De-Mail: Freund liest mit

Der CCC hat es schon richtig gesagt in seinen „Forderungen für ein lebenswertes Netz“:

3. IT-Großprojekte der öffentlichen Hand nach *SINNVOLLEN* Kriterien vergeben

…In Deutschland werden nicht selten IT-Projekte vergeben, denen es an sinnvoller Begründung und sachkundiger Konzeption mangelt. Regelmäßig scheitern sie auf ganzer Linie…

Ich bin immer wieder erstaunt ueber die Dimensionen des Dilettantismus der bei solchen Projekten zu Tage tritt.

zeroql

Kann mir jemand einen Grund nennen die Mails zu entschlüsseln außer um sich den Inhalt anzuschauen bzw. auswerten/speichern zu können?

Florian

,

21. Juli 2010

Um den Inhalt zu verändern natürlich.

@zeroql: Ich habe eine Vermutung und kenne von Siemens ein vermutlich vergleichbares Verfahren aus dem Industriebereich, würde aber lieber warten, bis sich jemand äusserst, der wirklich Ahnung hat.

hurle

wenn ich es richtig mitbekommen habe läuft es wie folgt ab: du schreibt deine de-mail im browser. die nachricht selbst wird nun als klartext in einen briefumschlag gesteckt und zum server des de-mail-anbieters übertragagen (stichwort: ssl / https). dort angekommen wird die nachricht aus dem briefumschlag genommen, der text selbst wird verschlüsselt und an den de-mail-anbieter des empfängers überreicht. dieser macht aus dem inhalt wieder klartext, steckt in wieder in einen umschlag und sendet ihn an den browser des empfängers.

hurle

im grunde ist die verschlüsselung bei de-mail eher ein marketing-gag als schutz. man muss halt immer unterscheiden ob der kanal, auf dem man überträgt, verschlüsselt ist, oder ob der inhalt selbst verschlüsselt wird. bei de-mail wird man zwar gegen das mitlesen dritter geschützt, der anbieter selbst kann aber fröhlich mitschneiden, wenn er es den möchte. dies ist sicherlich auch so beabsichtigt, wie sonst sollte vater staat „im notfal“ an deine post kommen ;-)

Noz

schade, da es sich um ein „oeffentliches“ projekt handelt, waere das eine tolle gelegenheit asymmetrische verschluesselung mit private/public keys zwingend vorauszusetzen und als referenz zu implementieren. die anbieter koennten dann gleich die public keys zur verfuegung stellen. aber das liegt leider nicht im interesse der anbieter :(

boelwerkr

Mit der erneuten Verschlüsselung wird das Problem umgangen, das Auftritt, wenn nicht immer Schlüssel zwischen den Kommunikationspartnern getauscht werden sollen.

Das Prinzip ist:
Der Sender Kommuniziziert mit dem Server und dieser kommuniziert mit dem Empfänger.

Der Enorme Nachteil ist, dass der Server von jedem den Schlüssel kennen muss mit dem die Nachrichten verschlüsselt/signiert werden können (das Missbrauchspotential ist enorm). Mein letzter Stand ist, dass ein symmetrisches Verschlüsselungsverfahren verwendet wird. Bei dem ist der Schlüssel zum Verschlüsseln mit dem zum Entschlüsseln identisch. Bei einem solchen System ist man sogar _gezwungen_ einen Server zu nutzen, der alles neu verschlüsselt, da die Schlüssel nicht öffentlich getauscht werden können (jeder könnte sonst die Schlüssel vom anderen für sich verwenden).

Aus meiner Sicht ist das ganze ein Desaster. Hier wird auf viel Sicherheit verzichtet um die Anwendung „einfach“ zu machen.

Signierte Asymetrische-Schüssel mit einem/mehreren Schlüsselservern ist um ein vielfaches sicherer und meiner Meinung nach auch nicht schwerer anwendbar. Zudem ist das System viel flexibler und Störunanfälliger (durch eine p2p-Kommunikation).

Böse wer sich dabei was denkt… :-/

Stan

Hmm… das heißt aber ja auch, dass ich bei jeder Verschlüsselung fremden Keys vertrauen, bzw. genauer jemanden der Keys verwendet von denen ich nicht garantieren kann dass sie nicht weitergegeben werden? Seh ich das richtig?

