S/MIME: So verschlüsseln und signieren Sie Ihre E-Mails

Wenn Sie eine E-Mail verschicken, wollen Sie, dass die Nachricht sicher und unverändert beim gewünschten Adressaten ankommt und auch nur von diesem gelesen werden kann. Erhalten Sie selbst eine elektronische Nachricht, wollen Sie ebenso, dass der Inhalt nicht von Dritten mitgelesen oder gar manipuliert wurde. Außerdem soll der angegebene Absender auch der tatsächliche Absender der Nachricht sein und sich nicht nur als dieser ausgeben. Diese Wünsche lassen sich allerdings nur mit Verschlüsselung und elektronischer Signatur realisieren – ohne diese haben Cyberkriminelle trotz Spam-Schutz und Antivirensoftware leichtes Spiel. Ein Standardverfahren, mit dessen Hilfe sich beide Sicherheitsfeatures nutzen lassen, ist das 1999 definierte S/MIME.

Im RFC 1847 wurden 1995 zwei Sicherheitserweiterungen für den E-Mail-Standard MIME (Multipurpose Internet Mail Extension) spezifiziert: Das Format multipart/signed zur Signierung von Nachrichten und das multipart/encrypted-Format für deren Verschlüsselung. 4 Jahre später veröffentlichte die IETF (Internet Engineering Tasking Force) mit der MIME-Erweiterung S/MIME - beschrieben in RFC 2633 - einen Standard, der erstgenanntes Signaturformat unterstützt.

Für die Verschlüsselung greift das Verfahren hingegen auf die eigene Lösung application/pkcs7-mime zurück. Sie können frei wählen, ob eine Mail mit S/MIME nur verschlüsselt bzw. nur signiert werden soll oder ob beide Operationen angewandt werden.

S/MIME-Verschlüsselung und -Signierung ist über alle gängigen E-Mail-Clients – wie zum Beispiel Microsoft Outlook, Thunderbird oder Apple Mail – möglich. Eine bekannte Alternative, die sowohl multipart/signed, als auch multipart/encrypted unterstützt, ist das 2007 definierte OpenPGP.

S/MIME basiert auf einem asymmetrischen Verschlüsselungsverfahren und greift daher auf ein Schlüsselpaar zurück, das aus einem privaten (Private Key) und einem öffentlichen Schlüssel (Public Key) besteht. Während der öffentliche Schlüssel mit allen E-Mail-Kontakten geteilt wird, steht der private Schlüssel nur dem Anwender offen. Er wird einerseits benötigt, um in Kombination mit dem Public Key des Empfängers verschlüsselte Mails zu verschicken, und andererseits, um erhaltene Nachrichten zu entschlüsseln. Durch ein S/MIME-Zertifikat kann der E-Mail-Client Schlüssel erzeugen und austauschen – solch ein Zertifikat erhält man bei verschiedenen Anbietern.

Damit die E-Mail-Verschlüsselung funktioniert, sind jeder S/MIME-Nachricht Header-Informationen vorangestellt, die dem empfangenden Client die notwendigen Angaben zur Erfassung und Verarbeitung des Inhalts liefern. Dazu sind unter anderem der Inhaltstyp – bei verschlüsselten Daten zum Beispiel „enveloped-data“ – der entsprechende Dateiname (z. B. smime.p7m für signierte oder verschlüsselte Daten) oder die Kodierungsform angegeben. Ein möglicher Header einer verschlüsselten E-Mail sieht beispielsweise folgendermaßen aus:

Die S/MIME-Signierung, die automatisch beim Verfassen einer E-Mail an selbige angeheftet werden kann, ist aus mehreren Gründen praktisch: Sie übermittelt dem Empfänger den öffentlichen Key für die gesicherte Kommunikation, sodass dieser Ihnen ebenfalls Nachrichten mit verschlüsseltem Inhalt zukommen lassen kann. Außerdem beweist die Signatur dem Empfänger, dass die E-Mail auch tatsächlich von Ihnen geschickt wurde. Anders als bei PGP tauchen durch das Hinzufügen einer Signatur keine kryptischen Zeichen auf. Sollte der empfangende E-Mail-Client bei der Überprüfung der erhaltenen Signatur Ungereimtheiten feststellen, wird die Legitimität der Nachricht nicht bestätigt, wodurch der Nutzer auf eine Manipulation der Daten schließen kann.

Wie bereits erwähnt, setzt die Nutzung von S/MIME ein Zertifikat (X.509) voraus. Grundsätzlich ist es möglich, ein solches selbst zu erstellen – allerdings benötigen Sie zunächst ein Stammzertifikat, das es in diesem Fall ebenfalls zu generieren gilt. Ferner müssen alle Kommunikationspartner dieses Stammzertifikat zunächst importieren, bevor der eigentliche Schlüsselaustausch in die Wege geleitet werden kann. Die wesentlich einfachere und unkomplizierte Lösung ist der Erwerb eines Zertifikats bei einer offiziellen Zertifizierungsstelle, wobei es sowohl kostenpflichtige als auch kostenfreie Angebote gibt. Typisch ist die Klassifizierung der verfügbaren Zertifikate in folgende drei Klassen:

• Klasse 1: Das von der Zertifizierungsstelle erstellte Zertifikat sichert die Echtheit der angegebenen E-Mail-Adresse zu.
   
