E-Mail-Alternative De-Mail: Jetzt auch verschlüsselt

Der rechtssichere Versand per De-Mail soll attraktiver werden – über einen Standard PGP-Schlüssel. Ob das den Dienst beliebter macht?

Eine „kritische Masse“ an Nutzern hat De-Mail noch nicht erreicht. Bild: dpa

BERLIN taz | Die E-Mail-Alternative De-Mail soll künftig eine dazugehörige Ende-zu-Ende-Verschlüsselung bekommen und damit attraktiver werden. Ab April sollen Nutzer auf den Internetseiten ihrer Anbieter ein Plugin für ihren Internetbrowser herunterladen und damit die Sendungen vom Absender bis zum Empfänger verschlüsseln können, basierend auf dem Standard PGP. Das kündigten die Betreiber des Dienstes, die Deutsche Telekom, Francotyp-Postalia und United Internet mit 1&1, web.de und GMX am Montag an.

Bislang müssen sich Nutzer, die De-Mails vom Sender bis zum Empfänger verschlüsseln wollen, wie bei Mail-Diensten auch, komplett selbst darum kümmern.

Datenschützer hatten De-Mail in der Vergangenheit immer wieder als unsicher und verbraucherfeindlich kritisiert. Dabei wurde der Dienst seit seinem Start im Jahr 2012 als „sichere“ Alternative zu E-Mails und kostengünstigere zum Brief beworben. Weil – anders als bei normalen E-Mail-Adressen – der Absender authentifiziert wird, sollte er das rechtsverbindliche Versenden von Dokumenten ermöglichen, etwa zwischen Unternehmen oder Behörden und Bürgern.

Doch der Dienst ist unbeliebt: Erst vor zwei Wochen gab die Bundesregierung in einem Bericht bekannt, dass eine „kritische Masse“ an Nutzern noch nicht erreicht worden sei. Rund eine Million Bürger verwenden demnach eine authentifizierte De-Mail-Adresse, bei Unternehmen und in der Verwaltung komme man auf „eine hohe fünfstellige Zahl“.

Regelmäßig nachschauen

Dass der Dienst eher unbeliebt ist, hat Gründe: Einerseits können selbst Privatnutzer regulär nur eine begrenzte Zahl an Sendungen kostenlos verschicken. Zum anderen akzeptieren Nutzer mit der Angabe ihrer Adresse etwa gegenüber Behörden umfassende Pflichten, etwa, was die Kontrolle des Postfachs angeht. Denn ein Bescheid einer Behörde wird laut dem Gesetz auch ohne Empfangsbestätigung wirksam. Wer seine De-Mails nicht regelmäßig abruft, kann also etwa eine Frist zum Widerspruch versäumen – und der Behördenbescheid wird rechtskräftig, ohne dass der Betroffene davon weiß.

Linus Neumann vom Chaos Computer Club kritisiert, die Anbieter würden mit der Einführung einer Ende-zu-Ende-Verschlüsselung nur zu Standards aufschließen, die bei der E-Mail bereits seit Jahrzenten gängig sind. „In heutiger Zeit muss unser Ziel aber sein, Verschlüsselung schnell und breit auszurollen und ihre Nutzung so einfach wie möglich zu machen.“

Wer das neue Angebot nutzen will, muss sich bewusst sein: Zwar können dann Dritte nicht mehr auf den Servern liegende Mails lesen. Wer allerdings das Passwort für die Entschlüsselung vergisst, kann verschlüsselte Mails ebenfalls nicht mehr lesen. Daher müsste man sich laut Neumann neu über die Rechtssicherheit des Verfahrens Gedanken machen.

Comments

[mdarge]

Ob PGP sicher ist, daran mehren sich Zweifel. DE-Mail ist nicht nur Closed-Source, es ist zudem ein deutscher Sonderweg. Rechnet man den Preis hoch, kosten heutige S/MIME ab einer gewissen Anzahl versendeter Mail weniger. Im Prinzip geht es ausschließlich um's abzocken. Einerseits sollen kostenlose Dienste verschwinden, andererseits suchen die staatlichen Dienste automatisierten Zugang zu vertraulichen Daten. Statt nur DE-Mail zu boykottieren, sollten S/MIME-Dienste für jedermann populär gemacht werden, wie es web.de schon mal probierte. Besser sind Ansätze wie OpenCA. auch der finnische Ausweis mit encryption-Chip darf nicht in Vergessenheit geraten. Sicherheit wäre möglich.

[ingox]

Das Problem ist, dass die DE-Mail Closed Source ist, nur die PGP-Erweiterung ist Open Source. Das heißt weiterhin, dass Hintertüren eingebaut sein können. DE-Mail bietet also keine Sicherheitsvorteile gegenüber echter Ende-zu-Ende-Verschlüsselung.

 

PGP/GPG ist nach allem, was wir wissen, bis heute sicher. Daher ist es besser, es ohne DE-Mail zu nutzen.