Warum Organisationen ihre PGP- und S/MIME-Verschlüsselung in die Cloud verlagern

Viele PGP- und S/MIME-Installationen wurden vor Jahren rund um einen dedizierten Gateway-Server im Rechenzentrum aufgebaut. Ist dieser einmal in Betrieb, wird er zu einer Infrastruktur, auf die sich das Unternehmen verlässt, die aber nur wenige Menschen verstehen. Damit er zuverlässig läuft, fällt Folgendes an:

• Patches und Upgrades für das Betriebssystem, die Verschlüsselungssoftware und deren Abhängigkeiten, oft rund um Unterbrechungen des Mailverkehrs geplant.
• Verfügbarkeit: Ein einzelnes Gateway ist ein Single Point of Failure für ausgehende E-Mails; Ausfallsicherheit erfordert daher Clustering, Lastverteilung und getestetes Failover.
• Verwahrung von Schlüsseln und Zertifikaten: Private Schlüssel müssen sicher gespeichert, gesichert und wiederherstellbar sein, teilweise auf Hardware-Sicherheitsmodulen.
• Verzeichnisintegration: LDAP-Abfragen und die Veröffentlichung von Schlüsseln müssen weiter funktionieren, wenn sich Verzeichnisse, Domänen und Partner ändern.
• Kapazitätsplanung: Wachsende Mailvolumen oder größere Anhänge bedeuten, dass Hardware vorausschauend beschafft und installiert werden muss.
• Spezialwissen: Verlässt die Person, die das System aufgebaut hat, das Unternehmen, werden Routineänderungen riskant.

Keine dieser Aufgaben verschafft der Organisation einen Vorsprung gegenüber dem Wettbewerb. Sie halten lediglich den verschlüsselten Mailverkehr am Laufen und binden dieselben Fachkräfte, die auch alles andere betreuen.

Weniger Infrastruktur zu warten

Der Anbieter betreibt, patcht und skaliert die Verschlüsselungs-Engine. Interne Teams verwalten Mail-Routing und Verschlüsselungsrichtlinien statt Server, Betriebssysteme und Cluster.

Eine Richtlinie für PGP und S/MIME

Ein Dienst, der beide Standards beherrscht, kann Regeln nach Empfänger, Domäne oder Inhalt anwenden und automatisch PGP, S/MIME oder eine alternative Zustellmethode wählen. Benutzer müssen nicht bei jeder Nachricht entscheiden, wie sie verschlüsselt wird, wodurch eine häufige Fehlerquelle entfällt.

Zentraler Lebenszyklus für Schlüssel und Zertifikate

Absenderschlüssel, Empfängerabfragen und Zertifikatsverlängerungen lassen sich zentral statt Gerät für Gerät handhaben. Unsere Seite zur zentralen PGP- und S/MIME-Schlüsselverwaltung beschreibt die dazugehörigen Kontrollen, einschließlich Optionen für kundenverwaltete Schlüssel.

Optionen für Empfänger ohne PGP oder S/MIME

Hat ein Empfänger weder Schlüssel noch Zertifikat, kann die Richtlinie die Nachricht über ein sicheres Portal oder als verschlüsseltes Dokument zustellen, statt sie ungeschützt zu senden oder an den Absender zurückzuschicken.

Klarere Nachweise für Audits

Eine zentrale Protokollierung von Verschlüsselungsentscheidungen, Schlüsselerzeugung und Zustellstatus erleichtert es, Prüfern zu zeigen, welche Nachrichten geschützt wurden und wie.

Funktioniert mit Ihrer bestehenden Mail-Plattform

Microsoft 365, Google Workspace und sichere E-Mail-Gateways können E-Mails über standardmäßige SMTP-Connectors an den Dienst leiten, sodass Benutzer weiterhin Outlook oder Gmail verwenden. Die plattformspezifischen Optionen beschreibt unser Leitfaden E-Mails in Microsoft 365 und Google Workspace verschlüsseln.

