Signierung und Verschlüsselung von E-Mails mit einem S/MIME Zertifikat S/MIME steht für Secure / Multipurpose Internet Mail Extensions und ist ein Standard für die Signierung und Verschlüsselung von E-Mails. Alles, was dafür benötigt wird, ist eine Kombination aus einem privaten und einem öffentlichen Schlüssel mit einem Zertifikat. Neben dem S/MIME- Verfahren gibt es noch das OpenPGP-Verfahren. Beide Verfahren funktionieren nach ähnlichen Verfahren, sind aber nicht kompatibel. Da S/MIME bereits von vielen E-Mail Programmen unterstützt wird, setzt es sich als bevorzugtes Verfahren eher durch. Alle Schritte bis hin zur E-Mail-Kommunikation mit S/MIME mit Outlook werden nachfolgend erläutert. Bereits mit geringem Aufwand kann so eine sichere E-Mail Kommunikation aufgebaut werden. Durch das Signieren per S/MIME kann der Empfänger sicher sein, dass die E-Mail tatsächlich vom Absender stammt und dass die Nachricht bei der Übertragung nicht manipuliert worden ist. Die E-Mail liegt auch weiterhin noch im Klartext vor. Um eine E-Mail verschlüsseln zu können, wird zusätzlich ein Zertifikat des Empfängers benötigt. Dieses kann er übertragen, sobald der Absender seine E-Mail genauso signiert, wie im Folgenden beschrieben wird. Im Folgenden lernen Sie Schritt für Schritt, wie Sie 1. ein Zertifikat auswählen, 2. ein Zertifikat erstellen, 3. das Zertifikat exportieren, 4. Ihr E-Mail Programm konfigurieren, 5. ein Zertifikat in Ihr E-Mail Programm importieren, 6. eine E-Mail verschlüsselt versenden. Für die Einrichtung benötigen Sie weniger als 30 Minuten, nehmen Sie sich die Zeit. Seite 0
Bei S/MIME geben zentrale Zertifizierungsstellen, die Certificate Authorities (CA), nach einer Kontrolle der Benutzerdaten ein Zertifikat aus. Die CA beglaubigt nach einer Prüfung die Schlüssel des Kunden und stellt ihm als Beleg ein digitales Zertifikat aus. Die Zertifikate werden in vier unterschiedlichen Klassen angeboten. Sie unterscheiden sich im Umfang der Überprüfung der Daten und damit in der Vertrauenswürdigkeit, die einem Zertifikat entgegengebracht werden kann. Zertifikat der Klasse 1 Plausibilitätsprüfung, ob der Antragsteller Zugriff auf die angegebene E-Mail-Adresse hat. Zertifikat der Klasse 2 Der Namen und die Firma werden im Zertifikat mit aufgenommen und mit einer Ausweiskopie verifiziert. Zertifikat der Klasse 3 Persönliche Authentifizierung über das Postident-Verfahren. Zertifikat der Klasse 4 Die Authentifizierung erfolgt persönlich vor Ort. Folgende Anbieter stellen E-Mail Zertifikate aus: Anbieter Typen Klassen Internetseite Comodo CA Limited Person www.enterprisessl.com D-Trust (Bundesdruckerei) Person, Gateway 2 www.d-trust.de GlobalSign Person, Team, Gateway 1, 2, 3 www.globalsign.com/de-de/sichere-email/ StartSSL Person (kostenfrei) 1 www.startssl.com Hinweis Die Übersicht hat kein Anspruch auf Vollständigkeit und Aktualität. Seite 1
Die Firma StartCom Ltd. bietet das Klasse-1-Zertifikat StartSSL Free kostenfrei an, welches ein Jahr gültig ist. Um ein Zertifikat zu erhalten, muss man die Webseite www.startssl.com aufrufen und sich registrieren. Im ersten Schritt Klick auf den Button Start Now for Free SSL Certificate. Anschließend Klick auf Sign-up Seite 2
Im Folgenden ist das Land auszuwählen und die E-Mail Adresse, der zukünftig das Zertifikat zugewiesen werden soll, einzutragen. Abschließend auf Send verification code klicken. Kurze Zeit später wird von StartCom Ltd. eine E-Mail auf die angegebene E-Mail-Adresse versendet, in welcher sich ein Verifizierungscode befindet. Sollte nach kurzer Zeit noch keine E-Mail im Postfach liegen, ist es empfehlenswert, den Spam-Ordner zu überprüfen. ***** Inzwischen erscheint auf der Webseite die Eingabeaufforderung für die Eingabe des Verifizierungscodes. Der Code aus der E-Mail ist zu übernehmen. Klick auf Sign Up. Seite 3
