Thema "Fragen zur Mailverschlüsselung" in Technisches zu Software

Fragen zur Mailverschlüsselung

Steuererklärer — Mon, 11 Sep 2023 11:43:59 GMT

Hallo!

Ich habe Fragen zum Produkt "Datev E-Mail-Verschlüsselung":

Der Absender kann Mails an Empfänger verschlüsseln, die ihren Verschlüsselungs-Publickey auf schluesselimport@datev.de veröffentlicht haben.

1. Ist diese Veröffentlichung auch nötig, wenn der Empfänger eine Datev-Smartcard hat und deren Zertifikate zum Abruf freigegeben sind? Oder sind diese Keys dem Verschlüsselungsportal automatisch bekannt?

2. Kann man an schluesselimport@datev.de auch selbstgebackene Keys senden, also solche, die nicht von einer bekannten Zertifizierungsstelle stammen, sondern z. B. aus XCA?

3. Können Schlüssel, die man an schluesselimport@datev.de geschickt hat, auch wieder gelöscht werden?

Vielen Dank!

Steuererklärer

Fragen zur Mailverschlüsselung

rschoepe — Mon, 11 Sep 2023 12:05:19 GMT

schluesselimport@datev.de ist nur, damit von DATEV versendete Mails in Zukunft verschlüsselt werden. Mit Mail von Dritten hat das nichts zu tun. Für diese muss man sein Zertifikat zum Download freigeben.

@Steuererklärer schrieb:
1. Ist diese Veröffentlichung auch nötig, wenn der Empfänger eine Datev-Smartcard hat und deren Zertifikate zum Abruf freigegeben sind? Oder sind diese Keys dem Verschlüsselungsportal automatisch bekannt?

Naja, wenn man das Zertifikat des Empfängers hat, das eigene aber nicht freigegeben ist - dann funktioniert die Verschlüsselung nur in eine Richtung. 😉 Und ja, auch innerhalb des DATEV-Kontexts müssen die Zertifikate freigegeben werden, damit sie genutzt werden können.

@Steuererklärer schrieb:
2. Kann man an schluesselimport@datev.de auch selbstgebackene Keys senden, also solche, die nicht von einer bekannten Zertifizierungsstelle stammen, sondern z. B. aus XCA?

Nein.

@Steuererklärer schrieb:
3. Können Schlüssel, die man an schluesselimport@datev.de geschickt hat, auch wieder gelöscht werden?

Das weiß ich nicht, aber man kann die Freigabe zurücknehmen.

Fragen zur Mailverschlüsselung

Uwe_Lutz — Mon, 11 Sep 2023 12:05:52 GMT

@rschoepe schrieb:
schluesselimport@datev.de ist nur, damit von DATEV versendete Mails in Zukunft verschlüsselt werden. Mit Mail von Dritten hat das nichts zu tun.

Dies gilt auch für alle Teilnehmer an der DATEV-Emailverschlüsselung. Siehe DATEV E-Mail-Verschlüsselung: Information für Mandanten - DATEV Hilfe-Center (Abschnitt 3.1.2)

Fragen zur Mailverschlüsselung

Steuererklärer — Mon, 11 Sep 2023 15:40:44 GMT

Vielleicht habe ich mich undeutlich ausgedrückt: ich frage als potentieller Empfänger.

Habe ich mit der Abruffreigabe meiner Smartcard-Zertifikate alles getan, um erreicht zu werden, auch über das Verschlüsselungsportal, oder muß ich meinen Schlüssel zusätzlich an den Schlüsselimport senden?

Ich will nur vermeiden, daß Absender, die noch nie Kontakt zu mir hatten, mich über das Verschlüsselungsportal anschreiben und dann so eine seltsame Webmail-Herunterlade-Nachricht bei mir aufschlägt.

Fragen zur Mailverschlüsselung

metalposaunist — Mon, 11 Sep 2023 15:47:10 GMT

@Steuererklärer schrieb:
auch über das Verschlüsselungsportal

Beides gleichzeitig geht meiner Meinung nach nicht, weil wenn der öffentliche Schlüssel vorliegt, DATEV diesen nutzt, sodass man per gesteckter SmartCard die E-Mail im Outlook lesen kann.