Der Umstieg in die Cloud ändert nichts an der Kryptografie, auf die sich Ihre Partner verlassen. Ein PGP-Partner benötigt weiterhin Ihren öffentlichen Schlüssel und Sie seinen; ein S/MIME-Partner validiert Ihr Zertifikat weiterhin anhand einer vertrauenswürdigen Zertifizierungsstelle. Cloud-gehostete PGP-E-Mail-Verschlüsselung und Cloud-gehostete S/MIME-E-Mail-Verschlüsselung folgen denselben offenen Standards wie On-Premises-Produkte.

Auch für Ihre Benutzer ändert sich kaum etwas: Sie verfassen und lesen E-Mails wie bisher, und die Richtlinie entscheidet, wann verschlüsselt wird.

Ebenso wenig verlagert sich die Verantwortung. Ihre Organisation entscheidet weiterhin, was verschlüsselt werden muss, wer Schlüssel besitzen darf und wie lange Aufzeichnungen aufbewahrt werden. Ein Anbieter stellt Kontrollen bereit und betreibt sie; er macht eine Organisation nicht für sich allein genommen regelkonform.

Ein Cloud-Dienst ist nicht für jede Organisation die richtige Antwort. Ein Verbleib bei On-Premises oder ein hybrides Modell kann sinnvoll sein, wenn:

• Gesetze, Verträge oder interne Richtlinien verlangen, dass Schlüssel und Nachrichtenverarbeitung in Ihren eigenen Einrichtungen bleiben;
• das Mail-System vom Internet isoliert ist;
• eine kürzlich getätigte Investition in On-Premises-Hardware noch jahrelang nutzbar ist und das Team für ihren Betrieb vorhanden ist.

Selbst dann lohnt es sich, den gesamten jährlichen Aufwand für den Betrieb des Systems zu prüfen. Optionen für kundenverwaltete Schlüssel in einem Cloud-Dienst können viele Anforderungen an die Schlüsselverwahrung erfüllen, ohne dass die Server beibehalten werden müssen.

1. Bestandsaufnahme. Erfassen Sie jede Absenderdomäne, jede Verschlüsselungsregel, jedes PGP-Schlüsselpaar, jedes S/MIME-Zertifikat, jeden Partner und jedes Verzeichnis, die das aktuelle System nutzt.
2. Entscheiden, was umzieht. Legen Sie fest, welche Schlüssel und Zertifikate Sie importieren und welche Sie ersetzen. Ein Import erhält das Vertrauen der Partner; ein Austausch bietet die Gelegenheit, schwaches oder bald ablaufendes Material auszumustern.
3. Das Archiv erhalten. Halten Sie alte private Schlüssel sicher verfügbar, solange verschlüsselte Nachrichten lesbar bleiben müssen.
4. Parallel betreiben. Leiten Sie eine Domäne, Abteilung oder Partnergruppe über den neuen Dienst, während das alte Gateway den Rest übernimmt.
5. Mit echten Partnern testen. Prüfen Sie Verschlüsselung, Entschlüsselung, Signaturen und Antworten in beide Richtungen, bevor Sie den Umfang erweitern.
6. Umstellen und außer Betrieb nehmen. Verlagern Sie die verbleibenden Routen, nehmen Sie dann die alten Server außer Betrieb und entsorgen Sie deren Schlüssel gemäß Ihrer Aufbewahrungsrichtlinie.

Die Hinweise zur Migration auf unserer Cloud-PGP-Seite und unsere Optionen für Schlüsselmigration und Portabilität behandeln die technischen Details der Schlüsselübertragung.

• Wo werden E-Mails verarbeitet, und wo werden Schlüssel gespeichert?
• Können wir eigene Schlüssel importieren und sie exportieren, wenn wir den Anbieter verlassen?
• Welche Zertifizierungsstellen und Verzeichnisse werden unterstützt?
• Welche Protokolle und Berichte stehen für Audits zur Verfügung?
• Welche Zustellalternativen gibt es für Empfänger ohne PGP oder S/MIME?
• Wie werden Empfänger authentifiziert, wenn sie ein Portal nutzen?

Unsere Übersicht der Sicherheitskontrollen für Cloud-E-Mail-Verschlüsselung zeigt, wie CloudPGP mehrere dieser Fragen angeht, einschließlich der Frage, wo seine Verantwortung endet und Ihre beginnt.