Gestern veröffentlichte das Bundesamt für Sicherheit in der Informationstechnik (BSI), eine dem Innenministerium unterstellte Behörde, einen ersten öffentlichen Entwurf (pdf) einer Richtlinie für den sicheren E‑Mail-Transport. Das geschah sehr zeitnah zu der Ankündigung von GMX und Web.de, die Verschlüsselung von Emails per PGP zu ermöglichen. Beide Dienste gehören zu 1&1.
Die Richtlinie richtet sich hauptsächlich an Anbieter von E‑Mail-Diensten und soll diesen ermöglichen, unabhängig von den IT-Kenntnissen ihrer Nutzer ein höheres Sicherheitsniveau anzubieten.
Bedingungen an Diensteanbieter
Der Richtlinienentwurf nennt verschiedene Kriterien, die Diensteanbieter zu erfüllen haben, darunter der Austausch von Zertifikaten, Transparenz gegenüber dem Nutzer, ob E‑Mails an einen zertifizierten Anbieter geschickt werden oder nicht, außerdem muss ein Informationssicherheitsmanagementsystem betrieben werden. Das lehnt sich an Normen der Internationalen Organisation für Normung (ISO) an. Weiterhin muss für Interaktionen zwischen Benutzer und Anbieter TLS zur Verschlüsselung eingesetzt werden, was auch für Weboberflächen (HTTPS) und die Bereitstellung der E‑Mails (STARTTLS) gilt. Sollte eine sichere Kommunikation nicht möglich sein, muss diese abgebrochen werden. Dabei muss so über diesen Abbruch informiert werden, dass auch nicht versierte Nutzer den Grund des Abbruchs verstehen können.
Zu den Rahmenbedingungen des Betriebs sieht die Richtlinie des BSI vor, dass die Systeme in der Regel in Deutschland betrieben werden, nur in Ausnahmefällen kann unter höheren Datenschutzanforderungen ein Betrieb im EU-Ausland oder in der Schweiz stattfinden. Nutzer müssen über Sicherheitsvorfälle informiert werden
Zertifizierung
Eine noch nicht benannte Stelle soll das Erfüllen der Anforderungen zertifizieren. Dadurch soll eine besondere Vertrauenswürdigkeit nachgewiesen werden. Diese Kontrolle soll entweder im Rahmen einer Prüfung auf Basis der ISO27001 oder durch „eine durch das BSI akkreditierte Prüfstelle“ erfolgen.
Zur Weiterentwicklung der Richtlinie hat das BSI eine Arbeitsgruppe gegründet. An der „AG TR Sicherer E‑Mail Transport“ können sich interessierte E‑Mail-Anbieter an der Erarbeitung der finalen Version beteiligen, so das BSI in einer Pressemitteilung.
Problematisch könnten die möglichen Kosten einer Zertifizierung sein: Während große E‑Mail-Anbieter keine Probleme haben dürften, die eventuell erforderlichen Mittel aufzubringen, könnten kleinere Anbieter, die auch sicher oder sogar noch sicherer arbeiten, in die Situation geraten, Probleme aufgrund einer fehlenden Zertifizierung zu bekommen, obwohl die Bedingungen der Richtlinie erfüllt werden.
Summa summarum wird also die Richtlinie zusammen mit Diensteanbietern entwickelt, diese können dann ein Konzept erstellen und umsetzen, worauf hin eine Zertifizierung für die Umsetzung des eigenen Sicherheitskonzepts auf Grundlage der Richtlinie erfolgt.