@Steuererklärer schrieb:
mich über das Verschlüsselungsportal anschreiben und dann so eine seltsame Webmail-Herunterlade-Nachricht bei mir aufschlägt.

Passiert "nur", wenn kein Schlüssel bei DATEV bekannt ist. Vorteil: Die E-Mails sind auch mobil am iPhone, iPad, im Browser und allen Geräten lesbar, die keine SmartCard mit Sicherheitspaket compact akzeptieren (Linux, macOS, ...).

Achtung ⚠️: Werden verschlüsselte E-Mails in DMS archiviert und die passende SmartCard bei DATEV gekündigt, sind diese E-Mails Datenmüll, weil nicht mehr zu öffnen.

Fragen zur Mailverschlüsselung

vogtsburger — Mon, 11 Sep 2023 15:53:40 GMT

@Steuererklärer ,

... bringt mich auf eine gute Idee, ...

... nämlich auch mal mein SmartCard-Zertifikat hochzuladen, da ich gelegentlich solche 'unmoralischen Angebote' erhalte, mich auf der Datev-Plattform zu registrieren, um 'sichere E_Mails' herunterladen zu können.

... für E-Mail-Empfänger, die nicht mit Verschlüsselungs-Zertifikaten 'bewaffnet' sind, ist das Handling mit Verschlüsselten E-mails eine 'Herausforderung' (oder gar 'Zumutung')

Ich kann bisher nur mit der Kanzlei-E-Mail-Adresse verschlüsselte E-Mails austauschen

Interessant wäre es tatsächlich, weitere E-Mail-Adressen dafür zu 'ertüchtigen'

Fragen zur Mailverschlüsselung

quantenjoe — Mon, 11 Sep 2023 21:14:54 GMT

Moin Moin

Der Absender kann grundsätzlich verschlüsseln. Das ist in Seppmail (das eigentliche Produkt) so vorgesehen.
Der Empfänger muss dann bei der ersten Mail ein Passwort festlegen, dass dann für alle andere verschlüsselten Emails gilt. Solange bis man das Passwort vergißt. Dann halt auf den Link "Passwort vergessen" klicken.

Die Veröffentlichung bei Datev macht es etwas angenehmer.

Mit eigenen Schlüsseln (also eigenen Zertifikaten) arbeiten ist dann entweder die S/mime verschlüsselung oder PGP. Beide erfordern einen Schlüsseltausch.

Inzwischen haben viele Provider inzwischen aber die Transportverschlüsselung etabliert. Bei der Transportverschlüsselung wird die Email von Mailserver zu Mailserver verschlüsselt. Auf den Mailserver liegt sie als Klartext vor. Da wir alle mit unserem Mailprovider inzwischen eine Auftragsverarbeitung-Vertrag abgelossen haben (sollten) und dies auch die Mandanten mit ihren Providern, ist die Transportverschlüsselung inzwischen eine Alternative geworden. Es gibt diesbezüglich auch ein rechtgültiges BGH-Urteil.

Bleibt dann nur noch abzuklären, findet durchgängig (also von Mailserver zu Mailserver) eine Transportverschlüsselung statt.

Meine Erfahrung inzwischen: Recht oft!
Manche erzwingen diese sogar, wie die Datev!

Nicht nutzbar sind natürlich Mandantenadressen auf yahoo, aol (gehört ohnehin Yahoo), google. Dort werden die Emails vom Provider gescannt, der angestrebte Datenbschutz ist dahin.

T-online habe ich bemerkt erzwingt nicht die Transportverschlüsselung, fällt damit auch raus, es sei denn der eigene Mailclient fordert die TLS-Verschlüsselung. Dann macht t-online auch mit.

Und ich habe bemerkt, bei Webmailern ist ein eine Strecke oft auch nicht Transportverschlüsselt. Das gilt leider auch für manche deutsche Webmailer.

Fragen zur Mailverschlüsselung

rschoepe — Tue, 12 Sep 2023 08:19:00 GMT

Interessant, das hatte ich mit einem selbst erstellten PGP-Schlüssel mehrfach probiert (signiert, signiert und angehängt, …) und bekam jedes Mal die Fehlermeldung, dass kein Schlüsselmaterial gefunden worden wäre.