Was ist E-Mail-Sicherheit? Wie Sie Ihre Unternehmens-E-Mails schützen können

E-Mail-Sicherheit ist die wichtigste Maßnahme, um Hacker davon abzuhalten, auf sensible Inhalte zuzugreifen, die innerhalb und über die Grenzen Ihres Unternehmens hinaus gesendet werden. E-Mail-Sicherheit verhindert auch, dass Spam Ihr E-Mail-System ausbremst und die Produktivität Ihrer Mitarbeiter beeinträchtigt.

Was ist E-Mail-Sicherheit?  Bei der E-Mail-Sicherheit geht es um Software, Verfahren und Techniken, die zum Schutz der E-Mail-Konten und –Kommunikation vor potenziellen Hackern und Spam eingesetzt werden. 

Was sind die häufigsten Bedrohungen für die E-Mail-Sicherheit?

Die E-Mail ist nach wie vor eine der beliebtesten Methoden der geschäftlichen Kommunikation weltweit. Sie ist billig, allgegenwärtig und basiert auf einer robusten, offenen Technologie, die einfach zu implementieren und zu skalieren ist. Außerdem ist sie flexibel – E-Mails können lang und beschreibend sein und Bilder, Anhänge und sogar HTML-Formatierungen enthalten.

Dementsprechend ist die meistgenutzte Kommunikationsform auch eines der größten Vehikel für Sicherheitsbedrohungen und Angriffe. Eine kürzlich von Kiteworks durchgeführte Umfrage zeigt, dass sich Unternehmen sehr wohl bewusst sind, dass E-Mails das größte Risiko für sie darstellen: 68 % gaben an, dass die E-Mail-Kommunikation ihr größtes oder zweitgrößtes Sicherheitsrisiko darstellt.

Der E-Mail-Verkehr in Unternehmen ist vielleicht eines der prominentesten Ziele für einige dieser Bedrohungen, und das aus gutem Grund – E-Mails sind generell nicht sicher. Tatsächlich jedoch werden E-Mails für den Austausch der meisten Formen von personenbezogenen Informationen oder geschützten Gesundheitsinformationen verwendet.

Und das ist der Kern des Problems – die meisten Menschen, einschließlich der Patienten im Gesundheitswesen, nutzen E-Mails.

Doch die Gefahren sind zu groß, um sie zu ignorieren. Einige der am weitesten verbreiteten und wichtigsten Bedrohungen sind die folgenden:

• Versehentliche Offenlegung: Dies ist die wahrscheinlich häufigste Sicherheitslücke. E-Mails sind auch nicht geschützt, sobald sie ihr Ziel erreicht haben. Sobald sich eine E-Mail in einem Posteingang befindet, kann jeder, der Zugriff auf dieses E-Mail-Konto oder ein damit verbundenes Gerät hat, die Informationen lesen.
• Datenintegrität im ruhenden Zustand: Sobald sich eine E-Mail auf einem Server befindet, entweder auf dem des Absenders oder auf dem des Empfängers, muss sie vor Hackern geschützt werden. In den meisten Fällen sind diese Daten jedoch nicht verschlüsselt.
• Nachweisbarkeit: Unternehmen mit regulatorischen Anforderungen müssen meist sicherstellen, dass nur der Eigentümer der Daten (der Verbraucher, die Patienten usw.) die Informationen erhält. Neben der versehentlichen Offenlegung der Daten hat das Unternehmen auch keine Kontrolle darüber, wer die Informationen erhält, nachdem sie per E-Mail versandt wurde.
• Social Engineering: Phishing, Spam und andere Betrügereien sind bei E-Mails weit verbreitet. Während dies für Unternehmen, die Nachrichten versenden, oft kein direktes Problem darstellt, ist es für die Empfänger von Nachrichten ein Problem, denn sie könnten Opfer eines Angriffs auf geschäftliche E-Mails oder ähnlicher Attacken werden.

Mit welchen Technologien oder Lösungen können E-Mails geschützt werden?

Im Allgemeinen gibt es drei verschiedene potenzielle Angriffsflächen für die E-Mail-Sicherheit:

• Mailserver: Auf Mailservern werden empfangene Nachrichten und Entwürfe gespeichert und ausgehende E-Mails von hier aus verschickt. Im Wesentlichen verwalten sie alle Aktivitäten und enthalten alle E-Mails, die von Benutzern auf diesem Server gesendet und empfangen werden.
• E-Mail-Übertragung: Wenn E-Mails versendet werden, können sie durch Man-in-the-Middle-Angriffe gestohlen werden. Die meisten E-Mail-Compliance-Standards verlangen neben der Serversicherheit auch den Schutz von E-Mails während der Übertragung.
• Mail-Programme: Jeder, der einen Client (wie Outlook oder Thunderbird) verwendet, zieht im Wesentlichen Kopien von E-Mails auf einen lokalen Rechner. Das bringt zusätzliche Sicherheitsanforderungen mit sich.

