Verschlüsselt Ihr Eure eMails?

Verschlüsselt Ihr Eure eMails?

  • Ja, verschlüssel grundsätzlich private/geschäftliche eMails.

    Stimmen: 24 34,3%

  • Nein, verschlüssel aus Prinzip nicht.

    Stimmen: 4 5,7%

  • Würde gerne, kann aber nicht (z.B. Mail-Client unterstützt es nicht).

    Stimmen: 14 20,0%

  • Würde gerne, weiß aber nicht wie und habe auch keine Erfahrung.

    Stimmen: 21 30,0%

  • Ist mir egal, habe eh nichts zu verbergen...

    Stimmen: 7 10,0%
  • Umfrageteilnehmer
    70
nakal schrieb:
Ich finde, es ist einfach und verständlich, wenn man das Prinzip kennt. Es kommt einem nur so schwierig vor, weil eine Volkshochschule das total simple Prinzip einem aus unerklärlichen Gründen nicht beibringt. Vielleicht kann man an den GUIs noch etwas feilen, aber das Prinzip dahinter bleibt fix und damit der Aufwand des Schlüsselmanagements.
Zum Vergrößern anklicken....
Du hast immer noch nicht verstanden, was mit dem HTTPS-Beispiel gemeint ist. Also nochmal: alleine das du sagst, das die GUI vereinfacht werden könnte, zeigt schon das eigentliche Problem: GUI!!! D.h. es gibt da irgendwas, was der User bedienen muß, und folglich irgendwas konfigurieren muß. Und alleine DAS macht es für den Mainstream unpraktikabel. Dir ist anscheinend nicht bewusst, das Software oder eine bestimmte Technik/Feature eigentlich out-of-the-box funktionieren muß, um sich durchzusetzen. Du kannst oder willst dich nicht in den normalen User versetzen. Und das macht die Diskussion hier mit dir so schwierig. Sorry das ich das mal sagen muß. Aber Endorphine und andere haben es verstanden!

Ich kann mich noch gut an die Situation erinnern, als mein Vater (der ein DAU ist, aber schon länger mit dem PC normale Arbeiten erledigt, wie Surfen und Mailen) auf eine HTTPS-Seite weitergeleitet wurde. Der Browser liess einen Dialog erscheinen, in dem er darauf hingewiesen wurde, das er jetzt auf eine HTTPS-Seite zugreifen werde. Es gab einen OK- und einen Details-Knopf in dem Dialog. Die Reaktion meines Vaters: :eek: :zitter:
Er war mit dieser neuen Situation total überfordert! Er wusste nicht was es bedeutet und ob es richtig ist, OK zu drücken (dabei war es nur ein Info-Dialog, man konnte nicht abbrechen!). Also rief er mich an. So, der Dialog wird aber in Zukunft nicht mehr angezeigt: "Das nächste Mal nicht mehr anzeigen."-Option ausgewählt. ;) D.h. in Zukunft wird er nicht mehr belästigt und HTTPS funktioniert "unbemerkt". Natürlich kann man immer in der Navi-Leiste sehen, das man HTTPS gerade drin hat.

Ich selber bin Software-Entwickler in einem Konzern, wo auch viele DAUs unsere Software benutzen. Teilweise bekommen wir Anrufe in der Hotline, wo die Leute bei neuen Funktionen in der Software total überfordert sind . Oder sie sagen uns "Ich habe da nie drauf geklickt, weil ich nicht weiß, was da passiert." Es wundert mich um so mehr, das du es nicht einsiehst, da du selber Software-Entwickler bist. Oder sind eure User alles Computer-Profis, das du sowas nicht einsehen kannst?

Warum Du dich so sträubst einfach zu sagen "Ja, es muß einfacher werden!", verstehe ich nicht! Es ist doch egal, ob es zur Zeit nicht einfacher geht. Wir diskutieren hier, wie man Verschlüsselung verbreiten könnte. Das es zur Zeit nicht anders ist, haben wir schliesslich selber mitbekommen.
 