• Klasse 2: Das Zertifikat sichert die Echtheit der angegebenen E-Mail-Adresse sowie den dazu gehörenden Namen zu. Ferner wird – sofern relevant – auch das Unternehmen bestätigt. Die Verifizierung der Angaben findet über Drittdatenbanken oder Ausweiskopien statt.
   
• Klasse 3: Zertifikate der Klasse 3 unterscheiden sich dahingehend von Zertifikaten der Klasse 2, dass sich der Antragsteller persönlich ausweisen muss.

Wenn Sie Ihre Mails mit S/MIME verschlüsseln wollen und auf der Suche nach einem Zertifikat sind, sollten Sie auf keinen Fall dessen Kernfunktion aus den Augen verlieren: Es soll Ihre E-Mail-Kommunikation absichern, indem es das Abfangen und die Manipulation von Nachrichteninhalten verhindert. Aus diesem Grund hat es oberste Priorität, bei der Wahl des Anbieters auf Seriosität und Vertrauenswürdigkeit zu achten.

Ein empfehlenswerter Service, dessen Zertifikaten laut eigenen Angaben 99 Prozent aller E-Mail-Clients vertrauen, ist Sectigo (ehem. Comodo). Die Zertifizierungsstelle, die vor allem für hochwertige SSL-Zertifikate bekannt ist, bietet wahlweise Zertifikate für den Privatgebrauch (ab 16,99 Dollar pro Jahr) oder für den Einsatz in Unternehmen (ab 39,99 Dollar pro Jahr) an, mit denen sich eine sichere Ende-zu-Ende-E-Mail-Verschlüsselung mit S/MIME umsetzen lässt. Ein seriöser Partner für die Erzeugung kostenfreier Zertifikate ist der italienische Web-Hosting-Provider Actalis.

Um das E-Mail-Sicherheitsverfahren in Ihren E-Mail-Client zu integrieren, benötigen Sie zunächst logischerweise das S/MIME-Zertifikat – die Anbietersuche ist folglich der erste Schritt auf dem Weg zum sicheren Postfach. Anschließend gilt es, ein personifiziertes Zertifikat zu erstellen und dieses zu installieren. Die genaue Vorgehensweise variiert dabei leicht, ist im Prinzip aber bei allen Anbietern ähnlich. Nach der Installation konfigurieren Sie das jeweilige E-Mail-Programm so, dass es S/MIME nutzt und zu diesem Zweck auf das eingebundene Zertifikat zurückgreift. In der Regel wird der Einrichtungsprozess durch einen Neustart des Clients abgeschlossen, woraufhin spezifische Funktionen zur manuellen oder automatischen Verschlüsselung bzw. Signierung der Nachrichten freigeschaltet werden.

In den folgenden Abschnitten finden Sie detaillierte Anleitungen zur S/MIME-Einrichtung auf den Desktopsystemen Windows und macOS sowie auf den mobilen Systemen iOS und Android. Als Zertifikatsstelle wird exemplarisch der kostenfreie Zertifikatsservice des Webhosters Actalis genutzt.

Apple-Geräte haben mit dem hauseigenen Client „Mail“ bereits eine Lösung installiert, die es von Anfang an ermöglicht, Mails mit S/MIME zu verschlüsseln und zu signieren. Wenn Sie also einen Mail-Account besitzen, können Sie direkt ein Zertifikat bei Actalis erstellen, ohne ein weiteres Programm installieren zu müssen. Die Vorgehensweise unterscheidet sich dabei nicht von der unter Windows: Sie rufen die Actalis-Website auf, nutzen Sie das Formular für die Zertifikats-Generierung und erstellen Sie anschließend das Zertifikat auf Basis Ihrer persönlichen Daten. Anschließend gehen Sie wie folgt vor, um das Zertifikat zu installieren und die S/MIME-Verschlüsselung einzurichten:

1. Öffnen Sie die von Actalis gesendete E-Mail und laden Sie das Zertifikat in einen beliebigen Ordner herunter. Die erhaltene Datei lässt sich unter macOS per Doppelklick direkt öffnen und zur Schlüsselbundverwaltung hinzufügen. Wenn Sie S/MIME auch für Ihr iPhone oder iPad nutzen wollen, müssen Sie das Zertifikat über die Schlüsselbundverwaltung zunächst in das Format .p12 umwandeln. Anschließend können Sie es per E-Mail an Ihr Mobilgerät verschicken.

2. Nach der Installation müssen Sie Apple Mail lediglich starten bzw. neustarten, um das Verschlüsselungs- und Signierungsverfahren zu integrieren.
    
3. Sie können S/MIME nun testen, indem Sie sich selbst eine verschlüsselte und signierte Nachricht schicken. Zu diesem Zweck finden Sie zwei entsprechende Buttons im E-Mail-Fenster (Schloss zum Verschlüsseln, Zahnrad zum Signieren). Beide Symbole finden Sie auch in einer zusätzlichen Zeile unter dem Betreff der Test-Nachricht, wenn Verschlüsselung und Signierung wie gewünscht funktionieren.