Es gibt jedoch einige Standardsicherheitsansätze, die vom E-Mail-Anbieter berücksichtigt werden können:

• Transport Layer Security (TLS): Die TLS-Verschlüsselung, der Nachfolger von SSL (Secure Sockets Layer), schützt Informationen während der Übertragung zwischen den einzelnen E-Mail-Servern. Da TLS ein offenes Protokoll ist, das Daten zwischen Servern verschleiert, verwenden die meisten E-Mail-Anbieter TLS um E-Mails auf dem Weg von einem Server zum anderen zu schützen.
• Ende-zu-Ende-Verschlüsselung (E2E):  E2E ist der Prozess der Verschlüsselung einer E-Mail-Nachricht von dem Moment an, in dem sie vom Client des Absenders zu ihrem endgültigen Ziel auf dem Client des Empfängers gesendet wird. Im Gegensatz zu TLS umfassen Ende-zu-Ende-Lösungen auch die Verschlüsselung von Nachrichten im Ruhezustand und ermöglichen die Sicherung von Nachrichten auf einem Server, so dass nur der Empfänger sie lesen kann. Einige beliebte Formen der Ende-zu-Ende-Verschlüsselung sind S/MIME oder PGP Public-Key-Kryptographie.
• Multi-Faktor-Authentifizierung (MFA): Die meisten beliebten Anbieter (und fast alle Anbieter, die die E-Mail-Compliance-Standards einhalten) bieten MFA, um den Zugriff auf Benutzerkonten zu schützen.
• E-Mail-Gateways: Gateways sind eine Art Sicherheitsmonitor, bei dem ein automatisches System E-Mails buchstäblich durchleuchtet, um Bedrohungen abzufangen. Dazu gehört das Entfernen nicht zugelassener Anhänge, das Auslösen von Warnungen bei E-Mails von externen Domains und das Blockieren von E-Mails von bestimmten Domains oder Bereichen von IP-Adressen.

Die meisten Anbieter setzen verschiedene Maßnahmen für die E-Mail-Sicherheit ein (MFA, TLS), während einige davon selektiv in Unternehmens-E-Mails eingesetzt werden (Gateways). Eine Ende-zu-Ende-Verschlüsselung ist jedoch in der Regel nicht Bestandteil allgemeiner E-Mail-Lösungen, da Inkompatibilitäten zwischen Verschlüsselungsstandards problematisch sein können und zu Komplexität und Ineffizienz führen.

Laut einer Studie von Kiteworks gaben 79% der Befragten an, dass sie mehr als 20 Stunden pro Monat mit verschlüsselten Dateien von externen Parteien zu tun haben, wobei 41% der Befragten angaben, dass sie mehr als 30 Stunden pro Monat für dieses Problem aufwenden.

Diese Ineffizienz ist ein Problem, und zwar nicht nur, weil sie Zeit und Geld verschwendet. Von den von uns befragten Teilnehmern gaben ganze 60 % an, dass sie, wenn sie eine verschlüsselte E-Mail erhalten, für die sie nicht über die entsprechende Technologie verfügen, den Absender einfach bitten, die Nachricht oder Datei erneut unverschlüsselt zu senden.

E-Mail-Anbieter wären auch nicht in der Lage, eine Nachricht mit Ende-zu-Ende-Verschlüsselung zu scannen oder anderweitig zu lesen, da der Entschlüsselungsprozess erst dann stattfindet, wenn der Benutzer die E-Mail öffnet.

Was sind die besten Verfahren für den Schutz von E-Mails?

E-Mail-Sicherheit bedeutet, dass Sie Ihre technischen Möglichkeiten mit den Anforderungen Ihres Unternehmens abstimmen müssen. Nicht jedes Unternehmen braucht ein komplexes Gateway oder einen Verschlüsselungsstandard, um seine E-Mails sicher zu machen. Andere Unternehmen wiederum verzichten vielleicht ganz auf E-Mail und nutzen stattdessen andere Lösungen, um Informationen auszutauschen, ohne gegen Datenschutzbestimmungen oder Vorschriften zur Geheimhaltung zu verstoßen.

