Moin moin,

ein befreundeter Rechtsanwalt möchte gerne in absehbarer Zeit mit seinen Mandanten verschlüsselte eMails austauschen können und hat mich gefragt, ob ich da eine Idee hätte, wie er das am besten machen könnte. Ich selbst nutze OpenPGP & Thunderbird und verschlüssele meine eMails per Eintippen der Passphrase etc., aber eine solche Lösung halte ich für nicht praktikabel, da der Rechtsanwalt nun auch kein Technikguru ist und auch wenig Lust hat, ständig die Passphrase neu einzutippen. Und die Passphrase dauerhaft auf dem PC speichern ist ja auch nicht so wirklich der Hit…

Hat da jemand eine Idee von euch, was man hier machen könnte? Kann man PGP vielleicht so nutzen, daß man den privaten Schlüssel auf eine Smartcard brennen läßt und dann fürs Verschlüsseln nur noch eine Smartcard in einen Card-Reader schieben muss? Smartcards etc. sind sicherlich mit (jährlichen?) Kosten verbunden, aber das wäre nicht so sehr das Problem… Als Anwalt sollte er zudem natürlich ein offiziell signiertes Zertifikat haben und nichts ausschließlich selbst signiertes.

Für die Verschlüsselung müsste eine Technik verwendet werden, mit denen auch die Mandanten etwas anfangen können, daher dachte ich an PGP, aber wenn jemand was besseres/anderes hat, sagt bescheid. ;)

Wäre cool, wenn jemand von euch da Erfahrungen hat oder Ideen beisteuern könnte… schönen Dank schonmal.

Bei PGP (der kommerziellen Software) muss man die Passphrase nicht gleich auf der Festplatte speichern, sondern man kann sie für eine gewisse Zeit im Arbeitsspeicher vorhalten, sodass man sie nur einmal am Tag eingeben muss. Vielleicht ist das ja auch ein guter Kompromiss.

Bei PGP (der kommerziellen Software) muss man die Passphrase nicht gleich auf der Festplatte speichern, sondern man kann sie für eine gewisse Zeit im Arbeitsspeicher vorhalten, sodass man sie nur einmal am Tag eingeben muss. Vielleicht ist das ja auch ein guter Kompromiss.

Das gleiche gilt auch für enigmail bei thunderbird - also mit gpg. Dort wird die Passphrase nach X Minuten Leerlauf aus dem cache gelöscht. Wenn man die ganze Zeit arbeitet, wird man also nicht alle X Minuten gefragt.
Enigmail unterstützt auch Smartcards, allerdings habe ich grad nur eine mit 1024 bit gesehen. Die hat so um 16 Euro gekostet, ist aber eben nicht für große Schlüssel geeignet.

hm statt smartcard, phrase-on-a-stick. Aber eigentlich sollte es doch zu hauf lösungen mit smartcards etc. geben.

Die Verschlüsselung sehe ich eher auf der Klientenseite als problematisch. Bekommt jeder eine Smartcard und Kartenleser? Wohl nicht. Aber USB-Sticks vom Anwalt könnte man ja noch akzeptieren. Dann aber noch den Mailclient/Webmail entsprechend einrichten!? Evtl. Thunderbird mobile oder so mit auf den Stick packen.

Nur mal so meine Gedanken.

Die Verschlüsselung sehe ich eher auf der Klientenseite als problematisch. Bekommt jeder eine Smartcard und Kartenleser? Wohl nicht. Aber USB-Sticks vom Anwalt könnte man ja noch akzeptieren.

Ggf reicht auf Klientenseite geringere Sicherheit, im Extremfall sogar im Rechner/Mailprogramm gespeicherte private Keys. Nämlich dann, wenn es bei diesem Szenario um die Sicherheit der gespeicherten Mails bei einer Durchsuchung geht (und nicht wirklich um die Unabhörbarkeit der Kommunikation).
Nur so ein Gedanke :)

Also GPG bringt einen GPG Agent mit, der die Passphrase fuer dich speichert.

