Mailverschlüsselung zwischen verschiedenen Domainen

[habnefrage 0]

Hi

 

ich suche nach einer möglichst einfach zu verwaltenden, kostengünstigen (am besten kostenlosen) Möglichkeit Mailverkehr zwischen verschiedenen Domänen zu verschlüsseln. Die Größenordnung liegt bei ca. 100 Mailaccounts, teils in einem Exchange Netzwerk, teils bei Freemailern oder t-mobile, teils bei eigenen Domains mit pop/Imap Zugriff. Verwendet wird Outlook ab 2003 ggf. Thunderbird.

 

Über eine Anleitung wie man sowas, vorallem schnell auf 100 PCs, einrichten und verteilen und up2date halten kann, würde ich mich super freuen.

 

Falls ihr noch fragen habt beantworte ich diese gern. 

 

Danke für die Hilfe

 

Holger

[RobertWi 81]

Moin,

 

na ja, Du kannst ja nur sinnvoll verschlüsseln, wenn die gegenüberliegende Seite mitspielt.

 

Was wäre Dir denn lieber? Verschlüsselung im Transportweg? Organisation-zu-Organisation-Verschlüsselung? Ende-zu-Ende-Verschlüsselung?

[habnefrage 0]

Ich denke am besten wäre eine Ende zu Ende Verschlüsselung, allerdings habe ich bis jetzt nur Lösungen gefunden wo ich den öffentlichen Schlüssel von jedem beteiligten auf jedem PC installieren muss. Dies bedeutet bei 100 PCs jedes Jahr mehrere Stunden, eher Wochen, wegen nötiger Erreichbarkeit, arbeit. Die User kann man damit nicht beauftragen. Diese bekommen es nicht einmal hin eine geänderte Mailadresse in ihrem Mailprogramm zu ändern.

 

Als Verschlüsselung auf dem Transportweg habe ich bis jetzt DE-Mail gefunden, welches sehr einfach einzurichten und sehr einfach Hand zu haben war, aber "aus Kostengründen" bei einem Mail aufkommen von max. 10 Mails im Monat wohlgemerkt, abgeschmettert wurde. 

Damit ist auch der Kostenrahmen von max. 5€ pro Monat aufgezeigt. 

[RobertWi 81]

Vernünftige Verschlüsselung bekommst Du nicht umsonst. Sie kostet entweder Zeit und/oder Geld.

 

Ich denke am besten wäre eine Ende zu Ende Verschlüsselung, allerdings habe ich bis jetzt nur Lösungen gefunden wo ich den öffentlichen Schlüssel von jedem beteiligten auf jedem PC installieren muss.

 

Das ist grundsätzlich korrekt. Allerdings geht Ende-zu-Ende-Verschlüsselung auch nur, wenn der Empfänger ein Zertifikat hat. Du brauchst für Deine Leute ein Zertifikat (nicht vertrauenswürdige kannst Du selbst bauen und einfach per AD verteilen, für vertrauenswürdige brauchst Du normalerweise das zutun des Benutzers).

 

Viele Firmen gehen daher eher dazu über, zentral Lösungen über eine Gateway zu machen. Das hat den Vorteil, dass man die Schlüssel nur einmal hinterlegen muss. Aber es ist eben keine echte Ende-zu-Ende (was machmal auch nicht verkehrt ist, weil Vertreter bei Ende-zu-Ende ausgesperrt werden).

 

Als Verschlüsselung auf dem Transportweg habe ich bis jetzt DE-Mail gefunden, welches sehr einfach einzurichten und sehr einfach Hand zu haben war, aber "aus Kostengründen" bei einem Mail aufkommen von max. 10 Mails im Monat wohlgemerkt, abgeschmettert wurde. 

Damit ist auch der Kostenrahmen von max. 5€ pro Monat aufgezeigt. 

 

Verschlüsselung auf dem Transport-Weg wäre TLS, was relativ einfach einzurichten ist. Das ist dann aber nur SMTP, und wieder nur, wenn die Gegenseite mitspielt.

 

Bei dem Kostenrahmen lohnt es sich kaum, weiter nachzudenken. Vernünftige Lösungen bekommst Du dafür nicht.

