Aktuelles zur Datev-E-Mail-Verschlüsselung

[#1]

Hallo Community,

nachdem wir nach einigem Hin- und Her beschlossen hatten, die Datev-E-Mailverschlüsselung einzusetzen, möchte ich hier ein paar aktuelle Informationen, die m.E. in den vielen Info-Doks missverständlich beschrieben sind, nachreichen.

Vorab möchte ich erwähnen, dass mir die kontroversen Sichten über das Produkt an sich durchaus klar sind. Dennoch war dies für die Kanzlei der beste Weg, auch wenn das Thema "Anhängen in unverschlüsselter Transport-Mail" für die Mandanten ohne registrierte S/MIME Zertifikate bzw. PGP Schlüssel bei den Mandanten einen nicht gerade effizienten Umgang mit den Mails bedingt.

Dennoch können auch solche Mandaten letztlich sicher inkl. Anhänge über das Portal antworten, was m.E. ein doch ganz guter Kompromiss ist.

Hier nun die für mich erwähnenswerten Aspekte (nicht dokumentierte oder ggf. anderslautend dokumentierte):

1. Standard-Einstellung für das Outlook Ad-Inn sei nun wohl: nicht verschlüsseln ohne Warnung (Umstellung über SK aber jederzeit möglich, neue Standard-Einstellung erfordert Neustart Outlook)
2. Falls das zugrunde liegende E-Mail-Konto nicht für die Datev-E-Mailverschlüsselung aktiviert wurde, wird bei Versendung aus Outlook mit aktivierter Verschlüsselung (über Buttons des Add-Inns) ein Fehler ausgegeben und die Mail wird nicht versendet
3. Aktivierung erfolgt über alte Datev-Net-Administration - dort sind die Datev-Smart-Cards mit zugeordnetem Nutzer und E-Mail-Adresse aufgeführt (Freischaltung / Deaktivierung ist schnell wirksam...)
4. Datev E-Mail-Verschlüsselung funktioniert unabhängig von gesteckter SmartCard und auch gänzlich ohne gesteckte Karte - somit wohl auch bei Anmeldung über SmartLogin 
5. Auch ohne installiertes Add-Inn können Mails mit dem Steuerzeichen {si} im Betreff zur Verschlüsselung aktiviert werden.
6. Das Ad-Inn kann sich wohl ab und an mal ungewollt deaktivieren, was m.E. zu Risiken in Bezug auf ungewollt nicht verschlüsseltes Senden führen kann. Würde demnach als Standard "nicht verschlüsseln" mit Warnung bevorzugen (dann muss man halt immer einen zusätzlichen Klick machen und wird aber stärker sensibilisiert, auf die vorhanden Schaltflächen zu achten...)
7. Im Gegensatz zu älteren Datev-SmartCards werden die E-Mail-Schlüssel standardmäßig nicht mehr veröffentlicht. Dies muss beantragt werden - dann könnten Versender diese downloaden bzw. das ganze Verzeichnis einbinden).
8. Bei mehreren SmartCards bzw. Mail-Zertifikaten mit der gleichen E-Mail-Adresse (kann erstaunlich oft vorkommen) muss beachtet werden, dass nur ein zugehöriges Zertifikat veröffentlicht werden darf (ggf. zusätzliche Veröffentlichungen müssen zurückgezogen werden, damit hier kein Chaos entsteht).
9. Mandanten mit PGP-Schlüssel sollten ggf. Abstand nehmen diesen zu registrieren, weil keine PGP verschlüsselten Mails von DATEV-E-Mail-Verschlüsselung empfangen bzw. entschlüsselt werden können. Bei Registrierung würde der Mandant die Mail direkt bekommen, könnte aber nicht mehr verschlüsselt antworten (PS: es mag Mail-Clients geben, die erlauben ohne eigenes S/MIME mit dem öffentlichen S/MIME des Empfängers verschlüsselt zu senden - hier wären Info durchaus erwünscht).
   Wer mit Outlook arbeitet braucht letztlich ein eigenes S/MIME Zertifikat (vielleicht wird die Datev E-Mail-Verschlüsselung ja noch um eine PGP-Empfangsoption ergänzt?

PS: Verwende SmartCard und mIDentity i.d.R. synonym..

Bitte seht von der generellen Diskussion über Alternativen zur Kundenkommunikation ab (fügt aber gerne a Links und Hinweise dazu ein - hier gibt's ja schon seeeehr ausführliche Threads dazu...).

Viele Grüße  

[#2]

Möchte zur Vermeidung von Missverständnissen noch nachtragen, dass sich die Auflistung speziell auf ein SmartIT-System bezieht.

Wer selbst installiert hat natürlich die Freiheit zur Grundkonfiguration und ggf. gibt es da auch andere Standardeinstellungen.

Der Rest sollte aber übertragbar sein...

[#3]

Moin Moin

Die Datev-Verschlüsselung ist im Grunde das Produkt Seppmail. 

Ist für Mandanten auch nicht bequem - aber das Problem teilt Seppmail mit allen anderen Verschlüsselungen (PGP, S/Mime)

Dass muss man aber gegenüber dem Mandanten durchsetzen oder eine schriftliche Freischaltung für unverschlüsselte Emails sich geben lassen (für den Lohn gilt diese Freigabe natürlich nicht).

Aber!

Sofern eine lückenlose Transportverschlüsselung zwischen den Mailservern besteht, ist nach einem Urteil der BGH, dies ausreichend. Wer die Datev-Verschlüsselung nutzt, wird auch über Datevnet Emails versenden und Datevnet erzwingt die Transportverschlüsselung zum nächsten Mailserver.

Ich habe bei unseren Mandanten gecheckt, ob die Transportverschlüsselung durchgehend vorhanden ist. Ist fast immer so. Nur nicht unbedingt, wenn Mandanten über das Webfrontend ihres Emailproviders Emails empfangen oder senden. Das muss ggf. dann einmal an Hand der Email-Metadaten (genau des Emails-Headers) geprüft werden.

Aber klar, damit man sicher ist, muss man wirklich an Hand des Email-Hesders schauen, ob durchgehende Transportverschlüsselung gegeben ist. Im Zweifelsfall: Datev-Verschlüsselung!

QJ