Ox Guard bietet serverseitiges PGP

Der Anbieter Mailbox.org bietet in Zusammenarbeit mit Open Xchange (Ox) die Funktion Mailbox Guard an. Diese ermöglicht den Import bereits erstellter PGP-Schlüsselpaare oder die Erzeugung eines neuen Schlüssels und basiert auf der Ox-Guard-Technologie. Guard ist vollständig mit PGP kompatibel - in dem Programm erstellte Schlüssel können daher auch exportiert und in einem Mailprogramm wie Thunderbird mit Enigmail genutzt werden.

Aktiviert ein Nutzer die Guard-Funktion, wird ein Passwort abgefragt und im Hintergrund ein PGP-Schlüsselpaar erstellt. Nutzer müssen dabei nicht selbst das für sie Passende aus der Liste verfügbarer Schlüssellängen und Verfahren auswählen. Der Schlüssel wird auf dem Server des Anbieters gespeichert - allerdings mit der individuellen Passphrase der Nutzer verschlüsselt.

Schlüssel haben eine Länge von 2.048 Bit

Die erstellten Schlüssel haben eine Länge von 2.048 Bit und entsprechen damit nicht ganz den aktuellen Empfehlungen. 4.096 Bit dürfen es heute schon sein, auch der Kryptograph Bruce Schneier änderte seinen Schlüssel als Reaktion auf die Snowden-Veröffentlichungen auf diese Länge.

Im Programm selbst werden keine Details zu den Schlüsseln angezeigt. Wir verstehen, dass technisch nicht versierte Nutzer nicht mit Informationen überfrachtet werden sollen, würden uns aber wünschen, Details erfahren zu können, ohne den Schlüssel zu exportieren und lokal anzuschauen.

Das Mailbox-Guard-Verfahren ist möglicherweise nicht für alle Nutzer geeignet, wie der Betreiber selbst sagt. Mailbox.org schreibt dazu auf der eigenen Seite: "Da die Ver-/Entschlüsselung auf dem Server stattfindet, bietet Mailbox.org Guard keine echte Ende-zu-Ende-Verschlüsselung. Ziel von Guard ist es, die sogenannte 'hinreichende Sicherheit' zu gewährleisten und damit Sicherheit und bequeme Benutzbarkeit zu vereinen."

Einen Zugriff auf die privaten Schlüssel im Klartext habe das Unternehmen nicht, schreibt es. Selbst bei einem "aktiven Login des Nutzers" könne man keinen Zugriff auf die PGP-Schlüssel erhalten. Auch könnten die Schlüssel nicht "im Programmspeicher im Klartext gespeichert werden."

Jeder Nutzer müsse aber selbst die Abwägung treffen, ob er den privaten PGP-Schlüssel einer dritten Partei überlassen wolle, schreibt Mailbox.org und fügt hinzu: "Es stellt sich aber die durchaus berechtigte Frage, ob diese (weiterhin passwortgeschützten) Keys auf unseren Servern nicht trotzdem viel sicherer aufgehoben sind als auf PC oder Smartphone."

Mit Hilfe der bei Mailbox.org zum Einsatz kommenden Ox-Guard-Technologie können auch verschlüsselte Nachrichten an Nutzer außerhalb des Netzwerks geschickt werden. Diese bekommen dann ein temporäres Postfach, in dem sie die Mails nach Eingabe eines Passworts entschlüsseln und lesen können, ohne zuvor ein eigenes Schlüsselpaar erstellen und einrichten zu müssen.

PGP ohne Konfiguration

Innerhalb einer Open Xchange-Umgebung ist das noch deutlich einfacher. Wenn alle Kommunikationspartner die Guard-Technologie einmal aktiviert haben, können sie ohne weitere Einstellungen untereinander verschlüsselte Nachrichten austauschen. Damit sind die versendeten Nachrichten automatisch mit PGP abgesichert, im Idealfall ohne dass der Nutzer es überhaupt merkt und Komforteinbußen hinnehmen muss.

Im Webinterface können aber auch öffentliche PGP-Schlüssel anderer Nutzer hinterlegt werden, die keine Implementierung von Ox Guard nutzen. Diese Funktion ist in den Einstellungen etwas versteckt, funktioniert dann aber ohne Probleme. Der Import läuft nicht über einen öffentlichen Keyserver, sondern über die Auswahl einer ASC-Datei auf der lokalen Festplatte, was unter Umständen zusätzliche Schritte bei der Einrichtung neuer Schlüssel erforderlich macht.

Ox Guard nutzt im Backend die Crypto-Bibliothek Bouncy Castle und läuft getrennt von der restlichen E-Mail-Infrastruktur. Guard kommuniziert also nur über bestimmte Schnittstellen mit der Webmail-Anwendung und fällt damit nach geltender Rechtslage nicht unter Herausgabepflichten bei der Beschlagnahmung von E-Mail-Konten. Der Quellcode ist offen.