In vier Schritten zum sicheren E-Mail-Archiv (3/3)

E-Mails können wir nur dann verschlüsselt versenden, empfangen und archivieren, wenn sich auch unsere Kontakte auf diese Art der sicheren Kommunikation einlassen. In dieser Serie wird beschrieben, wie wir uns zumindest beim Archivieren von ihnen unabhängig machen können. (Teil 3/3)

Geschätzte Lesezeit für diesen Artikel: 5 Minuten

In Teil 1 dieser Serie ging es um die Frage, warum die vollständige Verschlüsselung aller in in einem Postfach archivierten E-Mails sinnvoll sein könnte. In Teil 2 wurde erklärt, wie man das mit Hilfe der Posteingangsverschlüsselung bei bestimmten E-Mail-Anbietern zumindest für die empfangenen Nachrichten hinbekommt. In diesem dritten Teil geht es nun darum, wie man auch die gesendeten Nachrichten verschlüsselt archivieren kann.

Wenn wir eine E-Mail verschicken, dann speichern unsere E-Mail-Programme („Clients“ wie Thunderbird oder Outlook) normalerweise eine Kopie im „Gesendet“-Ordner und übertragen diese via IMAP auf den Server. Das IMAP-Protokoll hat den Vorteil, dass wir mit ihm alle Ordner und E-Mails auf mehreren Geräten exakt synchron halten können.

Wenn man nun auch die gesendeten E-Mails verschlüsselt speichern möchte, muss man sich mit einem Trick behelfen. Schließlich nutzen die meisten Empfänger weiterhin keine E-Mail-Verschlüsselung, so dass wir gezwungen sind, mit ihnen unverschlüsselt zu kommunizieren. Unverschlüsselt verschickte Nachrichten werden dabei auch als unverschlüsselte Kopie in unserem Account archiviert.

Der Trick besteht nun darin, die Konfiguration des Mail-Clients so zu ändern, dass mit Hilfe der Posteingangsverschlüsselung auch die gesendeten Nachrichten verschlüsselt werden. Hierfür deaktivieren wir in den Einstellungen z. B. von Thunderbird die Option „Beim Senden der Nachricht eine Kopie speichern unter:“, die standardmäßig aktiviert ist (in Thunderbird zu finden in den Konten-Einstellungen unter „Kopien & Ordner“). Damit wir trotzdem jederzeit auch unsere gesendeten Nachrichten wieder einsehen können, schicken wir nun jede Nachricht automatisch über die BCC-Zeile als Blindkopie an uns selbst. Dies lässt sich in Thunderbird ebenfalls in „Kopien & Ordner“ in der Zeile „Blindkopie (BCC) an:“ aktivieren. An dieser Stelle einfach ein Häkchen setzen und die eigene E-Mail-Adresse eintragen. Diese Kopie landet dann in unserem Posteingang und – voilà! – wird dort durch die bereits zuvor aktivierte Posteingangsverschlüsselung verschlüsselt (vgl. Teil 2).

Anschließend lohnt es sich noch, im E-Mail-Account einen Filter einzurichten. Wir möchten ja nicht jede verschickte Nachricht wieder im eigenen Posteingang sehen. Er lautet: Markiere alle Nachrichten, bei denen meine eigene E-Mail-Adresse in der „Von“-Zeile steht, als gelesen, und verschiebe sie in den Ordner „Gesendet“ (bzw. „Archiv“ oder in einen beliebigen anderen Ordner, in dem wir unsere Nachrichten archivieren). Man kann einen solchen Filter leicht in den Filter-Einstellungen konfigurieren.

Da diese kleine Umleitung über das BCC-Feld veranlasst wird, ist sie für den Empfänger unsichtbar. Außerdem bleiben alle anderen Zeilen im Header der E-Mail (v. a. Absender und Empfänger) unverändert. Die nachträglich verschlüsselte versendete E-Mail ist somit kaum noch von einer E-Mail zu unterscheiden, die herkömmlich versendet und als Kopie gespeichert wurde.

Dieser Workaround wurde mir auf Anfrage vom Posteo-Support empfohlen. Man findet ihn auch auf den Hilfeseiten von mailbox.org:

Beachten Sie bei der Benutzung von IMAP außerdem, dass E-Mails, die Sie mit Ihrem Mailclient schreiben und im Sent-Ordner speichern, derzeit nicht verschlüsselt werden. Das ist sehr unschön, wir haben aber mittelfristig einen Lösungsansatz auf der Roadmap, müssen jedoch noch das Erscheinen einer bestimmten Softwareversion abwarten.

Als Workaround können Sie E-Mails an sich selbst verschlüsseln und sich als BCC zusenden lassen. -Alle gängigen Mailprogramme bieten eine solche BCC-Kopie ausgehender Nachrichten an. Anschließend können Sie über Sieve-Mailfilter diese (nun verschlüsselten) E-Mails in den Sent-Ordner filtern lassen.

Wer sich häufig selbst Nachrichten als BCC zuschickt, die nicht im Archiv landen sollen, kann auch mit einem Alias arbeiten. So wurde es mir vom Posteo-Support vorgeschlagen:

– Legen Sie einen Posteo-Alias an, den Sie für die
„Versandverschlüsselung“ nutzen“.
– Richten Sie Ihr E-Mail-Programm so ein, dass jede E-Mail auch als
Blindkopie (BCC) an diesen Alias gesendet wird
– Konfigurieren Sie Ihr E-Mail-Programm so, dass gesendete E-Mails nicht mehr gespeichert werden
– Richten Sie einen Filter ein, der alle E-Mails, die an diesen Alias
gehen (Achtung: durch die Blindkopie müssen Sie im erweiterten Header nach „Received“ + „enthält“ + „Alias“ filtern) in den Gesendet-Ordner (Sent) verschiebt

Selbstverständlich greift diese Art der Sicherung der eigenen Nachrichten nur in einem bestimmten Angriffsszenario, nämlich dann, wenn der eigene Account gehackt wird. Gegen das Belauschen von E-Mails bei der Übertragung hilft sie nicht. Hier müssen wir weiterhin Überzeugungsarbeit leisten, damit auch unsere Kontakte allmählich auf verschlüsselte E-Mail-Kommunikation umsteigen. Es ist wesentlich einfacher als man denkt, vor allem wenn man den S/MIME-Standard nutzt (erfahre mehr).

