Steffen Platzer
Computer- und Medienservice, Organisation und Projekte

Die Kommunikation per E-Mail ist das am häufigsten angewandte Verfahren, um Informationen und Dokumente auszutauschen. Dadurch ist sie leider auch ein beliebtes und billiges Mittel, um als Einfallstor für allerlei Schadsoftware und unerwünschte E-Mails zu fungieren.

Welche Gefahren bestehen

E-Mails, die man als Spam, Spamming oder Junk Mail (Müllpost) bzw. Hoax (engl.: Falschmeldung oder Scherz) bezeichnet, sind sicherlich lästig, aber noch nicht unbedingt bedrohlich. Phishing-E-Mails dagegen dienen der Aneignung von fremden Daten (Zugangsdaten, Passwörter), welche später oft für Identitätsmissbrauch genutzt werden.

Das Einschleusen von Schadsoftware – z. B. über E-Mailanhänge – und das Verbreiten in Netzwerken führt u. U. zum Unbrauchbarmachen von Daten durch unberechtigte Verschlüsselung oder zu Erpressungsversuchen auf der Grundlage von Diebstahl oder Veränderung der Daten.

Wenn über E-Mail-Viren und Schadsoftware belastete Anhänge verbreitet werden, führt dies möglicherweise zur Beeinträchtigung des Betriebsablaufes und ggf. zum Datenverlust. Übrigens: Verschlüsselte E-Mails werden von Virenscannern nicht behandelt und evtl. vorhandene Viren nicht erkannt.

Sicherheitsvorfälle in kommunalen Verwaltungen, Krankenhäusern, Universitäten, aber auch bei großen Tech-Firmen belegen die latente Gefahr, die auch aus E-Mailverkehr hervorgeht. So erbeutete ein Lieferkettenbetrüger über 100 Millionen Dollar von Google und Facebook im Rahmen eines komplizierten Betrugs, dessen Kernstück Phishing-Angriffe waren. Der Betrüger gab sich als Anbieter von Computerhardware aus und schickte von 2013 bis 2015 Rechnungen an Mitarbeiter:innen der betroffenen Unternehmen, in denen er um Überweisung von Zahlungen auf illegale Offshore-Konten bat.

Das Problem

Wir wissen bei einer unsignierten E-Mail nicht, wer uns wirklich schreibt: Stammt sie wirklich von dem vertrauensvoll klingenden Namen und ist die angezeigt E-Mailadresse echt? Wir verlassen uns darauf, was uns unser E-Mailprogramm anzeigt. Haben Sie sich auch schon einmal darüber gewundert, E-Mails zu bekommen, bei denen Sie selbst als Absender angegeben sind? Tatsächlich ist es nicht schwierig, Absender-E-Mailadressen zu verfälschen, bzw. uns einen vertrauenswürdigen bekannten Absender vorzugaukeln (E-Mail-Spoofing).

Lösungsansatz

Neben anderen Vorsichtsmaßnahmen und einer gewissen „gesunden Aufmerksamkeit“ ist der Einsatz von digitalen Signaturen ein Beitrag, E-Mails sicherer zu machen. Digitale Signaturen in E-Mails schaffen Vertrauen in der E-Mail-Kommunikation, Änderungen und Verfälschungen in E-Mails werden dadurch erkannt. Durch sie wird der Absender und/oder die Absenderadresse einer E-Mail zweifelsfrei identifizierbar. Empfänger können die digitale Signatur prüfen, sich das verwendete Signaturzertifikat anzeigen lassen und so entscheiden, ob sie den eingehenden E-Mails vertrauen.

Phishing-Angriffe, Datendiebstahl und Erpressungsversuche per E-Mail haben deutlich weniger Erfolgschancen, wenn auf eine solche Signatur geachtet wird, denn diese E-Mails verfügen i. d. R. nicht über eine gültige digitale Signatur. Wenn sich digital signierte E-Mails als Standard etablieren, fallen unsignierte E-Mails leichter auf und ihnen kann eine erhöhte Aufmerksamkeit gegeben werden. Mögliche Angriffe könnten so leichter erkannt werden.

Was muss ich tun, um meine E-Mails digital signieren zu können?

