SEPPmail, IncaMail und HIN
Hintergrund-Informationen zu E-Mail-Verschlüsselung
Generell
E-Mail-Verschlüsselung wird verwendet, um vertrauliche Informationen per E-Mail verschlüsselt zu versenden. Hierfür gibt es zwei verschiedene Prinzipien, die unabhängig voneinander zum Einsatz kommen. Erstens, bei der Ende-zu-Ende-Verschlüsselung wird eine E-Mail durchgehend zwischen Absender und Empfänger verschlüsselt. Zweitens, bei der Punkt-zu-Punkt- oder auch Transportverschlüsselung wird die Übertragungsstrecke einer E-Mail zwischen zwei Komponenten im E-Mail-System verschlüsselt, beispielsweise zwischen Absender und E-Mail-Anbieter oder zwischen verschiedenen Anbietern untereinander. [Wiki]
S/MIME
Secure / Multipurpose Internet Mail Extensions (S/MIME) ist ein Standard für die Verschlüsselung und das Signieren von MIME-Objekten durch ein asymmetrisches Kryptosystem. S/MIME wird in sehr vielen Protokollen zur Absicherung in der Anwendungsschicht (Application Layer) eingesetzt. Typische Einsatzfälle von S/MIME sind E-Mail, AS2 und viele weitere. In der Praxis kann S/MIME (Inhaltsebene) mit TLS (Transportebene) kombiniert werden. [Wiki]
Pretty Good Privacy
Pretty Good Privacy ist ein von Phil Zimmermann entwickeltes Programm zur Verschlüsselung und zum Unterschreiben von Daten. PGP benutzt ein sogenanntes Public-Key-Verfahren, in dem es ein eindeutig zugeordnetes Schlüsselpaar gibt: Genutzt wird ein öffentlicher Schlüssel, mit dem jeder Daten für den Empfänger verschlüsseln und dessen Signaturen prüfen kann, und ein privater geheimer Schlüssel. [Wiki]
Private und Domain-Zertifikate
Sowohl S/MIME als auch PGP können E-Mails mit persönlichen Zertifikaten als auch Domain-Zertifikaten signieren und verschlüsseln.
Mangelnde Akzeptanz
Phil Zimmermann hat 1991 PGP erstmals veröffentlicht. Nach mehr als 30 Jahren hat sich die E-Mail-Verschlüsselung immer noch nicht durchgesetzt. Alternativen mussten her.
Alternative E-Mail-Verschlüsselungs-Verfahren
Da Standard-User “MaryLonglife” im Berner Oberland weder über ein S/MIME oder PGP-Zertifikat verfügt, mussten alternative Verschlüsselungsverfahren geschaffen werden. totemo ermöglichte dies mit TRE (totemoRegisteredEnvelope), einer von IronPort (heute Cisco) gekauften Technologie. Anmerkung: Die Marke totemo ist verschwunden.
SEPPmail folgte mit der GINA-Verschlüsselung.
Hintergrund: Der externe Empfänger erhält bei der ersten sicheren Kontaktaufnahme zwei E-Mails:
1. Onboarding E-Mail zur Registrierung
2. E-Mail mit verschlüsseltem HTML-Attachment
Nach der Registrierung am Portal (Onboarding) kann er das verschlüsselte HTML-Attachment mit Passwort öffnen und auch beantworten. (TLS)
Unterschiede TRE und GINA:
Bei TRE erfolgt die Verschlüsselungs-Logik auf dem externem Empfänger-Client, bei GINA werden mehrfach (3x) Daten zwischen SEPPmail-Server und dem externem Empfänger-Client ausgetauscht.
Hintergrund-Informationen zu Secure Mail in der Schweiz
totemo
Kunden von totemo sind Daimler, Volkswagen, Deutsche Bank, Commerzbank, Helsana, UBS, CSS, Mobiliar uvm.
SEPPmail
SEPPmail wurde im Jahr 2001 von Stefan Klein gegründet.
IncaMail basiert auf SEPPmail
Das System erinnert stark an die Lösung der Swisspost INCAmail. Und tatsächlich ist es so, dass SEPPmail und INCAmail auf der gleichen GINA-Technologie beruhen. Die GINA-Verschlüsselung ist von SEPPmail patentiert.
HIN basiert auf SEPPmail
Die E-Mail-Kommunkation im Schweizer Gesundheitswesen basiert weitestgehend auf HIN: Spitäler, Ärzte, Krankenversicherungen uvm. kommunizieren über HIN. Unter der Haube von HIN arbeitet der Motor von SEPPmail.
Fazit Secure Mail in der Schweiz
Schweizer Behörden, Schweizer Gesundheitswesen, Schweizer Post: Alles in der Hand von SEPPmail = hohes Risiko for a single point of failure. Too much! „Secure Mail in der Schweiz: Gefährliche Abhängigkeit von einem einzigen Anbieter“ weiterlesen