietet einen Dienst, der es erlaubt, seinen öffentlichen Schlüssel mitsamt der E-Mail-Adresse zu veröffentlichen. Darüber hinaus existieren einige weitere nicht kommerziell betriebene Server. Beide Angebote werden kaum genutzt. Die Chance einen Empfänger dort zu finden, ist verschwindend gering.

Im Endeffekt bedeutet das, dass man bei der E-Mail-Verschlüsselung im Wesentlichen darauf beschränkt bleibt, E-Mails in einer geschlossenen Benutzergruppe verschlüsselt auszutauschen. Solange sich kein einheitlicher Standard durchsetzt, der auch die Abfrage von öffentlichen Schlüsseln zu einer E-Mail-Adresse ermöglicht, bleiben viele Datenschutzprobleme bestehen. Dazu gehört vor allem, dass viele Dienste im Internet, bei denen man sich registrieren muss, einfach unverschlüsselte Benutzernamen und Passwörter versenden.

Um dieses Problem zu lösen, müssen auch automatisierte Programme in die Lage versetzt werden, solche Abfragen durchzuführen. Anbieten würde sich eine auf DNS basierende Lösung. So könnten beispielsweise NAPTR-Records zu einer E-Mail-Adresse einen URI zurückliefern. Dieser URI kann zur Abfrage von öffentlichen Schlüsseln genutzt werden. So würde ermöglicht, dass die Verwaltung von öffentlichen Schlüsseln dezentral erfolgt. Davon ist man jedoch heute weit entfernt.