# E-Mail Sicherheit: Ein umfassender Überblick

## E-Mail-Sicherheit: die wichtigsten Kriterien

E-Mails gehören nach wie vor zu den wichtigsten Kommunikationsmitteln in Unternehmen und im privaten Bereich. Gleichzeitig sind sie ein beliebtes Angriffsziel für Cyberkriminelle. Eine ganzheitliche E-Mail-Sicherheitsstrategie muss mehrere Ebenen abdecken.

Erst die Kombination aller Ebenen bietet umfassenden Schutz.

### Transportverschlüsselung (TLS)

Die Transport Layer Security (TLS) sorgt für eine verschlüsselte Übertragung der E-Mail auf dem Weg zwischen den Mailservern. Dabei wird unterschieden zwischen:

- Opportunistic TLS: Der Server versucht, eine verschlüsselte Verbindung aufzubauen. Scheitert dies, wird die E-Mail unverschlüsselt gesendet – ein Sicherheitsrisiko.
- TLS mit Zertifikatsprüfung: Beide Seiten validieren gegenseitig ihre Zertifikate, was höhere Sicherheit bietet.
- Mandatory TLS: Die Übertragung wird verweigert, wenn keine Verschlüsselung möglich ist.

Grenzen von TLS: Die Verschlüsselung besteht nur während des Transports. Auf den Mailservern liegen die Nachrichten im Klartext vor. Zudem hat der Provider vollen Zugriff.

### Netzwerksicherheit: SPF, DKIM und DMARC

Diese drei Protokolle bilden das Fundament zur Verhinderung von E-Mail-Spoofing und Phishing:

- **SPF (Sender Policy Framework)**
    Der Domaininhaber definiert in einem DNS-Eintrag, welche Mailserver berechtigt sind, E-Mails für diese Domain zu versenden. Empfänger können so prüfen, ob die IP-Adresse des sendenden Servers autorisiert ist.
- **DKIM (DomainKeys Identified Mail)**
    Jede ausgehende E-Mail wird mit einem privaten Schlüssel digital signiert. Der Empfänger kann die Signatur über den öffentlichen Schlüssel im DNS verifizieren und so sicherstellen, dass die E-Mail auf dem Weg nicht verändert wurde.
- **DMARC (Domain-based Message Authentication, Reporting and Conformance)**
    DMARC verknüpft SPF und DKIM und definiert Richtlinien für den Umgang mit E-Mails, die die Prüfung nicht bestehen.

### Zugriffsschutz und Authentifizierung

Der Schutz des Postfachzugangs ist kritisch:

- **Starke Authentifizierung**: Multi-Faktor-Authentifizierung (MFA): Kombination aus Wissen (Passwort), Besitz (Token/Smartphone) und Inhärenz (Biometrie) oder Passwortlose Verfahren: FIDO2/WebAuthn, Windows Hello

### Ende-zu-Ende-Verschlüsselung (E2EE)

Bei der echten Ende-zu-Ende-Verschlüsselung bleibt die Nachricht vom Absender bis zum Empfänger durchgehend verschlüsselt. Selbst der Mailserver kann den Inhalt nicht lesen.

**Verfahren**:

- PGP/MIME oder OpenPGP: De-facto-Standard mit öffentlichem und privatem Schlüssel
- Moderne Alternativen: [**ProtonMail** ](https://proton.me/mail/pricing)& [**Tutanota** ](https://tuta.com/de)mit integrierter E2EE

### Zero-Access-Architektur am Beispiel von Proton Mail

Die Zero-Access-Architektur von [Proton Mail](https://proton.me/mail/pricing) basiert auf einem fundamentalen Konzept: Der Provider kann niemals auf die Inhalte der E-Mails zugreifen, selbst wenn er dazu verpflichtet würde oder die Server komprominiert werden.

Technische Umsetzung

1. **Passwortbasierte Schlüsselableitung**
    Bei der Kontoerstellung geschieht Folgendes:
    \- Der Benutzer wählt ein Passwort
    \- Aus diesem Passwort wird mittels scrypt oder Argon2 (Key Derivation Functions) ein privater Schlüssel abgeleitet
    \- Dieser private Schlüssel wird lokal im Browser des Benutzers generiert – niemals auf den Servern
2. **Verschlüsselung der privaten Schlüssel**
    \- Der private Schlüssel wird mit einem symmetrischen Schlüssel verschlüsselt, der wiederum vom Benutzerpasswort abgeleitet wird.
    \- Nur der verschlüsselte private Schlüssel wird auf den Proton-Servern gespeichert. Ohne das Passwort ist er wertlos.
3. **Mailbox-Verschlüsselung**
    Jede eingehende E-Mail durchläuft folgenden Prozess:
    \- Eingang auf dem Server: Die E-Mail trifft unverschlüsselt oder TLS-verschlüsselt ein
    \- Sofortige Verschlüsselung: Der Proton-Server verschlüsselt die E-Mail mit dem öffentlichen Schlüssel des Empfängers
    \- Speicherung: Nur die verschlüsselte Version verbleibt auf dem Server
    \- Löschung des Klartextes: Der unverschlüsselte Inhalt wird sofort gelöscht
4. **Entschlüsselung beim Client
    Wenn der Benutzer seine E-Mails abruft:**
    \- Der Browser lädt die verschlüsselte E-Mail und den verschlüsselten privaten Schlüssel
    \- Der Benutzer gibt sein Passwort ein
    \- Der private Schlüssel wird entschlüsselt
    \- Mit dem privaten Schlüssel wird die E-Mail entschlüsselt
    \- Der Klartext existiert nur im Arbeitsspeicher des Benutzergeräts

### Unsere Empfehlung

[**Proton** ](https://proton.me/mail/pricing#compare-plans)als auch [**Tuta** ](https://tuta.com/de/pricing)eignen sich hervorragend für Nutzer, die Sicherheit, Datenschutz und Privatsphäre ernst nehmen.

[Kontakt](https://www.nordesign.org/nordesignkontakt)