Gibts denn irgendwo ne technische Doku von De-Mail?

thomas

Ja, man muss dem Anbieter vertrauen. Genauso wie mit jeder anderen E‑Mail-Adresse heutzutage. Einzige Lösung: Eigenen Mailserver in den Keller stellen und nur noch verschlüsselte E‑Mails verschicken.
Da ist De-Mail doch die anwenderfreundlichere Variante. ;)

_Flin_

Dann verdichteten sich ja mal wieder die Anzeichen dafür, dass man, wenn man nach Lesen des Gesetzestextes vom Schlimmsten ausgegangen ist, mal wieder goldrichtig lag.

Keine De-Mail für mich.

Tobias W.

Aus dem Frankfurter Rundschau Beitrag: „… Anwalt und IT-Experte…“

Die Bezeichnung „Anwalt und IT-Experte“ halte ich für einen Widerspruch in sich.

Stefan

Liebe Leute,

schon 2008 habe ich genau davor gewarnt. Und zusätzlich noch darauf hingewiesen, dass die Integrität und Sicherheit des Schlüssels nicht gegeben ist.

So what?

Ist jemand WIRKLICH überrascht? Wenn ja, wo seid Ihr seit 2008 gewesen?

_sesc_

Warum gibt man nicht jedem Bundesbürger ein X.509 Zertifikat, richtet eine bundesweite Certificate Authority (CA) ein und stellt ein paar Keyserver auf. Dann könnte jeder seine eigenen Mails signieren (=> weniger SPAM) und bei bedarf holt man sich von einem der Keyserver den öffentlichen Schlüssel des Empfängers und schickt ihm verschlüsselte Nachrichten.

Dann bräuchte man den ganzen de-mail-Kram nicht und jeder könnte seine gewohnten eMail-Adressen weiterbenutzen.

Ein Mensch

,

22. Juli 2010

@14 _sesc_: Ist alles schon da, seit Jahrzehnten. Das nennt sich Signaturkarte. Damit kann man rechtssicher auch emails signieren und sogar verschlüsseln. Die Verschlüsselung ist allerdings (wohl weil es eine sichere Ende-Ende Verschlüsselung ist) bisher so gut wie nirgends in der Anwendungssoftware umgesetzt.

@Tobias W.: Macht ja nichts. Irgendwann lernst du sicher noch, dass es ein Leben hinter dem Tellerrand gibt.

kantorkel

hahaha ultrafail. leider wird der normalsterbliche dies nicht nachvollziehen können :(

Tharben

@thomas (#10)

„Ja, man muss dem Anbieter vertrauen. Genauso wie mit jeder anderen E‑Mail-Adresse heutzutage.“

Nöö, wie sollte ich dem Anbieter vertrauen müssen? (geht das? erzwungenes Vertrauen?) Ich kann doch meine E‑Mails asymmetrisch verschlüsseln. In diesem Fall würde ich mir sogar guten Gewissens ein E‑Mail-Konto auf Wolfgang Bosbachs Mailserver einrichten.

De-Mail ist dazu da, eine Sicherheit vorzutäuschen, die es nicht gibt – im Gegensatz zur kostenlosen Verschlüsselung für jedermann. Und wozu dann De-Mail? 1. Witschaftsförderung. 2. staatliche Kommunikationsüberwachung. Nein, ohne mich.

Oliver Fels

Im Grunde sind wir mir deMail auch nicht weiter als vorher- wer Sicherheit will, muss seine Mails selbst verschlüsseln und signieren, inklusive des Austausch der asymmetrischen Keypaare zwischen Sender und Empfängern. Und die Schlüssel verwalten (lassen).
Der einzige Unterschied ist der erhöhte Schwierigkeitsgrad des Mitlesens auf dem Transportweg zum Server und vom Server zum Empfänger. Aber wenn wir ehrlich sind- um diesen Weg haben wir uns doch die wenigsten Sorgen gemacht. Viel interessanter ist doch derzeit, was auf dem Server passiert- das Vertrauen in die Provider ist durch die Diskussionen des Gesetzgebers mittlerweile nicht mehr vollständig gegeben.
Und da sind wir mit deMail wohl am selben Punkt, wie vorher.

Hugh

Danke für den Artikel, auch an fr-online.de.

@14, _sesc_
Und was garantiert uns dann die notwendige Vertrauenswürdigkeit dieser Zertifikate?

x.509 (zentrale Zertifikatsdienste im weiteren Sinne) war schon zu oft für meine Begriffe in der „Schusslinie“ möglichen Missbrauches und damit nur schwer für mich als eindeutige und vertrauenswürdige Authentifikation zu gebrauchen. Nicht nur „technisch“, auch „prozessual“ imo.
Das Problem mit noch mehr halben Lösungsansätzen (aber immerhin „griffigen“ Bezeichnungen) letztendlich unlösbarer zu gestalten ist für meine Begriffe ein aufwändiges Verfahren ;)

Jonas

Das die jetzt wirklich De-Mail einführen spricht Bände. Anfang 2009 gab es eine Bürgerkonsultation dazu. Das Ergebnis war vernichtend. In der Kurzfassung: „unsinniges System“, „gibts schon, aber in gut und für umme“, „dem Staat vertrauen?!?“. Das Ausmaß an Beratungsresistenz in einigen Ministerien ist immer wieder erschreckend.

