News „E-Mail made in Germany“ startet am 31. März

[Retaliator_75]

Danke für den YT Link!

Verteile den direkt unter Freunden.

 

[highks]

@Retaliator_75, schau dir auch die anderen Talks von der 30C3 an, vor allem die zu Sicherheit und Verschlüsselung. Die meisten sind mit relativ wenig Kenntnis der Materie noch ganz gut verständlich, und man hat oft auch was zu lachen dabei

es ist heute möglich, die e-mails ohne Verschlüsselung in Echtzeit zu lesen, also genau in dem Moment wo der Sendeknopf gedruckt wird, wird die e-mail "erst" gesendet, dann nutzlos entschlüsselt.

Häh? Natürlich kann ich Emails ohne Verschlüsselung in Echtzeit lesen. Aber wozu wird die nicht verschlüsselte Mail dann noch entschlüsselt? Folgt diese Aussage einer Quantenlogik?

 

[ThomasK_7]

Ich bin mit einem Mailpaket Kunde bei 1&1 und die haben im Februar 2014 die Mails auf SSL umgestellt bzw. ich wurde aufgefordert, dies in meinem Mailprogramm zu aktivieren und das habe ich auch getan. Warum kommt 1&1 nicht direkt in der Firmenauflistung in der News vor? Bin nicht so der Fachmann auf dem Gebiet und wundere mich etwas.

 

[highks]

Vielleicht war es 1&1 im Gegensatz zu den anderen Anbietern doch eher peinlich, es so groß in die Welt zu tragen, dass sie jetzt endlich uralte Mindeststandards für Sicherheit umsetzen?

Das würde in dem Fall stark für 1&1 sprechen!

 

[promashup]

Flame Flame Flame
Immerhin tut sich überhaupt etwas, das sollte man den Providern zu Gute schreiben.

 

[Kane3k]

@ThomasK_7 1und1 gehört zu United Internet.

Ich persönlich finde es relativ schwachsinnig SSL unbedingt vorzuschreiben. Wenn man die How-Tos usw. anpasst auf SSL dann sollte das reichen, vor allem da jeder bessere E-Mailclient bei der Einrichtung von alleine überprüft ob SSL/TLS geht...
Aufgrund dieser tollen Umstellung muss ich mir gerade ein MailRelay von non-SSL zu SSL basteln, weil hier einige alte Software läuft die Statusemails versendet, aber kein SSL kann.
Die sollten auf jeden Fall auf Nachfrage einen Server ohne SSL zur Verfügung stellen.

 

[BlooDFreeZe]

@promashup
Nein sollte man nicht. Die Technik ist seit Jahren schlecht implementiert (bzw. nicht auf dem aktuellen Stand) und die Provider haben sich einfach nicht getraut die Verschlüsselung als Pflicht umzusetzen, weil sie Angst haben, dass die Kunden die neue Konfiguration nicht hinkriegen. Jetzt versucht man den Skandal mitzunehmen und so etwas als sicher bzw. revolutionär anzupreisen, dabei schalten sie prinzipiell einfach nur ein paar Funktionen ab.

 

[duskkk]

Selbst ohne wirkliche Sachkenntnis müsste eigentlich jeder wissen, dass
- es keine unknackbare Verschlüsselung gibt
- es egal ist, wie eine Email nun verschickt wird, da die Geheimdienste ohnehin Zugriff auf sämtlichen deutschen Datenverkehr haben

Dennoch werden wahrscheinlich nicht wenige glauben, dass damit all deren Sicherheitsprobleme gelöst sein werden...

Das ist mit Verlaub einfach dumm. Gerade gegen den Zugriff auf den deutschen Datenverkehr hilft was die Betreiber hier tun. Zugriff auf Backbones also den Datenverkehr ist nicht gleichbedeutend mit Zugriff auf jeden Server in Deutschland. Wenn GMX, Web.de, und Co ihre Server der NSA nicht öffnen dann können sie nichts lesen.
Eine unknachbare Verschlüsselung gibt es sehr wohl. Auch mathematisch bewiesen z.B. One time pad. In der Regel ist das Ziel aber nicht unknackbar sondern unfeasible. Der Aufwand soll hoch genug sein damit es sich nicht lohnt. Der enorme Datenverkehr der über ein Backbone läuft macht selbst schon eigentlich für unsicher erachtete 56bit DES Verschlüsselung quasi unknackbar.

