Gerade beim Service machten die Firmen eine nicht so gute Figur.
Management Summary / tl;dr-Version
Ich fragte bei 1&1 nach dem Format für den Upload der Verschlüsselungszertifikate in ihr De-Mail Nutzerverzeichnis. Die Antwort lautete sinngemäß "Wir bieten den Upload dieser speziellen Zertifikate grundsätzlich an, aber unsere Regeln dafür sind so streng, dass sie derzeit niemand auf der Welt erwerben kann."
Nun kommt der zweite Teil mit diesen Inhalten:
- Deutsche Post versagt doppelt
- 1&1 De-Mail GmbH antwortet langsamer als Schneckenpost
- Worum ging es inhaltlich bei der 1&1?
- Warum brauche ich Verschlüsselung? Ich habe doch nichts zu verbergen
- Wie muss ein X.509-Zertifikat bei De-Mail aussehen?
- Mein Fazit: BSI, Regierung und BND erschweren Ende-zu-Ende-Verschlüsselung
- Mein Vorschlag zur Lösung: Traut Euch einen Workaround zu bauen
- Die Antwort von 1&1 komplett
Deutsche Post versagt doppelt
Die Deutsche Post hatte jemanden meine 50 € klauen lassen, die ich zum Vertrauenstest ihres E-Postbrief Travelscans in einen Umschlag gesteckt hatte. Während andere Dienstleister Verantwortung dafür übernehmen, wenn in ihrem Verfügungsbereich geklaut wird, zog sich die Post hinter ihre AGB zurück und beließ es bei einem Ausdruck von Bedauerns. Damit ist sie im Vertrauenstest doppelt durchgefallen.
 | |
| 1&1 ließ sich mit der Antwort viel Zeit. Wohl zu entspannt, der gute Herr D'Avis. |
1&1 De-Mail GmbH antwortet langsamer als Schneckenpost
Bei der 1&1 De-Mail GmbH wurde zwar nicht geklaut, aber hier patzte man ziemlich beim Servicetempo. Eine Anfrage vom 17.04.2013 (Ticket C348110735 ) wurde trotz zweimaligem Nachhaken von mir erst am 1.7.2013 vernünftig beantwortet. Geholfen wurde mir da noch nicht, aber ich wusste dann zumindest, dass hier 1&1 gar nicht helfen kann. Diese Auskunft hätten andere Firmen schneller als in fast 2 1/2 Monaten geben können. Es wunderte mich auch sehr, dass bei 1&1 sowas vorkam, da ich sie auch anderen Zusammenhängen viel kundenorientierter und engagierter erlebe.
Worum ging es inhaltlich bei der 1 & 1?
Ich wollte wissen, warum denn die von mir in den Öffentlichen Verzeichnisdienst (ÖVD) von De-Mail hochgeladene X.509-Zertifikat nicht akzeptiert wird.
Ich fragte so konkret nach, weil die Möglichkeit der Signaturveröffentlichung via De-Mail eine sehr interessante Option ist. Natürlich kann man die Zertifikate auf anderem Weg austauschen und dann extern verschlüsseln. Aber dann verlässt man ja wieder den Umkreis der gesicherten De-Mail Infrastruktur.
Da meine Identität ja schon durch einen zertifizierten Anbieter verifiziert wurde, könn ich so auch mein öffentliches X.509-Zertifikat für eine durchgehende Ende-zu-Ende-Verschlüsselung veröffentlichen. Damit hätte ich eine einfache Sicherheit zu verhindern, dass weder die amerikanische NSA, das britische GCHQ oder andere Wirtschaftsspione mit großem Datenhunger diese Mail mitlesen können.
 |
| Neue Masche von Fundamentalisten, um an Ihre Post zu kommen? Tarnung als Briefkasten. Moment...aber sind es denn "Terroristen", die Ihre Mails mitlesen wollen? Nein, die wollen die "falschen" Inhalte als Teufelszeug ganz verdammen. Es sind die "Terroristenjäger", die Sie erst zur Nutzung ermutigen, aber den Einsatz von Umschlägen so schwer wie möglich machen. |
Warum brauche ich Verschlüsselung? Ich habe doch nichts zu verbergen
 |
| Noch lange diensttauglich: Gute, alte Schneckenpost |
Meistens kommt diese Aussage nämlich nur von Senderseite. Aber jeder ist auch Empfänger. Will man wirklich alles das, was heute im Briefkasten landet (Kontoauszüge, Arztbriefe, Lohnabrechnungen, Mahnungen, etc.) als Postkarte vom Postboten lesbar zugestellt bekommen?
Genau das ist nämlich theoretisch der Fall, wenn elektronische Post - De-Mail oder auch normale E-Mail verschickt wird. Die Verschlüsselung ist nichts anderes als ein Umschlag. Ende-zu-Ende-Verschlüsselung bedeutet nichts anderes, als dass der Postbote (E-Mailprovider / De-Mail-Anbieter) die Post schon im Umschlag übergeben bekommt. Bei De-Mail wird zwar auch mit Verschlüsselung geworben, aber hier nimmt eben der Postbote die Postkarte entgegen, steckt sie in den Umschlag und der Zusteller öffnet den Umschlag und legt ihn in den Briefkasten.
Für Firmenkunden gibt es für den E-Postbrief zwar auch einen Server, der End-2-Verschlüsselung erlaubt, aber aus gerade für Verschwörungstheoretiker gut nachvollziehbaren Gründen, gibt es dieses Feature nicht für Privatkunden.
 |
| Pixars Vorschlag für das neue NSA-Logo |
Der Kernsatz lautet also:
Verschließen oder Öffnen Sie heute Umschläge? Benutzen Sie Mail oder Fax? Dann wollen Sie auch verschlüsseln!
Das heißt, dass die meisten Anwender eigentlich viele Anwendungsfälle zur Verschlüsselung haben, aber weil das eben so kompliziert ist, wird es wenig gemacht und wir reden uns dann aufwandsminimierend ein, dass wir das ja am Ende ja doch gar nicht so dringend brauchen. Im Privatrahmen gilt das auch sicher in vielen Fällen, aber für einen Einsatz in der Wirtschaft, bei Anwälten, Ärzten oder anderen, die mit sensiblen Daten umgehen, wäre das eine wichtiges Akzeptanzvoraussetzung. Und nicht vergessen - diese verschicken auch Dokumente an Sie.
Ich persönlich setze schon seit längerer Zeit PGP ein (siehe Anleitung vom Kollegen Dennis Knake) und habe auf meinem iPhone ein X.509-Zertifikat installiert. Auch im Büro stehen X.509-Zertifikate zur Verfügung. Für einen geschäftlichen Einsatz ist das X.509-Zertifikatssystem mit seiner hierarchischen Zertifikatsinfrastruktur in Form von Certificate Authorities grundsätzlich besser geeignet. Deshalb ist diese Zertifikatsform auch im deutschen Signaturgesetz und ebenfalls in der technischen Richtlinie für De-Mail vorgesehen. Wenn Sie einen neuen Personalausweis haben, ist dieser auch schon hierfür als "digitale Unterschrift" vorbereitet.
Selbst wer keine Software hierfür auf seinem Rechner installieren will oder darf, kann sich hier mit Online-Tools behelfen. Eins davon stellt mein Kollege Sascha Aßbach online zur Verfügung. Dieses Tool lädt nur den Programmcode aus dem Netz auf ihren Computer - die Inhalte werden aber lokal verschlüsselt. Im Gegensatz zu den oben genannten "Public Key"-Methoden kommt hier jedoch ein Secret Key zum Einsatz. Den müssen Sie mit dem Empfänger austauschen und ihm dann auch noch sagen, dass er das gleiche Tool zum Entschlüsseln nutzen soll. Aber ist die Verschlüsselung auch stark genug? Vermutlich nicht. Aber besser, Sie haben einen dünnen Umschlag, als gar keinen.
 |
| Vielleicht liest nicht der Postbote jede Postkarte, aber vielleicht kommt auch nicht jede Karte direkt dort an, wo ihr Bestimmungsort ist |
Wie muss ein X.509-Zertifikat bei De-Mail aussehen?