@_sesc_ Dem kann ich nur zustimmen. Alle Technologien sind doch schon da (z. B. PGP). Und die Infrastruktur für eine Zertifizierung/Identitätsbeglaubigung auch – ich muss ja schließlich eh alle paar Jahre aufs Bürgeramt um irgendeinen Ausweis verlängern zu lassen. Da könnten die mir doch auch gleich – gerne auch gegen nen 5er Bearbeitungsgebühr – meine PGP-Identität beglaubigen…

Marvin

De-Mail: Die Schnüffelpost ist da. | blog@netplanet

Entschuldigung, wenn ich das hier einfach so reinwerfe, aber geht es bei De-Mail nicht eher um den rechtlich einwandfreien Nachweis der Zustellung, als um die Geheimhaltung des Inhalts einer E‑Mail?

Was spricht denn dagegen z.B. unabhängig vom De-Mail Anbieter zusätzlich eine Public-Private-Key Verschlüsselung anzuwenden?

[…] über die dankenswerterweise die Frankfurter Rundschau und auch netzpolitik.org […]

Trittbretttreter

Hat sich eigentlich wer den Text bei Golem bis zu Ende durchgelesen?

„Zudem ist es nur mit einer kurzen Entschlüsselung möglich, die De-Mails einer Spam- und Malware-Prüfung zu unterziehen.“

Okay, das mit der Malware-Prüfung kann ich noch verstehen. Aber wozu eine Spam-Prüfung? Der Absender ist doch einwandfrei zu identifizieren – wer da Spam verschickt, kann einwandfrei belangt werden.

Und wenn GMX und Co anfangen wollen, De-Mails als Spam zu taggen, na dan gute Nacht:
„Wie, die Mail lag vier Wochen in Ihrem Spam-Filter? Wollen Sie mich ver…?“

Mithos

Wieso sollte das dann noch eine rechtlich nachweisbare Zustellung der Mail mit einem konkreten Inhalt sein, wenn der Server-Betreiber diese Mail manipulieren kann?

„Was soll das heißen, sie haben diese Telekom-AGB-Änderung in der Form nie erhalten? Wir haben hier doch einen Zustellungsnachweis von DE-Mail“

Andreas

Äh Leute, sorry wenn ich euch aus dem paranoia mode holen muss, aber was da passiert kann auch einfach SSL Loadbalancing sein – nicht zwingendermaßen Spamfilter oder mitlesen.

Oder wie soll ein Loadbalancer seine Arbeit (bei SSL/TLS) tun, wenn er den Traffic nicht versteht? Da MUSS er zwingend entschlüsseln.

Tharben

Deutschland bekommt staatliches E-Mail-System - Erwerbslosen Forum Deutschland (Forum)

@Marvin (#21)

„aber geht es bei De-Mail nicht eher um den rechtlich einwandfreien Nachweis der Zustellung“

Und worin sollte der Sinn darin bestehen? Mal abgesehen davon, dass es aufgrund der angeblichen Verschlüsselung, die offenbar reine Makulatur ist, nicht rechtlich einwandfrei sein kann.

1. Du musst für jede einzelne de-Mail zahlen
2. Du musst ein Webmail-Interface anstatt der üblichen E‑Mail-Clients benutzen
3. Weil der Anbieter die de-Mail verändern kann wie er will (keine wirksame Verschlüsselung), kann eine De-Mail nicht als Nachweis gelten
4. Sobald du ein de-mail-Konto hast, bist du gehalten, täglich in deinem Webbrowser nach de-Mails zu gucken, weil eine de-Mail nach einem Tag als zugestellt gelten soll – wie gesagt: keine Mail-Programme

Und das alles, damit Rechnungssteller und Behörden dir noch schneller unangenehme Nachrichten schicken können, die dann noch nicht einmal als Nachweise taugen können?

Ich sehe darin keinerlei Sinn.

Marvin

,

21. Juli 2010

@Tharben (#26)

1. Woher hast du die Info? Sind dir ggf. schon Preise bekannt? Ich finde das ist alles noch ziemlich spekulativ.
2. Ja, da es ein Projekt des Bundes ist, muss das Interface rein theoretisch sogar barrierefrei sein. Schande!
3. Ist die Verschlüsselung für die Authentizität des Inhalts wirklich notwendig?