Alles in allem versteh ich die Beschwerden nicht außer vielleicht, dass sie als "neues" Feature verkaufen was eigentlich Standard sein sollte. Trotzdem End to End Verschlüsselung können sie nicht anbeiten und nicht nur weil die Bundesregierung gerne die Option auf Serverzugriff hat. Die meisten der Dienst leben von Werbung und wollen damit wie Google auch für ihr Data Mining verarbeitbare Mails. Ebenso jeder Service der ein Webmail anbietet kann keine solche Verschlüsselung anbieten. Man könnte sonst sein GMX Konto nicht mehr durchsuchen ohne das spezielle Algorithmen genutzt werden (das machen die nicht, dafür fehlt das Know-how und der Wille) oder alle Mails herunterzuladen.
Ganz einfach mit den Zertifikaten ist es auch nicht und man kann soetwas nicht jedem aufzwingen, den meisten Leuten ist diese extra Sicherheit der Privatsphäre den Aufwand nicht wert. "Ich hab mein Passwort vergessen" = Pech gehabt mit End to End.

Den online Versand von so lächerlich kleinen Daten wie Mails zu verschlüsseln sollte, das mindeste sein und die Datenverkehr Anzapfer sind besiegt zumindest was den Inhalt angeht und recht viel mehr kann man nicht erwarten. Briefverkehr war auch nie anonym.

Es sollten einige hier mal Arstechnica oder andere mehr technisch orientierte Webseiten lesen, ich finde es immer wieder verrückt wie massiv die Fähigkeiten der Geheimdienst im Glauben mancher überhöht sind.
Nur weil Mails am Server unverschlüsselt liegen heißt es noch lange nicht das die NSA einfach so Zugriff erhält.
Hier ein Artikel wie die NSA abseits von FISA (richterlicher Beschluss) in den USA an Yahoo Konten gelang.
http://arstechnica.com/information-...r-tapped-googles-and-yahoos-private-networks/
Wenn das private network verschlüsselt ist, dann ist der Zugang auf die Art ein Problem und GMX, web.de,.. ist wohl kaum wichtig genug um mehr Aufmerksamkeit als die US-eigenen Dienst wie Yahoo, AOL, Google zu bekommen.

 

[c137]

Leider gibt es keine Alternative in dieser Hinsicht, außer in eine Höhle zu ziehen.

PGP oder S/MIME. Klappt leider nur, wenn der Empfänger bzw. Gesprächspartner mitmacht.

Es ist also SCHLECHT, das SSL aufgezwungen wird? Nein ist es nicht! Es ist ein erster Schritt

Ja, besser als nichts ist es. Aber wirklich effektiv ist's nun auch wieder nicht (3DES wtf).

Wer sicher kommunizieren will nimmt PGP oder S/MIME und verschlüsselt Ende zu Ende!

Bei S/MIME ist halt das Zertifikaproblem da. Man muss sich das schon selber erstellen, denn ein per SSL übertragener Private Key kann natürlich auch mitgelesen werden.

 

[dMopp]

Das es nicht der Heilsbringer ist, ist mir vollends bewusst. Wenn man aber überall Zwangsverschlüssung voraussetzt (zB http 2.0) sind wir nen großen Schritt weiter

 

[BlooDFreeZe]

Das ist mit Verlaub einfach dumm. Gerade gegen den Zugriff auf den deutschen Datenverkehr hilft was die Betreiber hier tun. Zugriff auf Backbones also den Datenverkehr ist nicht gleichbedeutend mit Zugriff auf jeden Server in Deutschland. Wenn GMX, Web.de, und Co ihre Server der NSA nicht öffnen dann können sie nichts lesen.

