E-Mails verschlüsseln – so funktioniert der sichere E-Mail-Versand

E-Mails werden heute in der Regel über verschlüsselte Verbindungen übertragen. Das bedeutet allerdings nicht, dass ihre Inhalte vollständig vor fremden Zugriffen geschützt sind. Wer vertrauliche Informationen, persönliche Dokumente oder geschäftliche Daten versendet, kann seine E-Mails zusätzlich verschlüsseln. Dafür stehen verschiedene Verfahren zur Verfügung, die sich hinsichtlich Sicherheit und Bedienung deutlich unterscheiden.

Besonders wichtig ist der Unterschied zwischen der Transportverschlüsselung mit TLS und der Ende-zu-Ende-Verschlüsselung. Während TLS die Übertragung zwischen beteiligten Systemen schützt, sorgt eine Ende-zu-Ende-Verschlüsselung dafür, dass grundsätzlich nur Absender und berechtigter Empfänger den Nachrichteninhalt entschlüsseln können.

TLS-Verschlüsselung: Der grundlegende Schutz beim E-Mail-Versand

Transport Layer Security (TLS) schützt Daten während der Übertragung über eine Netzwerkverbindung. Das Verfahren wird unter anderem bei verschlüsselten Webseiten und beim E-Mail-Verkehr eingesetzt.

Verbindet sich ein E-Mail-Programm wie Outlook oder Thunderbird mit seinem Mailserver, erfolgt die Kommunikation normalerweise über eine TLS-gesicherte Verbindung. Dabei werden auch die übertragenen Zugangsdaten geschützt.

Für die Übertragung von E-Mails zwischen verschiedenen Mailservern wird ebenfalls häufig TLS verwendet.

Allerdings gibt es eine entscheidende Einschränkung: TLS verschlüsselt die Verbindung, nicht dauerhaft den Inhalt der E-Mail.

Auf den beteiligten Mailservern kann der Nachrichteninhalt grundsätzlich im Klartext verarbeitet werden. Außerdem ist nicht bei jeder Übertragung zwischen unterschiedlichen Anbietern eine durchgehende TLS-Absicherung garantiert.

SSL oder TLS – was ist der Unterschied?

SSL (Secure Sockets Layer) ist der ältere Vorläufer von TLS und gilt inzwischen als technisch überholt. Obwohl viele E-Mail-Programme weiterhin Begriffe wie „SSL/TLS“ verwenden, kommt bei aktuellen sicheren Verbindungen TLS zum Einsatz.

Die erforderlichen Einstellungen für Posteingangs- und Postausgangsserver unterscheiden sich je nach Anbieter. Eine Übersicht bietet der telespiegel-Ratgeber zu den E-Mail-Server-Einstellungen für IMAP, POP3 und SMTP.

Ende-zu-Ende-Verschlüsselung: Mehr Sicherheit für vertrauliche E-Mails

Bei der Ende-zu-Ende-Verschlüsselung wird der Nachrichteninhalt so geschützt, dass er grundsätzlich nur von den vorgesehenen Kommunikationspartnern gelesen werden kann. Die beteiligten Mailserver benötigen keinen Zugriff auf den Klartext.

Dafür werden insbesondere zwei Verfahren verwendet: OpenPGP und S/MIME.

OpenPGP: Verschlüsselung mit öffentlichen und privaten Schlüsseln

OpenPGP ist ein verbreiteter Standard für die Verschlüsselung und digitale Signierung von E-Mails.

Das Verfahren arbeitet mit einem Schlüsselpaar:

Der öffentliche Schlüssel darf weitergegeben werden. Mit ihm können andere Personen Nachrichten für den Schlüsselinhaber verschlüsseln.

Der private Schlüssel bleibt geheim. Er wird benötigt, um entsprechend verschlüsselte Nachrichten wieder lesbar zu machen.

Soll etwa eine vertrauliche Nachricht verschickt werden, benötigt der Absender den öffentlichen Schlüssel des Empfängers. Die Nachricht wird damit verschlüsselt und kann anschließend nur mit dem zugehörigen privaten Schlüssel entschlüsselt werden.

OpenPGP wird unter anderem vom kostenlosen E-Mail-Programm Thunderbird unterstützt.

S/MIME: E-Mail-Verschlüsselung mit Zertifikaten

S/MIME steht für Secure/Multipurpose Internet Mail Extensions und ist ein weiterer Standard zur Absicherung elektronischer Nachrichten.

Anders als OpenPGP verwendet S/MIME üblicherweise digitale Zertifikate, die von einer Zertifizierungsstelle ausgestellt werden.

