Verschlüsselt und vertraulich: E-Mails mit Outlook 2010-Plugin

Verschlüsselt und vertraulich:
E-Mails mit Outlook 2010-Plugin
gpg4o heißt ein neues, anwenderfreundliches Plugin für Outlook 2010 zur
Verschlüsselung und digitalen Signatur von E-Mails, das eine bis dato
bestehende Funktionalitätslücke in diesem weit verbreiteten Programm schließt.
Mit dieser Software-Erweiterung aus dem Hause Giegerich & Partner können
Unternehmen nun wesentlich flexibeler kommunizieren ohne auf das von dem
alternativen S/MIME-Verfahren her gewohnte hohe Sicherheitsniveau in der
Verschlüsselung verzichten zu müssen.

In seiner Studie „IT-Sicherheitslage im Mittelstand 2011“ kommt der Verein
„Deutschland sicher im Netz e.V.“ (www.sicher-im-netz.de) zu einem alarmierenden
Ergebnis: „Während das Sicherheitsdenken zur Absicherung des Internetzugangs bei
den Befragten gut ausgeprägt ist, zeigen sich im Bereich E-Mail-Schutz eklatante
Versäumnisse: In 50% der Unternehmen werden E-Mails während der Übertragung
durch keinerlei Maßnahme vor unberechtigter Einsichtnahme, Missbrauch oder
Manipulation geschützt.“
Fachleute verwundert nicht, dass viele Anwender selbst vertrauliche Informationen
geschäftlich wie auch privat immer noch unverschlüsselt per E-Mail verschicken. Denn
offensichtlich sind sie sich nicht darüber im Klaren, dass unverschlüsselte Nachrichten
während ihres gesamten Übertragungsweges unbemerkt gelesen, verändert oder
abgefangen werden können. “Deshalb ist es unbedingt notwendig, zumindest für
besonders sensible Informationen eine E-Mail-Verschlüsselungs- und Signatur-Lösung
zu verwenden. Vor allem für Personalabteilungen, Rechtsabteilungen aber auch für die
Finanzbuchhaltung und das Controlling eines Unternehmens sollte die Verschlüsselung
und digitale Signatur von E-Mails heute Pflicht sein”, betont Hans-Joachim Giegerich,
Geschäftsführer des IT-Systemhauses Giegerich & Partner in Dreieich.

Durch Verschlüsselung kann die Vertraulichkeit von Informationen garantiert werden,
während mit digitalen Signaturen überprüft werden kann, ob eine Datei bzw. eine
Nachricht authentisch und unverfälscht ist – also nicht manipuliert wurde.
Viele Verschlüsselungssysteme waren bisher jedoch vor allem hinsichtlich der
Anwenderfreundlichkeit von zweifelhafter Qualität – mit negativen Folgen für die
Akzeptanz bei den sicherheitsbewußten Anwendern, die großen Wert auf eine gut
funktionierende und zuverlässige Sicherheitslösung legten, hat IT-Sicherheitsexperte
Giegerich beobachtet.
Angesichts dieser Situation hat Giegerich & Partner kurzerhand das Plugin gpg4o für
Outlook 2010 zur Verschlüsselung und digitalen Signatur von E-Mails programmiert,
das auf dem OpenPGP-Standard basiert. Mit diesem neuen PlugIn können Anwender
ihre elektronische Post nicht nur wie bisher über S/MIME verschlüsseln, sondern
erhalten nun die Freiheit zusammen mit ihren Kommunikationspartnern zwischen den
beiden Client-basierten Verschlüsselungsmethoden S/MIME und PGP zu wählen.
Dadurch werden Unternehmen in der E-Mail-Kommunikation nun wesentlich flexibeler
ohne auf das gewohnte Sicherheitsniveau in der Verschlüsselung verzichten zu
müssen.
gpg4o kann leicht in Outlook 2010 integriert werden und passt sich nahtlos in die
Oberfläche des E-Mail-Programms von Microsoft ein. Die Software-Erweiterung ist
kompatibel mit allen gängigen Verschlüsselungs- und Mailprogrammen (z.B. PGP
Desktop, Enigmail, Kmail etc.) und lässt sich sehr einfach bedienen.

Funktionsumfang und Lizenskosten von gpg4o

Das PlugIn bietet alle wichtigen Funktionen des OpenPGP-Verschlüsselungssystemes –
mämlich:

   •   Verschlüsseln und Entschlüsseln von E-Mails
   •   Signieren und Verifizieren von digitalen E-Mail-Signaturen
   •   Schlüsselverwaltung
   •   Signieren von fremden Schlüsseln
   •   Web of Trust (Gültigkeit von fremden Schlüsseln anhand von Informationen
       bekannter Schlüsselinhaber prüfen)
   •   Ver- und Entschlüsseln, sowie Signieren von Anhängen
   •   Schlüsselaustausch mit Keyservern

Die Kosten pro Client (gebunden an eine bekannte Mail-Adresse) sind gestaffelt nach
der Anzahl der Lizensen und beginnen bei 79 Euro für einen Anwender. Ab 25 Lizensen
reduziert sich der Preis auf 49 Euro pro Client. Auch der Aufpreis für den optional

erhältlichen Lizenzsupport ist nach der Anzahl der Installationen sowie nach der
Support-Dauer (in Jahren) gestaffelt.

Technische Voraussetzungen

gpg4o gibt es als 32- und 64-Bit-Version für Microsoft Windows XP SP3 oder höher und
setzt Outlook 2010 (idealerweise in einer Microsoft Exchange-Umgebung) und die freie
Software GnuPG (Version 1.4.2 oder eine höhere 1.x Version) voraus. Vor der Nutzung
des Plugins müssen Anwender lediglich ihre öffentlichen Schlüssel einmal mit ihrem
Kommunikationsparter austauschen. Ist das geschehen, können sie bequem
auswählen, ob die E-Mail verschlüsselt und/oder signiert werden soll. Den Rest erledigt
gpg4o weitgehend automatisch.