Verschlüsselung ist also auch bei De-Mail praktisch und sinnvoll. Daher blieb ich an dem Thema dran. Die erste Antwort vom Support lautete, das Zertifikat müsse die Endung crt. oder .cer haben. Diese Antwort war ziemlich unnütz. Das ist in etwa so wie wenn ich ein Feuerwehrauto bestelle und abfrage, welche konkrete RAL-Farbnummer als Standard ausgeliefert wird (Berufsfeuerwehr und Freiwillige Feuerwehr haben nämlich manchmal leicht andere Farben). Darauf antwortet Anbieter sagt, dass das Auto von anderen als rötlich bezeichnet werden könnte. Die zweite Antwort war zum Glück ausführlicher.Grundsätzlich hat die 1&1 De-Mail GmbH als Anbieter des De-Mail-Dienstes die vom Gesetzgeber geforderte Möglichkeit geschaffen, öffentliche Schlüssel/Zertifikate im Öffentlichen Verzeichnisdienst (ÖVD) zu veröffentlichen. Diese öffentlichen Schlüssel werden beim Hochladen einer strikten Prüfung unterzogen. So müssen sie u. a. in einem bestimmten Format vorliegen, eine Mindestgültigkeitsdauer haben und insbesondere die De-Mail-Adresse als Bestandteil enthalten. Momentan gibt es nach unserem Kenntnisstand noch keine Zertifizierungsstellen (Certification Authorities, CA), die letzteres ermöglichen. Dies wird sich aber mit dem weiteren Ausbau der De-Mail-Infrastruktur in Deutschland ändern.
 |
| Fast so sicher wie De-Mail ohne End-to-End-Verschlüsselung |
Auch ein Schlüsselfeature haben sie schon vor 1&1 implementiert. De-Mail von T-Online schickt eine E-Mail ins normale Postfach, wenn eine De-Mail empfangen wurde. Dieses Feature steht bei 1&1 noch in den Sternen (man munkelt Herbst 2013).
Mein Fazit: BSI, Regierung und BND erschweren Ende-zu-Ende-Verschlüsselung
Es sieht für mich so aus, als ob unzulängliche oder gar widersprüchliche Technische Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) eine erfolgreiche Nutzung von X.509 verhindern. Neueste Enthüllungen von Ed Snowden beschreiben ja eine enge Zusammenarbeit von NSA und BND. So nutzt laut Snowden der BND die NSA als Quelle für Informationen über Inländer, die er gemäß eigentlichem Auftrag gar nicht bespitzeln dürfte. |
| Näher am Start als De-Mail: Rakete des Chaos Computer Club |
Die Folge
- Die Wirtschaftsspione diese Welt bedanken sich. Gewollt oder ungewollt?
- Der Durchbruch einer rechtsverbindlichen, elektronischen Kommunikationsform lässt weiter auf sich warten
- Die investierenden Firmen sind durch die starren Richtlinien gefesselt und investieren daher auch nur halbherzig in gute Lösungen
- Die Bundesregierung als Miteigentümer der Deutschen Post ist noch nicht entschieden, ob man den E-Postbrief und die 500 Millionen an Investitionen einfach so links liegen lassen will. Allerdings ist man ja auch an De-Mail-Anbieter Telekom beteiligt. Vermutlich ist hier die Strategie genau klar und abgestimmt wie bei der Euro Hawk Drohne.
Mein Vorschlag zur Lösung: Traut Euch einen Workaround zu bauen
Die De-Mail Anbieter könnten eine temporäre Whitelist für E-Mail-Empfang durch bekannte CAs (z.B. Comondo, TeleSec, Trustcenter, Thawte, Verisign, usw.) einführen. Dann ließe sich eine Authentifizierung der Zertifikate durchführen. Hierbei wäre das De-Mail-System nicht direkt verbunden, sondern ein E-Mail-Gateway würde die Mails aus dem Internet über einen Alternativweg in die "normalen" Mailpostfächer der Kunden umleiten.
In den Technischen Richtlinien habe ich nichts gefunden, was dieses verhindern würde (insb. die funktionsbeschreibungen zu Basisinfrastruktur und Accountmanagement).
Da steht z.B. "Für die
Inhalte des Verschlüsselungszertifikats (z.B. Common Name im Zertifikat)
ist der Nutzer verantwortlich".
