IT-Technik, Organisation & neue Medien
StartSSL-E-Mail-Zertifikat für Signatur und Verschlüsselung (S/Mime)
Nachdem Thawte als bekanntester Anbieter von kostenlosen E-Mail-Zertifikaten per November 2009 die persönlichen S/Mime-Zertifikate abgekündigt hat, befindest sich das neue World-of-Trust meines Vertrauens bei StartSSL.
Inhaltliche Einführung
E-Mail-Absender werden seit Jahren insbesondere in Spam gefälscht. Aber auch ich könnte mit ein wenig Aufwand Ihre E-Mail-Adresse als Absender meiner Post ausgeben. Ob ich dann für Sie Bestellungen auslöse, andere in Ihrem Namen beschimpfe, oder Sie selbst "dumm aussehen lasse", kann ich mir aussuchen. Der Grund liegt darin, dass bei "Erfindung" der E-Mails in den 80er-Jahren nicht an ausreichende Sicherheitsmechanismen gedacht wurde.
Zusätzlich ist ein E-Mail vergleichbar mit einer Postkarte. So wie diese durch den Briefzusteller oder die Menschen in den Verteilstationen gelesen werden kann, so wird auch ein E-Mail nach dem Absenden über mehrere Mailserver geleitet und irgendwann dem Empfänger zugestellt. An jeder Station kann Ihre E-Mail kopiert und gelesen werden.
Um diese Risiken zu reduzieren, können Sie Ihre E-Mails elektronisch eindeutig unterschreiben. Wenn der Empfänger ebenfalls über eine solche elektronische Unterschrift verfügt, können Sie Ihre Post an ihn zusätzlich verschlüsseln. Dann wird aus Ihrer E-Mail-Postkarte ein versiegelter Brief, den nur noch der tatsächliche Empfänger öffnen und lesen kann.
Damit Ihre Mailempfänger auch sicher sein können, dass die elektronische Unterschrift wirklich von Ihnen kommt, müssen Sie sich einmalig von einer zentralen Stelle (sog. TrustCenter) überprüfen lassen. Nach persönlicher Vorlage Ihres Personalausweises bei einem zugelassenen Zertifizierer (ähnlich einem PostIdent-Verfahren) wird Ihr Name dann mit Ihrer E-Mail-Adresse verknüpft. Daraus erzeugen Sie in einer kleinen Datei Ihre persönliche elektronische Unterschrift und können diese jeder Ihrer E-Mails anhängen. Meinen öffentlichen Schlüssel finden Sie im Impressum, falls Sie mir eine verschlüsselte Nachricht übermitteln möchten.
Technische Grundlagen
Das persönliche E-Mail-Zertifikat signiert Ihre elektronische Post auf Basis von S/MIME (X.509). Der Empfänger erkennt durch die eingebundene Signatur, dass ein E-Mail garantiert von Ihnen stammt und auf dem Versandweg nicht verändert wurde.
Diese Signatur-Datei ist nicht zu verwechseln mit einer Visitenkarten-Datei (vcard.vcf) oder den selbst ergänzten Absender-Angaben unterhalb einer Mail (auch Signatur oder Footer genannt). Vielmehr handelt es sich um eine vom Mailprogramm automatisch eingebundene Datei mit dem ca. 4kB großen Unikat-Absenderschlüssel (smime.p7s).
Fast jede E-Mail-Software unterstützt zwischenzeitlich vollständig das S/MIME-Protokoll, Ausnahmen sind die Web-Mail-Systeme zum Beispiel von GMX oder Web.de. Die erste Einrichtung Ihres Programms kann teilweise ziemlich technisch sein und kleinere Hürden enthalten. Am Besten suchen Sie in der Hilfe der von Ihnen eingesetzten Software nach den Begriffen S/MIME, signieren oder verschlüsseln.
Das Trustcenter: StartSSL Web of Trust (WOT Notary)
Um die Echtheit eines E-Mail-Zertifikates nachzuweisen, werden an die zentralen Zertifizierungsstellen sehr hohe Ansprüche gestellt. Nur wer die Sicherheit der Legitimationswege eindeutig nachweisen kann, gilt als vertrauenswürdig. Das sogenannte Wurzelzertifikat dieses Unternehmens wird dann in die Software der E-Mail- und Browser-Hersteller eingebunden und ist Voraussetzung dafür, dass auch das persönliche Zertifikat gültig wird.
