CyProtect & SEPPmail: E-Mail-Appliance-Lösung gegen DE-Mail und ePostbrief

Es scheint die Zeit der schweizerischen E-Mail-Lösungen zu sein: Vor wenigen Wochen machte sich die Swisspost mit INCA-Mail auf, den deutschen E-Mail-Markt zu erobern. Jetzt legen SEPPmail und CyProtect ein spannendes Appliance-Konzept vor. Die neue Lösung zielt ebenfalls im ersten Schritt auf Gehaltsabrechnungen per SAP- bzw. auf ERP-Systeme (vertraulich und PCI-konform via E-Mail). Der zentrale Unterschied zum Mitbewerb: Der E-Mail-Coder/Decoder steht als Appliance beim Unternehmen.

Offenbar scheinen die Lösungen der Telekom (DE-Mail) und der Post (ePostbrief) reichlich Raum für Mitbewerb zu lassen. CyProtect setzt mit SEPPmail darauf. Die Anbieter haben es insbesondere auf Unternehmen abgesehen, die Gehaltsabrechnungen bereits in einem SAP-System oder einer anderen ERP-Lösung haben. CyProtect entwickelte dazu eine Lösung, die Gehaltsabrechnungen mittels SEPPmail verschlüsselt per E-Mail an die Angestellten verschickt – in einem PCI DSS (Payment Card Industry Data Security Standard)-konformen Format. Zur Umsetzung wählte das deutsche Systemhaus CyProtect die schweizerische SEPPmail als Technologiepartner für den vertraulichen E-Mail-Versand, da sie PCI-konforme E-Mail-Verschlüsselungslösung bietet.

E-Mail-Appliance als Lösung mit Service

Die Lösung von CyProtect kann von Firmen als Service gebucht werden. Im Zuge dessen installieren Techniker die dazugehörige Verschlüsselungs-Appliance SEPPmail und verknüpfen sie mit dem Personalabrechnungs-System und den darin lagernden Personal- und Finanzdaten. SEPPMail kann so auf die für Gehaltsabrechnungen relevanten Informationen zugreifen. Über ein Interface des CyProtect-Softwareservice verwalten die Mitarbeiter der Personalabteilungen den Versand der sensiblen Dokumente. Das Interface gleicht dabei die Abrechnungen als Rohdaten oder PDF mit den Informationen aus dem Personalabrechnungs-System ab. Die Abteilung kann dem Mitarbeiter die Gehaltsabrechnung nun als digitale Post zuschicken – bei Bedarf mit digitaler Signatur.

Nach dem Versand durchquert die Mail mit der Gehaltsabrechnung den Mailserver und passiert danach die SEPPmail-Verschlüsselungs-Appliance. Dort wird die digitale Nachricht codiert und für Dritte unlesbar gemacht. Dem Empfänger erscheint die verschlüsselte Mail zunächst wie eine herkömmliche Standard-E-Mail. Die Gehaltsabrechnung verbirgt sich dabei hinter einem verschlüsselten HTML-Attachment. Zuvor hat die SEPPmail-Appliance bereits ein dynamisches Initialpasswort erstellt und der Personalabteilung per Mail zugesendet. Das Passwort teilt die Abteilung dem Empfänger anschließend mittels SMS, Telefon oder Fax mit.

Öffnet der Adressat den HTML-Anhang, wird er in einer Weboberfläche zur Eingabe des Initialpasswortes aufgefordert. Erhält er erstmalig eine Gehaltsabrechnung via E-Mail, ist eine einmalige Registrierung im System der Verschlüsselungs-Appliance notwendig. Bei zukünftigen Mails muss er nur das eigene Passwort eingeben. Nachdem der Empfänger die Nachricht durch die Passworteingabe zum Lesen freigeschaltet hat, kommt der SEPPmail-Webmailer ins Spiel. Hier ist die E-Mail nun entschlüsselt sichtbar. Der Empfänger kann auf dieser Webplattform verschlüsselt antworten und die digitale Post bei Bedarf als Klartext in sein Standard-E-Mail-Programm übertragen.

Vergleich zum Mitbewerb

Das System erinnert stark an die Lösung der Swisspost (INCAmail). Und tatsächlich ist es so, dass SEPPmail und INCAmail auf der gleichen GINA-Technologie beruhen. Beide Unternehmen pflegen offenbar auch eine Partnerschaft. Der Unterschied läge laut SEPPmail in der Vorgehensweise: INCAmail sei als Serviceleistung ausgelegt, während SEPPmail mit CyProtect eher den Appliance-Weg beschreite. Insbesondere biete SEPPmail, so CyProtect, eine volle Verschlüsselungsleistung (S/MIME, openPGP, Domainverschlüsselung, TLS und eben auch GINA).

In beiden Fällen (SEPPmail und INCAmail) erfolgt jedoch keine echte Ende-zu-Ende- bzw. Client-to-Client Verschlüsselung. Es erfolgt lediglich eine eine Gateway-to-Client Verschlüsselung. Ein Umstand der der einfacheren Bedienbarkeit geschuldet ist, denn Empfänger benötige nur einen E-Mail Client, Internetzugang und Browser. Der Entschlüsselungsvorgang findet im Fall von SEPPmail auf der Appliance im jeweiligen Unternehmen statt. Die Verbindung zum Client ist per SSL/TLS geschützt. Der Empfänger hat also den verschlüsselten Inhalt und das Zugangspasswort zum auf der Appliance gesichert abgelegten eigentlichen Schlüssel. Ein Angreifer benötigt daher immer beides. Den Inhalt und Passwort. Eine Brute-Force Attacke gegen das HTML-Attachment sei wirkungslos, da der Schlüssel ein schwer knackbarer AES256 Schlüssel sei.