Entschlüsselung mit PKI und ohne PKI
Auch die zentrale Verschlüsselung an einem Gateway erweist sich für viele Anwender als zu kompliziert. Man kann zwar Gruppenschlüssel verwalten und auch das Vorhalten von Nachschlüsseln (bei Schlüsselverlust) ist deutlich einfacher zu handhaben als bei clientbasierter Verschlüsselung, der Aufbau selbst erfordert aber – wenn nach den Standards S/MIME oder OpenPGP implementiert wird – eine vollständige Public-Key-Infrastruktur (PKI) im Hintergrund; und das auf Sender- und Empfängerseite, um die erforderlichen Zertifikate ausstellen zu können. Fast alle Hersteller bieten deshalb neben S/MIME- und OpenPGP-konformen E-Mail-Verschlüsselungs-Gateways zusätzliche Verfahren an, mit denen sich auch Empfänger einbinden lassen, die keine Verschlüsselungsinfrastruktur haben. Davon gibt es immer noch sehr viele, auch wenn nach den Beobachtungen von Utimaco der »Einsatz von S/MIME in den letzten 18 Monaten stark zugenommen hat«. Auch Utimaco bietet ebenso wie Zertificon, die schweizerische Totemo, die Karlsruher Group Technologies oder die US-amerikanische Ironport Lösungen außerhalb von S/MIME und OpenPGP an, die in der Regel über Http- oder PDF-Anhänge mit angefügtem Java-Script-Code gesteuert werden. An der Funktion Kickmail von Zertificon mag das erstere Verfahren etwas ausführlicher erklärt werden: Die Mail wird als passwort-verschlüsselter Datencontainer in Form eines Html-Anhangs einer normalen Klartextmail dem externen Nutzer zugestellt. In dem Datencontainer ist die originale, zu schützende Mail enthalten. Wenn der Empfänger auf den Anhang klickt, wird dieser wieder komplett vom Webbrowser des Empfängers zum Secure Messenger (der Entsprechung des S/MIME-Gateways) gesendet. Da auf dem Empfänger-Client keine Entschlüsselungslogik vorhanden ist, beglaubigt sich der Empfänger auf der öffentlichen Webseite mit seinem Kennwort und die an ihn gerichtete Mail wird entschlüsselt. Dazu muss natürlich über irgendeinen Kanal (Telefon, brieflich) ein Kennwort mitgeteilt werden, das dann aus Sicherheitsgründen gleich geändert wird. Um eine Entschlüsselung direkt auf einem PKI-losen Empfänger-Arbeitsplatz durchführen zu können, wird von mehreren Anbietern ein PDF-Anhang als Datencontainer benutzt. Durch ein mitgeliefertes Java-Script-Element lässt sich der oben beschriebene Vorgang lokal auf dem PC des Empfängers durchführen. Zuweilen muss der Empfänger auch ein Stück Software auf seinem Rechner installieren (bei PGP oder auch bei Trend Micro), damit entschlüsselt werden kann.