Wenn du einen GNOME Desktop hast, macht das Seahorse fuer dich, wenn du, wie DeGT beschrieb, Thunderbird und Enigmail nutzt, kannst du Enigmail sagen, dass es die Passphrase speichern soll.

Ich denke, dass PGP die Loesung der Wahl ist. Es ist verhaeltnismaessig einfach, plattform unabhaengig, etabliert und (bisher) sicher. Das Passphrase Problem haben wir ja gerade geloest. Hast du noch andere Bedenken, weswegen der Einsatz von GPG dir problematisch erscheint?

Man muss kein Technikguru sein, um das benutzen zu koennen.

MfG
Muelli

… wenn es bei diesem Szenario um die Sicherheit der gespeicherten Mails bei einer Durchsuchung geht (und nicht wirklich um die Unabhörbarkeit der Kommunikation).

Ach sowas einfaches. Ich dachte das wäre mal ein toller Anwalt mit vernünftiger Infrastuktur ;)

… wenn es bei diesem Szenario um die Sicherheit der gespeicherten Mails bei einer Durchsuchung geht (und nicht wirklich um die Unabhörbarkeit der Kommunikation).

Ach sowas einfaches. Ich dachte das wäre mal ein toller Anwalt mit vernünftiger Infrastuktur ;)

Ich hab nur geraten, ich kenne den Anwalt ja nicht ;)
Und die Infrastruktur ist genau dann vernünftig, wenn sie angemessen für das Szenario ist. Da ist auf der einen Seite die Wirksamkeit (z.B. "Durchsuchung und Festplatte kopieren beim Anwalt bringt nix"), und auf der anderen Seite die Einsetzbarkeit (Einsatzhürde für Mandanten so gering wie möglich, z.B. USB-Stick mit allem drauf).

Faleiro und Loom haben schon recht, dass es vor allem auch darum geht, auf Mandantenseite möglichst einfach verschlüsselt (also abhörsicher und vertraulich) mit dem Anwalt kommunizieren zu können. Daher dachte ich auch an PGP als Lösung, da es hierfür haufenweise Dokus gibt.

Nur bin ich nicht wirklich glücklich darüber, die Passphrase auf dem Rechner des Anwalts über längere Zeit hinweg zu speichern (also zu cachen). Natürlich erleichtert ihm dies das Schreiben verschlüsselter eMails, aber wenn unbefugte Dritte Zugang zu dem Rechner bekommen und die Passphrase noch gespeichert ist, ist die ganze Kommunikation mit den Mandanten offen. Es wäre optimaler, den privaten Schlüssel und die Passphrase auf einem anderen Medium (USB Stick? Smartcard?) zu speichern, so daß die eMails nicht mehr entschlüsselt werden können, sobald der Anwalt den Stick/die Smartcard vom Rechner abzieht (z.B. für die Mittagspause).
Weiß jemand, wie man solche Lösungen z.B. mit einem USB Stick realisieren kann, so daß sowohl privater Schlüssel als auch Passphrase auf dem USB Stick enthalten sind? Auf die Schnelle habe ich dafür keine Anleitung im Netz gefunden…

Wieder: GPG bringt den ganzen Muell mit. Du kannst dne Cache leeren lassen, Enigmail kann man glaub ich auch sagen, dass es _jetzt_ den Schluessel vergessen soll. Aber da lass ich das nach 3 Minuten automatisch passieren.

Und zur Sicherheit: Ich haette keine Angst, dass da Informationen leaken. Also nicht aufgrund der Tatsache, dass der schluessel gecached wird. Da haben die Jungs sich glaub ich schon ziemlich viel Muehe mit gegeben. Und sowieso muesste man fuer einen Erfolgreichen Angriff an den Arbeitsspeicher heran, welcher mit dem Ausschalten des PCs nichts mehr beinhaltet.

Und den Schluessel auf einen USB Stick zu tun halte ich fuer so mittelgut. Die Gefahr, dass man den verliert ist, denke ich, zu gross.