Auch hier kommen öffentliche und private Schlüssel zum Einsatz. Zusätzlich lassen sich Nachrichten digital signieren. Damit kann der Empfänger überprüfen, ob die Nachricht seit der Signierung verändert wurde und ob die Signatur zum hinterlegten Zertifikat gehört.

S/MIME wird häufig in Unternehmen, Behörden und anderen Organisationen verwendet. Auch Microsoft Outlook unterstützt dieses Verfahren.

Für die verschlüsselte Kommunikation muss das Zertifikat des Empfängers beziehungsweise dessen öffentlicher Schlüssel verfügbar sein.

E-Mails in Outlook verschlüsseln – Schritt für Schritt

Microsoft Outlook bietet verschiedene Möglichkeiten, Nachrichten verschlüsselt zu versenden. Welche Funktionen verfügbar sind, hängt von der Outlook-Version, dem verwendeten E-Mail-Konto und gegebenenfalls vom Microsoft-365-Abonnement ab.

Dabei ist zwischen der klassischen Outlook-Version für Windows, dem neuen Outlook und der Outlook-Webanwendung zu unterscheiden.

Eine E-Mail im neuen Outlook verschlüsseln

Sofern die Microsoft-365-Nachrichtenverschlüsselung für das verwendete Konto verfügbar ist, funktioniert der Versand folgendermaßen:

1. In Outlook eine neue E-Mail erstellen.
2. In der Menüleiste „Optionen“ auswählen.
3. Auf „Verschlüsseln“ klicken.
4. Die gewünschte Schutzoption auswählen, beispielsweise „Verschlüsseln“ oder „Nicht weiterleiten“.
5. Die E-Mail wie gewohnt verfassen und versenden.

Bei der Microsoft-365-Nachrichtenverschlüsselung können Empfänger außerhalb der Microsoft-Umgebung gegebenenfalls über ein gesichertes Nachrichtenportal auf die Inhalte zugreifen.

Die Einstellung „Nicht weiterleiten“ kann zusätzlich bestimmte Möglichkeiten zum Kopieren, Drucken oder Weiterleiten einschränken.

Diese Funktionen verhindern jedoch nicht grundsätzlich, dass Empfänger Inhalte beispielsweise fotografieren oder anderweitig erfassen.

Wichtig: Die Microsoft-365-Nachrichtenverschlüsselung ist nicht mit einer vom Anbieter unabhängigen Ende-zu-Ende-Verschlüsselung durch OpenPGP oder S/MIME gleichzusetzen.

E-Mails im klassischen Outlook mit S/MIME verschlüsseln

Die klassische Outlook-Desktopanwendung unterstützt ebenfalls die Verschlüsselung über S/MIME.

Dafür sind zunächst einige Voraussetzungen zu erfüllen:

1. Ein geeignetes S/MIME-Zertifikat für das eigene E-Mail-Konto muss vorhanden und installiert sein.
2. Das Zertifikat wird in Outlook unter „Datei → Optionen → Trust Center → Einstellungen für das Trust Center → E-Mail-Sicherheit“ eingerichtet.
3. Der öffentliche Schlüssel beziehungsweise das Zertifikat des Empfängers muss verfügbar sein.
4. Beim Verfassen einer Nachricht wird die entsprechende S/MIME-Verschlüsselungsoption aktiviert.
5. Anschließend kann die verschlüsselte Nachricht versendet werden.

Je nach Version und Kontotyp können die Menübezeichnungen leicht abweichen.

Outlook ermöglicht darüber hinaus, ausgehende Nachrichten standardmäßig mit S/MIME zu verschlüsseln. Das setzt voraus, dass die jeweiligen Empfänger über die erforderlichen Schlüssel verfügen.

Weitere Informationen enthält die offizielle Anleitung von Microsoft zur Outlook-Verschlüsselung.

Outlook-E-Mail mit Passwort verschlüsseln

Eine gewöhnliche Outlook-E-Mail lässt sich nicht unabhängig von den verfügbaren Schutzfunktionen einfach durch Eingabe eines selbst gewählten Passworts vollständig verschlüsseln.

Bei bestimmten Microsoft-365-Konten stehen jedoch geschützte Nachrichten zur Verfügung. Externe Empfänger können diese gegebenenfalls nach einer Anmeldung oder mithilfe eines temporären Sicherheitscodes öffnen.

Eine andere Möglichkeit besteht darin, den Dateianhang vor dem Versand separat mit einem Passwort zu schützen.

Bei besonders vertraulichen Inhalten ist zu beachten, dass ein passwortgeschützter Anhang nicht automatisch den eigentlichen E-Mail-Text schützt.

