E-Mail signieren/authentifizieren?

[agawol]

Hallo.
Ich möchte meine e-Mail signieren, authentifizieren, also dem Empfänger nachweisen, dass ich derjenige bin, der diese e-Mail auch tatsächlich geschrieben hat.

Nun habe ich die ID Austria, wo ich zwar bei Behörden etwas beantragen und mich mit der ID Austria (A-Trust) ausweisen kann, aber nicht, wenn ich eine e-Mail an jemand unbekannten schicken will.

Es erfolgt eher eine Antwort, wenn man seinen Namen, Adresse und Telefonnummer angibt, als nur die bekanntgabe des Namens. Man glaubt sonst, dass ist wieder so ein Spinner, Internet Troll etc.

Daher würde ich gerne meine e-Mail mit "irgend etwas" versehen, dass mich als wahren Ersteller und Absender ausweist.

Eine Möglichkeit wäre, die e-Mail

1. zu speichern
2. PDF Programm aufrufen
3. e-Mail hierher kopieren
4. PDF umwandeln
5. PDF signieren
6. PDF abspeichern
7. PDF auf der Festplatte/Speicherort suchen
8. PDF in die e-Mail als Anhängsel kopieren
9. e-Mail absenden

Sehr umständlich.

Gibt es da keine besseren und einfachere Lösungen?
Danke!

 

[Drewkev]

Ich möchte meine e-Mail signieren, authentifizieren, also dem Empfänger nachweisen, dass ich derjenige bin, der diese e-Mail auch tatsächlich geschrieben hat.
[...]
Daher würde ich gerne meine e-Mail mit "irgend etwas" versehen, dass mich als wahren Ersteller und Absender ausweist.

Verstehe ich nicht. Wenn ich es nicht war, dann hat jemand unbefugt Zugriff auf mein E-Mail-Konto, und dann habe ich ohnehin andere Probleme.

Ansonsten: https://www.a-trust.at/pdfsign

 

[andy_m4]

Ich möchte meine e-Mail signieren, authentifizieren, also dem Empfänger nachweisen, dass ich derjenige bin, der diese e-Mail auch tatsächlich geschrieben hat.

Es gibt Möglichkeiten sowas zu machen. Insbesondere GPG oder auch S/MIME sind da schon seit Jahren erprobte Verfahren
Die eMail-Programme und auch einige Mailprovider haben sogar teilweise Support dafür drin (so das man es gleich integriert hat und nicht so viel rumfummeln muss).

Das Problem ist eher: Es nützt Dir nix das so abzuschicken. Die Gegenseite muss das auch nutzen/unterstützen.
Insofern ist weniger die Frage: Was gibt es an Lösungen?
Sondern eher: Was supportet die Gegenseite?

 

[NJay]

Verstehe ich nicht. Wenn ich es nicht war, dann hat jemand unbefugt Zugriff auf mein E-Mail-Konto, und dann habe ich ohnehin andere Probleme.

Das ist falsch. Es ist sehr einfach e-mails im Namen anderer zu versenden.

 

[Heen]

Alles, was du dir überlegst, scheitert an der Unkenntnis des Empfängers.

 

[Drewkev]

Das ist falsch. Es ist sehr einfach e-mails im Namen anderer zu versenden.

Jein. Da kommen wir dann in den Bereich von wegen SPF usw. beziehungsweise generell Spam, das ist aber eine andere Baustelle. Bei solchen E-Mails gibt es immer irgendeinen Haken.

Stimmt der Absendername, tut es die reine E-Mail-Adresse nicht. Oder die Reply-to Adresse. Oder Oder.

 

[agawol]

Es gibt Möglichkeiten sowas zu machen. Insbesondere GPG oder auch S/MIME sind da schon seit Jahren erprobte Verfahren

Sondern eher: Was supportet die Gegenseite?

Du meinst, was unterstützt oder verwendet die Gegenseite?
Um dass in Erfahrung zu bringen, müßte ich dort anrufen, sofern man eine Telefonnummer findet und dann durchkommt, oder per e-Mail anfragen.
Und wenn die dann keine entsprechenden Verfahren verwenden, dann nützt mir das leider auch nichts.

Ich hab gerade das signieren eines PDF gemacht.
Das Original Word Dokument ist 21 KB groß. Das erstellte PDF 3923 KB, einmal hoch- einmal runter laden.
Wie gesagt, wwar etwas umständlich, aber offensichtlich der einzige Weg.

Dass man das nicht wie Unternehmen oder Behörden machen kann, also die e-Mail zu signieren, finde ich ärgerlich.

 

[NJay]

Jein. Da kommen wir dann in den Bereich von wegen SPF usw. beziehungsweise generell Spam, das ist aber eine andere Baustelle. Bei solchen E-Mails gibt es immer irgendeinen Haken.

Ja, aber am einfachsten kann man das eben mit PKI sichern, also genau das was OP will.

 

[andy_m4]

Du meinst, was unterstützt oder verwendet die Gegenseite?

Genau. Es nützt Dir ja nix, wenn Du z.B. eine verschlüsselte/signierte PDF irgendwo hin schickst, und der Empfänger hat gar keine Möglichkeit das zu checken, zu öffnen, zu verifizieren.