Nach der erfolgreichen Registrierung erscheint die Bestätigung zur erfolgreich durchgeführten Verifizierung. Zusätzlich kann es sein dass der Browser davor warnt, dass die Webseite einen digitalen Zertifikatvorgang ausführen möchte. Dieser Vorgang ist zu mit Ja zu bestätigen. Nun wird das Zertifikat im Web-Browser installiert. Die Installation im Webbrowser ist nun abgeschlossen. Sie haben erfolgreich ein Zertifikat der Klasse 1 erhalten, welches für 1 Jahr gültig ist. Nach einem Jahr ist das Zertifikat mit dem gleichen Prozess zu erneuern. Seite 4
Um das Zertifikat in Outlook zu verwenden, muss es zunächst aus den zuvor verwendeten Webbrowser exportiert werden. Für die Registrierung hatte ich Microsoft IE verwendet, daher bezieht sich die Anleitung auf diesen Web-Browser. Abhängig vom verwendeten Browser muss das Zertifikat zunächst im Browser gesucht werden. Rechts oben das Menü Einstellungen auswählen und anschließend auf Internetoptionen klicken. 2 1 3 Nun klickt man unter Inhalt den Button Zertifikate. Es wird das neue Zertifikat angezeigt, man muss es auswählen und auf Exportieren klicken. Im nachfolgenden Assistenten auf Weiter klicken und die Option Nein, privaten Schlüssel nicht exportieren auswählen. Im nächsten Dialog noch DER-codiert-binär X.509 auswählen. Im letzten Dialog muss noch ein Pfad für den Speicherort und der Dateiname angegeben werden. Hier empfiehlt sich die verwendete E-Mail Adresse als Dateiname zu nutzen. Mit Weiter gelangt man zum letzten Dialog, den man mit Fertig stellen abschließt. Im Beispiel erhalte ich eine Datei mit der Bezeichnung: mail@datasolution-thurmann.cer Die Datei an einem sicheren Platz speichern. Sie sollte auch nach Jahresscheiben archiviert werden, um einen Zugriff auf E-Mails auch nach Ablauf des Zertifikates zu ermöglichen. Also die Zertifikate niemals löschen! Seite 5
Um nun das Zertifikat in Outlook (im Beispiel die Version 2010) zu importieren, klickt man links oben auf Datei, dann auf Optionen und wählt links unten Sicherheitscenter oder auch Trust Center aus. Danach auf Einstellungen für das Sicherheitscenter klicken. Im folgenden Fenster wählt man nun E-Mail-Sicherheit. Seite 6
Nun wählt man die Optionen Ausgehenden Nachrichten digitale Signatur hinzufügen und Signierte Nachrichten als Klartext senden aus und klickt auf den Button Einstellungen. 1 2 3 4 Im nächsten Schritt ist der Name der Sicherheitseinstellung festzulegen, hier die E-Mail Adresse. Anschließend sind das Signaturzertifikat auszuwählen und die anderen Optionen, wie in der Abbildung ersichtlich. Um einen möglichst hohen Sicherheitsstandard zu erreichen, wählt man nun bei Hashalgorithmus die Option SHA512 und bei Verschlüsselungsalgorithmus die Option AES (256-bit) aus. Nun sind die S/MIME-Einstellungen erfolgreich konfiguriert. Beim Erstellen einer E-Mail kann man unter Optionen auswählen, ob die Mail per S/MIME signiert oder verschlüsselt werden soll. Auf Grundlage der Einstellungen ist die Option zum Signieren der E-Mail automatisch aktiviert. Bei einem Test sollte dieses Symbol erscheinen. Seite 7