Das Vorgehen hierzu ist nicht kompliziert, dauert in der Regel einmalig ca. 10 bis 15 Minuten und ist durch Anleitungen gut beschrieben.

1. Besorgen Sie sich mit Ihrem gültigen HU-Account/Passwort für Ihre E-Mailadresse(n) in Selbstbedienung ein Nutzerzertifikat (Zertifikatsdatei im p12-Format).
   Beachten Sie bitte unbedingt die gegebenen Hinweise zur Wahl der E-Mailadresse, vorname.nachname@hu-berlin.de ist nicht das Gleiche wie vorname.nachname@uv.hu-berlin.de
2. Installieren Sie die Zertifikatsdatei in Ihrem E-Mailprogramm.
3. Wählen Sie Ihr installiertes Zertifikat zum digitalen Signieren aus, aktivieren Sie die Option „Signieren als Standard“. Fertig.
   
   

Ab sofort werden alle Ihre ausgehenden E-Mails mit Ihrem Nutzerzertifikat signiert. Ihr Nutzerzertifikat ist aktuell 2 Jahre gültig. Sie erhalten 30 und 15 Tage vor Ablauf der Gültigkeit eine Information per E-Mail dazu. Wiederholen Sie die Schritte 1 bis 3 und Sie nutzen wieder ein aktuelles gültiges Zertifikat zum Signieren.

Alle ausgehenden E-Mails digital signieren, warum?

Es lässt sich leicht als Standard einstellen, Sie müssen nicht jedes Mal das Signieren explizit auswählen und es ist ein großer Beitrag zur Sicherheit im E-Mailverkehr mit kleinem Aufwand, siehe Problembeschreibung. Es wird zur Routine und der Umgang mit Nutzerzertifikaten und digitalen Signaturen wird zu einem vertrauten Prozess.

Sie brauchen Hilfe? Kein Problem

Zu wiederkehrenden Fragen und möglichen auftretenden Problemen finden Sie eine bereits umfangreiche Frage-Antwort-Übersicht sowie weitere hilfreiche Informationen zur Beantragung und Verwendung Ihres Nutzerzertifikates bei den FAQ.
Natürlich können Sie auch den direkten Support des HU-PKI-Service in Anspruch nehmen oder in einer der regelmäßigen Sprechstunden Ihr Problem darstellen und evtl. sofort Hilfe bekommen.

Benefits

Zusätzlich zum digitalen Signieren Ihrer E-Mails sind Sie jetzt auch in der Lage, am verschlüsselten E-Mailverkehr teilzunehmen. Ihre Kommunikationspartner beziehen den für die Verschlüsselung notwendigen öffentlichen Teil Ihres Nutzerzertifikates aus dem HU-Adressbuch oder erhalten diesen durch die digital signierte E-Mail von Ihnen selbst und verwenden ihn fortan für die Verschlüsselung von E-Mails an Sie.
Das heißt, jeder, der an der verschlüsselten E-Mailkommunikation teilnehmen möchte, muss auch selbst ein solches Nutzerzertifikat besitzen und in seinem E-Mail-Programm installiert haben.
Es wird übrigens nicht empfohlen, alle oder so viele E-Mails wie möglich zu verschlüsseln. Setzen Sie die E-Mailverschlüsselung bei Notwendigkeit ein, dies sollte aber kein Standard werden.
Weitere Hinweise dazu und zum Vorgehen finden Sie auch in den FAQ zu den Nutzerzertifikaten.

Liste der Links mit Beschreibung

https://hu.berlin/nutzerzertifikat
Antragsformular für Nutzerzertifikate, Anleitungen, Hinweise zu Funktionszertifikaten

https://hu.berlin/nutzerzertifikat-anleitungen
Beschreibung zur Vorgehensweise und Installationsanleitungen für das Nutzerzertifikat

https://hu.berlin/nutzerzertifikat-faq
Wie erkenne ich eine gültige bzw. ungültige digitale E-Mailsignatur? Liste mit häufig auftretenden Fragen und bekannten Fehlermeldungen, Hinweise zum Einsatz von Nutzerzertifikaten (z. B. Adobe Acrobat), Home-Office, E-Mailverschlüsselung, …

https://hu.berlin/nutzerzertifikat-support
Support, Zugang zur Onlinesprechstunde, Kontaktmöglichkeiten