So verschlüsseln Sie E-Mails in Microsoft 365 und Google Workspace

Exchange Online und Gmail verwenden beide Transport Layer Security (TLS), wenn sie E-Mails mit einem anderen Server austauschen, der TLS unterstützt. TLS verschlüsselt die Verbindung, sodass die Nachricht nicht gelesen werden kann, während sie zwischen diesen beiden Servern übertragen wird. Gmail zeigt ein rotes, geöffnetes Schloss an, wenn eine Nachricht nicht durch TLS geschützt war.

TLS ist standardmäßig opportunistisch: Unterstützt der andere Server kein TLS, kann die E-Mail ohne TLS zugestellt werden, es sei denn, ein Administrator schreibt TLS für diese Domäne vor. Noch wichtiger: TLS endet an jedem Server. Die Nachricht wird in lesbarer Form in den Postfächern von Absender und Empfänger, in Journaling- und Archivsystemen sowie auf jedem Server gespeichert, der sie weiterleitet. Unser Vergleich von Transportverschlüsselung und Nachrichtenverschlüsselung erläutert den Unterschied.

Für die alltägliche Korrespondenz ist TLS eine sinnvolle Grundlage. Für Verträge, Gesundheits- oder Finanzunterlagen, Rechtsangelegenheiten und andere personenbezogene Daten wünschen sich die meisten Organisationen einen Schutz, der mit der Nachricht selbst verbunden bleibt.

Microsoft Purview Message Encryption

Microsoft Purview Message Encryption ist in einigen Microsoft-365-Plänen enthalten. Benutzer können damit in Outlook eine Verschlüsselungsoption anwenden, und Administratoren können sie über Nachrichtenflussregeln automatisch anwenden lassen. Empfänger außerhalb von Microsoft 365 erhalten eine Nachricht mit einem Link und melden sich dann an oder fordern einen Einmalcode an, um sie im Browser zu lesen. Das funktioniert gut für den gelegentlichen Austausch mit Personen, die keine eigene Verschlüsselungssoftware besitzen, nutzt aber ein Microsoft-eigenes Format statt PGP oder S/MIME.

S/MIME in Outlook

Outlook unterstützt S/MIME nativ. Jeder Absender benötigt ein X.509-Zertifikat und einen privaten Schlüssel, und das Zertifikat des Empfängers muss verfügbar sein, bevor eine Nachricht für ihn verschlüsselt werden kann, in der Regel aus einem Verzeichnis oder aus einer früheren signierten Nachricht. Das Ausstellen und Verlängern von Zertifikaten für jeden Benutzer und jedes Gerät ist die größte Hürde; unser Leitfaden zu Ablauf und Verlängerung von S/MIME-Zertifikaten erklärt, was das auf Dauer bedeutet.

PGP

Microsoft 365 bietet keine integrierte OpenPGP-Unterstützung. Benutzer können Add-ins von Drittanbietern installieren, doch dann liegen die Schlüssel auf einzelnen Geräten, und die Verschlüsselung hängt davon ab, dass jeder Benutzer daran denkt, sie anzuwenden.

Gehostetes S/MIME

Einige Editionen von Google Workspace unterstützen gehostetes S/MIME. Administratoren aktivieren die Funktion und laden Benutzerzertifikate hoch, und Gmail verschlüsselt eine Nachricht, wenn das Zertifikat des Empfängers vorliegt, typischerweise nachdem eine signierte Nachricht von ihm eingegangen ist.

Clientseitige Verschlüsselung

Die clientseitige Verschlüsselung von Gmail, verfügbar in bestimmten Enterprise- und Education-Editionen, verschlüsselt Nachrichteninhalte im Browser mit Schlüsseln, die in einem externen, von der Organisation kontrollierten Schlüsselverwaltungsdienst liegen. Sie eignet sich für Organisationen mit strengen Anforderungen an die Schlüsselverwahrung, erfordert aber die Konfiguration eines Identitätsanbieters und des Schlüsselverwaltungsdienstes, und externe Empfänger benötigen eine kompatible Möglichkeit, die Nachricht zu lesen.

Der vertrauliche Modus ist keine Verschlüsselung

Der vertrauliche Modus von Gmail kann Weiterleiten, Kopieren und Drucken deaktivieren und ein Ablaufdatum festlegen. Er verschlüsselt die Nachricht nicht mit S/MIME oder PGP für den Empfänger, daher sollten Sie sich bei regulierten Daten nicht auf ihn verlassen. Wie Microsoft 365 bietet auch Gmail keine native OpenPGP-Unterstützung.

Integrierte Werkzeuge sind auf die eigenen Benutzer der jeweiligen Plattform ausgelegt. Organisationen stoßen damit typischerweise an Grenzen, wenn:

• Partner, Aufsichtsbehörden oder Kunden PGP verlangen, das keine der beiden Plattformen bietet;
• dieselbe Richtlinie für beide Plattformen gelten muss oder, nach einer Fusion, für mehrere Mail-Systeme;
• Schlüssel und Zertifikate zentral statt auf jedem einzelnen Gerät erzeugt, veröffentlicht, abgefragt und verlängert werden müssen;
• Empfänger ohne PGP oder S/MIME Alternativen benötigen, etwa ein sicheres Portal oder ein verschlüsseltes PDF, die per Richtlinie ausgewählt werden.

In diesem Modell übergibt die Mail-Plattform ausgehende Nachrichten an einen Cloud-Verschlüsselungsdienst: in Microsoft 365 über einen ausgehenden Connector, in Google Workspace über ein ausgehendes Gateway oder eine Routing-Regel. Der Dienst wendet die Richtlinie an, ermittelt Schlüssel und Zertifikate der Empfänger und stellt die Nachricht zu, während die Benutzer ihren gewohnten E-Mail-Client behalten. Unser Leitfaden zur Integration der E-Mail-Verschlüsselung in Microsoft 365 und Google Workspace beschreibt das Routing, und die Seite So funktioniert Cloud-E-Mail-Verschlüsselung erläutert jeden einzelnen Schritt.

1. Schutzbedarf klassifizieren. Ermitteln Sie die Nachrichtentypen, Empfänger und Vorschriften, die eine Verschlüsselung auf Nachrichtenebene erfordern.
2. Anforderungen der Partner erfassen. Halten Sie fest, welche Partner PGP, welche S/MIME und welche keines von beiden verwenden.
3. TLS erzwingen, wo möglich. Schreiben Sie TLS als Grundlage für wichtige Partnerdomänen vor.
4. Methode je Zielgruppe wählen. Nutzen Sie integrierte Werkzeuge, wo sie ausreichen, und leiten Sie den Rest über ein Gateway, das beide Standards unterstützt.
5. Pilotieren, dann ausweiten. Beginnen Sie mit einer Abteilung oder einer Regel, prüfen Sie Zustellung und Antworten mit echten Partnern und weiten Sie die Richtlinie dann aus.

CloudPGP bietet Cloud-gehostete PGP-E-Mail-Verschlüsselung und Cloud-gehostete S/MIME-E-Mail-Verschlüsselung hinter Microsoft 365 und Google Workspace, sodass sich beide Standards ohne Client-Add-ins über eine zentrale Richtlinie anwenden lassen.