E-Mails mit Thunderbird kostenlos verschlüsseln

Das kostenlose E-Mail-Programm Thunderbird bietet eine integrierte Unterstützung für OpenPGP. Für diese Funktion muss keine zusätzliche Verschlüsselungssoftware installiert werden.

Die Einrichtung erfolgt über die Kontoeinstellungen:

1. Thunderbird öffnen und das gewünschte E-Mail-Konto auswählen.
2. Unter „Extras → Konten-Einstellungen“ den Bereich „Ende-zu-Ende-Verschlüsselung“ aufrufen.
3. Über „Schlüssel hinzufügen“ ein neues OpenPGP-Schlüsselpaar erzeugen oder ein vorhandenes importieren.
4. Den erzeugten Schlüssel dem jeweiligen E-Mail-Konto zuordnen.
5. Den öffentlichen Schlüssel mit den gewünschten Kommunikationspartnern austauschen.
6. Beim Verfassen einer E-Mail die Verschlüsselung aktivieren.

Damit eine OpenPGP-verschlüsselte Nachricht versendet werden kann, muss Thunderbird den öffentlichen Schlüssel des Empfängers kennen.

Besonders wichtig ist eine sichere Kopie des eigenen privaten Schlüssels. Geht dieser verloren, können ältere verschlüsselte Nachrichten unter Umständen nicht mehr entschlüsselt werden.

Thunderbird unterstützt außerdem S/MIME, sofern die erforderlichen Zertifikate vorhanden sind.

Eine ausführliche Beschreibung bietet die Thunderbird-Anleitung zur Ende-zu-Ende-Verschlüsselung.

E-Mails und Anhänge mit Passwort verschlüsseln

Nicht immer ist es möglich, mit dem Empfänger OpenPGP-Schlüssel oder S/MIME-Zertifikate auszutauschen.

Eine praktische Alternative kann deshalb darin bestehen, vertrauliche Dokumente vor dem Versand mit einem Passwort zu verschlüsseln.

Hierfür eignen sich insbesondere Programme zur Erstellung verschlüsselter Archive.

Mit der kostenlosen Software 7-Zip lassen sich Dateien in einem verschlüsselten 7z-Archiv speichern. Bei entsprechend gewählter Einstellung wird dafür AES-256 verwendet.

Der Ablauf ist vergleichsweise einfach:

1. Die zu versendenden Dokumente auswählen.
2. Mit 7-Zip ein neues Archiv erstellen.
3. Als Archivformat beispielsweise 7z auswählen.
4. Ein ausreichend langes, zufällig gewähltes Passwort vergeben.
5. AES-256 als Verschlüsselungsverfahren verwenden.
6. Die verschlüsselte Archivdatei als E-Mail-Anhang versenden.

Das Passwort sollte nicht in derselben E-Mail stehen. Stattdessen empfiehlt sich die Übermittlung über einen anderen sicheren Kommunikationsweg.

Zu berücksichtigen ist außerdem, dass der Empfänger die verschlüsselte Datei mit einer geeigneten Software öffnen können muss.

Diese Lösung schützt nur die verschlüsselten Dateien. Die E-Mail selbst, der Betreff und andere Nachrichtenbestandteile sind dadurch nicht Ende-zu-Ende-verschlüsselt.

E-Mail-Anbieter mit integrierter Verschlüsselung

Nicht jede Verschlüsselung muss direkt im E-Mail-Programm eingerichtet werden. Einige E-Mail-Dienste bieten bereits integrierte Schutzfunktionen.

Proton Mail: automatische Verschlüsselung zwischen Nutzern

Der E-Mail-Dienst Proton Mail verwendet für Nachrichten zwischen Proton-Mail-Konten automatisch eine Ende-zu-Ende-Verschlüsselung.

Auch Nachrichten an Empfänger anderer E-Mail-Anbieter können geschützt werden. Dafür bietet Proton Mail unter anderem passwortgeschützte Nachrichten sowie die Verwendung externer OpenPGP-Schlüssel.

Bei passwortgeschützten Nachrichten erhält der Empfänger einen Link zu einem gesicherten Bereich, in dem die Nachricht nach Eingabe des vereinbarten Passworts gelesen werden kann.

Gewöhnliche E-Mails von Proton Mail an andere Anbieter werden dagegen nicht automatisch Ende-zu-Ende-verschlüsselt. Hier kommt normalerweise die Transportverschlüsselung zum Einsatz, sofern die beteiligten Server diese unterstützen.

Gmail: Vertrauliche Nachrichten versenden

Auch Gmail verfügt über einen sogenannten vertraulichen Modus.