Vielleicht hab ich die Technik ja auch nicht verstanden:
Per Webinterface wird die De-Mail SSL-verschlüsselt auf dem De-Mail Eingangsserver angeliefert und dort zur Weiterbearbeitung natürlich entschlüsselt.
Dann geht die De-Mail wiederrum verschlüsselt auf den Weg zum De-Mail Zustellserver und wird dort entschlüsselt, um sie einem Postfach zuzuordnern.
Der Empfänger holt die De-Mail dann wiederrum per Webinterface SSL verschlüsselt ab. Die De-Mail Server sind jeweils BSI zertifiziert.
Wenn ich nun der BSI Zertifizierung nicht traue, richte ich mich halt darauf ein, zusätzliche Maßnahmen zu ergreifen (siehe mein vorheriger Kommentar).

Letzteres ist dann übrigens das gleiche Dilemma, das du beim analogen Postversand auch hast, wenn du dem Zusteller nicht vertraust.
Ohne DPDHL jetzt kritisieren zu wollen, sehe ich keinen Grund, warum man denen nun unbedingtes Vertrauen entgegenbringen sollte. Du?

4. Ja, du bist aber auch gehalten, täglich in deinen Briefkasten zu schauen. In wie weit das nun verpflichtend ist, bleibt sicherlich noch zu klären, vgl.: http://www.ferner-alsdorf.de/2010/07/den-eigenen-briefkasten-muss-man-leeren/

Unangenehme Post hat übrigens keiner gern, aber das ist ja kein Problem von De-Mail ;)

[…] […]

Stefans Home

de-Mail unsicher? Kalter Kaffee.…..

Kaum daß de-Mail offiziell an den Start gehen soll, sind die einschlägigen Webseiten voll mit Meldungen wie De-Mail ist unsicher. Kurze Durchsage: Das ist kalter Kaffee und war bereits nach einem kurzen Blick auf das Design zu erkennen.…

Durden

» Keine Sorge, dieses DE-Mail ist sicher. Halt so … Nachtwächter-Blah

@zeroql (#2)

Kann mir jemand einen Grund nennen die Mails zu entschlüsseln außer um sich den Inhalt anzuschauen bzw. auswerten/speichern zu können?

Offiziel (siehe Golem) um „die De-Mails einer Spam- und Malware-Prüfung zu unterziehen“.

Da kann man sich natürlich fragen, ob es in einem geschlossenen System mit gläsernen Identitäten sonderliche viele Spammer und Malware-Versender geben wird. Und zum anderen wirft das die Frage auf, ob der Email-Provider überhaupt dafür zuständig ist, meine Emails für mich auf Spam und Viren zu scannen. Schließlich sortiert der Briefträger aus meiner „normalen“ Post auch nicht die Werbesendungen raus.

[…] Sorge, dieses DE-Mail ist sicher. Halt so sicher wie die Server, auf denen die verschlüsselten Mails rasch wieder […]

Helmut Springer

Spam- und Malwarefilter sind die Standardkomponenten einer Mailinfrastruktur zum Erkennen definierbarer Muster in Daten und Metadaten des gesammten Mailverkehrs und zur besonderen Behandlung darauf passender Mails…

Peter

Da das ganze über einen Browser laufen soll, und somit SSL verwendet wird, ist es nunmal technisch nicht anders möglich als die mails auf dem Server zu entschlüsseln! Die post könnte auch deine Briefe öffnen den Text ändern und wieder eintüten. Natürlich ist das um einiges aufwändiger als wenn der briefverkehr rein digital läuft, und somit sollte man da schon etwas kritischer rangehen, aber trotzdem halte ich die Paranoia von einigen Kommentatoren hier für übertrieben.

Troja

Die wunderbare Welt von Isotopp

Leute, ich kann die ganze Aufregung irgendwie nicht nachvollziehen. Denn schließlich muß niemand diesen Dienst nutzen.

Es ist so, wie es immer schon war, man sollte sein eigenes Hirn anstrengen.

Was mich wesentlich mehr umtreibt, ist die Ankündigung (Vorreiter die USA), daß man nur noch mithilfe eines Ausweises in das Netz darf, gerade auch in Bezug zu allen staatlichen Stellen. In Deutschland denkt die CDU ebenfalls, daß Rechtsgeschäfte, Kontakte zu Behörden und zu Versandhäusern etc., nur noch mittels Ausweis erfolgen sollen.