Unklare Formulierungen sollten auch mal innovativ für pragmatische Lösungen genutzt werden und nicht nur Warten auf Besserung auslösen.
 |
| Dieser Handy-Lederjacken-Friseur in Kapstadt traute sich mehr als 1&1 und Telekom zusammen. Dazu war er noch sehr nett. |
Die Antwort von 1&1 komplett
Hier kommt zur Dokumentation die Antwort von 1&1 nochmal komplett. Ich habe nach dem Empfang der Mail auch noch mit dem Verfasser, Herrn Sam... K telefoniert. Ich habe ihm gesagt, dass er die A-Note wegen der Geschwindigkeit ziemlich in den Keller gerissen hat, aber durch seine ausführliche Antwort viel wieder inhaltlich wett machen konnte. Er hat sich wohl auch intern ziemlich eingesetzt und die Antworten im Unternehmen zusammengesucht. Vielleicht interpretiere ich es auch rein, aber er muss wohl sogar das Produktmanagement mit meiner Anfrage regelmäßig genervt haben. 1&1 kann glücklich sein, solche Mitarbeiter im Support zu haben.
Bitte entschuldigen Sie, dass wir Ihnen nicht schneller antworten konnten. Wir haben Ihr Anliegen an das zuständige Produktmanagement weitergegeben und heute eine Rückmeldung bekommen.
Grundsätzlich hat die 1&1 De-Mail GmbH als Anbieter des De-Mail-Dienstes die vom Gesetzgeber geforderte Möglichkeit geschaffen, öffentliche Schlüssel/Zertifikate im Öffentlichen Verzeichnisdienst (ÖVD) zu veröffentlichen. Diese öffentlichen Schlüssel werden beim Hochladen einer strikten Prüfung unterzogen. So müssen sie u. a. in einem bestimmten Format vorliegen, eine Mindestgültigkeitsdauer haben und insbesondere die De-Mail-Adresse als Bestandteil enthalten. Momentan gibt es nach unserem Kenntnisstand noch keine Zertifizierungsstellen (Certification Authorities, CA), die letzteres ermöglichen. Dies wird sich aber mit dem weiteren Ausbau der De-Mail-Infrastruktur in Deutschland ändern.
Das bedeutet nicht, dass aktuell keine Ende-zu-Ende-Verschlüsselung möglich ist. Sie können Ihre De-Mail selbstverständlich schon heute mit Ihrem privaten Schlüssel verschlüsseln und es dem Empfänger ermöglichen, die De-Mail mit Hilfe Ihres öffentlichen Schlüssels zu entschlüsseln. Das heißt schon heute verfügen Sie mit dem De-Mail-Dienst der 1&1 De-Mail GmbH über eine Möglichkeit, De-Mails auf sicherem Wege zu versenden. Lediglich das Zur-Verfügung-stellen Ihres öffentlichen Schlüssels muss momentan noch über alternative Wege erfolgen; die Bereitstellung über das Öffentliche Verzeichnis ist aktuell aufgrund der fehlenden Möglichkeiten bei den Zertifizierungsstellen noch nicht möglich.
Wir haben Ihren Artikel mit großem Interesse gelesen und möchten Ihnen gerne ein paar zusätzliche Informationen geben:
Die wohl größte Neuerung ist das vor kurzem beschlossene „Gesetz zur Förderung der elektronischen Verwaltung“, kurz E-Government-Gesetz, dass De-Mail als aktuell einzigen, offiziell verbindlichen Standard für die elektronische Kommunikation zwischen Bürgern und Behörden festgelegt hat. Weitere Informationen hierzu gibt es auch von Jan Oetjen, 1&1 Vorstand und Geschäftsführer von GMX und WEB.DE unter http://blog.1und1.de/2013/06/07/e-government-gesetz-wird- de-mail-befluegeln/.
Gerne geben wir Ihnen auch weitere Informationen zur 2-Faktor-Authentifizierung. Um ein hohes Maß an Vertraulichkeit uns Sicherheit zu gewähren, müssen entsprechende Anforderungen an Passwörter und Login gestellt werden.
Hier verlangt das Gesetz bei einer Anmeldung mit "bestätigter Identität" zurecht nicht nur ein Passwort, sondern "Wissen & Besitz". Die Verwendung eines Passworts oder des Account-Namens stellt das "Wissen" des Nutzers dar. Der "Besitz" wird durch das Mobiltelefon des Nutzers dargestellt, an das eine mTAN per SMS gesendet wird. Die mTAN benötigt der Nutzer für seinen Login auf hohem Sicherheitsniveau. Dieses Verfahren ist bekannt vom Onlinebanking.
Es besteht keine Pflicht, sich jedes Mal mit "bestätigter Identität" einzuloggen. Jedoch wird dieses Niveau für die Durchführung bestimmter Aktionen, beispielsweise Einstellungen im Account oder Schicken von De-Mails mit Empfangsbestätigung, benötigt.
Um das Anmeldeverfahren zu ändern, loggen Sie sich bitte in Ihr De-Mail-Postfach ein und gehen Sie zu den "Einstellungen". Im Bereich "Sicherheit" finden Sie den Button "Anmeldung". Wenn Sie diesen anklicken, wird Ihnen angezeigt,welches Anmeldeverfahren Sie aktuell verwenden. Sie können dieses hier jederzeit ändern, sodass Sie für eine einfache Überprüfung Ihres Posteingangs keine mTAN benötigen.
Gerne möchten wir auch einige Punkte Ihrer "Erfolgskriterien für einen erfolgreichen elektronischen Briefdienst" aufgreifen:
-"Sichere Anbindung lokaler Client-Systeme (Apps, Mail-Clients)": Momentan wird geprüft, ob und inwiefern die Einrichtung einer solchen Schnittstelle für das De-Mail-Verfahren unter Einhaltung der strengen Sicherheitsvorgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) möglich ist. Sollte diese Möglichkeit zukünftig bestehen, werden wir Ihnen selbstverständlich in den Einstellungen Ihres De-Mail-Postfaches und den De-Mail-FAQs nähere Informationen hierzu bereitstellen.
-"Ende-zu-Ende-Verschlüsslung zu diesen Clients": Siehe oben.
-"Ein guter Support, der auch individuell antworten kann": Sie erreichen den De-Mail-Kundenservice über die Festnetznummer 0721 960 98 00 (montags bis freitags von 08:00 bis 20:00 Uhr und samstags von 08:00 bis 16:00 Uhr). Ihnen entstehen lediglich die Kosten eines normalen Festnetzanrufs – falls Sie über eine gängige Telefon-Flatrate verfügen, ist der Anruf sogar kostenlos für Sie. Zusätzlich erreichen Sie uns auch wie gehabt jederzeit per E-Mail. Bitte haben Sie Verständnis, dass es Telefonisch meist einfacher ist, individuell auf verschiedene Fragestellungen einzugehen und diese zudem schneller umfangreich zu beantworten.
-"Info per externem Kanal (SMS oder Email) bei jedem Eingang als zugesicherte Leistung": Auch an diese Funktion wird zur Zeit gearbeitet, wie diese genau aussehen wird, können wir Ihnen zum jetzigen Zeitpunkt noch nicht sagen.
-"Im Markt akzeptierte Preise für die Zustellung": Wir bewegen uns bei der Preisgestaltung bewusst deutlich unterhalb der Preise für eine Postalische Zustellung (sowohl physisch als auch elektronisch) und sind uns sicher, dass es kaum Nutzer gibt, denen durch unseren De-Mail-Dienst nennenswerte Kosten entstehen.
-"Und natürlich: Mehr Teilnehmer, mehr Teilnehmer, mehr Teilnehmer": Der Bundesrat hat mit dem oben genannten Gesetz einen wichtigen Schritt in diese Richtung gemacht. Selbstverständlich würden wir uns freuen, auch Ihre Leser in Kürze als De-Mail-Kunden begrüßen zu dürfen.
Wir freuen uns, wenn wir Ihre Fragen umfassend beantworten konnten. Gerne stehen wir Ihnen für weitere Fragen zur Verfügung.
Mit freundlichen Grüßen
Sam... K.
 |
| Quelle: G+-Profil von Oliver Hilbring |
0 Kommentare:
Kommentar veröffentlichen