Sind unverschlüsselte Mails wirklich unsicher?

[Ask-me]

Hallo,
ich habe mal im Internet gelesen, dass unverschlüsselte Mails "unsicher" seien.

Da aber viele Behörden und Unternehmen personenbezogene Informationen, Anträge, Bescheide per E-Mail verschicken, erschien mir das Ganze doch etwas seltsam. In dem Fall das es tatsächlich unsicher sein sollte, würde ich gerne wissen, welche kostengünstige Alternativen es gebe (abgesehen von Briefen).

Viele Grüße
Ask-me

 

[chr1zZo]

Die Frage ist: Was für Informationen verschickst du Privat? Willst du nur E-Mail Sicherheit? Moderne Mails kommunizieren über TLS/SSL. Wenn du sie speziell verschlüsselst, muss die gegenseite es auch entschlüsseln können. Nutzt du ne Firewall Zuhause, oder geht bei dir alles so durch?

 

[Nero FX]

Du musst unterscheiden:
Auch wenn die Mail selbst unverschlüsselt ist, der Transport (also Transfer von Mailserver zu Mailserver) ist sehr oft sicher verschlüsselt. Ist wie bei Website. Niemand würde auf die Idee kommen Text/Bilder auf Websites speziell zu verschlüsseln, aber eine Transportverschlüsslung (Alle Daten zwischen WebServer und dir werden verschlüsselt) ist trotzdem vorhanden und sinnvoll.

Echte Verschlüsslung benötigt eine entsprechende Technik wie PGP bei eMails wobei Empfänger und Sender Schlüssel austauschen müssen.

 

[LencoX2]

Die Übertragung von E-Mails war in dem Anfangstagen des Internet Prinzip bedingt unsicher, da bei der Übertragung keine Verschlüsselung im Protokoll war. Seit SSL und TLS ist das kein Problem mehr.

Allerdings, und das ist der Hauptgrund, warum die Aussage korrekt ist, jeder der die E-Mail erhalten hat, kann sie lesen. Auch wer Zugriff auf den Mailserver hat, kann diese dann lesen oder wenn ein falsche Empfänger eingegeben wurde.
Dagegen hilft nur eine individuelle Verschlüsselung jeder E-Mail mit S/Mime PGP etc.
Geht es um sehr geheime Informationen, ist das Pflicht.

 

[Helge01]

Die Mails selber sind wie Postkarten, jeder kann sie lesen. Heute werden sie aber über das Internet per Transportverschlüsselung (HTTPS) gesichert. Die Mails liegen aber dann weiterhin unverschlüsselt auf den Mailservern und Administratoren könnten sie lesen. Auch Behörden hätten nach richterlichen Anordnung darauf Zugriff und könnten die Mails durchsuchen/lesen. Dagegen hilft dann nur E2E Verschlüsselung wie z.B. PGP oder S/MIME.

 

[CoMo]

Unverschlüsselte Mails kannst du dir vorstellen wie Postkarten. Jeder, der sie unterwegs in die Hand bekommt, kann lesen, was drauf / drin steht.

Zwar verschlüsseln mittlerweile die meisten Anbieter die Mails zumindest auf dem Transport-Weg, aber auch darauf kannst du dich nicht verlassen. Mich erreichen auch heute noch Mails, die von Servern ohne TLS eingeliefert werden. Bzw. erreichen sie mich nicht, da mein Mail-Provider sie abweist und den Empfänger informiert.

Sensible Informationen sollten nur Ende-zu-Ende verschlüsselt versendet werden. Das erfordert allerdings Konfigurationsaufwand bei Sender und Empfänger. Das geht mit PGP oder S/MIME. Für letzteres muss ein kostenpflichtiges Zertifikat erworben werden, dafür ist es im Geschäftsumfeld weiter verbreitet.

Willst du, dass Unternehmen dir verschlüsselte Emails senden, solltest du ein S/MIME-Zertifikat besitzen, welches über DNS abrufbar ist. Bessere Mailprovider bieten diese Möglichkeit.

Allerdings kommt auch das selten vor. Ich habe in den letzten 10 Jahren lediglich zwei S/MIME verschlüsselte Mails erhalten. Eine von einer Krankenkasse, an den anderen Absender kann ich mich gerade nicht erinnern. Ich hatte ein Support-Ticket bei einem Unternehmen eröffnet und die Antwort war verschlüsselt, da das dort verwendete Tool offenbar meinen Key aus dem DNS geholt hat.

 

[Dr. McCoy]

welche kostengünstige Alternativen es gebe

Verschlüsselte E-Mails.

 

[naTmeg]

Was denkt du warum gängige Mail-Provider (GMail, GMX, Hotmail usw) kostenlos sind? Und selbst wenn du für einen Mail-Provider bezahlst kann auch nicht ausgeschlossen werden, dass die E-Mails nicht gelesen werden. (und das werden sie, immer). Da hilft nur PGP, doch das nutzt so gut wie niemand.

 

[DELIUS]

Den Einwand von TE finde ich ich interessant: [… Da aber viele Behörden und Unternehmen personenbezogene Informationen, Anträge, Bescheide per E-Mail verschicken, erschien mir das Ganze doch etwas seltsam. …]

Zählt das nicht bei diesem Thread?
Könnet ich jetzt nicht beantworten, trotz den guten Argumenten bezüglich PGP.

 

[Ask-me]

Ja, das ist war ja auch meine Überlegung. So unsicher können unverschlüsselte Mails ja nicht sein...

 

[0x8100]

Heute werden sie aber über das Internet per Transportverschlüsselung (HTTPS) gesichert.

https? wohl kaum, eher ssl/tls. und ob die kommunikation des absenders zum mailserver oder der mailserver untereinander verschlüsselt ist, kann man als empfänger nicht herausfinden. daher sind mails, die nicht per smime/pgp verschlüsselt sind, als unverschlüsselt zu betrachten.

 

[Helge01]

https? wohl kaum, eher ssl/tls.

Hast natürlich recht, war gedanklich bei einem Webserver. 😉

 

[Art Vandelay]

ich habe mal im Internet gelesen, dass unverschlüsselte Mails "unsicher" seien.
Da aber viele Behörden und Unternehmen personenbezogene Informationen, Anträge, Bescheide per E-Mail verschicken,

Wenn es schlaue Behörden und Unternehmen sind, machen sie das nicht, da sie keine Datenschutz relevanten Dinge per Mail verschicken. Aus dem Grund gibt es ja mittlerweile bei vielen Versicherungen oder Banken zB online Portale mit denen man dann in deren abgesicherten Bereich kommuniziert.

Die Frage die sich mir stellt, vor wem willst du dich denn schützen?
Hast du Angst, dass jemand fremdes die Mail von der Behöre oder Unternehmen mitliest? Oder dein Mail Provider?
Wie schon genannt, wurde hier von Transportverschlüsselung gesprochen, aber wenn dein Mailprovider Google, Hotmail, gmx, usw. heisst, dann lesen die alle fleissig die Inhalte der Mails und werden das irgendwie für sich nutzbar machen. Dann könntest du dich vielleicht schützen mit einem Mail Konto bei einem vertrauenswürdigen Provider wie posteo, protonmail oder mailbox.org, die sagen, dass sie nicht mitlesen

 

[Nagelfahr]

Also wir verschicken durchaus personenbezogene Daten, wie Eigentümerdaten von Flurstücken und ähnliches. Allerdings werden die Dateien mit einem individuellen Passwort versehen, und der Empfänger muss das dann telefonisch erfragen.

 

[Dr. McCoy]

So unsicher können unverschlüsselte Mails ja nicht sein...

Sind sie aber, sie sind wie Postkarten.

Nicht zuletzt deswegen bieten viele Firmen für den den Upload sensibler Daten bzw. Anfragen Kontaktformulare mit SSL-Verschlüsselung über den Browser an, bzw. erzwingen diesen Kontaktweg. Das hat auch Sicherheitsgründe.

 

[JX666]

Die Frage die sich mir stellt, vor wem willst du dich denn schützen?
Hast du Angst, dass jemand fremdes die Mail von der Behöre oder Unternehmen mitliest? Oder dein Mail Provider?

Das ist die zentrale Frage meiner Meinung nach. Oft ist auf CB auch zu lesen, dass Menschen "sicher" sein möchten, was ich grundsätzlich nachvollziehen kann. Aber es macht Sinn sich mit IT zu beschäftigen und vorher ein Thread-Model (Gefahrenanalyse) zu erstellen bzw. sich konkret zu Fragen vor was möchte ich mich absichern, wie komme ich da hin, was sind potenzielle Gefahren etc.