Wie fein, daß wir in einigen Monaten mit dem neuen BPA behelligt werden. Dieser soll, unter anderem, die sichere Identitätsfindung der User/innen sicherstellen.

Warten wir noch zwei Jahre, dann hat sich das mit der (relativen) Anonymität im Web erledigt.

Da jubelt die Politik, die Seitenbetreiber, die Bullerei und Konsorten.

Und DAS ist eben nicht freiwillig. Daher hat man sich schon jetzt im Vorfeld darüber Gedanken zu machen und mögliche Gegenmaßnahmen zu kreieren bzw. zu programmieren. Inklusive aller juristischen Schritte, die selbstverständlich mal wieder vom dem Bundesverfassungsgericht landen werden.

Gruß

DE-Mail – Wieso Sicherheit?…

Netzpolitik verweist auf Golem verweist auf die Frankfurter Rundschau. Die deckt auf: DE-Mail ist nicht sicher, weil es nicht durchgehend verschlüsselt, sondern „Auf den Servern jedoch werden die Mails aus technischen Gründen kurz entschlüsselt und so…

Tharben

@Marvin (#29)

1. # google.de/search?hl=de&q=de-mail+kosten # gamestar.de/hardware/news/internet/2312458/de_mail.html # email-vergleich.com/2010/02/de-mail-wird-15-cent-pro-e-mail-kosten/

3. Ja, natürlch. Ein Brief auf Papier kann eine Urkunde sein. Wie soll ein Haufen Nullen und Einsen, der auf einem elektronische Datenträger gespeichert ist, und noch dazu von jedermann beliebig verändert werden kann, als Urkunde, Nachweis, Beweisstück gelten?

„dort zur Weiterbearbeitung natürlich entschlüsselt.“

Wieso natürlich entschlüsselt? (auch @Peter #33) Du musst unterscheiden zwischen verschlüsselter Verbindung und verschlüsseltem Inhalt. Kein Inhalt muss entschlüsselt werden, damit er übertragen werden kann. Sender und Empfänger stehen im nicht verschlüsseltem Bereich. Damit Kommunikationsdaten nicht für Dritte sichtbar sind, gibt es Ende-zu-Ende-Verschlüsselungen, bspw. SSL-Verbindungen (https). Dies hat aber – wie gesagt – nichts mit dem Inhalt zu tun. Der kann darüber hinaus verschlüsselt sein oder auch nicht. Bei der De-Mail ist er es zumindest für den Dienstanbieter offenkundig nicht.

„… warum man denen nun unbedingtes Vertrauen entgegenbringen sollte. Du?“

Du kannst einen Haufen Nullen und Einsen spurlos Manipulieren. Du kannst ein Papierdokument nicht spurlos manipulieren – jedenfalls erfordert es hohen Aufwand nur so geringe Spuren zu verursachen, dass diese nicht entdeckt werden.

Unangenehme Post hat übrigens keiner gern, aber das ist ja kein Problem von De-Mail ;)

Ich werde aber sicherlich nicht noch zusätzlichen Aufwand betreiben (kostenpflichtige De-Mail einrichten, jeden Tag zum de-Mail-Konto marschieren), damit mich schlechte Nachrichten von bspw. Behörden noch schneller erreichen. So funktionieren Menschen nicht.

De-Mails bringen gegenüber normal PGP- (und damit tatsächlich) verschlüsselten E‑Mails nur Nachteile. Wozu sollte ich dafür auch noch Geld auf den Tisch legen?

Marvin

,

21. Juli 2010

@Tharben (#35)

1. Wie oben geschrieben, ziemlich spekulativ. Noch dazu, wenn es keine offiziellen Quellen sind. Einigen davon zufolge kostet das De-Mail Postfach übrigens nichts im Unterhalt, nur der Versand koste quasi virtuelles Porto.
Aber Mensch, warten wir es doch einfach ab, bis die Dienste in Betrieb sind. Es gibt mehrere Anbieter, da wird ein Preiskampf unvermeidlich sein und im Zweifelsfall hat die Bundesnetzagentur auch noch ein paar Worte mitzureden.

3. Um das mal festzuhalten: Ein Brief auf Papier ist als solches eine Urkunde, da er nicht so einfach verändert werden kann. Ich gebe dir da völlig Recht!
Von Urkunden kann man Kopien machen, die Echtheit von Kopien kann man beglaubigen lassen und nichts anderes machen diese BSI-zertifizierten De-Mail Server, die sich untereinander vertrauen.