StartSSL ist ein Sicherheitsunternehmen aus Israel. Als einer der führenden Anbieter im Bereich von Webseiten-Signaturen, SSL-Verschlüsselung und Sicherheitstechnologien gilt StartSSL mit ihren Wurzelzertifikaten in vielen Programmen als vertrauenswürdig. Zum StartSSL-Zertifikat und zum Ablauf der kostenfreien Registrierung finden Sie auf den Webseiten weitere Informationen.
Das Legitimationskonzept weicht mit seinem dezentralen Ansatz von den zentralen Systemen anderer Anbieter ab. Damit sich nicht jede Person einzeln bei StartSSL authentifizieren muss, gibt es das "Web of Trust". Über ein Punktesystem wird die Echtheit der Personen bestätigt. Dazu sind grundsätzlich mindestens zwei Prüfer, sog. Notare, notwendig.
Um sich selbst als StartSSL-Notar zu qualifizieren, ist neben der eigenen Bestätigung ein zusätzlicher Online-Test bei StartSSL erforderlich. Ein Notary darf dann neue Benutzer für das StartSSL-Netzwerk zulassen, wenn er die strengen Bedingungen an die Prüfung einhält.
Ich bin StartSSL-Notary
Die Echtheitsüberprüfung der hinter einer E-Mail-Adresse stehenden Person ist ausschließlich durch eine persönliche Begutachtung zugelassen. Es erfolgt eine formelle Prüfung über den Personalausweis und ein weiteres Legitimationspapier wie der Führerschein mit Foto. Eine erfolgreiche Prüfung bestätigt ein Notary anschließend mit der Freigabe bei StartSSL. Mindestens 2 Notary werden für ein personalisiertes StartSSL-Zertifikat benötigt.
Terminvereinbarung
Für einen Termin zur StartSSL-Identitätsbestätigung sprechen Sie mich bitte über die normale Kontaktseite an. Fernprüfungen per E-Mail sind nicht möglich.
Treffen können ausschließlich nach vorheriger Terminvereinbarung mit Schwerpunkt im Raum Mülheim / Essen (Rhein-Ruhr-Zentrum) und Bochum (Nähe Schauspielhaus) vereinbart werden. Ich erbitte dafür eine Aufwandsentschädigung in Höhe von 5 EUR.
Schnellprüfung: Zu beiden Treffpunkten kann jeweils ein weiterer StartSSL-Notar hinzugezogen werden, so dass Sie Ihren gültigen User-Status mit zwei parallelen Prüfungen direkt an einem Termin erreichen können. In diesem Fall bitten wir in der Regel für die Terminorganisation und Anfahrt um eine Aufwandsentschädigung in Höhe von 10 EUR je User.
Gelegentlich nehme ich auch an Veranstaltungen der Xing-Community teil, aktuell überwiegend vom Forum 'Düsseldorf-Rhein-Ruhr': hier sind die nächsten Termine. Eine Identitätsbestätigung ist bei diesen Netzwerk-Treffen immer kostenfrei.
Voraussetzung für eine Festellung Ihrer Identität
Für die Legitimation ist zwingend erforderlich:
- Ihre vollständig ausgefüllten Daten über "Sign Up" bei StartSSL.
- die Freischaltung Ihrer persönlichen Daten im StartSSL-Notary-Bereich (StartSSL WoT - WoT Network - Notary Finder - Muelheim) für mich: '< Request Validation >'.
- Anschließend Info per E-Mail an mich, damit ich die Beglaubigung vorbereiten kann.
- Das Original Ihres Personalausweises sowie eines zweiten Ausweispapieres mit Foto (Reisepass, Führerschein, Studentenausweis, ...)
Vergessen Sie zum Termin nicht Ihre zwei Ausweise im Original. Ohne diese Dokumente ist eine Bearbeitung Ihrer Anfrage keinesfalls möglich.
Bitte bewerten Sie diese Seite
Weiterführende Links zum Thema
E-Mails verschlüsseln (Netzeitung, 25.08.2008)