In aller Regel ist PGP für Privatmails eher overkill, bei sensiblen Daten macht es aber durchaus Sinn sie zu verschlüsseln.

Also wir verschicken durchaus personenbezogene Daten, wie Eigentümerdaten von Flurstücken und ähnliches. Allerdings werden die Dateien mit einem individuellen Passwort versehen, und der Empfänger muss das dann telefonisch erfragen.

Ist das DSGVO konform? Kann ich mir irgendwie nicht vorstellen

Viele Grüße

 

[PC295]

Ist das DSGVO konform? Kann ich mir irgendwie nicht vorstellen

Wenn in Dokumenten (Office, PDF, etc.) Passwörter zum Öffnen festgelegt werden, werden die Dokumente mit dem Passwort verschlüsselt (AES-128 oder AES-256). Es gibt also keinen anderen Weg ohne Passwort an den Inhalt der Dokumente zu kommen.

In der DSGVO und im Datenschutzgesetz gibt es keine generelle Pflicht zur verschlüsselten E-Mail-Kommunikation. Es wird allgemein nur empfohlen, wenn es um sensible oder persönliche Daten geht.

 

[Nagelfahr]

Ist das DSGVO konform? Kann ich mir irgendwie nicht vorstellen

Viele Grüße

Warum nicht? Es bekommt jeder Nutzer sein eigenes Passwort für den aktuellen Vorgang. Sollte er später wieder was bestellen, bekommt er ein neues. Wir vergeben jetzt auch nicht 123 als PW.
Oder meinst du dass generell beispielsweise Eigentümerdaten bekanntgegeben werden?
Da sind wir sehr wählerisch was rausgegangen wird. Wenn Hinz anruft bekommt er nicht die Auskunft zu irgendeinen beliebigen Flurstück. Er muss schon berechtigtes Interresse nachweisen. Da gibt es einen klar abgesteckten Rahmen für. Reine Neugierde reicht da nicht.

Ergänzung (19. April 2023)

Wenn in Dokumenten (Office, PDF, etc.) Passwörter zum Öffnen festgelegt werden, werden die Dokumente mit dem Passwort verschlüsselt (AES-128 oder AES-256). Es gibt also keinen anderen Weg ohne Passwort an den Inhalt der Dokumente zu kommen.

In der DSGVO und im Datenschutzgesetz gibt es keine generelle Pflicht zur verschlüsselten E-Mail-Kommunikation. Es wird allgemein nur empfohlen, wenn es um sensible oder persönliche Daten geht.

Genau so machen wir das auch. Dass Passwort muss telefonisch abgefagt werden. Da wird schon versucht das so sicher wie möglich zu gestalten. (mit vertretbaren Aufwand)

 

[CoMo]

Ne sinnvolle Lösung ist das halt nicht, sondern nur ne Behelfs-Krücke. Asymmetrische Verschlüsselung zeichnet sich ja eben dadurch aus, dass man keinen weiteren Kanal benötigt, um ein gemeinsames Geheimnis auszutauschen.

Die Politik könnte das längst ändern. Z.B. könnte die Bundesdruckerei eine CA betreiben und für jeden deutschen Bürger kostenfrei S/MIME-Zertifikate bereitstellen. Wenn so verschlüsselte und signierte Mails dann für die Behördenkommunikation der Schriftform gleichgesetzt würden, ergäbe sich der Rest von selbst.

Stattdessen entwickelt man völlig an der Realität vorbei so Schwachsinns-Projekte wie DE-Mail oder die QES auf dem E-Perso.

Und deshalb schicken wir im Jahr 2023 noch passwortgeschützte Zip-Archive hin und her. Weil wir hier in Deutschland sind und die Digitalisierung 20 Jahre lang verpennt haben. Tja.

 

[Evil E-Lex]

Ich sehe das anders. Das Problem sind zwei Standards zur E-Mailverschlüsselung, die zueinander inkompatibel sind und eine Usability aus der Hölle besitzen. Darum setzt sich E-Mailverschlüsselung nicht breit durch. Man hätte schon vor langer Zeit SMTP und POP3/IMAP4 wegwerfen und durch einen zeitgemäßen Standard inklusive Verschlüsselung ersetzen müssen.