„Wieso natürlich entschlüsselt?“

Tut mir leid, ich kann dir hier nicht ganz folgen. Bitte wie möchtest du, als Posteingangsserver, einen SSL verschlüsselten Datenstrom vom Webinterface als De-Mail zustellen, wenn du ihn nicht entschlüsseln darfst?
Diese SSL Sache ist doch nur dazu da, dass kein Dritter von außen mitlesen kann.
Den Server interessiert in erster Linie nur der Header und, wie gesagt, wenn du den De-Mail Servern nicht vertraust, steht es dir und deinem Korrespondenten frei, zusätzliche Maßnahmen (z.B. PGP) zu ergreifen.

Man kann jetzt darauf herumzureiten, warum De-Mail so eine Inhalts-Verschlüsselung nicht schon von Hause aus mitbringt oder gar vorschreibt.

Bitte nicht persönlich nehmen, aber ich bin kein Verkäufer und eigentlich ist es mir herzlich egal, ob nun gerade du zu solchen Konditionen De-Mail nutzen möchtest.
Nirgendwo steht, dass es verpflichtend sein soll.

Ich bin nur der Meinung, es wird viele Sachen unheimlich vereinfachen. Man könnte z.B. als Blog-Betreiber mal ausloten, ob als ladungsfähige Adresse eine De-Mail Adresse im Impressum angegeben werden könnte, statt der Hausanschrift. Das wäre ein Schritt zu etwas mehr Anonymität im Netz und würde der freien Persönlichkeitsentfaltung näher kommen, als die derzeitigen Bedingungen.

Helmut Springer

De-Mail macht den Eindruck eines Steampunk Designs: fest im Denken der klassischen Briefpost verhaftete Leute entwerfen electronic mail mit den ihnen vertrauten und verstaendlichen Mitteln und Eigenschaften.

Ok, invertierter Steampunk mit modernem Aussehen und altertuemlicher Funktion 8)

Thostra

Es ist doch kein Problem eine Email zu verschlüsseln:
Man muß sich nur die Mühe machen, ein entsprechendes kostenfreies (!) Programm zu installieren, z.B. GnuPG; für die die ‚öffentlichen Schlüssel’ steht, ebenfalls kostenfrei, eine Server- Infrastruktur zur Verfügung, z.B. unter hkp://keys.gnupg.net. Die Schlüsselserver synchronisieren sich, man braucht nicht suchen.
Das Programm GnuPG installiert sich aber nicht wie ein FF- Addon, sondern erfordert etwas mehr Aufwand (hilfreich sind Antiquitäten wie Zettel und Stift).

Auf mehreren Seiten der Landesbeauftragten für Datenschutz sind Anleitungen und Links zu entsprechenden Programmen zu finden, dann sind die Mails keine Postkarten mehr.

Wenn das nicht hinzukriegen ist, es gibt Applications wie Dropthing, die eine .txt asymmetrisch ver- und entschlüsseln können, und dann via c&p in die eMail…

Die ’sichere Authentifizierung’ müssen wir dann noch auf anderen Wegen der Kommunikation sicherstellen: telephonieren, Schlüsseltausch beim Kaffee- Trinken, …

Und dann gibt es noch ‚als heim er kam’, hatte er sein Passwort vergessen, tja, dann nix mehr mit eMail lesen – zur Entschlüsselung wird die eigene Passphrase benötigt … Das Passwort sollte min. zehn Stellen, Groß + Kleinbuchstaben, Zahlen und Sonderzeichen enthalten und nicht unter der Tastatur kleben

Ich glaube, da ist die wirkliche Schwierigkeit zu suchen …

In meinem Mailverkehr nutzen NUR die Ämter für Datenschutz meinen öffentlichen Schlüssel zur Verschlüsselung, obwohl ich ihn an jede eMail anhänge!

Wir brauchen keine de.- Mail, das können wir selber, wenn wir denn wollten.

Was wir brauchen sind kostengünstige Zertifikate! Die brauchen wir jedoch nicht für die Verschlüsselung, sondern für eine verifizierbare Identifizierung.

Viktor

De-Mail und GnuPG - Nicos Blog

Ich verstehe die Aufregung nicht. Handelt es sich nicht um die normale Funktionsweise von SSL? D.h. zwischen Client und Server ist die Verbindung verschlüsselt, aber auf dem Server liegen die Information im Klartext vor?

Wer die Mail vom Absender zum Adressaten durchgängig verschlüsselt haben will, muss sich schon selber drum kümmern und PGP aufsetzen. Mit allen Vor- und Nachteilen die das mit sich bringt.

