Die kurze Version:

• Verschlüsselung gibt Ihnen Nachrichtenprivatsphäre.

• Signieren bietet Authentifizierung (des Absenders), Nichtabstreitbarkeit des Ursprungs und Integritätsprüfungen für Nachrichten.

• S/MIME funktioniert anders als DKIM und DMARC und kann mit ihnen koexistieren.

Privatsphäre
Wenn Ihre Nachrichten nichts Persönliches, Privates oder rechtlich Wichtiges enthalten, müssen Sie wahrscheinlich nicht über S/MIME nachdenken. Moderne E-Mail-Zustellungssysteme wie SparkPost verwenden bereits „opportunistische TLS“, um den Nachrichtentransport vom sendenden Server zum empfangenden Server zu sichern.

Der „opportunistische“ Teil bedeutet jedoch, dass wir die E-Mail im Klartext versenden, wenn der sendende Server keine sichere Verbindung aushandeln kann. Dies ist nicht geeignet, wenn Sie die Nachricht durchgehend sicher machen möchten. Sie können einen Blick darauf werfen, welche Postfachanbieter TLS-Unterstützung behaupten und welche tatsächlich unterstützen. Vorausgesetzt, der Server des Empfängers unterstützt TLS, wird Ihre Nachricht folgendermaßen gesichert:

TLS sichert die Konversationen zwischen Mailservern (darum wird es als Transport Layer Security bezeichnet). MIME (einschließlich S/MIME) beschäftigt sich mit dem Nachrichteninhalt und seiner Behandlung und kann als Teil der „Präsentationsebene“ betrachtet werden.

S/MIME sichert den Nachrichteninhalt durchgehend („end to end“) vom Nachrichtenursprung bis zum Empfänger-Mail-Client und kapselt den Nachrichtenkörper.

S/MIME verschlüsselt den Nachrichtenkörper mit dem öffentlichen Schlüssel des Empfängers. Der Körper kann ohne den privaten Schlüssel des Empfängers nicht entschlüsselt werden — nicht von einer „Person in der Mitte“ wie Ihrem ISP, SparkPost oder dem Mailserver des Empfängers.

Der private Schlüssel wird niemals offenbart; er ist nur im Besitz des Empfängers. Die verschlüsselte Nachricht reist über das Internet zum empfangenden Mailserver. Wenn sie im Posteingang des Empfängers landet, wird sie (normalerweise automatisch) mit seinem privaten Schlüssel entschlüsselt und lesbar gemacht.

Einige S/MIME-Nachteile, die zu beachten sind:

S/MIME-Verschlüsselung hat den Nebeneffekt, serverbasierte eingehende Nachrichtenscans auf Malware zu verhindern, da die Nachrichtenlast in verschlüsselter Form und daher nicht identifizierbar ist.

Beachten Sie, dass die Nachrichtenheader (Von:, An:, Betreff: usw.) nicht verschlüsselt sind, sodass der Inhalt der Betreffzeile entsprechend erstellt werden muss.

Signieren – Authentifizierung
S/MIME ermöglicht es dem Empfänger auch zu überprüfen, dass die Identität des Nachrichtenabsenders tatsächlich die ist, die sie behaupten.

Die E-Mail des Absenders hat ein Zertifikat angehängt, das, ähnlich einem Zertifikat auf einer sicheren Website, zu einer ausstellenden Behörde zurückverfolgt werden kann. Es gibt hier eine vollständige Beschreibung des Signaturprozesses hier.

Wir werden zuerst den Ansatz des Signierens der E-Mail verfolgen und sie dann verschlüsseln. Der Prozess sieht so aus.

Nichtabstreitbarkeit
Ein weiterer nützlicher Vorteil des Signierens für den Empfänger ist die Nichtabstreitbarkeit des Ursprungs. Betrachten Sie eine Situation, in der eine E-Mail-Nachricht zur Genehmigung eines Vertrags verwendet wird. Der Empfänger erhält den Vertrag in einer Nachricht vom Absender. Wenn der Absender später versucht zu sagen: „Nein, ich habe Ihnen diese Nachricht nie gesendet“, dann zeigt die empfangene Nachricht, dass das Zertifikat des Absenders tatsächlich verwendet wurde.

Integrität der Nachricht
Der Signaturprozess erstellt einen Fingerabdruck der unverschlüsselten Nachweisnachricht (bekannt als Nachrichten-Digest), verschlüsselt den Digest mit dem privaten Schlüssel des Absenders und fügt ihn in die zugestellte Nachricht ein. Der Mail-Client des Empfängers kann feststellen, ob der Nachrichtenkörper manipuliert wurde.

Vielleicht würden Sie sagen: „Ich dachte, DKIM bietet mir Integritätsprüfungen der Nachricht!“ Nun ja, DKIM bietet Integritätsprüfungen des Nachrichtenkörpers und der Nachrichtenheader – Anti-Manipulations-Garantien. Allerdings wird ein DKIM-Fehler (oder das Fehlen von DKIM) normalerweise nicht dazu führen, dass die eingehende Nachricht als vollständig ungültig markiert wird, …es sei denn, eine DMARC-Richtlinie von `p=reject` ist im Spiel (mehr zu DMARC hier). DKIM ist ein Faktor von vielen, die der ISP für die zuverlässige Zuordnung von Reputation zu einer Domain verwendet, und natürlich ein wesentlicher Bestandteil Ihres Nachrichtensystems.

Ihr Mail-Client wird Ihnen deutlich anzeigen, wenn eine S/MIME-Nachricht die Signaturprüfungen nicht besteht:

Übersicht: End-to-End (S/MIME) vs. Server-to-Server (DKIM, DMARC, TLS)
S/MIME ist eine Präsentationsebene-Funktion, die zwischen zwei E-Mail-Endverbrauchern (mit gültigen Zertifikaten/Schlüsseln) ohne jegliche Aktion durch den E-Mail-Administrator funktionieren kann. S/MIME bietet Verschlüsselung und Signierung und ist persönlich für jeden Benutzer.

S/MIME ist mit der vollständigen Absenderadresse (lokaler Teil und Domänenteil) verbunden, sodass zum Beispiel alice@bigcorp.com und bob@bigcorp.com unterschiedliche Zertifikate benötigen würden. Im Gegensatz dazu validiert DKIM, dass die E-Mail von der signierenden Domain stammt. DKIM ist ein ganzes Thema für sich; dieser Artikel ist ein guter Ausgangspunkt.

DKIM- und DMARC-Einrichtung wird von Ihrem E-Mail-Administrator (der am Mailserver und den DNS-Einträgen arbeitet) durchgeführt. Sobald sie eingerichtet sind, sind sie für Domains aktiv, anstatt für einzelne Benutzer.