Naja, vllt. hat die NSA keinen Zugriff, aber die deutschen Geheimdienste auf jeden Fall. Da die deutschen Geheimdienste garantiert Daten mit der NSA austauschen.....Davon abgesehen gibt es die Verschlüsselung nur zwischen großen Providern und vor Hackerangriffen sind die Daten sowieso nicht sicher. Mich würds auch nicht wundern wenn sich die NSA schon Zugriff auf Server von gewissen Anbietern verschafft hat. Selbst gehachkt selbstverständlich. Die einzige richtige Reaktion auf den ganzen Skandal wäre eine Ende zu Ende Verschlüsselung. Dann müssen die Anbieter halt anders an Informationen für Werbung kommen bzw. andere Geldquellen suchen.

 

[dipo]

mit solchen actionen blamiert sich deutschland weltweit.... wer nimmt Deutschland denn heute noch für voll, traurige Entwicklung

 

[McMOK]

Nette PR, aber total Sinnlos, die Technik Existiert bereits schon mindestens 20 Jahre! Bei google ist das schon lange Standard.

Das „E-Mail made in Germany“ bringt Null Sicherheit für den Bürger.

 

[Miuwa]

Zum Anderen ist die umgesetzte Lösung nur gegen die Spionage von Inhalten gewappnet, nicht aber gegen die oft für Behörden besonders interessante Spionage von Metadaten. Also die Information darüber, wer wem wann und von wo aus eine E-Mail geschickt hat.

@CB:
Verstehe ich nicht. Alle im Artikel genannten Protokolle implementieren meines Wissens die Verschlüsselung auf der Transportschicht und das bedeutet, dass Inhalt UND Metadaten verschlüsselt werden. Von außen kann man nur sehen, dass ein Nutzer mit seinem Email Server kommuniziert und dass die Server untereinander kommunizieren, wie man daran Absender und Empfänger festmachen soll ist mir schleierhaft. Von innen (GMX, Telekom) kann man natürlich weiterhin alles lesen (also wieder Metadaten+Inhalt).
Kann es sein, dass das mit der Thematik über die End-to-End Verschlüsselung via PGP und SMIME verwechselt wurde?

Davon abgesehen finde ich es schon traurig, dass
1) das nicht schon längst zum Standard gehört
2) bei der Umsetzung nicht auf modernere Algorithmen gesetzt wurde (zumindest als default)

Btw.: Auch wenn manche verschlüsselten Nachrichten inzwischen in Echtzeit entschlüsselt werden können, kostet das immer noch viel mehr Rechenpower als eine unverschlüsselte Nachricht zu analysieren. Wenn jegliche Kommunikation verschlüsselt ablaufen würde müssten sich die Geheimdienste vielleicht endlich wieder auf die Kommunikation von tatsächlich verdächtigen Personen beschränken (inwiefern die Server selber vor Zugriffen geschützt sind sei mal dahin gestellt).

 

[DeusoftheWired]

Thunderbird + Enigmail + Tutorial = vernünftige Ende-zu-Ende-Verschlüsselung. Wer noch immer nicht umgestellt hat: Gebt euch einen Ruck und probiert’s aus!

 

[tree-snake]

GMX und Web.de sind reine Abzocker die das ganze Freemail nur betreiben um die paar Leute auszunehmen die ihre Geburtstagsgeschenke öffnen oder wenn man Jahre lang nicht draufgeklickt hat aktiviert GMX einfach so mal Premiummail. Denen kann man nicht vertrauen.

 

[WzbX-]

Also ich kann den eMail Anbietern die da gelistet sind nichts abgewinnen, daher bin ich auf Posteo.de gestoßen ( danke an den Nutzer für den Tipp ).
Hat mich gewundert das Gmail einer der wenigen war.

 

[Chillaholic]

Augenwischerei made in Germany!
So ein Schrott der da angeboten wird!

 

[arktom]

Immer noch nichts, was mich dazu bringen würde, Open PGP nicht mehr zu nutzen.

Damit liest dann niemand mehr mit.

 

[Tidus2007]

Dass manche da noch drauf reinfallen. Mit den Anbietern, muhahaha.
Am 1.4 oder spätestens 2.4. gibt es hier das erste Problem und vllt. den ersten Skandal, mal wieder.

Sicher wäre es nur gar nichts zu verwenden....