Einige Best Practices, die Unternehmen zum Schutz der E-Mail-Kommunikation befolgen sollten, sind:

• Schützen Sie die E-Mails Ihrer Mitarbeiter mit Verschlüsselung und MFA: Unabhängig davon, ob Unternehmen mit lokalen E-Mail-Diensten oder mit einem Drittanbieter arbeiten (höchstwahrscheinlich letzteres), müssen sie sicherstellen, dass sie TLS-Verschlüsselung für die Datenübertragung verwenden und über verschlüsselte Server mit AES-256 verfügen, um die Daten im ruhenden Zustand zu schützen. Die Verwendung von MFA, einschließlich Biometrie, verhindert, dass Angreifer, die die Anmeldedaten eines Benutzers durch Phishing gestohlen haben, erfolgreich auf die verschlüsselte E-Mail zugreifen können, da ihnen der zweite Authentifizierungsfaktor fehlt.
• Implementieren Sie ein sicheres E-Mail-Gateway: Ein Gateway kann zum Schutz von E-Mails beitragen, indem es einen geschlossenen, sicheren Kanal zwischen mehreren Parteien schafft. Über diesen Kanal können sichere E-Mails gesendet werden, wobei die E-Mails vom Sender bis zum Empfänger verschlüsselt werden. Dieser Ansatz minimiert auch Social-Engineering-Angriffe, insbesondere durch die Einschränkung der Art und Weise, wie E-Mails über den Kanal versendet werden.
• Verwenden Sie sichere Portale: Sichere Portale, oft auch als Webmail bezeichnet, ermöglichen es Unternehmen, Anhänge lokal auf verschlüsselten Servern zu speichern, die mit MFA geschützt sind, anstatt auf dem E-Mail-Server. In den E-Mails werden die Empfänger aufgefordert, Konten zu erstellen und sich bei den Portalen anzumelden, um die Anhänge sicher herunterzuladen und zu entschlüsseln, so dass alle gesetzlichen Vorgaben eingehalten werden.

E-Mail-Verschlüsselungs-Gateway mit der Kiteworks-Plattform

Die Kiteworks-Plattform bietet sichere, gesetzeskonforme E-Mails, die die Benutzerfreundlichkeit im Unternehmen nicht beeinträchtigen. Sie bietet Verschlüsselung auf Enterprise-Niveau und einheitliche Sicherheitskontrollen über ein Microsoft-Outlook-Plugin, eine Web-App, mobile Apps und Plugins für Unternehmensanwendungen wie Google Workplace, Microsoft Office, iManage 9 und 10 und Salesforce Service Cloud.

Nach dem Zusammenschluss von Kiteworks mit totemo ist es nun möglich, die automatisierte E-Mail-Verschlüsselung mit Unterstützung der Verschlüsselungsstandards S/MIME, TLS und OpenPGP in die bestehenden E-Mail-Clients der Benutzer zu integrieren, mit Optionen für die Ende-zu-Ende- und Gateway-Verschlüsselung.

Darüber hinaus können Unternehmen mit Kiteworks ein Private Content Network (PCN) für alle ihre sensiblen Kommunikationskanäle, einschließlich E-Mail, bereitstellen.

Durch Kiteworks bereitgestellte PCNs ermöglichen es Unternehmen Folgendes zu tun:

• Vereinheitlichen von Technologien zur sicheren Kommunikation von Inhalten, wie z.B. sichere Dateifreigabe, SFTP, Managed File Transfer (MFT) und sichere Formulare, um die Nutzung zu vereinfachen und standardisierte Audit-Trails für Inhalte zu erstellen. Dazu gehört auch die native Erweiterung von Standard-E-Mail-Clients, um eine nahtlose Nutzung zu ermöglichen und jede E-Mail mit sensiblen Inhalten zu schützen, die über diese Clients gesendet wird.

• Nachverfolgen von Inhalten, Metadaten, Benutzeraktivitäten und Systemereignissen, um die Leistungsfähigkeit des Security Operations Center (SOC) zu erhöhen, Berichte über den Zugriff seitens externer Parteien zu erstellen und die Anforderungen an die Compliance-Berichterstattung problemlos zu erfüllen.
• Kontrollieren des Zugriffs auf Inhalte und funktionale Regeln, die auf Risikoprofile und Benutzerrollen abgestimmt sind. Die zentrale Verwaltung deckt neben E-Mails auch Web-Formulare, Managed File Transfer (MFT) und sicheres File-Sharing ab und ermöglicht so eine umfassende Administration.
• Schützen des Datenbestands durch Verschlüsselung von Inhalten sowohl im ruhenden Zustand als auch während der Übertragung, um zu verhindern, dass sensible Informationen unbeabsichtigt an böswillige Akteure weitergegeben werden.

E-Mails stellen ein großes Sicherheitsrisiko dar, und das Fehlen einer umfassenden Ende-zu-Ende-Verschlüsselung trägt erheblich zu diesem Problem bei. Kiteworks ermöglicht es Unternehmen, dieses Risiko durch die Erstellung von PCNs mit innovativer E-Mail-Verschlüsselung zu mindern.

 Vereinbaren Sie einen Termin für eine individuelle Demo, um zu sehen, wie Kiteworks Ihr Unternehmen in die Lage versetzen kann, sensible Inhalte, die per E-Mail gesendet und empfangen werden, zu schützen und gleichzeitig ein Plattformmodell zu nutzen, um den Datenschutz und die Einhaltung gesetzlicher Vorgaben für sensible Inhalte auf zahlreiche digitale Kanäle auszuweiten.