Zuletzt bearbeitet:
Ich muss mich jetzt auch mal kurz zu Wort melden. Ersteinmal meine persönliche Situation: Ich nutze pgp, sofern es die Gegenseite unterstützt. Während im computer-affinen Teil meines Bekanntschaftskreises sich das immer mehr durchsetzt (auch wenn mancher es mal schleifen lässt ;)), sind die meisten anderen damit überfordert. Sie sehen denn Sinn, sie verstehen (grob) die Technik und wissen was sie tun müssten. Sie sagen vordergründung "ja, das is ne gute sache", aber in der Ausführung hapert es dann immer. Problem: Faulheit.

Ich stimme Amin zu, dass es besser wäre, wenn Mailverschlüsselung einfacher wäre, allerdings sehe ich momentan kaum Möglichkeit da viel zu "optimieren" ohne die Sicherheit zu gefährden, z.b. wenn man die Verschlüsselung in die Hände von Dritten (z.b. dem Mailanbieter) legt. Was ich mir Vorstellen kann wäre ein Fix-und-Fertig-Installationspaket der Mailsoftware, die gleich Schlüssel erzeugt und vor dem Versenden auch gleich auf nem Schlüsselserver nachfragt, ob der Empfänger einen Key hat. Mehr lässt sich imho momentan nicht tun und ich bin mir sicher,dass es so Pakete schon gibt.

Warum werden sie dann nicht genutzt? Nun, zumindest in meinem Bekanntenkreis nutzen gut 70% nur die Webmailoberfläche ihres Providers. Und das nicht nur von zu Hause, sondern von jedem PC den sie in die Finger bekommen. Mal eben bei nem Freund noch die Mails abgerufen oder in der Mittagspause im Poolraum der Uni ein paar Grüße (an die StudiVZ-Verweigerer :p) geschickt. Und wer so mobil mit seinen Mails sein will, dem bringt auch das schon genannte Firefox-Plugin wenig. Um ehrlich zu sein, ich habe schon meine Probleme den Personen beizubringen, dass sie doch wenigstens https verwenden sollen, wenn sie ihren Mailprovider ansurfen.

Im Endeffekt ist alles eine Frage von Vertrauen und Risikoabschätzung. Kann ich damit Leben, dass eventuell dritte meine Mails lesen? Vertraue ich meinem Provider? Ist es für mich in Ordnung, wenn der Provider meinen geheimen Schüssel kennt? Vertraue ich den öffentlich bereit gestellten PCs? Vertraue ich der Software? Und zu guter letzt, vertraue ich dem Empfänger?

Die letzte Frage hab ich auch schon weiter oben angerissen. Angenommen es gäbe eine perfekte(tm) Infrastruktur zum Verschlüsseln, eine One-Click-Lösung, die einem die ganze Arbeit abnimmt. Würde das wirklich ein Sicherheitsgewinn sein? Ich denke nicht, denn wenn Dinge einfach so funktionieren, dann interessiert man sich nicht dafür. Und - zumindest die derzeitigen verschlüsselungen - bauen darauf auf, dass man ein wenig Ahnung hat und zumindest weiß, wie man mit sensiblen Daten wie den Schlüsseln oder den Mails umgeht. Sprich, selbst wenn man jegliche technische Hürde überwunden hat, steht am Ende der Mensch. Und der ist in vielen Fällen das Problem.

Als Lösung sehe ich daher nicht die immer weitere Vereinfachung der Technik (diese ist jedoch trotzdem wünschenswert und zum Teil auch nötig), sondern eine bessere Aufklärung und Sensibilisierung der Menschen. Wie das von stattengehen soll, da bin ich aber überfragt :).

-epstein
 
Ack. Sehr sinnvoller Beitrag.

Ich muss allerdings gestehen, dass ich nicht mehr versuche Leute von Verschlüsselung zu überzeugen. Die uneinsichtigkeit der Menschen ist einfach zu ermüdend. Dabei sehen die Leute den Sinn des ganzen durchaus ein. Es ist ihnen schlicht zu viel Aufwand. Und damit meine ich nicht den Aufwand der Einrichtung, das kann ich ja für sie machen. Es ist nur der Aufwand von ein oder zwei Klicks mehr, wenn man von jemandem nicht den Public Key hat.

Briefe kann schließlich auch jeder Postangestellte durch dessen Finger ein Brief geht mit der Taschenlampe durchleuchten und lesen. Oder gleich mit etwas Wasserdampf den Kleber lösen.