Wir sind jetzt in der Lage, eine E-Mail mit Zertifikat zu versenden. Somit erkennt der Empfänger der E-Mail, dass die E-Mail auch vom richtigen Versender kommt (Authentifikation). Das Zertifikat kann der Empfänger, wenn er über ein eigenes Zertifikat verfügt, in sein Mailprogramm importieren, um dem Versender verschlüsselt zu antworten. Umgekehrt muss auch das Zertifikat desjenigen, von dem eine E-Mail mit Zertifikat empfangen wurde, in Outlook übernommen werden. Nur so ist eine Verschlüsselung in beide Richtungen möglich. Größere Unternehmen verwenden Zertifikatsserver, wo die Zertifikate meist automatisiert importiert werden. Bei der bisher beschriebenen Einzelplatzlösung muss beim Empfang eines neuen Zertifikates noch abschließend das Zertifikat in die Kontakte übernommen werden. Im der ersten Variante mit der linken Mousetaste auf das Symbol [1] des Zertifikates klicken. 3 1 4 5 2 Anschließend auf Details [2] gehen und die Signierung [3] auswählen. Dann zunächst auf den Button Details anzeigen [4] und dann auf Zertifikat anzeigen [5] klicken. 6 Unter Details [6] hat man die Möglichkeit, das Zertifikat als Datei abzuspeichern. Im Zertifikatexport-Assistenten auf Weiter klicken, das gewünschte Zertifikat, hier DER-codiert-binär X.509 auswählen und mit Weiter bestätigen. Nun den Speicherort und Dateinamen (vorzugsweise die E-Mail Adresse des Versenders) auswählen, mit Weiter bestätigen und mit Fertig stellen abschließen. Die Datei bitte sicher abspeichern und archivieren. Seite 8
Unter Kontakte in Outlook die Person suchen, von der das Zertifikat importiert werden soll. Hier auf Zertifikate klicken. Auf den Button Importieren klicken, die Datei auswählen und übernehmen. Zum Abschluss den Kontakt speichern. Eine zweite Variante ist, den Kontakt direkt aus der E-Mail zu importieren. Ab Outlook 2013 ist beispielsweise der Import über die Datei nicht mehr möglich. Hierzu mit der rechten Mousetaste in die E-Mail Adresse des Absenders klicken und Zu Outlook-Kontakten hinzufügen auswählen. Das Zertifikat wird direkt mit importiert, allerdings empfiehlt sich auch hier, die Datei unter dem betreffenden Kontakt bei Zertifikate herauszusuchen und zu sichern. Seite 9
Jetzt besteht die Möglichkeit, eine E-Mail verschlüsselt zu übertragen. Zu beachten ist, dass beim Erstellen der E-Mail die E-Mail-Adresse direkt aus den Kontakten [1 + 2] genommen werden muss, die voreingetragenen E-Mail-Adressen übernehmen nicht automatisch das Zertifikat. 1 2 Vor dem Versenden der E-Mail unter Optionen [3] die Aktion Verschlüsseln [4] aktivieren. Geschafft! Nun kann die E-Mail verschlüsselt versendet werden. Verschlüsselt wird jedoch nur der Inhalt der E-Mail inkl. Dateianhänge. Die Betreffzeile und Empfänger der E-Mail bleiben weiter unverschlüsselt. Hier gibt es keine Möglichkeiten der verschlüsselten Übertragung. 3 4 Seite 10
Der Empfänger erkennt die verschlüsselte Nachricht am Schloss. Seite 11
Thunderbird http://www.thunderbird-mail.de/wiki/mailverschl%c3%bcsselung_mit_s/mime#ein stellen_der_s.2fmime-sicherheit_des_mailkontos Windows Mail http://windows.microsoft.com/de-de/windows-vista/using-digital-ids-to-sign-or-encrypt-windows- Mail-messages Outlook Express https://support.microsoft.com/de-de/kb/168726 Outlook 2007 Importieren eines Zertifikates Versenden einer verschlüsselten Mail http://office.microsoft.com/de-ch/outlook-help/hinzufugen-oder-importieren-eines-zertifikats-zuden-oder-in-den-kontakten-ha010099276.aspx http://office.microsoft.com/de-de/outlook-help/zertifikate-und-kryptografie-beim-e-mailnachrichtenversand-in-outlook-ubersicht-hp001230534.aspx Outlook 2010 Versenden einer verschlüsselten Mail http://office.microsoft.com/de-de/outlook-help/verschlusseln-von-nachrichten-hp010355559.aspx Seite 12