Schlagwort-Archive: Telekom

De-Mail – viel Wirbel und kaum Mehrwert

Ich habe heute nach fast einem Jahr endlich mal mein De-Mail-Postfach eingerichtet. Es gibt zur Zeit vier zugelassene Anbieter von De-Mail, das sind die Deutsche Telekom AG, T-Systems, Mentana-Claimsoft GmbH und die 1&1 De-Mail GmbH, dahinter verbergen sich die Marken GMX, web.de und 1&1.

De-Mail soll „so sicher wie die Briefpost, aber so einfach wie E-Mail“ sein

Das ist eine Aussage, die mich fast schon zum Lachen gebracht hat. Allein der Freischaltvorgang hat gute 30 Minuten in Anspruch genommen, ehe ich alle Unterlagen gefunden hatte, die dafür notwendig sind und das vorgeschriebene Aufklärungsdokument gelesen habe.

GMX und web.de setzen bei der Anmeldung zu De-Mail auf eine 2-Faktor-Authentifizierung, d.h. neben dem Passwort muss eine mTAN, die ans Mobiltelefon geschickt wird, eingegeben werden, um vollständigen Zugriff auf das De-Mail-Konto zu bekommen. Alternativ besteht die Möglichkeit sich mit dem neuen Personalausweis und einer mTAN anzumelden.

Ich würde sagen, das ist beides von „so einfach wie E-Mail“ ein ganzes Stück entfernt. Eine E-Mail schreibe ich mal eben auf dem Smartphone oder in einem E-Mail-Clientprogramm, senden klicken und fertig. Verstehen sie mich nicht falsch, ich kritisiere nicht das Anmeldeverfahren an sich. Es ist ein guter Kompromiss und es ist vor allem eines: es ist dem Benutzer vermittelbar und er kann es verstehen.

Wo liegt jetzt eigentlich der Vorteil von DE-Mail?

Das ist in der Tat eine gute Frage. De-Mail legt viel Wert auf eine zuverlässige Authentifizierung der De-Mail-Teilnehmer, das bedeutet, dass man keinerlei Zweifel an der Identität des absendenden E-Mail-Accounts haben muss, wenn die DE-Mail das eigene DE-Mail-Postfach erreicht. Phishing-Mails werden es auf diesem Transportweg sehr schwer haben. Das muss man zugestehen.

Zudem wird durch eine umfangreiche Protokollierung der gesamte Versandweg nachprüfbar und auch die Zeitpunkte der Zustellung der Mail sind bekannt. Es gibt eine Lesebestätigung auch im Standard-EMail-Bereich, aber es ist dort möglich, sie zu unterdrücken. Der Absender bleibt also im unklaren über den genauen Zeitpunkt der Kenntnisnahme. Der Zustellnachweis ist für „wichtige“ E-Mail sicher kein Nachteil, allerdings gibt es da einen kleinen Haken.

De-Mail erfüllt nicht die Bedingungen, die an Schriftform geknüpft werden, dazu müsste die E-Mail mit einer qualifizierten elektronischen Signatur versehen werden. Das ist ein Verfahren, das im Justizbereich verbreitet ist, aber im privaten Bereich keine Chance haben wird, sich durchzusetzen.

Der Grund dafür liegt in den Kosten für die Signaturkarte und im damit verbundenen Hardwareaufwand. Die Karte muss in regelmäßigen Abständen aktualisiert werden und die Kosten liegen im 2- bis 3-stelligen Euro-Bereich. Dazu benötigt man eine Hardware mit der die Karte gelesen werden kann und eine Software, damit die Signatur überhaupt nutzbar wird. Und man muss wissen, wie man die Software anzuwenden hat. Das sind Hürden, die allenfalls Liebhaber technischer Spielereien zu überspringen gewillt sind.

De-Mail erfüllt also nur die einfachen Anforderungen an die Textform und auch nur die Anforderungen an eine einfache Signatur. Das ist der Level auf dem sich eine Standard-E-Mail ebenfalls bewegt.

De-Mail so sicher wie Briefpost?

Das würde ich für die Zustellsicherheit bedenkenlos bejahen. Briefpost hat noch einen anderen Aspekt – Vertraulichkeit.

De-Mails werden auf allen Transportwegen verschlüsselt transportiert und auch verschlüsselt auf den Servern abgelegt. Aber das ist alles andere als Zero-Knowledge Privacy. Die E-Mails werden nämlich „unterwegs“ entschlüsselt und nach Viren durchsucht und im Falle eines Befalls gar nicht erst zugestellt. Natürlich kann während dieses Vorgangs kein Mitarbeiter in die Mails schauen und zu 99,99% interessiert die Mitarbeiter im Rechenzentrum das nächste Fußballspiel viel mehr. Aber im Grunde bewegen sich De-Mails auf Postkartenniveau was den Schutz der Inhalte angeht.

Wenn Absender und Empfänger also einen größeren Grad an Vertraulichkeit wünschen, so sollten sie eine zusätzliche Verschlüsselung der Nachricht vornehmen. Typischerweise verwendet man hier asymmetrische Verfahren, die auf einem öffentlichen Schlüssel zum verschlüsseln der Nachricht und einem privaten Schlüssel zum entschlüsseln der Nachrichten beruhen. Stichwort RSA.

Zum Konzept von De-Mail gehört ein öffentliches Teilnehmerverzeichnis. Das gute alte Telefonbuch in neuem Gewande. Neben den Adressdaten der Teilnehmer lassen sich dort auch öffentliche Schlüssel für die Ende-zu-Ende-Verschlüsselung hinterlegen. Dann muss es „nur“ noch benutzt werden. Wird es aber nicht. Es ist einfach zu kompliziert für die meisten für den alltäglichen Gebrauch.

Wie steht es denn mit der Erreichbarkeit?

Ich kann mich noch an die Zeiten erinnern, als Bildschirmtext in Deutschland als erster dialogorientierter, öffentlicher Dienst für den Privatanwender eingeführt wurde. Es gab wunderbare Möglichkeiten, Mitteilungen zu senden, die „ersten E-Mails“ in Deutschland gewissermassen, aber die waren doch von nur geringem praktischen Nutzen, weil schlicht niemand erreichbar war. In den Pilotgebieten Düsseldorf und Berlin gab es eine größere Ansammlung von Nutzern, ansonsten kannte ich in meiner Umgebung wahrscheinlich die meisten sogar persönlich. Es hat viele Jahre gedauert, bis der Dienst eine nennenswerte Anzahl von Nutzern hatte. T-Online ist aus dem Bildschirmtext hervorgegangen und hat in der Anfangszeit noch Internet und den klassischen auf dem Protokoll CEPT basierenden Dienst angeboten.

Genau daran hat mich der Blick in das De-Mail-Verzeichnis heute erinnert. Es gibt sage und schreibe 90 Teilnehmer hier in der Stadt, davon kenne ich immerhin 4. Die Frage ist allerdings, wie ich denn die anderen 99900 Teilnehmer erreichen kann und wie man die davon überzeugen kann, dass De-Mail ein so toller Dienst ist, dass man ihn unbedingt neben der E-Mail noch braucht. Was glauben Sie, was meine Freunde mir entgegenhalten werden, wenn ich erwähne, dass De-Mail ein kostenpflichtiger Dienst ist.