Jetzt wo ein Skandal den nächsten jagt erwarte ich aber, dass der Ein oder Andere von sich aus mit dem Thema auf mich zukommt.
 
Ich hoffe das wird jetzt nicht zu aufwendig. Aber bei einigen meiner bekannten scheitert es daran, dass es eben nicht überall geht. Im Sinne von: Am besten zu Hause da ist der Key wahrscheinlich am Sichersten.

Solche Situationen kommen _sehr_ oft vor. Die einfachste Möglichkeit (nicht perfekt, aber eine Möglichkeit) wäre ein portabler, sicherer Datenträger. In der Praxis dann so etwas, wie ein verschüsselter USB-Stick mit BSD, Linux, sonst was.

Mit diesem Gedanken spiele ich schon seit einer ganzen Weile: Ein minimales, sehr sicheres, portables System, dass den Schutz der Privatssphäre erleichtern soll und _nur_ sichere/privatsphäre schützende Dinge erlaubt. Mit allen Plugins, etc. vorinstalliert, zwingende Updates (am besten automatische und sicher) von Software mit Lücken, etc.

Möglichst alles soll vorkonfiguriert und vieles nicht änderbar sein. Halt praktisch, wie es der Durchschnittsuser will: Wenig konfigurieren können/müssen. Ich hätte zu so einem Stick schon unzählige Ideen, aber ich bin mir nicht sicher, wie viel Anklang so etwas finden würde und ob die Investition an Energie nicht woanders besser aufgehoben wäre (ich habe bereits einige andere Dinge am Laufen und muss mit der Zeit sparsam umgehen).

Glaubt ihr, dass es etwas bringen würde?
 
Also die Idee ist gut. Nur wirst du das Problem haben, das du ja das OS auch erstmal vom USB-Stick zum Booten kriegen mußt. Nicht jedes PC-BIOS bootet serienmäßig vom USB-Datenträger. Muß man meistens was am BIOS umstellen. Und das geht vielleicht nur bei den PCs von guten Freunden. Aber in Büros oder Internet-Cafes ist doch meistens das BIOS mit einem Passwort geschützt. Und dann?

Am besten ist es, man hat einen PDA oder Smartphone, das ganz einfach auch einen leistungsfähigen eMail-Client hat. Und natürlich sollte das mobile Gerät auch genug Verbindungsmöglichkeiten haben, z.B. auch WLAN oder auch einen RJ45-Ethernet-Port, falls es kein WLAN gibt (wie beim mir zu Hause). :D Und GPRS oder UMTS als letzter Anker. Zu Hause angekommen kann sich der PDA oder Smartphone mit dem heimischen Desktop-PC synchronisieren.
 
Kann man nicht einfach den Schlüssel auf einen USB-Stick packen? Den USB-Stick dann an den echten Schlüsselbund klemmen? :confused: Meinen echten Schlüsselbund lasse ich schliesslich auch nicht aus den Augen, da er auch seeehr wichtig ist (Wohnungsschlüssel, Briefkastenschlüssel usw.). Würde doch Sinn machen den PGP-Key oder was ihr immer sagt, da mit dran zu klemmen? Evtl. noch nen EMail-Client drauf packen, der NICHT installiert werden muß, sondern vom USB.Stick startbar ist.
 
Hi

Klar kannst den Schlüssel auf USB drauf tun, dass ist auch das sinnvolste. Ob du den USB nun an einem Schlüsselbund mittragen willst, musst einfach aufpassen, dass er nicht durch die reibung in der Hosentasche oder was auch immer beschädigt wird.
Ich empfehle da ein Bankschliessfach oder ähnliches, wo du eine kopie des Schlüssels aufbewahren kannst :).

Gruss
bsdagent
 
Der Nachteil an der Geschichte ist, dass man immer wieder von Keyloggern hört. So könnte man zumindest Softwarekeylogger und auch Applikationen, die Bilder schießen, etc. loswerden. Außerdem könnte man so auch Support für jede Menge anderes Zeug einbauen und Fehler aufgrund des Systems zumindest von der Software ausschließen.

