Nachdem auch im Unternehmen immer mehr auf die sichere Unternehmenskommunikation geachtet wird und werden muss, habe ich mich in diesem Blogbeitrag noch einmal mit dem Thema in Verbindung mit Office 365 beschäftigt.
Exchange Online in Office 365
Zunächst werden Emails in Office 365 über den in der Office 365 Umgebung integrierten Exchange Online Server empfangen und gesendet. Jeder Office 365 Account ist gleichzeitig eine Emailadresse. Die Emails werden in Default nicht verschlüsselt. Das ist der Stand der Dinge, wenn man einen Office 365 Tantent erhält.
Emailverschlüsselung Teil 1: Right Management / Informations Right Management
Im Rahmen des Right Management kann der Administrator auf der einen Seite festlegen welche Benutzer mit welchem Inhalt untereinander Emails schreiben können und welche nicht. Auf der anderen Seite können auch Benutzer festlegen wer von Administrator vordefinierte Gruppen Emails versenden oder auch welche den Inhalt der Email sehen können.
Beschränkungen können so vom User unter Optionen bei Outlook in der Email eingestellt werden:
- drucken
- weiterleiten
- kopieren
- nur lesen
- vordefinierte Gruppen (z.B. Abteilungen)
Ein kleiner Nachteil ist, dass die Beschränkungen nur innerhalb der Organisation möglich ist. Benutzer können so ihre Emails und deren Inhalte vor anderen Benutzern innerhalb der Organisation und vor Externen schützen, wenn die Email an einen Account innerhalb der Organisation geht. Dies kann soweit gehen, dass auch die Screenshotfunktion des Betriebssystems und auch die z.B. von OneNote nicht verfügbar ist.
Die Email an sich ist mit einem roten Kreis mit einem kleinen weißen Strich in der Mitte gekennzeichnet. Dieses Symbol kennt ihr bestimmt aus dem Straßenverkehr, es ähnelt dem Durchfahrt-Verboten Schild.
Emailverschlüsselung Teil 2: TLS Verschlüsselung
Unter TLS Verschlüsselung versteht man ein hybrides Verschlüsselungsverfahren. Den meisten unter euch müsste es als Webstandard TLS/SSL im Browser bekannt sein .Wenn ihr zum Beispiel Onlinebanking macht oder in einem Online-Shop einkauft wird dieser Standard genutzt. Die Hauptaufgaben liegen einmal in der Authentifizierung der Kommunikationspartner unter Verwendung von asymetrischen Verschlüsselungsverfahren und Zertifikaten, sowie der Austausch eines gemeinsamen Sitzungsschlüssels (Session-Key). Weiterhin dient es zur vertraulichen Datenübertragung von einem Ende zum Anderen mit Hilfe symmetriescher Verschlüsselungsverfahren unter Verwendung eines gemeinsamen Sitzungsschlüssels. Als Letztes soll durch dieses Verfahren die Integrität der transportierten Daten unter Verwendung eines Message Authentication Codes sichergestellt werden.
Eine Informationen findet ihr beim BSI (Bundesamt für Sicherheit in der Informationstechnik)
Beispiel für öffentliche Einrichtungen: https://www.bsi.bund.de/DE/Publikationen/Mindeststandards/SSL-TLS-Protokoll/SSL-TLS-Protokoll.html
Bei Office 365 und der Emailversendung bedeutet dies, dass zunächst in einem ersten Schritt eine vertrauliche TLS Verbindung zwischen den Sender und Empfänger aufgebaut wird und dann in einem zweiten Schritt die Email über diese sicherere Verbindung versendet wird.
Die Regel kann für alle Emails oder auch für nur bestimmte Sender oder Empfänger konfiguriert werden. Im Default, ist diese Regel nicht definiert.
Kleiner Nachteil: Auch der Partner muss eine TLS Verschlüsselung anbieten. Informationen erhaltet Ihr hier über ein Szenario für TLS mittels Forefront: http://technet.microsoft.com/en-us/library/gg430177.aspx
Emailverschlüsselung Teil 3: Exchange Hosted Encryption (EHE) vs. Office 365 Encryption (angekündigt)
Vergleichen wir einmal den heutigen Möglichkeiten mit den zukünftigen Sicherheitseinstellungen:
1. Screen: Neu ab Q1 2014 2. Screen: aktueller Stand (E3 Plan)
Auf dem Screenshot ist zu erkennen, dass zwei neue Optionen als Regel in dem Bereich “Nachrichtensicherheit” auszuwählen sind.
Erste Informationen zu der Verschlüsselung und ihrer Einrichtung habe ich in meinem Blogartikel mit dem Titel ” verschlüsselte Email mit Office 365 ” geschrieben. Dort findet Ihr auch eine Verlinkung zu dem Blogeintrag, der die zusätzlichen Einstellungen ankündigt und weitergehende Informationen gibt. Hier nun noch die kurze Zusammenfassung:
Office 365 Message Encryption:
- Send Encrypted Mail to anyone
- Custom Branding (Logo, Encryption portal text, Header text, Disclaimer text) – bei EHE nicht möglich, aber für mich persönlich ein Muss in der Unternehmenskommunikation
- Message size Limit (25 MB) – bei EHE liegt dieser nur bei 10MB – Anhänge werden mit einbezogen und auch verschlüsselt
- Integration with Exchange transport rules (Yes, simplified with single-action encryption and decryption rules)
- Integration with Data Loss Prevention
- User experience (Rich, modern Office 365 user Interface)
- Purchase Option (Included with Windows Azure Rights Management)
- Authentication method for recipients to access encrypted emails outside of your organization. (Microsoft Account or Office 365 Organizational Account)
Office 365 Encryption einstellen und starten (genauere Informationen bei TechNet)
Teil 4: Verschlüsselung der Übertragungswege
Microsoft kündigte weiterhin am 04.12.2013 an, dass es die Daten der Kunden besser vor dem Zugriff der Behörden schützen will. Es sollen mehr oder sogar alle Übertragungswege geschützt werden. In einem weiteren Schritt kündigte Microsoft an und im Anschluss auch Google sowie Apple, dass sie auch gerichtlich gegen das aus ihrer Sicht illegale Abfangen von Daten außerhalb der USA ohne Gerichtsbeschluss vorgehen wollen. Dies würde in dem jeweiligen Land gegen die dortigen Gesetze verstoßen. Bezieht man dies auf Deutschland und das hier geltende Recht liegt ein Verstoß gegen geltendes Recht vor, welches auch strafrechtlich verfolgt werden müsste, wenn es sich beweisen ließ.
möglicherweise liegen vor:
§ 202 b StGB (“Abfangen von Daten”)
§ 202 a StGB (“Ausspähen von Daten”)
§ 202 c StBG (“Vorbereiten des Ausspähens und Abfangens von Daten”)
§§ 44, 43 BDSG
§ 269 StGB (“Fälschung beweiserheblicher Daten”)
Verfügbarkeit:
Zunächst nur die E Pläne und dann auch die A-Pläne und alle anderen.
Quellen:
Protecting Customer data from government snooping
Exchange Hosted Encryption (EHE) upgrade center
http://technet.microsoft.com/en-us/library/dn532175.aspx
Security White Paper Office 365 (Bietet sehr gute Informationen)
http://download.microsoft.com/download/6/6/2/662F89E4-9340-4DDE-B28E-D1643681ADEB/Security%20in%20Office%20365%20Whitepaper.docx