Eine Kleinigkeit ist noch zu bedenken: Wenn man eine Rundmail per BCC verschickt, sollte man ggf. vorübergehend wieder das Speichern einer normalen Kopie der Nachricht im Gesendet-Ordner aktivieren. Andernfalls hat man später keinen Einblick mehr in die Liste der Empfänger.

Ich fasse zusammen, wie man in vier Schritten ein sicheres E-Mail-Archiv anlegt:

  1. E-Mail-Konto bei Posteo oder mailbox.org eröffnen
  2. PGP-Schlüsselpaar erzeugen oder S/MIME-Zertifikat beantragen
  3. Posteingangsverschlüsselung aktivieren
  4. Workaround für gesendete Nachrichten konfigurieren

Wer ohnehin mit dem Gedanken spielt, sich eine neue E-Mail-Adresse zuzulegen, hat nun einen Grund mehr, einen der genannten Anbieter auszuwählen. Aber vielleicht ziehen auch andere Anbieter wie web.de oder GMX bald nach, wenn genügend Kunden nach der Posteingangsverschlüsselung fragen. Beide bieten schon jetzt die Möglichkeit, PGP-Verschlüsselung sogar im Webmailer zu verwenden. Davon rate ich zwar ab, es zeigt aber, dass an dem Thema durchaus Interesse besteht.

Schließlich noch eine Warnung: Ende-zu-Ende-Verschlüsselung nach dem PGP- oder S/MIME-Standard bedeutet, dass Nachrichten ausschließlich von dem Empfänger, für den sie bestimmt sind, gelesen werden können. Genau das ist ja der Clou an diesem Ansatz. Die Technologie ist sehr ausgereift und funktioniert zuverlässig. Wenn wir jedoch den privaten PGP-Key bzw. das S/MIME-Zertifikat und/oder das Passwort verlieren, gibt es keine Möglichkeit mehr, die mit ihrem öffentlichen Teil verschlüsselten Nachrichten zu öffnen. Kein Administrator kann uns helfen, denn es gehört explizit zum Sicherheitskonzept, dass es auch für Administratoren keine Hintertüren gibt (erfahre mehr).

Spätestens jetzt wäre also der richtige Zeitpunkt, um sich ein absolut zuverlässiges Konzept für die Sicherung der eigenen Daten zu überlegen (erfahre mehr). Zweitens sollte man einen zuverlässigen Passwort-Manager benutzen (ich empfehle KeePass). So lassen sich mühelos lange – das heißt: sichere – Passphrases in beliebiger Zahl verwalten und sicher aufbewahren.

Viel Spaß beim Verschlüsseln!

Findest Du diesen Beitrag interessant?
→ Teile ihn mit Deinen Freunden (klicke unten auf einen der Buttons)
→ Folge dem Autor auf Twitter (@JochenPlikat) oder abonniere neue Beiträge als E-Mail (klicke oben rechts auf „Folgen“)
→ Unterstütze diese Seite mit einer Spende (klicke oben rechts auf „Donate“)

In vier Schritten zum sicheren E-Mail-Archiv (3/3) by Jochen Plikat is licensed under CC BY-NC-ND 4.0
Bildnachweis: Neo-urban Laptop by markusspiske is licensed under CC0 Public Domain

0 Gedanken zu “In vier Schritten zum sicheren E-Mail-Archiv (3/3)

  1. Hi Jochen,

    die BCC-Methode kann nur eine Übergangslösung sein. Interessant zwar aber sie dürfte einen wesentlichen Nachteil haben: Die Unterhaltung geht verloren – der Thread. Wenn ich Dir schreibe und Du hast noch nicht geantwortet, ich möchte aber selbst mit meiner Antwort weiter machen, müsste die Verbindung unterbrochen sein. Ich machen das manchmal und kann mir nicht vorstellen, dass das mit der mir selbst per BCC geschickten Antwort weiter geht. Schon getestet?

    Ins Blaue hinein gedacht: Vieleicht wäre die Lösung des Problems ja eine Software, die ähnlich funktioniert wie eine Mailinglistensoftware. Hierbei wird ja die an die Mailinglistenadresse geschickte Nachricht an alle mit dieser Adresse verknüpften Teilnehmer geschickt, je nach Einstellung auch den Absender selbst. In dem Fall braucht es keine lokale Kopie der selbst versandten Nachricht, der Thread bleibt erhalten!

    Anmerkung am Rande: Als ich noch kein IMAP hatte, habe ich mit der BCC-Methode meine Mails und Antworten gezielt auf andere Geräte synchronisiert.

    Grüße, Martin

    1. Ja, optimal ist das nicht. Auf den Mailbox.org-Seiten findet man den Hinweis, dass da anscheinend an einer „Versandverschlüsselung“ gearbeitet wird – was aus meiner Sicht naheliegend ist. Das würde den BCC-Workaround überflüssig machen. Die Threads sind aber schon jetzt kein Problem, auch wenn Du mit der Kopie weiterarbeiten willst, die Du an Dich selbst über BCC geschickt hast. Die ist von einer normalen als „Gesendet“ gespeicherten Nachricht erst einmal nicht zu unterscheiden.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert