Eine Public Key Infrastructure (PKI) stellt die grundlegenden Mechanismen bereit, die den Einsatz kryptografiebasierter Instrumente in großen Organisationen ermöglichen. In einer Microsoft-Umgebung ist der Aufbau einer Windows-PKI mit einer vollautomatisierten Zertifikatsverwaltung möglich. Das Ausstellen von Zertifikaten wird im Rahmen einer Certification Authority (CA) zum Beispiel beim Benutzerlogin angestoßen. Die Zertifikate können automatisch in das Active Directory (AD) publiziert werden, über Zertifikatsvorlagen können Schlüsselverwendungen und andere Erweiterungen definiert werden. Die Funktionen sind auf die Ausstellung durch eine interne Microsoft CA begrenzt.

Grenzen einer reinen Windows-PKI

Die Anwendungsgebiete der damit bereits gestellten Dienste sind daher naturgemäß auf den rein internen Bereich begrenzt (etwa WIFI-Verschlüsselung, VPN-Dienste, …). Der Einsatz vertrauenswürdiger Signaturen für E-Mails und Dokumente ist, wie auch die Verschlüsselung, in vielen Branchen bereits de-facto-Standard, in zahlreichen Fällen sogar gesetzlich vorgegeben. Die Nutzung der Dienste nach außen stößt hier insofern an ihre Grenzen, als Teilnehmer außerhalb der Windows-PKI dem Ausstellerzertifikat nicht automatisch vertrauen. Verschlüsselung ist so nicht ohne weiteres möglich, Empfänger signierter Nachrichten erhalten Fehlermeldungen.

Windows-PKI mit öffentlicher Zertifizierungsstelle

In Summe entsteht unnötiger Supportaufwand, der leicht vermeidbar wäre. Sobald der Austausch signierter oder verschlüsselter Informationen mit externen Partnern stattfinden soll, werden Zertifikate von einer öffentlich vertrauten CA – wie GLOBALTRUST – benötigt. Deren Stammzertifikat ist beim Empfänger in dessen Anwendung bereits vorinstalliert. Grundlage dafür sind besondere Audit- und Zulassungsverfahren, denen sich öffentliche CAs mit enormem Ressourcen- und Zeitaufwand unterziehen.

Grenzen einer öffentlichen Zertifizierungsstelle in der Windows-PKI

Zertifikate von öffentlichen CAs anzufordern erfordert aber auch Zertifikatsverwaltung und damit einen nicht zu unterschätzenden organisatorischen Aufwand – personell wie auch finanziell. Fehler bei der Verwaltung von Schlüsseln und Zertifikaten können massive Risiken darstellen und gravierende Schäden anrichten. Ein abgelaufenes Zertifikat könnte beispielsweise die Bankautomaten einer ganzen Bankenkette lahmlegen. Beantragen, installieren, austauschen, widerrufen: Was bei der Verwendung im zweistelligen Bereich keine Herausforderung darstellt, wird bei tausenden Mitarbeitern und Geräten schnell zur Überforderung und resultiert in abgelaufenen Zertifikaten, falsch hinterlegten Schlüsseln oder noch gültigen Zertifikaten von längst ausgeschiedenen Mitarbeitern. Am Markt kursierende Monitoring-Tools sind dieser Aufgabe in der Regel nur unzureichend gewachsen.

Vollautomatische Zertifikatsverwaltung: Windows-PKI mit einer non Microsoft-CA

Genau hier setzt das Produkt von Secardeo und GLOBALTRUST an. Die Lösung richtet sich an mittlere und große Organisationen. Inhaber eines GLOBALTRUST COMPANY Zertifikats lassen sich mithilfe des Secardeo certEP über eine Schnittstelle an unsere Zertifikatsausstellung anbinden. Der certEP übernimmt vollautomatisch die Zertifikatsverwaltung während des gesamten Lebenszyklus. Die privaten Schlüssel werden beim Nutzer erzeugt und nie an GLOBALTRUST offengelegt. Der certEP stellt lediglich eine Zertifikatsanforderung. So beantragt er Zertifikate für Personen, Dienste und Geräte, befördert Schlüsselmaterial zum Ziel und sorgt für eine rechtzeitige Erneuerung. Alle Funktion einer reinen Windows-PKI sind uneingeschränkt verfügbar (Zertifikatsvorlagen, Enrollment Agents, Rollentrennung, Key Recovery, …)

Eigenschaften der Zertifikate

Die Zertifikate sind als S/MIME-Zertifikate anzusehen. Sie können für E-Mail-Signatur, Verschlüsselung, Client-Authentifizierung, VPN, Verschlüsselung und digitale Signatur von Dateisystemen und Dokumenten verwendet werden.

Die Zertifikate sind unter den Voraussetzungen der eIDAS-VO geeignet, fortgeschrittene Signaturen zu produzieren.

Die Lösung ist als technisch ausgereift zu bezeichnen. Sie ermöglicht eine nahtlose Nutzung aller PKI-relevanten Sicherheitsmechanismen, kombiniert mit dem Vertrauensstatus einer öffentlichen CA. Im Vergleich zum Aufbau einer eigenen Lösung stellt das Produkt eine bewährte, hochsichere und kostengünstige Alternative dar.

Das mehrfach ausgezeichnete Secure E-Mail-Gateway von SEPPmail verfügt ab sofort über eine Schnittstelle zu GLOBALTRUST. Nutzern der beliebten Schweizer Lösung für E-Mail-Security bietet sich dadurch erstmals die Möglichkeit, Ihre Verschlüsselungs- und Signaturzertifikate von einem eIDAS-qualifizierten Anbieter in Österreich abzurufen.

Das Thema E-Mail-Sicherheit ist in jüngster Zeit bei vielen Unternehmen ein Dauerbrenner geworden. Die Corona-Pandemie hat die Digitalisierung im Geschäftsleben noch einmal einen Schritt vorangetrieben. Home-Offices wurden quasi über Nacht eingerichtet. Physische Meetings und das persönliche Gespräch rückten in den Hintergrund. Aber nicht nur Videokonferenz-Tools, sondern vor allem auch das gute alte E-Mail erlebte einen regelrechten Boom in der alltäglichen geschäftlichen Kommunikation.

E-Mails werden noch lange das meist genutzte Kommunikationsmittel im Businessbereich sein. Sie waren zwar schon vor der Pandemie ein beliebtes Instrument für Cyberkriminelle. In den vergangenen Monaten haben Phishing-Attacken, Identitätsdiebstahl und Schadsoftware aber nochmals deutlich zugenommen. Die Fake-Mails der heutigen Zeit sind für die meisten Menschen faktisch nicht von einem Original zu unterscheiden.

Sicherer E-Mail-Verkehr

Ein weiteres Szenario, in dem potenzielle Bedrohungen vorliegen, ist die ungesicherte Übertragung. Unverschlüsselte elektronische Nachrichten können problemlos von Dritten abgefangen und mitgelesen werden. Nicht nur unter datenschutzrechtlichen Aspekten sollen (oder müssen) sensible Kunden-, Mandanten- oder Patientendaten vor der unberechtigten Offenlegung geschützt werden – Unternehmen sind gut beraten, vertrauliche Informationen ausschließlich verschlüsselt zu übertragen.

Stammt ein E-Mail wirklich vom ausgewiesenen Absender? Liest ein Dritter mit? Beide Ungewissheiten lassen sich durch den Einsatz von Signatur- und Verschlüsselungszertifikaten sofort auflösen. Ist ein E-Mail signiert, weiß der Empfänger, dass die Nachricht wirklich vom ausgewiesenen Absender stammt. Grundlage dafür ist ein Signaturschlüssel, den nur der geprüfte Absender besitzt. Dieser Schlüssel wird durch ein Zertifikat untrennbar mit der Identität des Absenders verknüpft – gegebenenfalls mit weiteren Attributen, wie Zugehörigkeit zu einer Firma und Abteilung. Auch Funktionen, Vollmachten, oder akademische Grade können eingetragen werden. Die Korrektheit dieser Angaben wird von einem Vertrauensdiensteanbieter, wie GLOBALTRUST, durch spezielle Prüfverfahren sichergestellt. GLOBALTRUST arbeitet auf Grundlage europäischer Rechtsvorschriften für Vertrauensdienste und wird jährlich auditiert. Weiters beweist eine unbeschädigte Signatur, dass der Inhalt der E-Mail nicht unterwegs abgefangen und verändert wurde. Besitzen beide Kommunikationsparteien ein Zertifikat, kann die Nachricht mit den modernsten Krypto-Algorithmen so verschlüsselt werden, dass sie nur der – garantiert echte – Empfänger lesen kann.

Signierte E-Mails bilden damit die Grundlage für einen vertrauenswürdigen elektronischen Geschäftsverkehr und tragen enorm zur Steigerung des eigenen Images bei. GLOBALTRUST verzichtet bewusst auf Zertifikate auf niedrigem Sicherheitsniveau, also solche bei denen nur die E-Mail-Adresse validiert wurde. Aus dem SSL-Bereich ist bekannt, dass knapp 95 % aller Phishing-Attacken mithilfe eines sogenannten domain-validierten Zertifikats aus begangen werden. Dieselbe Gefahrenlage herrscht bei S/MIME-, also im E-Mail-Szenario.

Vollautomatische Zertifikatsabwicklung in SEPPmail

Das SEPPmail Secure E-Mail Gateway ermöglicht die vollautomatische Verschlüsselung, Entschlüsselung und Signatur von E-Mails im gewohnten E-Mail-Programm (Outlook, Notes, Mail, Thunderbird usw.). Verschlüsselte E-Mail-Kommunikation ist auch mit Empfängern, die keine Verschlüsselungssoftware und keinen Schlüssel besitzen, möglich (patentiertes GINA-Verfahren). Das Gateway übernimmt von der Anforderung bis zum Widerruf der Zertifikate den gesamten Lebenszyklus vollautomatisch. Mit der direkten Anbindung an die Zertifizierungsstelle von GLOBALTRUST ist nun eine weitere öffentlich vertraute CA verfügbar.

Für viele Unternehmen war die Pandemie Anlass, lange vor sich hergeschobene Digitalisierungsinitiativen abzuschließen. Die Nachfrage nach entsprechenden Sicherheitsmechanismen ist enorm angestiegen. Benötigt werden ganzheitliche Konzepte, die öffentlich vertraute Zertifikate nahtlos in ein zentrales Management-System integrieren und eine hochkomfortable und simple Verwendung gewährleisten. An dieser Kernanforderung setzt die Lösung an. Denn hier kann man sicher sein, ohne Zutun des Nutzers vertraulich und authentisch zu kommunizieren.