Ich habe von einer internen Firmen-Weiterbildung erzählt bekommen, aber eher Seltsames. Ob das falsch erklärt oder vom Teilnehmer falsch erinnert wurde, weiß ich natürlich nicht. Jedenfalls Anlass, ein paar Grundlagen festzuhalten.
TLDR
E-Mail fliesst normalerweise so:
- vom Absender zu dessen Internetanbieter
- weiter zum Internetanbieter des Empfängers
- vom Internetanbieter des Empfängers zum Empfänger.
Nur für das erste Wegstück kann der Absender kontrollieren, ob verschlüsselt wird. Und – es werden immer nur die einzelnen Transportwege verschlüsselt, also haben mindestens zwei Internetanbieter Zugriff auf den Klartext. Also auch alle großen Geheimdienste und bei Bedarf Hacker.
Verschlüsselung des Inhaltes
Das machen heutzutage nur wenige, weil es immer noch zu aufwändig ist, das einzurichten. Stichworte sind PGP, OpenGPG oder S/Mime. Wenn man das tut, können nur Absender und Empfänger den Inhalt lesen. Eine zusätzliche Verschlüsselung auf dem Transportweg wäre damit überflüssig. Achtung: Vor Kurzem hat man eine grundsätzliche Sicherheitslücke entdeckt, mit der Angreifer doch mitlesen können. Das betrifft alle üblichen Mailprogramme. Im Internet zu finden unter dem Stichwort Efail. Bis auf Weiteres ist die Lösung, auf Programme wie Whatsapp, Signal, Threema etc. auszuweichen.
Verschlüsselung auf dem Transportweg
Eine E-Mail wandert vom Rechner des Absenders über diverse Rechner von diversen Mailprovidern zum Rechner des Empfängers. Der direkte Weg vom Absender-Rechner zum Empfänger-Rechner ist möglich, kommt in der Praxis aber nicht mehr vor, auch nicht beim Mailen an Kollegen im selben Büro. Es gibt also immer mindestens zwei Teilverbindungen (wenn Sender und Empfänger denselben Mailprovider verwenden, sonst drei). Für jede Teilverbindung handeln der sendende Rechner und der empfangende Rechner aus, ob und wie sie die zu transportierende Mail verschlüsseln. Die Rechner der Mailprovider tun das heutzutage untereinander immer. Der Mail-Absender und der Mail-Empfänger müssen aber selber ihre Mailprogramme so einrichten, dass auch auf der Verbindung von und zu ihnen verschlüsselt wird. Es gibt aber kaum noch Mailprovider, die unverschlüsselte Übertragung erlauben. Für mehr Info: Stichwort TLS (Transport Level Security).
Konkret empfängt also der Mailserver eines Mailproviders eine E-Mail vom Absender, entschlüsselt sie und verschlüsselt sie für den weiteren Versand neu. Jeder involvierte Mailprovider kann also diese Mails lesen. Dabei weiß man nicht, wie er das handhabt: Vielleicht ist die Mail nur im Arbeitsspeicher, vielleicht landet sie auch kurz auf einer Festplatte. Genau hier greifen Hacker und Geheimdienste an, um mitzulesen. Das können natürlich auch die Admins dieser Rechner. Ob sie das dürfen und tun, ist egal – sie können. Alle üblichen Mailprovider haben auch Programme, die alles mitlesen und Mails mit bekannten Trojanern wegfiltern, oft auch Mails mit Spam. Und diese Programme kommen von Antivirus-Firmen, die vielleicht auch im Auftrag von Geheimdiensten über eine Hintertür nach interessanten Mails suchen … Alles, was theoretisch möglich ist, wird ziemlich sicher auch irgendwo gemacht. Nebengleis: Es ist zu erwarten, dass nicht nur die großen Internetfirmen, sondern auch die Staaten in Zukunft immer mehr Mails mit unerwünschten Inhalten automatisch unterdrücken lassen. Auch in Deutschland. Dagegen hilft nur die oben erwähnte Verschlüsselung des Inhaltes.