Ein System für Linux, welches vor allem sicher Kommunikation erlauben soll (und sich sogar den Weg zu eigentlich gesperrten Seiten bahnt und sogar bestimmte Abwehrmechanismen und Überwachung umgehen kann) habe ich schon mal gebaut. Das ist aber sehr begrenzt gewesen. Der Key war aber sehr stark optimiert und es hat eine Weile gedauert, bis er so konfiguriert war, dass er all das konnte was er können sollte. Vor allem, weil die Zielumgebung (in welcher ich einige Nachforschungen anstellte) _sehr_ restriktiv war. Mit ein bisschen Glück und der Nutzung einiger Systeme hat's dann funktioniert. Ich war dann ziemlich stolz drauf. Aber da etwas zu automatisieren ist praktisch unmöglich.

Der größte Nachteil am bootenden Stick ist der, dass man nicht überall die Möglichkeit ihn zu booten hat.
Vielleicht wäre etwas in Richtung Virtualisierung möglich um zumindest möglichst viele Probleme im Zusammenhang mit dem Hostsystem ausschließen zu können. Aber die Größte Befürchtung ist Software die überwacht. Hardware kommt hoffentlich nicht zu oft zum Einsatz.
 
Und schon sind wir wieder bei der Benutzerfreundlichkeit ! :P

Nee, spaß beiseite. Solche USB/CD-Boot-Distros gibts doch mehrfach, dann meistens noch mit Tor integriert.

Hmm, toll; Google spuckt jetzt natürlich nichts brauchbares aus, sicher das es sie gibt bin ich mir.
 
Ja, klar gibt es was. Aber IMO nicht spezialisiert genug.
Die haben alle andere Ziele... entweder Tor oder zu Demozwecken oder Forensik oder normaler Stick um immer seine Daten dabei zu haben. Naja, ich glaube ich werd's fürs Erste lassen.
 
Unglaublich, aber wahr: ein (sehr) großer Webmail-Provider beginnt, eine Form von Mailsignaturen automatisch zu interpretieren: http://www.heise.de/newsticker/Goog...l-Phishing-Mails-automatisch--/meldung/110719

Wenn das in Zukunft vielleicht für alle Quelldomains freigeschaltet wird, könnte man mit DKIM ausgehenden Spam von Domains wirkungsvoll eindämmen und nachweisen, dass eine Mail auch tatsächlich von einer Domain stammt. Ein Anfang. :)
 
Zuletzt bearbeitet:
Find ich nicht so toll. Zumindest nicht, wenn sich das ausweitet. Gegen Phishing, für Newsletter, etc. ist das toll. Die Sache hat nur einen Harken, der mich stört:
Anonyme Mails werden nahezu unmöglich. Da wäre mir etwas, wie Hashcash lieber.
Das bremst in jedem Fall Spammer zumindest _sehr_ stark ein.

Weil es zum Thema passt: Mit Verschlüsselung in Verbindung mit einem dementsprechenden Spamfilter könnte man sicherlich auch sehr gute Erfolge bei der Soambekämpfung erzielen.
 
Ich finde das einen guten, wenn auch sehr kleinen Anfang. Wenn man "anonym" Mails verschicken will, kann man sich ja auch temporär eine neue Mailadresse bei einem Freemail-Provider anlegen und den Account nach der Nutzung wieder löschen. Das Spoofen von Senderadressen in Mails ist meiner Meinung nach kein Feature, sondern ein Fehler im System.

DKIM ist sicherlich auch nicht der Weisheit letzter Schluss, aber besser als momentan gar nichts ist's imho allemal. Und es wird von einem großen Mailprovider auf Empfängerseite implementiert. Genau das, was meiner Meinung nach getan werden muss, damit sich irgendwas in Richtung Mailsicherheit durchsetzen kann.
 
Auch nicht gerade die optimale Lösung zur Sicherung der Authentizität und IIRC ist DKIM ja auch patentiert.
 
Das heißt wirklich selbst implementieren gibt's nicht.
Sicher, das war die Intention der GPL.

@Endorphine: Ich denke vor allem an Systeme, wie Mixminion und nicht daran nur einen falschen Absender anzugeben.

Wenn du meinst, dass SMTP fehlerhaft ist, warum dann nicht etwas neues entwickeln, anstatt die Fehler mit _solchen_ Hacks zu umgehen?
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben