01.08.2012
Interview

Wie sichert Telekom ihren neuen De-Mail-Dienst?

De-Mail als Fort Knox

Im Interview erklärt Dr. Frank Wermeyer, Geschäftsverantwortlicher für De-Mail, was die Telekom tut, um den Schutz und die Sicherheit der Daten bei De-Mail zu gewährleisten.


Dr. Frank Wermeyer, Geschäftsverantwortlicher für De-Mail.

De-Mail gilt als elektronisches Pendant zur Briefpost. Wie sieht es denn in punkto Sicherheit aus?
Wermeyer:
Mit dem neuen De-Mail-Dienst bieten wir unseren Kunden eine einfache, gleichzeitig aber sichere und nachweisbare Möglichkeit zur nahtlosen elektronischen Kommunikation. Unsere Kunden können nicht nur auf die Seriosität der Telekom vertrauen. Als zertifizierter De-Mail-Anbieter unterliegen wir den strengen Anforderungen an Datensicherheit und -schutz aus dem De-Mail-Gesetz. Sicherheit entsteht bei De-Mail aus einem Paket unterschiedlichster Maßnahmen: verschlüsselte Transportkanäle und verschlüsselte Speicherung, eindeutig identifizierte Kommunikationspartner sowie abgesicherte Anmeldeverfahren.

Welche Pflichten haben die De-Mail-Provider?
Wermeyer:
De-Mail dürfen nur Dienstleister bereitstellen, die hohe Sicherheits- und Datenschutzanforderungen erfüllen und in einem Prüfverfahren vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als Anbieter zertifiziert werden. Dazu müssen sie alle Sicherheitsfunktionalitäten aus dem De-Mail-Gesetz umsetzen und entsprechende technische und organisatorische Maßnahmen ergreifen. Zum Beispiel muss der De-Mail Anbieter während des Transports einer De-Mail sicherstellen, dass die Nachricht nicht mitgelesen werden kann und ihr Inhalt sich nicht verändern lässt.

Was tun die Provider, um die Daten und De-Mail-Systeme in ihren Rechenzentren zu schützen?
Wermeyer:
Alle De-Mail-Systeme sind nach ISO 27001 zertifiziert und befinden sich in Hochsicherheitsrechenzentren in Deutschland. Dort sind die De-Mail-Server in physikalisch gesicherten Räumen zunächst gegen die üblichen Gefahren aus Feuer, Hitze und Wasser besonders geschützt. Nur sehr wenige überprüfte Personen haben überhaupt Zutritt. Spezielle Firewalls und Anti-Viren-Programme schützen die Daten gegen Angriffe aus dem Internet. Weiterhin wird eine De-Mail, wenn sie auf dem Server des Providers eintrifft, verschlüsselt gespeichert. Alle Systeme und Dienste sind hochverfügbar, damit unsere Kunden De-Mail rund um die Uhr nutzen können. Die Systeme laufen parallel in zwei räumlich getrennten Rechenzentren. Selbst ein Flugzeugabsturz auf eines der Rechenzentren würde nicht zu einem Ausfall des Dienstes führen. Jedes Rechenzentrum ist jeweils mit zwei getrennten Leitungen an das Netz angebunden. Fällt ein Verteilerknoten aus oder kappt ein Bagger bei Baumaßnahmen eine Leitung, lässt sich der Betrieb aufrechterhalten. Auch beim Personal gibt es strenge Vorschriften: Danach dürfen die De-Mail-Provider ausschließlich nachgewiesen fachkundiges und geschultes Personal einsetzen. Dazu gehört auch, dass wir die Vertrauenswürdigkeit unserer Mitarbeiter belegen müssen. Alle Kollegen, die mit dem Betrieb der Systeme betraut sind, müssen ein Führungszeugnis vorlegen. Und wir sind dazu verpflichtet, bestimmte Aufgabenbereiche strikt zu trennen. Ein Mitarbeiter, der beispielsweise für die Verschlüsselung der Daten verantwortlich ist, darf keinen Zugriff auf die verschlüsselten Daten haben.

Wie wird sichergestellt, dass die Provider die gesetzlichen Vorschriften einhalten?
Wermeyer: Nach der Akkreditierung zum De-Mail-Provider muss sich jeder Anbieter einmal jährlich einer Prüfung unterziehen und sich alle drei Jahre erneut vom BSI akkreditieren lassen. So stellt der Gesetzgeber sicher, dass die Provider in den wichtigen Maßnahmen nicht nachlassen und auch neue Sicherheitsanforderungen in ihr Sicherheitskonzept mit einbeziehen. Sollte der Verdacht auf Unregelmäßigkeiten bei einem Anbieter auftreten, kann das BSI natürlich als Aufsichtsbehörde jederzeit aktiv werden.

Kritiker bemängeln, dass durch den Wegfall der Ende-zu-Ende-Verschlüsselung die Sicherheit der Daten nicht durchgängig gewährleistet sei. Halten Sie diesen Einwand für gerechtfertigt?

Wermeyer: Nein, aus zwei Gründen. Das De-Mail-Gesetz schreibt vor, die Daten während des Transports von einem Protokoll auf ein anderes Protokoll umzuwandeln und auf Schadsoftware zu untersuchen. Das dauert wenige Tausendstelsekunden und geschieht rein maschinell innerhalb eines Hochsicherheitsrechenzentrums. Deshalb sehen wir hier auch nur ein theoretisches Risiko, dass die Daten dabei in falsche Hände geraten. Der andere Grund ist: Unternehmen und Privatpersonen, die noch höhere Anforderungen an die Sicherheit der Daten – zum Beispiel bei datenschutzrelevanten Informationen – stellen, können eine durchgehende Ende-zu-Ende-Verschlüsselung einrichten. Dabei wird der Inhalt der De-Mail durch den Versender verschlüsselt und erst durch den Empfänger wieder entschlüsselt. Weil die höchste Sicherheitsstufe – insbesondere für Privatpersonen – die Nutzung aufwendiger macht, wurde die Ende-zu-Ende-Verschlüsselung bewusst nicht zwingend vorgegeben. Das sicherste System bringt nichts, wenn es von den Bürgern nicht genutzt wird. Wir aber wollen mehr Sicherheit und damit Vertrauen bei der Nutzung des Internets erreichen.

Weitere Informationen zum Thema De-Mail: www.telekom.de/de-mail


Meistgelesene Artikel

Wie Unternehmen vom neuen IT-Trend profitieren können. Diese Whitepaper hilft mittelständischen Unternehmen dabei, unter der Vielzahl der am Markt angebotenen Cloud-Lösungen die für sie am besten geeignete zu finden. Es werden Herausforderungen und Erfolgsfaktoren für eine Implementierung definiert und Kriterien für die Anbieter- und Lösungsauswahl von Cloud Computing aufgezeigt.

Hier geht es zum Whitepaper Download >>>

VIDEO




  • Twitter
  • Facebook
  • YouTube

Verantwortlich für den Inhalt: Telekom Deutschland GmbH
Copyright: MEDIENHAUS Verlag GmbH