[habnefrage 0]

Genau sowas hab ich mir gedacht... besser gesagt war mit klar das der Kostenrahmen viel zu gering ist. Leider sind die Personen um die es geht, so gestrickt, dass es sicher sein muss wie Fort Nox aber nicht mehr kosten darf als ein IKEA Lebkuchehaus vor Weihnachten. I

 

 

Intern wäre das ganze Thema kein Problem... Eigenes Trustcenter mit S/mime Verschlüsselung und fertig. Da müsste ich auch nicht groß über kosten nachdenken

Die Provider der Mailadressen und Domains variieren ja zwischen Telekom, Strato, United Internet, GMX uva. 

TLS ist, soweit ich verstanden habe nur eine Verschlüsselung zwischen Client und Mailserver. Die Kommunikation zwischen Sendemailserver und Empfangsmailserver ist weiterhin unverschlüsselt, bzw. genau so wie sie ohne TLS ist.

 

 

 

Viele Firmen gehen daher eher dazu über, zentral Lösungen über eine Gateway zu machen. Das hat den Vorteil, dass man die Schlüssel nur einmal hinterlegen muss. Aber es ist eben keine echte Ende-zu-Ende (was machmal auch nicht verkehrt ist, weil Vertreter bei Ende-zu-Ende ausgesperrt werden).

 

Diese Lösung klingt interessant, wenn sie Möglich ist zwischen verschiedenen Domänen zu vermitteln. Vor allem würden die Kosten dann bei einem ... also uns... hängen bleiben und müssten nicht weitergegeben werden, was auch erstmal nicht verkehrt ist. Hättest Du da nähere Infos für mich wie sowas heißt?

 

Danke für die Mühe

[Dukel 451]

Wie sind denn die Anforderungen deines Auftraggebers?

[RobertWi 81]

Genau sowas hab ich mir gedacht... besser gesagt war mit klar das der Kostenrahmen viel zu gering ist. Leider sind die Personen um die es geht, so gestrickt, dass es sicher sein muss wie Fort Nox aber nicht mehr kosten darf als ein IKEA Lebkuchehaus vor Weihnachten. I

 

Wasch mich, aber mach mich nicht nass. Na ja, manche Entscheider brauchen erst einen richtigen Crash, bevor sie kapieren, dass IT heutzutage genauso zum Unternehmen gehört, wie die Produktionsmaschine in der Halle.

 

 

TLS ist, soweit ich verstanden habe nur eine Verschlüsselung zwischen Client und Mailserver. Die Kommunikation zwischen Sendemailserver und Empfangsmailserver ist weiterhin unverschlüsselt, bzw. genau so wie sie ohne TLS ist.

 

TLS steht für "Transport Layer Security" uns ist eine Verschlüsselung auf Ebene von SMTP. Hierbei kann zwischen einem Client und einem Server oder auch zwischen zwei Servern verschlüsselt sein.

 

Es ist aber eine reine Verschlüsselung, d.h. es ist keine gegenseitige Authentizität enthalten. (Es gibt hier zwar Domain-Security, aber das bezieht sich auf zwei genau definierte Partner.)

 

Siehe hier: http://www.msxfaq.net/spam/filter-tls.htm

 

Diese Lösung klingt interessant, wenn sie Möglich ist zwischen verschiedenen Domänen zu vermitteln. Vor allem würden die Kosten dann bei einem ... also uns... hängen bleiben und müssten nicht weitergegeben werden, was auch erstmal nicht verkehrt ist. Hättest Du da nähere Infos für mich wie sowas heißt?

 

Siehe hier: http://www.msxfaq.net/signcrypt/gateway.htm

 

Bei Frank findest Du auch ein Produkt, da seine Firma selbst eines vertreibt.

[habnefrage 0]

@ Dukel:

 

Anhänge müssen von A nach B sicher transportiert werden, am besten kostenlos (oder noch besser soll das System noch Gewinn einbringen). 

 

Eine andere Idee die wir noch haben ist einfach nen SFTP hinzustellen entsprechend zu berechtigen und fertig.

 

@RobertWi

 

Werd mich da mal einlesen. klingt sehr interessant. Danke nochmal

[Dukel 451]

Um Daten sicher auszutauschen ist Mail evtl. nicht das richtige Werkzeug.