In vielen Branchen kann die obligatorische Transportverschlüsselung als notwendige Basis-Absicherung gegen unverschlüsselte Übertragung verwendet werden.
Georg Nestmann CEO
Was ist Obligatorische Transportverschlüsselung für die E-Mail-Übertragung?
Die erzwungene Transportverschlüsselung
Der Begriff der obligatorischen TLS-Verschlüsselung bedeutet im E-Mail-Kontext die verpflichtende Transportverschlüsselung bei der Übertragung zwischen zwei E-Mail-Servern. Der Grundgedanke ist, dass die E-Mail-Übertragung unterbunden wird, wenn beim jeweiligen Empfänger-Server keine TLS-Verschlüsselung verfügbar sein sollte.
Im Mai 2020 wurde der Begriff von der deutschen Datenschutzkonferenz (DSK) präzisiert und technische Mindestanforderungen für ausreichende Risikominderung für E-Mail-Nachrichten mit „normalen Risiken“ formuliert.
Bei Verwendung der obligatorischen Transportverschlüsselung wird auf Server-zu-Server-Ebene sichergestellt, dass E-Mails nur dann übertragen werden, wenn eine TLS-Verschlüsselung verfügbar ist und Sicherheits-Mindestanforderungen erfüllt werden.
Für den E-Mail-Absender kann die obligatorische Transportverschlüsselung eine geeignete technische Maßnahme zur Übertragung schützenswerter Daten (z.B. personenbezogener Daten) per E-Mail sein, wenn diese „normale“ Datenschutz-Risiken nicht überschreiten.
Für E-Mail-Nachrichten mit „hohen Risiken“ ist stattdessen eine qualifizierte Transportverschlüsselung oder eine Inhaltsverschlüsselung notwendig.
Lesen Sie dazu auch: Die aktuellen Datenschutzanforderungen
Technische Voraussetzungen, definiert durch DSK und BSI
Ein empfangender E-Mail-Server erfüllt laut DSK die Anforderungen für eine ausreichende Absicherung von normalen personenbezogenen Daten, wenn folgende Bedingungen erfüllt sind:
- Verfügbarkeit der TLS-Verschlüsselung auf Port 25 per STARTTLS, dabei Unterstützung der TLS-Protokollversion 1.2 oder höher
- Unterstützung von TLS-Chiffren gemäß BSI TR-02102-2 (nach Orientierungshilfe der DSK ohne Einschränkungen bzgl. Perfect Forward Secrecy)
- Unterstützung von Schlüssellängen (RSA, Diffie-Hellman) und Kurventypen gemäß BSI TR-02102-2
Wenn Empfänger-Systeme diese Sicherheitsbedingungen nicht erfüllen, darf die E-Mail-Übertragung (mit personenbezogenen Daten) laut DSK nicht ohne weitere Sicherheitsmaßnahmen erfolgen.
Wie sicher ist Ihr E-Mail-Versand aktuell? Machen Sie den Test!
Häufig nutzen Unternehmen die, teils manuell auszulösende, Inhaltsverschlüsselung von E-Mails. Diese ermöglicht zwar eine sichere Übertragung, ist aber meist kompliziert und zeitaufwändig. Eine lohnende Alternative ist die Transportverschlüsselung: Ob Ihre E-Mail-Systeme auch auf der Ebene der Transportverschlüsselung bereits revDSG-konform arbeiten, erfahren Sie durch unseren Test.
Nutzen Sie schon obligatorische und/oder qualifizierte TLS-Verschlüsselung?
Senden Sie eine Test-Mail an: test@evaluation.comcrypto.de
Was bedeutet das Testergebnis?
Ein negatives Testergebnis bedeutet, dass Ihre E-Mail-Systeme auf der Ebene der Transportverschlüsselung bisher keine sichere Verschlüsselung bereitstellen. Stattdessen müssen Sie aktuell auf die inhaltliche E-Mail-Verschlüsselung (z.B. mit Passwort oder PGP oder S/MIME) zurückgreifen, um eine sichere Übertragung zu erreichen. Eine Alternative kann unser MXG Gateway mit der adaptiven Verschlüsselung sein.
Mehr Informationen zum Test
Was prüft der Schnelltest?
Der Empfänger-Server wurde absichtlich mit groben Sicherheitsmängeln konfiguriert und es wurde ein gefälschtes TLS-Zertifikat hinterlegt. Der Test prüft, ob Ihr E-Mail-System vor dem Versand diesen unsicheren Empfänger-Server erkennt und Sie warnt bzw. den Versand unterbindet.
Was prüft der Test nicht?
Ob und welche Inhalts-Verschlüsselungen Sie ggf. bereits einsetzen. Eine von Ihnen manuell geschützte E-Mail, z.B. mit einem verschlüsselten PDF- oder ZIP-Anhang, wird vom Test nicht erkannt.
Ist der Test gefährlich?
Nein. Sie erhalten nur eine automatisch generierte E-Mail-Antwort und erfahren, ob Ihr E-Mail-Server bereits mit obligatorischer oder qualifizierter Transportverschlüsselung arbeitet und die absichtlich erzeugten Sicherheitsmängel erkennt.
Sie erhalten keine Antwort-Mail?
Falls Sie kein Testergebnis, sondern stattdessen binnen 24 Stunden eine Unzustellbarkeits-Benachrichtigung von Ihrem E-Mail-Server erhalten, bedeutet dies, dass Ihr E-Mail-Server bereits mit einer obligatorischen oder qualifizierten Transportverschlüsselung arbeitet. Das ist ein positives Ergebnis. Der praktische Nachteil ist häufig, dass dann zwischen 1 und 10% Ihrer ausgehenden Nachrichten nicht via E-Mail zugestellt werden können. Nehmen Sie Kontakt auf, um zu erfahren, warum dieses Problem mit MXG nicht auftritt.
Die Vorteile von obligatorischem TLS
- Mindestsicherheit gegen Angreifer, die den Netzverkehr passiv belauschen
- Ausreichende Sicherheit für die Übertragung normaler personenbezogener Daten
- In ca. 99% der Fälle anwendbar
Die Nachteile von obligatorischem TLS
- Kein ausreichender Schutz gegen Angreifer, die aktiv in den Netzverkehr eingreifen (sog. Man-in-the-Middle-Angriffe)
- Bei strikter (statischer) Verwendung von obligatorischer Transportverschlüsselung auf dem ausgehenden E-Mail-System kann ca. 1% der E-Mails nicht mehr zugestellt werden.
Einen Ausweg bietet die Verknüpfung mit weiteren Sicherheitsautomatismen. Diese erfolgt im Rahmen der adaptiven Verschlüsselung, die im Falle der Nicht-Verfügbarkeit von obligatorischem TLS automatische Fallback-Mechanismen entsprechend der Konfiguration des MXG Gateways anwendet.
Eine mögliche Konfiguration für die Übertragung von ausgehenden E-Mails, die personenbezogene Daten mit „normalen Risiken“ enthalten, könnte sein:
- Wenn die Mindestbedingungen für obligatorisches TLS erfüllt sind, Übertragung als „normale Mail“ mit ausreichendem Schutz durch TLS
- Wenn die Mindestbedingungen unterschritten werden oder kein TLS verfügbar sein sollte, Übertragung mit automatischem Passwortschutz
