S/MIME in Unternehmens-E-Mails

Secure/Multipurpose Internet Mail Extensions ist ein Standard zur Verschlüsselung und Signierung von MIME-Daten, dem Format, das für E-Mails verwendet wird. Anders als PGP verwendet S/MIME X.509-Zertifikate, die von Zertifizierungsstellen ausgestellt werden, statt eines Web of Trust. S/MIME ist in die meisten E-Mail-Clients für Unternehmen integriert, was die Einführung in verwalteten Umgebungen erleichtert.

PGP beruht auf dem manuellen Austausch öffentlicher Schlüssel und dem Vertrauen in diese Schlüssel. S/MIME beruht auf Zertifikaten, die einen öffentlichen Schlüssel an eine E-Mail-Adresse binden und von einer vertrauenswürdigen Zertifizierungsstelle signiert werden. Die Zertifizierungsstelle bestätigt die Identität des Zertifikatsinhabers. Wenn Sie der Zertifizierungsstelle vertrauen, vertrauen Sie automatisch den von ihr ausgestellten Zertifikaten. Dadurch entfällt die Überprüfung einzelner Schlüssel.

Persönliche S/MIME-Zertifikate können Sie von kommerziellen Zertifizierungsstellen wie Sectigo oder DigiCert erhalten, teilweise kostenlos für die private Nutzung. Die Zertifizierungsstelle überprüft vor der Ausstellung des Zertifikats, dass Sie die Kontrolle über die E-Mail-Adresse besitzen. Die resultierende Datei enthält Ihr Zertifikat (den öffentlichen Schlüssel) und Ihren privaten Schlüssel. Anschließend importieren Sie das Zertifikat in Ihren E-Mail-Client.

Microsoft Outlook bietet unter Windows native S/MIME-Unterstützung und kann so konfiguriert werden, dass alle ausgehenden E-Mails nach der Installation eines Zertifikats automatisch signiert oder verschlüsselt werden. Auch Apple Mail unter macOS und iOS unterstützt S/MIME nativ und zeigt Schlosssymbole für verschlüsselte Nachrichten sowie Signatursymbole für signierte Nachrichten an. In keinem der beiden Clients sind Plugins erforderlich.

S/MIME unterstützt zwei unabhängige Vorgänge. Eine digitale Signatur fügt einen kryptografischen Nachweis hinzu, dass die Nachricht vom angegebenen Absender stammt und nicht verändert wurde. Bei der Verschlüsselung wird der Nachrichtentext so umgewandelt, dass nur der Empfänger ihn lesen kann. Sie können signieren, ohne zu verschlüsseln, verschlüsseln, ohne zu signieren, oder beides tun. Die meisten Implementierungen in Unternehmen schreiben mindestens eine Signatur vor.

Wenn Sie eine E-Mail mit S/MIME signieren, verwendet Ihr E-Mail-Client Ihren privaten Schlüssel, um eine Signatur über dem Hash der Nachricht zu erstellen. Der Client des Empfängers überprüft die Signatur mit dem öffentlichen Schlüssel aus Ihrem Zertifikat und bestätigt, dass das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. Eine gültige Signatur zeigt dem Empfänger, dass die Nachricht tatsächlich von Ihrer E-Mail-Adresse stammt und nicht manipuliert wurde.

Um eine verschlüsselte S/MIME-E-Mail zu senden, benötigen Sie das Zertifikat des Empfängers, genauer gesagt dessen öffentlichen Schlüssel. Empfänger teilen ihr Zertifikat üblicherweise, indem sie Ihnen zunächst eine signierte E-Mail senden. Danach speichert Ihr E-Mail-Client das Zertifikat automatisch. Ohne das Zertifikat des Empfängers ist keine Verschlüsselung möglich, was bei der Einführung häufig zu Problemen führt.

Große Organisationen betreiben häufig eine eigene interne Zertifizierungsstelle mit Microsoft Active Directory Certificate Services oder einer ähnlichen Lösung. Die interne Zertifizierungsstelle stellt allen Beschäftigten automatisch über die Gruppenrichtlinie S/MIME-Zertifikate aus. Alle Computer des Unternehmens vertrauen der internen Zertifizierungsstelle standardmäßig. Dadurch sind verschlüsselte und signierte E-Mails innerhalb der Organisation nahtlos möglich, ohne Kosten für externe Zertifizierungsstellen.

S/MIME verwendet ein hierarchisches Vertrauensmodell mit Zertifizierungsstellen, während PGP ein dezentralisiertes Web of Trust nutzt. S/MIME-Zertifikate enthalten Identitätsmetadaten, die von der Zertifizierungsstelle überprüft wurden; PGP-Schlüssel enthalten die Angaben, die ihr Besitzer macht. S/MIME eignet sich besser für verwaltete Unternehmensumgebungen, während PGP für unabhängige Nutzer flexibler ist. Bei korrekter Konfiguration bieten beide eine gleichwertige kryptografische Stärke.

S/MIME lässt sich ohne zusätzliche Software direkt in Outlook, Exchange und Active Directory integrieren. IT-Abteilungen können die Ausstellung und Erneuerung von Zertifikaten automatisieren. Compliance-Rahmenwerke wie HIPAA und Finanzvorschriften verweisen häufig ausdrücklich auf S/MIME. Für PGP müssen Plugins installiert, ein Schlüsselbund verwaltet und Nutzer im Umgang mit dem Web of Trust geschult werden, wodurch die Einführung im großen Maßstab schwieriger wird.

S/MIME verschlüsselt den Nachrichtentext, aber nicht die Betreffzeile, die im Klartext bleibt. Verschlüsselte Nachrichten können vom Mailserver weder durchsucht noch gefiltert werden. Wenn Sie Ihren privaten Schlüssel verlieren, können verschlüsselte archivierte E-Mails dauerhaft nicht mehr gelesen werden. Die Hinterlegung von Schlüsseln bei der Zertifizierungsstelle der Organisation ist üblich, um Datenverlust zu verhindern, schafft jedoch eine dritte Partei mit Zugriff auf alle verschlüsselten E-Mails.

Was benötigen Sie, bevor Sie einem Kollegen eine verschlüsselte S/MIME-E-Mail senden können?

S/MIME ermöglicht E-Mail-Verschlüsselung und digitale Signaturen mithilfe von X.509-Zertifikaten vertrauenswürdiger Zertifizierungsstellen. S/MIME ist in Outlook und Apple Mail integriert, wodurch die Einführung in Unternehmen unkompliziert ist. Eine Signatur bestätigt die Identität des Absenders, während die Verschlüsselung das Zertifikat des Empfängers erfordert. Interne Zertifizierungsstellen ermöglichen die automatische Bereitstellung von Zertifikaten im großen Maßstab. Betreffzeilen bleiben bei allen S/MIME-Implementierungen unverschlüsselt.