(In der folgenden Bilderstrecke wird an Hand von sechs Screenshot die Funktionsweise
von gpg4o detailliert erklärt – von der Aktivierung der E-Mail-Accounts nach der
Installation über die Konfiguration und Schlüsselverwaltung bis hin zur täglichen Arbeit
mit dem Plugin für Outlook 2010.)                                  Detlev Spierling

((Screenshot Account Management ))

Nach der Installation von gpg4o wird dem Anwender in einer Zusammenfassung der für
das PlugIn aktivierten Accounts angezeigt.

((Screenshot Configuration_Wizard ))

Im „Konfigurationswizard“ kann der Anwender und das Schlüsselpaar für ein E-Mail-
Konto eingestellt werden.

((Screenshot Key Management ))

In der „Schlüsselverwaltung“ werden alle importierten Schlüssel angezeigt. Im Pull-
down-Menü „Schlüssel“ können verschiedene Optionen für den gewählten Schlüssel
eingestellt werden
.

(( gpg4o-Screenshot_1 ))

Signierte und/oder verschlüsselte E-Mails werden für den Anwender leicht verständlich
angezeigt wie in dieser abgebildeten „Leseansicht“ einer E-Mail zu sehen ist. Das
Schloss signalisiert dabei die Verschlüsselung, während das Siegel-Symbol auf eine
digitale Signatur hinweist.
Der Empfänger kann sich außerdem detaillierte Informationen darüber anzeigen lassen,
wer die digitale Signatur erzeugt hat (um festzustellen, ob die Signatur zur

angegebenen E-Mail-Adresse des Absenders passt) oder mit welchen Algorithmen die
elektronische Nachricht verschlüsselt wurde.

(( gpg4o-Screenshot_2 ))

Versenden von verschlüsselten E-Mails: Dieser Screenshot verdeutlicht die
Vorgehensweise beim Versand einer verschlüsselten E-Mail an Herrn Doe.

(( gpg4o-Screenshot_3 ))

Empfangen und entschlüsseln von E-Mails: Das folgende Bild zeigt wie Herr Doe die
verschlüsselte E-Mail empfängt und diese wieder in Klartext angezeigt bekommt.

Interview

Informationssicherheitsexperte Holger Schrader – Geschäftsführer und Principal
Consultant des herstellerunabhängigen Beratungshauses Carmao GmbH
(http://carmao.de) – hat sich das neue Outlook 2010-Plugin genauer angeschaut
und für gut befunden.

„     Wie beurteilen Sie das Sicherheitsniveau der Verschlüsselung? Ist es hoch
      genug?
Ja, sowohl die symmetrische Verschlüsselung der eMail-Nachrichten und der Anhänge
wie auch die asymmetrische Verschlüsselung des zufällig generierten symmetrischen
Schlüssels sind auf dem aktuellen Stand der Technik.

„     Haben Sie evtl. mit Gpg4o eine andere (ältere) Verschlüsselungs- und
      Signaturlösung ersetzt? Wenn ja, welche und warum?
GpG4o hat in unserem Unternehmen keine andere Verschlüsselungstechnologie
ersetzt, sondern hat das bereits etablierte S/MIME-Verfahren sehr sinnvoll ergänzt. Wir
haben in der Vergangenheit mehrfach Freeware- oder Shareware-PlugIns getestet, die
ebenfalls auf GNU PgP aufsetzen wie es Gpg4o tut. Keines dieser Produkte hatte
allerdings die Benutzerfreundlichkeit, die Zuverlässigkeit und nicht zu vergessen den

professionellen Support, wie wir es bei dem Produkt von Giegerich & Partner
vorgefunden haben.

„      Wie hoch ist die Akzeptanz bei Ihren geschäftlichen Kommunikationspartnern?
       Ist das Feedback überwiegend positiv?
Unsere Kommunikationspartner, die auf PGP zur Verschlüsselung von eMails setzen
und dies bisher auch vehement verteidigten, sind sehr erfreut, dass sie nun mit uns
auch gesichert über PGP kommunizieren können. Das Feedback ist durchgehend
positiv.
                       (Das Interview führte Detlev Spierling, Redaktionsbüro Spierling)

Unternehmensinformationen:

Der IT-Dienstleister Giegerich & Partner GmbH mit Sitz in Dreieich bei Frankfurt/M. hat
sich auf Lösungen für den reibungslosen und sicheren Betrieb von Netzwerken und
computergesteuerten Anwendungen spezialisiert. Neben der Beratung und Konzeption
übernimmt Giegerich & Partner die komplette Ausführungen von IT-Projekten sowie den
Betrieb von IT-Systemen und -Lösungen im Outsourcing.
Kundenspezifische Individuallösungen und die „Veredelung“ bzw. Anpassung von IT-
Standardprodukten an die Bedürfnisse von Unternehmen gehört zu den Stärken des IT-
Spezialisten. Weitere Informationen unter: www.giepa.de

Die Carmao GmbH ist ein Beratungshaus mit Firmensitz in der Gemeinde Brechen bei
Limburg an der Lahn. Die Spezialisten für risikobasiertes Informationsmanagement
beraten, schulen und unterstützen Unternehmen (vor allem Banken und
Finanzdienstleister) in den Bereichen
- Informationssicherheits- und Informationsrisikomanagement nach ISO-Standards
- Identitäts- und Berechtigungsmanagement
- sichere Geschäftsprozesse
- Sicherheitskultur
- Datenschutzmanagement
Weitere Informationen unter www.carmao.de