Damit können unter anderem ein Ablaufdatum festgelegt und bestimmte Funktionen zum Kopieren, Drucken, Herunterladen oder Weiterleiten eingeschränkt werden. Optional lässt sich ein Sicherheitscode für den Zugriff verlangen.

Der vertrauliche Modus ist allerdings keine allgemein nutzbare Ende-zu-Ende-Verschlüsselung. Außerdem können Empfänger beispielsweise weiterhin Bildschirmfotos anfertigen.

Für einen umfassenden Schutz der Nachrichteninhalte sind daher zusätzliche Verschlüsselungsverfahren erforderlich.

Welche Informationen bleiben trotz Verschlüsselung sichtbar?

Selbst eine korrekt eingerichtete Ende-zu-Ende-Verschlüsselung schützt nicht sämtliche Informationen einer E-Mail.

Für den technischen Versand müssen bestimmte Angaben verfügbar bleiben. Dazu gehören insbesondere Absender- und Empfängeradressen sowie weitere Informationen zur Zustellung.

Auch die Betreffzeile wird bei herkömmlichen OpenPGP- und S/MIME-Nachrichten üblicherweise nicht Ende-zu-Ende-verschlüsselt.

Deshalb sollten vertrauliche Informationen möglichst nicht bereits im Betreff stehen.

Darüber hinaus kann auch eine verschlüsselte Nachricht keinen vollständigen Schutz bieten, wenn ein beteiligter Computer mit Schadsoftware infiziert ist oder Unbefugte Zugriff auf ein entsperrtes E-Mail-Konto haben.

Häufige Fragen zur E-Mail-Verschlüsselung

Sind normale E-Mails automatisch verschlüsselt?

Viele E-Mail-Anbieter verwenden standardmäßig TLS, um Nachrichten während der Übertragung zu schützen. Das bedeutet jedoch nicht, dass die Inhalte automatisch Ende-zu-Ende-verschlüsselt sind. Hierfür sind zusätzliche Verfahren wie OpenPGP oder S/MIME erforderlich.

Kann man E-Mails kostenlos verschlüsseln?

Ja. Thunderbird bietet beispielsweise eine kostenlose OpenPGP-Verschlüsselung. Auch E-Mail-Dienste mit integrierter Ende-zu-Ende-Verschlüsselung sind teilweise kostenlos nutzbar.

Ist eine verschlüsselte E-Mail wirklich sicher?

Eine korrekt eingesetzte Ende-zu-Ende-Verschlüsselung bietet einen hohen Schutz gegen das unbefugte Mitlesen von Nachrichteninhalten. Voraussetzung ist, dass die privaten Schlüssel sicher verwahrt werden und die beteiligten Geräte nicht kompromittiert sind.

Kann eine verschlüsselte E-Mail von jedem Empfänger gelesen werden?

Nein. Bei OpenPGP und S/MIME muss der Empfänger über den passenden privaten Schlüssel verfügen. Bei passwortgeschützten Nachrichten benötigt er das Passwort beziehungsweise den vorgesehenen sicheren Zugang.

Ist eine digital signierte E-Mail automatisch verschlüsselt?

Nein. Eine digitale Signatur dient hauptsächlich dazu, die Herkunft und Unverändertheit der Nachricht überprüfbar zu machen. Sie ersetzt keine Verschlüsselung des Inhalts.

Was ist besser: OpenPGP oder S/MIME?

Beide Verfahren ermöglichen eine sichere Ende-zu-Ende-Verschlüsselung. OpenPGP eignet sich unter anderem für die eigenständige Einrichtung mit Thunderbird. S/MIME ist insbesondere in Organisationen verbreitet, die digitale Zertifikate zentral verwalten. Entscheidend ist, welches Verfahren die Kommunikationspartner unterstützen.

Fazit: Welche E-Mail-Verschlüsselung ist sinnvoll?

Für den gewöhnlichen E-Mail-Verkehr bildet TLS die grundlegende Sicherheitsmaßnahme. Besonders vertrauliche Nachrichten sollten jedoch zusätzlich geschützt werden.

Für die private Nutzung bietet Thunderbird mit OpenPGP eine kostenlose Möglichkeit zur Ende-zu-Ende-Verschlüsselung. In Unternehmen kommt häufig S/MIME zum Einsatz. Outlook stellt abhängig von der verwendeten Version und dem Konto zusätzliche Schutzfunktionen bereit.

Wenn lediglich einzelne Dokumente vertraulich übertragen werden sollen, kann auch ein verschlüsselter Dateianhang eine geeignete Alternative sein.

Entscheidend ist, dass die gewählte Schutzmaßnahme nicht nur eingerichtet wird, sondern auch für den jeweiligen Empfänger praktikabel ist.