Wenn eine Mail oder sonst irgendwelche Internet-Daten von Rechner A nach Rechner B wandern, durchqueren sie oft ein Dutzend oder mehr Rechner, die nur den Auftrag haben, die Daten weiterzuleiten. Wenn ich zum Beispiel eine Mail abschicke, läuft sie durch 9 andere Rechner, bis sie überhaupt erst beim Mailserver meines Mailproviders Strato ankommt.
traceroute to strato.de (192.67.198.33)
1 fritz.box (10.210.137.1)
2 217.0.118.117 (217.0.118.117)
3 87.186.245.130 (87.186.245.130)
4 hh-eb6-i.HH.DE.NET.DTAG.DE (217.5.74.153)
5 217.239.50.98 (217.239.50.98)
6 xe-0-1-0.core-b2.as6724.net (80.150.171.78)
7 ae2.0.core-b30.as6724.net (85.214.0.69)
8 ae2.0.morla.as6724.net (85.214.0.65)
9 vl482.fiddlersriddle.as6724.net (81.169.144.34)
10 web4.webmailer.de (192.67.198.33)
Das sind alles Rechner, die entweder mir, der Telekom oder meinem Mailprovider gehören. Aber der Übertragungsweg kann bei jeder einzelnen Verbindung ein anderer sein. Es gibt auch keine Garantie, dass eine Verbindung innerhalb von Deutschland nie über ausländische Rechner läuft. Bei Netzstörungen oder bei Überlastung werden automatisch Alternativwege genommen.
Eine Mail läuft also typischerweise durch etwa 25 bis 35 verschiedene Rechner, bis sie beim Empfänger ankommt.
Auch für alle diese Rechner gilt: Hacker, insbesondere Geheimdienste können alles mitlesen. Das ist zwar wesentlich aufwändiger, aber das kommt vor. Stichwort „Man-in-the-Middle-Attack“.
UPDATE: Offenbar ist es in den letzten Jahren mehrmals passiert, dass der gesamte Internet-Verkehr (nicht nur E-Mail) auf gewissen Verbindungen durch China lief, z.B. der gesamte Verkehr zwischen Kanada und Südkorea oder der gesamte Verkehr einer US-Bank und ihrer italienischen Filialen. Warum das passierte, überlasse ich der Fantasie des Lesers. So etwas ist grundsätzlich immer möglich, weil die Internetprotokolle ursprünglich von Unis entwickelt wurden und ein hohes Maß an gegenseitigem Vertrauen zu Grunde legen. Was insbesondere auch für E-Mail gilt. Es ist heute sehr schwierig, diese Designfehler auszumerzen, ohne das Internet aus Versehen lahmzulegen.
Darum: Eine E-Mail ist nicht sicherer als eine Postkarte. Man weiß nie, wer das alles liest. Also niemals wirklich Vertrauliches per E-Mail verschicken. Vor allem keine Passwörter. Besser mit Whatsapp, Signal, Threema, Brieftauben.
https://
Bei https:// geht es darum, ob die Übertragung von Webseiten verschlüsselt ist. Für das Mailen ist das nur von Interesse, wenn man sich mit einem Browser (z.B. Firefox) direkt an einem Mailserver anmeldet, zum Beispiel bei gmail.com, strato.de, t-online.de, 1und1.de und so weiter, um dort Mails zu lesen oder zu schreiben. Diese Mails sind dann tatsächlich gar nicht auf dem Rechner des Anwenders, sondern nur auf dem Rechner des Anbieters, und es wird auch kein E-Mail-Programm benötigt. Hier sollte man auf https:// achten. Wenn da nur http:// steht, wird nicht verschlüsselt. Und kontrollieren, ob daneben etwas Grünes signalisiert, dass mit der Verschlüsselung alles in Ordnung ist. Was man natürlich auf allen Webseiten tun sollte.
Viele meinen, https:// – Seiten könne man vertrauen – ganz falsch! Das garantiert nur eine sichere Verschlüsselung der Übertragung, aber auf der anderen Seite kann trotzdem ein Bösewicht lauern. Um auf dem eigenen Rechner Webseiten mit https:// anzubieten, muss man sich nirgends identifizieren, und es ist heute sehr einfach und kostenlos, das automatisch und in Sekunden einzurichten. Siehe das Zertifikat dieser Seite (das Grüne neben https://). Ich musste mich dazu auch nirgends ausweisen.
Aufbau einer E-Mail
Eine E-Mail ist im Prinzip nur eine einfache Textdatei. An ihrem Anfang gibt es eine Reihe von Kopfzeilen. Die sagen, wer wann wem geschrieben hat, über welche Rechner die Mail gewandert ist, an wen die Antwort gehen soll und vieles mehr.