Und wenn die dann keine entsprechenden Verfahren verwenden, dann nützt mir das leider auch nichts.

Eben. Und deshalb ist das ja wichtig vorher zu klären.

 

[NJay]

Dass man das nicht wie Unternehmen oder Behörden machen kann, also die e-Mail zu signieren, finde ich ärgerlich.

Kannst du: https://support.mozilla.org/de/kb/openpgp-in-thunderbird-leitfaden-und-faqs

 

[frazzlerunning]

Signieren sollte mit OpenPGP bei praktisch allen Email Anbietern möglich sein. Ob der Empfänger dann auch schaut, ob die Signatur passt, ist dann wieder das andere Thema.
Signieren schützt aber nicht den Inhalt der Email, daher keine vertraulichen Inhalte in diesen Emails übermitteln!

Verschlüsseln (und damit den Inhalt vor dem Zugriff dritter abzusichern) ist ein anderes Thema, dazu muss der Sender den public key des Empfängers haben. Wenn der Empfänger keine Verschlüsselung nutzt, kannst du als Sender nichts verschlüsseln.

 

[agawol]

Genau. Es nützt Dir ja nix, wenn Du z.B. eine verschlüsselte/signierte PDF irgendwo hin schickst, und der Empfänger hat gar keine Möglichkeit das zu checken, zu öffnen, zu verifizieren.

Also ich verstehe unter signieren, dass mir eine Autorität bestätigt, dass ich der Ersteller bin.
Und dieses Dokument schicke ich dem Emfänger dann; dh er braucht keine Entschlüsselung.

Ergänzung (10. März 2025)

Ja, aber am einfachsten kann man das eben mit PKI sichern, also genau das was OP will.

Wenn ich nur wüßte, was PKI und OP sind ?

 

[NJay]

Wenn ich nur wüßte, was PKI und OP sind ?

OP bist du ("Original Poster")
PKI hilft dir Wikipedia: https://en.wikipedia.org/wiki/Public_key_infrastructure

Ergänzung (10. März 2025)

Also ich verstehe unter signieren, dass mir eine Autorität bestätigt, dass ich der Ersteller bin.
Und dieses Dokument schicke ich dem Emfänger dann; dh er braucht keine Entschlüsselung.

Doch braucht er. Wie soll er sonst verifizieren, dass wirklich die Autorität das Dokument signiert hat?

Du darfst Verschlüsselung nicht nur so verstehen, dass man Daten damit für andere unlesbar macht, man kann mit entsprechenden kryptografischen Verfahren auch Signieren, was aber eigentlich auch eine "Verschlüsselung" ist, nur eben von der "Signatur" (Sehr vereinfacht). Siehe den Link zu PKI.

 

[andy_m4]

Also ich verstehe unter signieren, dass mir eine Autorität bestätigt, dass ich der Ersteller bin.
Und dieses Dokument schicke ich dem Emfänger dann; dh er braucht keine Entschlüsselung.

Ja gut. Wobei wenn Du eine Verschlüsselung hast, Du auch quasi immer eine Authentifizierung dabei hast (weil man in der Regel ja nicht nur die Integrität sicherstellen willst, sondern auch die Vertraulichkeit). Insofern hab ich das jetzt einfach mal synonym verwendet.
Spielt letztlich auch keine Rolle, weil der Punkt bleibt ja: Der Empfänger muss das supporten. Wenn Du das also machen willst, musst Du immer den Empfänger fragen (oder auf anderen Wege ermitteln; manchmal stehen solche Sachen auf der Homepage), was der supportet. Egal ob sign, crypt oder beides.

 

[agawol]

Doch braucht er. Wie soll er sonst verifizieren, dass wirklich die Autorität das Dokument signiert hat?

Weil es darauf steht (A Trust).
Jetzt könnte man natürlich argumentieren, so ein Bild kann man auch fälschen/retouchieren.

Allerdings habe ich jetzt auf das Bild (A Tust) geklickt, und es kam die Meldung:
Signatur is VALID, signed by .
The document has not been modified since this signatur was applied.
The signer's identity is valid.

Ich gehe mal davon aus, dass der Empfänger ebenfalls diese Informationen einsehen kann?

Dh, er weiß, dass ich das Dokument erstellt und signiert habe und dass der Signaturname mit dem Namen in der e-Mail übereinstimmt.

 

[andy_m4]

The signer's identity is valid.

Und wie prüft der das nach?
Eine Validitätsprüfung darf sich ja nicht nur aus dem Dokument selbst ergeben, sonst würde es ja keinen Sinn machen.

