Eine normale E-Mail ist wie eine Postkarte. Zwar ist die Verbindung zwischen zwei Mailservern heute meist mit TLS geschützt, doch auf den Servern selbst liegen die Nachrichten lesbar. Und ob TLS überhaupt greift, hängt auch vom Server des Empfängers ab. Für Lohnabrechnungen, Steuerunterlagen, Arztberichte oder Verträge reicht das nicht.
Das Schweizer Datenschutzgesetz verlangt, dass Personendaten mit angemessenen technischen Massnahmen geschützt werden. Wer besonders schützenswerte Daten oder Daten unter Berufsgeheimnis per Mail verschickt, braucht deshalb eine echte Verschlüsselung des Inhalts.
Drei Wege, E-Mails zu schützen
- Transportverschlüsselung (TLS). Schützt die Verbindung zwischen den Servern, nicht die Nachricht selbst. Sie ist Pflicht, aber nur die Grundlage.
- Ende-zu-Ende-Verschlüsselung mit S/MIME oder OpenPGP. Die Nachricht bleibt bis zum Empfänger verschlüsselt. Dafür braucht jede Person ein Zertifikat oder einen Schlüssel, und die Einrichtung auf jedem Gerät überfordert viele Teams.
- Verschlüsselungs-Gateway. Ein zentraler Server verschlüsselt und signiert die Mails automatisch nach festen Regeln. Die Mitarbeitenden schreiben wie gewohnt in Outlook oder im Webmail.
Für KMU ist das Gateway meist der praktischste Weg, weil es ohne Software auf den Arbeitsplätzen auskommt.
Was CipherMail ist
CipherMail ist ein Verschlüsselungs-Gateway eines Herstellers aus den Niederlanden. Es steht im Mailfluss zwischen Ihrem Mailserver und dem Internet. Es gibt eine Open-Source-Ausgabe und eine kommerzielle Version mit zusätzlichen Funktionen wie dem Webmail-Portal. CipherMail funktioniert mit jedem Mailserver, der SMTP spricht: Exchange, Microsoft 365, Google Workspace oder Zimbra.
So funktioniert die Verschlüsselung
CipherMail wählt für jeden Empfänger die passende Methode:
- S/MIME oder OpenPGP, wenn der Empfänger ein Zertifikat oder einen Schlüssel hat. Das ist bei vielen Behörden, Banken und grösseren Firmen der Fall.
- Passwortgeschütztes PDF, wenn der Empfänger keine eigene Verschlüsselung nutzt. Die Nachricht und die Anhänge kommen als verschlüsseltes PDF an. Das Passwort erhält der Empfänger per SMS oder über den Absender. Antworten sind ebenfalls verschlüsselt möglich.
- Webmail-Portal, in der kommerziellen Version. Der Empfänger liest die Nachricht in einem geschützten Portal im Browser.
Ausgehende Mails können zusätzlich digital signiert werden. Der Empfänger sieht dann, dass die Nachricht wirklich von Ihnen stammt und unterwegs nicht verändert wurde. Das hilft auch gegen gefälschte Rechnungen.
Regeln statt Klicks
Der grösste Vorteil eines Gateways: Niemand muss daran denken. Typische Regeln sind:
- Mails mit dem Wort «vertraulich» im Betreff werden immer verschlüsselt.
- Mails aus der Personalabteilung oder Buchhaltung an externe Empfänger werden immer verschlüsselt.
- Bestimmte Empfänger, etwa ein Treuhänder oder ein Labor, erhalten grundsätzlich nur verschlüsselte Mails.
- Inhalte mit bestimmten Mustern lassen sich vor dem Versand prüfen und bei Bedarf zurückhalten.
Was Verschlüsselung nicht schützt
Auch mit CipherMail bleiben Absender, Empfänger und Zeitpunkt einer Mail sichtbar, bei S/MIME und OpenPGP in der Regel auch der Betreff. Vertrauliches gehört deshalb in den Text oder Anhang, nicht in die Betreffzeile. Und Verschlüsselung ersetzt keinen Spamfilter: Gegen Phishing und Schadsoftware braucht es weiterhin einen Filter wie den Proxmox Mail Gateway und sauber gesetzte Einträge für SPF, DKIM und DMARC.
Für wen sich das lohnt
- Treuhänder mit Lohnabrechnungen, Steuererklärungen und Jahresabschlüssen
- Arztpraxen und Therapiestellen, die auch ausserhalb geschlossener Netzwerke sicher kommunizieren müssen
- Anwaltskanzleien und Beratungsstellen mit Berufsgeheimnis
- Personalabteilungen jeder Grösse
Mehr zu den gesetzlichen Anforderungen im Beitrag über IT-Massnahmen nach dem nDSG.
So setzen wir CipherMail um
- Bedarf klären. Welche Mails müssen verschlüsselt werden, an wen, und welche Methoden nutzen Ihre wichtigsten Partner?
- Gateway einrichten. CipherMail läuft auf einem Server in der Schweiz, bei Ihnen oder in unserer Infrastruktur, und wird in den Mailfluss eingebunden.
- Regeln und Zertifikate. Wir legen die Regeln fest, beschaffen Zertifikate und richten die PDF-Verschlüsselung ein.
- Schulung. Eine kurze Einführung zeigt den Mitarbeitenden, wann verschlüsselt wird und wie Empfänger antworten können.
CipherMail ergänzt unsere übrigen Mail-Bausteine: Zimbra als Mailserver, Proxmox Mail Gateway als Filter und MailStore für die Archivierung. Mehr unter E-Mail-Sicherheit.
Häufige Fragen
Müssen die Empfänger etwas installieren?
Nein. Wer kein Zertifikat hat, erhält ein passwortgeschütztes PDF, das sich mit jedem PDF-Programm öffnen lässt, oder liest die Nachricht im Webmail-Portal.
Funktioniert CipherMail mit Microsoft 365?
Ja. Das Gateway wird in den Mailfluss von Microsoft 365 eingebunden. Die Mitarbeitenden arbeiten weiter in Outlook.
Was ist mit eingehenden verschlüsselten Mails?
CipherMail kann eingehende S/MIME- und OpenPGP-Mails entschlüsseln und die Signatur prüfen, bevor sie im Postfach landen.
Reicht nicht die Verschlüsselung von Microsoft 365?
Microsoft 365 bietet eigene Verschlüsselungsfunktionen, die aber an die Lizenzstufe und an Microsoft gebunden sind. Ein eigenes Gateway funktioniert mit jedem Mailserver, und die Schlüssel bleiben bei Ihnen.
