Zertifikatsmail - Alternative zu De-Mail und ePost !
Wenn man sich das "Wettrüstern" der beiden Projekte De-Mail und ePost anschaut, dann kann man schon ins Grübeln kommen, ob die Experten hier ihre Entscheider richtig beraten. Und weil es noch nicht genug ist, gibt es ja noch andere staatlich Dinge wie z.B. in NRW noch FinMail ( https://hermes.fin-nrw.de/finmail/ des Rechenzentrum der Finanzverwaltung in NRW).
Mich stört bei diesen Systeme vor allem, dass es ein separates Postfach mit eigenständiger Mailadresse ist, welches ich zusätzlich zu meinem eigentlichen Postfach lesen muss. Eigentlich geht doch alles Richtung "Unified Communication", bei der alle
Ich stimmt komplett damit überein, dass das Medium "Mail" schon lange aus der Ecke einer Spielerei entwachsen ist und für einen seriösen kommerziellen Einsatz eine Basis für sichere Übertragungen (Signatur und Verschlüsselung) und eindeutige Identifizierbarkeit geschaffen werden muss. Nur warum muss man das Rad neu erfinden und damit die Funktion unnötig komplex gestalten, wo schon alle Komponenten sein vielen Jahren verfügbar sind.
- Transportwege
Das "Internet" als Transportmedium ist fast flächendeckend zu günstigen Preisen verfügbar. Und dort, wo es jetzt noch hapert, wird weder De-Mail noch ePost Linderung verschaffen. Vielleicht gibt es ja mal einen "Rechtsanspruch" auf ein De-Mail-Konto zu fixen (niedrigen) Kosten und damit auch einen Hebel um endlich auch die letzten Flecken mit Bandbreite zu erschließen. Die Post stellt ja Briefe auch an jeden Wohnort zu, ungeachtet der Entfernungen und beschwerlichen Wege. - Mail-Provider
Millionen von Anwender haben heute schon ein Postfach, sei es beim Zugangsprovider ihrer Wahl (z.B. T-online., AOL, etc.), einem freien Provider wie GMX, Web.de etc.) oder im Rahmen einer gekauften Domain bei einem der Webhoster (1und1, Strato, HostEurope etc.). Und für Firmen ist eine eigene Domain mit Mailserver sowieso schon fast "Standard". Diese Strukturen und Dienste laufen seit vielen Jahren und sind bewährt. Eine Parallelwelt kann nur mehr kosten und weniger gut sein. - Verschlüsselung
Mit SMIME und PGP gibt es etablierte bewährte Standards, mit denen Mails vor der Übertragung verschlüsselt und signiert werden können, so dass niemand außer die Empfänger diese lesen können und der Empfänger die Identität des Absenders anhand der Signatur überprüfen kann. - Zertifizierungsstellen und Zertifikate
Fehlen also nur noch die passenden Zertifikate, die für die Signatur und Verschlüsselung erforderlich sind und dabei die Identität der Person prüfen. Hier gibt es aber nicht nur die offiziellen CAs aus der Computerbranche sondern ich sehe hier Banken und Sparkassen als ideale Partner an
Aber statt dessen versucht jeder wieder seine eigene mehr oder minder proprietäre Plattform aufzubauen, die mal per IMAP4/POP3 arbeitet oder nur einen Zugriff per Browser zulässt oder gar einen speziellen Client erforderlich macht. Es hat sich wohl noch nicht rumgesprochen, dass die Anwender nicht "noch ein Postfach" möchten, in dem Sie regelmäßig nach neuen Mails schauen wollen oder laut AGB von ePost sogar täglich müssten. Unified Communication geht anders. Schauen wir uns doch mal eine "alternative Lösung" an:
Rund um das Zertifikat
S/MIME funktioniert nur mit einem Zertifikat ordentlich und der Aussteller muss die Identität des Anfordernden prüfen und auch über Wege und Mittel zur Verteilung und zum Zurückziehen haben. Schauen wir uns an, was unsere Hausbank heute schon könnte:
- Mailadresse und Postadresse
Mein Zertifikat enthält einen "Antragsteller" und dort gibt es gleich mehrere Felder, die gefüllt werden können. Sicher habe ich heute schon eine Mailadresse. Das ist aber "meine "Adresse und nicht eine @epost.de oder @de-mail.de Domain, die zusätzlich abzurufen und zu lesen ist. Ich kann mit meiner Mailadresse ein Zertifikat anfordern. - Erweiterte Zertifikatsnutzung
Nirgendwo steht, dass so ein Zertifikat nur die Mailadresse enthalten muss. Im Zertifikat könnte auch gleich meine Identität mit der Angabe einer postalischen Adresse zu ergänzen. Selbst der Geburtstag oder eine Alterskennzeichnung würde rein passen und wenn sinnvoll sogar eine Personalausweisnummer oder andere Kriterien. Aus Sicherheitsaspekten könnten ja auch zwei unterschiedliche Zertifikate ausgestellt werden. Eines für Signatur von Mails und ein zweites für die Identifizierung, z.B. an Webseiten. - Identitätsprüfung und Kontakt
Wer ein Zertifikat ausstellt, muss den Antragsteller identifizieren. Ihr Hausbank muss Sie als Kunde schon per Gesetz kennen. Direktbanken behelfen sich hier mit dem PostIdent-Verfahren aber mehr bietet ePost auch nicht. Ich würde meinen Antrag einfach gerne bei meiner Hausbank einreichen oder in deren Geschäftsräumen meine Smartcard befüllen. ich kann heute ja schon am Terminal meine Überweisungen eingeben und wenn dies eh die EC-Karte mit meiner PIN ist, bin ich schon "bekannt". Höhere Sicherheit ?, dann soll der Automat einfach die Karte nach dem Einspielen des Zertifikats meine Karte einbehalten, so dass ich sie persönlich am Schalter abholen muss. Sicherer geht nicht. - Elektronik und Smartcard
Ein sicheres Zertifikat befindet sich nicht einfach auf einem Datenträger sondern idealerweise gut gesichert in einer Chipkarte. Entsprechende Karten, Leser und einen Weg zur Verteilung haben die Banken heute schon. Bei einem Masseneinsatz wäre eine solche Karte nicht viel teurer als die heute schon vorhandene einfache EC-Karte und als kostenlose Beigabe könnte die Karte auch gleich HBCI machen. Mit einem passenden Kartenleser oder einer Smartcard im USB-Format könnte ich am heimischen PC sogar mit einem Client-Zertifikat meine Browseranmeldung noch sicherer machen. - Verlängern, CRL und Rückruf
Im Zertifikat steht natürlich eine URL, damit der Empfänger die Gültigkeit prüfen kann. Eine Bank könnte ein Zertifikat sogar einfach beim nächsten Einsatz der Karte im Geldautomat auf der Karte entfernen oder nach Überprüfung neu ausstellen oder verlängern. Der Weg zur einer Filialbank ist auf jeden Fall einfacher als eine CA im Internet oder gar das Einwohnermeldeamt. Und Server betreiben Banken auch heute schon.
Sie können es drehen und wenden wie sie es wollen. Aus meiner Sicht wäre die richtige Lösung ein qualifiziertes Zertifikat auf einer Smartcard-tauglichen EC-Karte, welches per PIN geschützt und vielfältig verwendbar ist. Aber vielleicht springen auch die Vertreiber von Bonuskarten wie Payback, HappyDigits, Deutschlandcard oder andere auf den Zug auf und verteilen gegen Preisgabe der Identität auch "bessere" Karten. Interessant wird das ja, wenn eine sehr große Verbreitung bei Nutzung der existierenden Mailadresse möglich ist.
Schlüsselaustausch und Einsatz
Sowohl De-Mail als auch ePost stellen ein "geschlossenes System" da, in dem nur die Mail zwischen den Benutzern alle Anforderungen erfüllen. Dabei stellt das System sicher, dass die Mail verschlüsselt und signiert übertragen wird. Faktisch muss man dem glauben. Wer selbst signieren und verschlüsseln will, kann das gerne tun, sofern der Empfänger ein optionales Zertifikat hat und Sie als Anwender dieses auch finden. Schade, dass z.B.: bei ePost eine Warnung vor diesen Schritt eher abschreckt und die Freigabe der Daten im Adressbuch mit der Freigabe der Adressvermarktung verbunden ist.
Das ist aber alles nicht schwer, weil der Einsatz von Zertifikaten einfach als "Opt-In"-Lösung realisiert werden kann. Wenn mein Kontakt mir nur dann eine Mal sendet ,wenn er diese verschlüsseln kann, dann sende ich ihm einfach mein Zertifikat mit einer signierten Mail zu. Und schon ist der "Link" hergestellt. Natürlich hat meine Hausbank schon automatisch mein Zertifikat und kann mir nun Kontoauszüge oder Zahlungsavise verschlüsselt senden. Und alle anderen (z.B. Versicherungen, Bestellshops etc.) können mir unterschlüsselt eine "Bitte mal signiert antworten"-Mail senden, damit Sie in der Folge verschlüsselt senden können.
Ich selbst sollte dann dazu übergehen, das ich nur dann verschlüsselte Mails annehme, wenn diese auch von der Gegenseite signiert sind. Ein Spammer signiert nicht, weil er damit ja identifizierbar wäre und gute Absender möchten ja gerade mit die Möglichkeit einer Identitätsprüfung geben.
Vorteile wohin man schaut
Ein breiter Einsatz von Zertifikaten, die im Antragsteller nicht nur die Mailadresse sondern die gleichen Daten enthalten, die man auch einem De-Mail oder ePost-Benutzer abverlangt bietet weit mehr Vorteile und Mehrwerte. Komisch nur, dass darauf noch keiner gekommen ist ?. Vielleicht ist das System aber einfach "zu sicher", denn in die Mails kann man natürlich nur noch schauen, wer Zugriff auf den privaten Schlüssel hat. Schlecht Zeiten für Schnüffler oder ein Wiedeaufleben des BKA-Trojaners ?.
- Ein Postfach
Wichtigster Vorteil ist sicher, das ich mein gewohntes Postfach einfach weiter nutzen kann, welches ich eh immer mal wieder lese. Bei ePost soll ich ja am besten täglich in das Postfach schauen. Und das geht für Privatpersonen nur per Webbrowser mit einem recht uneffektiven platzverschwenderischen Layout. Siehe auch ePost. - Sicher von Anfang bis Ende
ePost und De-Mail verschlüsseln und signieren zwar, aber für Privatpersonen erst auf dem Server. Auch wenn die Verbindung vom Browser zum Webserver ebenfalls per SSL verschlüsselt ist, liegt die Mail auf dem Server beim Erfassen (Web Formular) unverschlüsselt vor. Die optionale zusätzliche Verschlüsselung per Zertifikat wird sicher nicht von der breiten Masse genutzt.
Wenn ich hingegen selbst verschlüssle und signieren, interessiert mich nicht mehr wie sicher der Transport oder die Relaystationen sind - Mobile Nutzung möglich
Viele PDAs unterstützen selbst ebenfalls S/MIME. Wenn es einen Weg gibt, das Zertifikat dort sicher aufzuspielen, dann kann ich sogar mobil meine Mails verwenden. Das wird mit ePost und De-Mail sicher nicht so schnell möglich sein. - Günstige Kosten
Niemand "muss" sich ein Zertifikat kaufen. Aber der Preis kann sehr wettbewerbsfähig sein, wenn wenn die ausstellenden Banken ihre Vorteile (Client Zertifikat bei Homebanking, Kontoauszüge per Mail, etc.) teilweise weitergeben. - Offen für weitere Nutzungen
Eine Smartcard kann heute problemlos mehrere Zertifikate speichern. In Verbindung mit dem Smartcardleser am PC kann damit auch die Anmeldung am PC abgebildet werden werden. Auch VPN-Clients können damit arbeiten. Und wer einen Mehrwert benötigt, kann sich bei seiner Bank vielleicht noch ein Code-Signing-Zertiifkat kaufen. Es ist alles Denkbar, wenn Zertifikate einfach zum "Standard" werden
Das Zertifikat ist der Schlüssel und die Banken und Sparkassen könnten hier eine zentrale Rolle spielen. Speziell für die Filialbanken könnte dies ein Kundenbindungsfaktor werden.
Wenn ich heute einen Papier-Vertrag unterschreiben und mit meiner Adresse als Absender an eine Firma sende, dann vertraut sie dem Vertrag, der Bestellung, dem Angebot oder was auch immer Inhalt des Briefes ist. Eine gleichartige Mail, welche digital signiert ist und in dessen Zertifikat ebenfalls mein Name, die Adresse, Ort und andere Daten stehen, ist vergleichbar "gut". Während beim Postbrief aber niemand auf den Gedanken einer Rückfrage kommt, kann eine Mail einfach "quittiert" und damit Missbrauch viel schneller erkannt werden.
Leider glaube ich aber schon selbst nicht mehr daran, weil dieser dezentrale Ansatz einfach keine Lobby haben wird.