[…] dies nicht möglich sein und man sich keine Gedanken machen, dass das System unsicher wäre ( via Netzpolitik), ich selbst habe daran allerdings meine Zweifel und würde mich nicht Wundern wenn sich das System […]

Peter

@Thorben (35):
Eine Client-seitige Verschlüsselung ist nur über den Browser aber leider nicht so leicht möglich. Das ganze Konzept sieht einfach keinen verschlüsselten Inhalt vor, nur verschlüsselte Verbindungen.
Über ein java plugin ließe sich natürlich eine client verschlüsselung erreichen (asymetrisch end-to-end)

Tharben

@Peter (#40) Schade, ich habe erst wieder am Wochenende Alkohol im Haus – nüchtern verstehe ich leider nicht was du meinst. Könntest du das umformulieren?

Helmut Springer

Wenn De-Mail attachments unterstuetzt, kann man natuerlich trivial beliebig kryptographisch gesicherte Daten transferieren.

Sven Thomsen

Vorschlag zur Versachlichung:

Lest die technischen Richtlinien des BSI, wenn ihr genau wissen wollt, wie DE-Mail funktioniert. http://bit.ly/aB6icc und insb. http://bit.ly/dyCD32

Oder: Lest Kai Ravens blog-Artikel http://blog.kairaven.de/archives/1841-De-Mail-Kuverts.html

Tharben

@Helmut Springer Ja, wie bei einer kostenlosen E‑Mail auch.

Tharben

@Marvin

Gut, lassen wir die Verschlüsselung der Verbindung einfach gedanklich weg. Sie hat sowieso keinen Einfluss auf die Authentizität (wie du es oben [#] nanntest) des Inhaltes.

Wenn ich aber optional den Inhalt selber verschlüsseln muss, worin besteht dann der geldwerte Vorteil der De-Mail?

Hinter De-Mail-Identitäten stehen reale, verifizierte Identitäten. Ob die vom BMI propagierte De-Mail mehr Anonymität im Netz bringt, obwohl de Maiziere Anonymität im Netz gerne abgeschafft sähe, darf zu recht angezweifelt werden.

Selbst wenn du Eskimos Kühlschränke verkaufen könntest, würdest du dir an mir vermutlich die Zähne ausbeißen. Gut, dass du es erst gar nicht probierst. :)

Tharben

Authentizität [#29]

Sven

Ihr habts gehört! Der Staats sagt es ist sicher, nur müssen sie kurz die Inhalte überprüfen, schließlich wird die DE-Mail so oder so mal kurz entschlüsselt.

Lauscher

@Helmut (32): Vielleicht, aber in einem System mit eindeutig identifizierbaren Nutzern irgendwie sinnlos. Da wären die Spammer schon sehr blöde. Oder das System ist leicht genug zu hacken und man kann Identitäten fälschen. Aber broken by Design ist es ja eh schon. :-)

@Peter (33): Falsch. Such mal nach Horde Webmail. Das hat auch ein PGP und S/MIME Verschlüsselungsmodul, dass man sogar mit eigenen Keys versorgen kann. Allerdings ist das natürlich auch fragwürdig, denn eigentlich darf der Private Key den eigenen Rechner bzw. den externen Datenträger *niemals* verlassen.

@Troja (34): Stimmt, aber erstens könnten sie es für Behördengänge o. ä. mittelfristig verpflichtend machen und zweitens gaukelt es dem unbedarften Nutzer eben trotzdem (rechts-)Sicherheit vor, die es nicht bieten kann. Schau dir doch nur die ganzen PR-Kampagnen dazu an.

@Thostra (38): Sehe ich etwas anders. Thunderbird + Enigmail sind nur wirklich kein Hexenwerk mehr. Sogar für Outlook gibt es ein Addon.

@Viktor (39): Welche nachteile siehst du denn bei PGP?

Helmut Springer

,

22. Juli 2010

@Lauscher(50)

Es wird Leute geben, die Dir mangelnde Phantasie bzgl. der moeglichen Anwendungen einer existierenden Infrastruktur zur Mustererkennung und Sonderbehandlung im Mailverkehr vorwerfen wuerden 8)

Solange niemand daran gehindert wird, beliebige Daten mit damit beliebiger Verschluesselung zu transportieren, ergeben sich allerdings keine neuen Probleme diesbzgl.

Dalia

.musslautsein › Links von Interesse (14)

Wer macht sich eigentlich Gedanken über Mist, den keine Sau nutzen MUSS???

Gute Nacht.

[…] Geschichten von Interesse: Berliner Mauer lernt das Fliegen De-Mail: Freund liest mit? […]

Viktor Rosenfeld

Krüdewagen Blog » Blog Archiv » De-Mail und E-Postbrief

@Lauscher (50): Der Nachteil von PGP ist, dass das persönliche Web Of Trust, auf dem die Sicherheit von PGP beruht, erst einmal aufgebaut werden muss. Um das Vergleichen von Fingerprints am Telefon oder bei einem persönlichen Treffen kommt man am Anfang nicht herum, und das ist doch schon recht umständlich.

Eine zentrale CA hat diesen Nachteil nicht, aber dafür natürlich andere.

FezBook: Bitte lieber Vater Staat, les meine sicheren E-Mails, damit ich nichts zu befürchten habe!

[…] den Kommentaren auf netzpolitik.org zum Beitrag De-Mail: Freund liest mit? kann man sehr schön die von mir angesprochene Problematik einer fehlenden Ende-zu-Ende […]

[…] würde sich im Nachhinein über sowas tierisch freuen! Das is mal ne saubere DE-Verarsche!Hier zum ganzen Post auf netzpolitik.org. Related Posts : email, internet, politik, sicherheit, spionage, staat […]

@Marvin, Tharben: ~~Nicht, dass ich eure Diskussion unnötig mit Fakten stören möchte, aber könntet ihr evtl. kurz mal schauen, was die Post verspricht (Die beiden interessanten Teil habe ich mal markiert):~~

Vertraulich

Jeder E‑POSTBRIEF ist auf seinen elektronischen
Wegen vom Absender bis zum Empfänger verschlüsselt.

Modernste Verschlüsselungstechnologien

Absender und Empfänger können sicher sein, dass ihr Schriftwechsel nicht von Unbefugten eingesehen werden kann. Denn der E‑POSTBRIEF wird automatisch verschlüsselt. Sie müssen weder ein zusätzliches Programm installieren noch die
Verschlüsselung selbst vorzunehmen.

Mein Fehler, sorry.

stan

Ich frage mich grad, ob die TK hier nicht in eine selbst gebuddelte Grube tappt. Mit der De-Mail verspricht sie ein Rundum-Sorglos-Alles-Verschlüsselt-Paket was für jeden technisch nicht versierten super aussieht. Alles sicher und ich muss dem Staat dabei noch nicht mal vertrauen. Leider ist aber genau das jetzt verwendete Bild des Umpacken des Briefes ein sehr mächtiges. Den meisten hier war das klar, dass die Kombination aus HTTPS und Mailkrypto so zusammenspielen. Allen anderen aber nicht. Und mit dem Öffnen von Briefen haben die mind. die Ostdeutschen noch gute Erfahrung, bzw. dort wirkt dieses Bild sehr stark.

Das mal so als Gedanken am Rande. Vielleicht wären das ja Ansatzpunkte für weitere Diskussionen.

Volker Birk

Das einzig gute an De-Mail:

Wer sich entmailen lässt (demail), ist selber schuld.

Hier wird Dummheit bestraft, so wie es sich eigentlich gehört: die Beweislast wird umgedreht, wer einen De-Mail-Account hat, muss im Zweifelsfalle beweisen, dass er eine Nachricht nicht erhalten hat, statt dass man ihm nachweisen muss, Kenntnis erhalten zu haben. Die dabei versprochene „Sicherheit“ besteht aus juristischen Annahmen, das Verschlüsselungskonzept ist wohl schon alleine deshalb eine Lachplatte, damit die Abhörer weiter Zugriff haben.

Eigentlich ein gutes Programm. Sonst schmerzt Dummheit ja hauptsächlich immer Dritte, hier ausschliesslich den Idioten, der sich freiwillig eine De-Mail-Adresse besorgt.

Viele Grüsse,
VB.

Tharben

@Jo (#57)

Bringen wir beide da nicht etwas durcheinander? Oder ist der E‑Postbrief gleichbedeutend mit der De-Mail? Der E‑Postbrief ist doch als gelbes Konkurrenzprodukt zur De-Mail gedacht, nicht?

Jedenfalls hatte ich das vermengt, denn deine alway-on-Meldung bezieht sich auf den E‑Postbrief. Jetzt kommst du mit Zitaten zum E‑Postbrief in einem Eintrag zur De-Mail. Du verwirrst mich. (Wird Zeit fürs WE.)

Ist der E‑Postbrief = De-Mail? Falls nein, welche Gemeinsamkeiten gibt es? Die Verschlüsselung ist es offenkundig nicht, weil sich gerade in diesem Punkt die Informationen widersprechen.

Was genau habe ich nun nicht verstanden?

@Tharben: Nein, der Fehler lag bei mir. Ich hatte den Screenshot noch da und bin dann bei den Kommentaren-Benachrichtungen durcheinander gekommen.

Tharben