Also jetzt mal vom Prinzip her:
Bei einer Signatur wird ja mittels einem kryptographischen Verfahrens das Dokument signiert. Da steht also im Dokument quasi: Das ist die Prüfsumme vom Dokument und und zwar unterzeichnet vom Zertifikatseigentümer agawol.
Das Programm, das das Dokument öffnet muss natürlich die Prüfsumme checken um sicherzustellen, das das Dokument nicht manipuliert wurde und muss Dein Zertifikat checken. Und letzteres kann er nur, wenn er entweder die entsprechenden Daten auf sicherem Übertragungswege von Dir erhalten hat. Oder, wenns eine vertrauenswürdigen Mittelsmann (Zertifizierungsstelle) gibt, bei der Dein Zertifikat hinterlegt und den man kontaktiert (was auch automatisiert im Hintergrund erfolgen kann), um die Gültigkeit des Zertifikats zu prüfen (also quasi das selbe Verfahren was auch bei "https"-Verbndungen im Browser benutzt wird).

Und ja. PDF-Dateien bieten die Möglichkeiten an, so was zu tun. Muss aber der jeweilige PDF-Viewer (z.B. Adobe) auch unterstützen.
Deine Screenshots sehen ein bisschen danach aus. Du müsstest mal konkret sagen, was Du gemacht hast und aus welchem Programm die Screenshots stammen. Sonst ist das hier nur wildes Herumgerate.

 

[NJay]

Weil es darauf steht (A Trust).
Jetzt könnte man natürlich argumentieren, so ein Bild kann man auch fälschen/retouchieren.

Ja das kann man sehr einfach. Ist absolut kein Problem.

Allerdings habe ich jetzt auf das Bild (A Tust) geklickt, und es kam die Meldung:
Signatur is VALID, signed by .

Ja, weil er darunter ein kryptographisches Signaturverfahren benutzt. Siehe dazu den Wikipedia-artikel zu PKI.

 

[n/a]

Daher würde ich gerne meine e-Mail mit "irgend etwas" versehen, dass mich als wahren Ersteller und Absender ausweist.

Ich glaube, du meinst das, oder?

Ist leider nicht so einfach machbar, hab schon viele daran scheitern sehen

Ergänzung (11. März 2025)

Alles, was du dir überlegst, scheitert an der Unkenntnis des Empfängers.

Sorry, aber das ist falsch. In den Protokollen gibt es bestimmte Sicherheitsmerkmale, die die Empfängermailserver automatisch prüfen (können), noch bevor die E-Mail im Posteingang des Clients ist. Das wäre also auch etwas für unbedarfte Benutzer

 

[Heen]

Ich spreche nicht von Empfangsservern, sondern von Layer 8. Er will die Emails an unbekannte Empfänger schicken. Die Methode, diesen unbekannten Empfängern etwas Seriosität zu bieten, geht nur mit den Mitteln eines Spammers: Die Sau muss zum Trog gestupst werden (metaphorisch).
An den TE: Schreib einen vernünftigen Text, nutze deine echten Daten (das ist halt der Vorteil ggü. Spammern, du musst nichts faken) und verwende deine Energie lieber darauf, eine Antwort zu provozieren mittels eines geeignet herausfordernden Textes.

 

[xexex]

Doch braucht er. Wie soll er sonst verifizieren, dass wirklich die Autorität das Dokument signiert hat?

Man muss die Erklärung aber nicht komplizierter machen wie sie ist!

Beim Signieren schickst du praktisch deinen öffentlichen Schlüssel mit (Signatur), die du von einer vertrauenswürdiger Stelle ausgestellt bekommen hast. Eine Verschlüsselung des Inhalts findet an dieser Stelle nicht statt und fast jeder Empfänger kriegt das auch recht deutlich angezeigt, egal ob er einen Webmailer oder eine richtige Mailsoftware nutzt. Die Verfahren dafür (S/MIME) sind uralt und weit verbreitet, weit weniger verbreitet ist PGP, was etwas anders funktioniert.

Erst wenn der Empfänger dann selbst S/MIME nutzt und du ebenfalls seinen öffentlichen Schlüssel hast, kannst du die Mails an diesen Empfänger verschlüsseln. Das bringt aber diverse Nachteile mit sich, weshalb diese Verfahren im privaten Umfeld kaum verbreitet sind. Sichert man diese Schlüssel nicht entsprechend und hat sie auf diversen Clients (Notebook/PC/Smartphone) installiert, kann man diese Mails auf diesen Geräten gar nicht (mehr) lesen.

Außer im Unternehmensumfeld und auch dort eher selten, konnten sich Signaturen und/oder Verschlüsselung nie durchsetzen. Die Mail gilt bei vielen heutzutage sowieso als veraltet und auch jegliche Versuche wie "De-Post" sind letztlich gescheitert. Man hat sich mehr oder weniger damit abgefunden und selbst Unternehmen verschicken meist unsignierte Mails. Bei mir ist es einzig DHL was signierte Mails verschickt, was gut ist weil "Ihr Paket ist blah" gerne von Spammern genutzt wird.

Wünschenswert wäre eine Signatur bei allen Mails, zumindest wenn sie von Unternehmen kommen, aber diese Hoffnung habe ich schon vor vielen Jahren aufgegeben. Von daher finde ich die Idee von @agawol zwar löblich und je nach eingesetzter Mailanwendung/Webmailer mit wenigen Klicks umsetzbar, einzig das Nutzen ist sehr gering, da die meisten Empfänger da vermutlich eh nicht drauf achten.