20231123 E-Mail Programm kommt in die Jahre

Einfach - und funktioniert seit Jahrzehnten

Das E-Mail Protokoll wurde in den 80-iger Jahren erfunden, um Nachrichten von einem Rechner zum nächsten zu schicken. Dafür wurde schon 1982 das @-Zeichen verwendet. Um irgendwelche Sicherheitsfeatures musste man sich keine Sorgen machen, denn das Internet war noch nicht erfunden. So konnten sich Mail Server über das SMTP-Protokoll, das Simple Mail Transport Protocol, mit einem einfachen HELO anrufen und ihre Daten verschicken.

Inzwischen geschieht das natürlich verschlüsselt aber immer noch mit SMTP, Mail abholen geht ebenfalls seit Jahrzehnten mit POP3 oder IMAP - auch verschlüsselt. Und es geht seit 30 Jahren sogar mit beliebigen MIME-codierten Dateianhängen (Multipurpose Internet Mail Extensions), solange diese nicht zu groß sind (vereinbart wurden max 5MB) - egal ob der Rechner Mac, Windows oder Linux spricht, ein Android oder ein Apple Smartphone ist. Das ist der Vorteil eines vereinbarten Protokoll, an das sich alle halten müssen.

Und die Nachteile?

1. Der wohl am meisten gehasste Nachteil sind die massenhaften Spam Nachrichten, die wir sekündlich erhalten. Spam zu versenden ist mit SMTP super einfach, man braucht nur massenhaft SMTP-Sitzungen eröffnen und kann dann Nachrichten bei anderen Servern abladen. Inzwischen gibt es zwar relativ intelligente Spam Filter, aber denen kann leicht eine wichtige Nachricht zum Opfer fallen oder sie sind so eingestellt, dass immer noch Spam durchrutscht - ärgerlich. Viel gravierender ist, dass der Spamanteil an den umlaufenden Mails einen erheblichen Teil des Internetverkehrs ausmachen und dafür Energie verbraucht wird. Oft werden auch Server, die viele Mails (z.B. Newsletter) versenden fälschlicherweise als Spam-Schleuder betrachtet und von anderen blockiert. (Das passiert unserem Verein regelmäßig durch microsoft365.com und wir müssen denen dann klar machen, dass wir die Guten sind ... Auch Heise.de berichtet von ähnlichen Erlebnisse mit Googles gmail Postfächern.).

2. Spoofing: Jeder kann sich als Jeder ausgeben, z.B. als Obama@WhiteHouse.gov. Zwar kann man so etwas auch leicht als Fake erkennen, aber dazu muss man in den Header der Mail schauen, um zu sehen woher sie wirklich kommt.

3. ASCII-Zeichensatz: In den 80-igern gab es (in den USA) nur den American Standard for Character Information Interchange (ASCII), der einen 7-bit Zeichensatz für E-Mail definierte. Drum herum wurden Wege für andere Zeichensätze gefunden, aber der aus der Zeit gefallene ASCII Zeichensatz blieb leider als Kern erhalten.

4. Verschlüsselung: Mail Server reden in der Regel TLS-verschlüsselt, aber das ist nicht verpflichtend.

5. Ende-zu-Ende-Verschlüsselung: Die Transportverschlüsselung mit TLS zwischen den Servern reicht uns aber nicht aus. Wir möchten, dass auch auf den Zwischenknoten die Inhalte unserer Mails nicht gelesen werden. Dazu ist eine Ende-zu-Ende-Verschlüsselung, z.B. mit GPG notwendig, die das Mailprotokoll nicht vorsieht. Dazu sind zusätzliche Programme notwendig, die nicht alle Mailprogramme vor sich aus mitbringen. Thunderbird für alle PC-Betriebssystem kann es und auch K9-Mail für Android.

Völlig unverständlich ist, dass die für viele - leider nicht alle - verfügbare Ende-zu-Ende-Verschlüsselung nur zu weniger als 10% der wirklich real wichtigen Mails genutzt wird. Selbst das staatlich geförderte Projekt DE-Mail - sicher verschlüsselte Mail für Deutschland wurde für Post und Telekom ein Verlust und wurde wieder eingestampft. Auch andere "Zusätze", wie das "besondere elektronische Anwaltspostfach" für den Verkehr zwischen Anwälten und Gerichten hatten viele Anlaufprobleme. Für das Gesundheitswesen baut die Gematik an der Telematik-Infrastruktur, über deren andauernde Probleme wir schon oft berichten mussten.

Statt einer grundsätzlich neuen Struktur für den Nachrichtenaustausch haben private Firmen in den letzten 10 Jahren eigene Messenger aufgebaut, denen (absichtlich) die Interoperabilität fehlt mit anderen Messengern Nachrichten auzutauschen. Es gibt auch bei diesen Messengern einige - die natürlich nicht von den Big5 kommen, denen man vertrauen kann, wie z.B. Signal, Threema, Gajim, Session, u.v.a.

Hits: 210