In allen üblichen Mailprogrammen gibt es auch die Möglichkeit, sich die Kopfzeilen anzeigen zu lassen. Wenn man einer Mail nicht traut, kann man das durchaus tun, damit kann man keinen Schaden anrichten. Dort sieht man dann Info über den Weg, den sie genommen hat – wenn das unerwartete Länder sind: Löschen! Zum Beispiel finde ich unter meinen Spam-Mails eine mit dieser Zeile:
Received: from ltpss.edu.hk (unknown [185.234.216.132])
Das wäre der Rechner einer Schule in Hong Kong. Wenn man von dort nichts erwartet: Weg damit.
Das „ltpss.edu.hk“ kann aber jeder Absender sehr einfach fälschen. 185.234.216.132 ist die IP-Adresse, die zu fälschen wäre schon aufwändiger. Am einfachsten greift man dazu irgendwelche fremden Rechner an und verschickt seine bösen Mails von dort aus.
Um herauszufinden, wem eine IP-Adresse gehört, also welcher Rechner eine bestimmte Mail verschickt hat, kann man sie zum Beispiel hier eingeben. Da sieht man dann, dass das ein Rechner einer irischen Firma ist. Das ist durchaus möglich – auch der Rechner, auf dem dieser Text erscheint, könnte irgendwo auf der Welt stehen, wenn das für mich billiger wäre als bei meinem jetzigen Anbieter, einer Firma bei Karlsruhe. Auch weit weg. Jedenfalls könnte nun die Polizei die Iren fragen, wer diesen Rechner gemietet hat. Wahrscheinlich tatsächlich die Schule in Hong Kong.
Die Kopfzeilen definieren auch, wie der Rest der Textdatei strukturiert ist. Dabei gibt es vor allem zwei Möglichkeiten, den Text zu strukturieren:
– einfacher Text (text/plain). Das ist mit Abstand die sicherste Variante. Das empfangende Programm zeigt diesen Text 1:1 an. Es gibt keine Formatierung: Nichts ist fett, unterstrichen oder ähnlich, alles erscheint in derselben Schrift (zu konfigurieren im empfangenden E-Mail-Programm).
– mit HTML formatiert (text/html). HTML ist das Format, in dem Webseiten übertragen werden. Damit hat man natürlich viel mehr Gestaltungsmöglichkeiten. Die Mail kann dann auch externe Referenzen enthalten, zum Beispiel kann es sein, dass Bilder nicht in der Mail mitübertragen werden, sondern erst beim Lesen von fremden Rechnern geholt werden.
Heute werden leider fast alle E-Mails nur noch HTML-formatiert übertragen. Im Prinzip kann jeder sein Mailprogramm so konfigurieren, dass die gesendete Mail beide Formate schickt (text/plain und text/html), leider wird auch das immer seltener getan. Das ist auch meistens nicht mehr die vorinstallierte Grundeinstellung.
HTML erlaubt sehr viel, darum kann es auch eher Sicherheitslücken geben. Die größte ist natürlich beim Lesen der Zugriff auf fremde Rechner. Darum kann man genau diesen in allen üblichen Mailprogrammen deaktivieren. Leider ist dann die Anzeige der Mail auch nicht mehr ganz so schön und vollständig. Trotzdem wäre es besser, das grundsätzlich zu deaktivieren und nur einzeln für vertrauenswürdige Mails einzuschalten.
Wenn man in so einer HTML-Mail einen Link anwählt, kann man sich nicht sicher sein, ob er dahin zeigt, was man auf dem Bildschirm sieht. Besser ist es, den Link im Browser von Hand einzutippen.
Manche Links auf externe Rechner sieht man auch gar nicht. Eine beliebte Methode ist immer noch, einen Link auf ein externes Bild zu setzen, das nur einen Bildschirmpunkt groß und weiß ist, also unsichtbar. Aber auf dem Rechner, von dem das Bild kommt, wird dann vermerkt, dass und wann der Anwender die Mail geöffnet hat, zusammen mit seiner IP-Adresse. Und wenn jeder Empfänger eine andere Bilddatei bekommt, weiß der Absender dann auch namentlich, wer die Mail geöffnet hat.