sslin.df.eu & sslout.df.eu - SSL-Mail-Server von DomainFactory: Servernamen, Ports und die Technik dahinter

Veröffentlicht am 14.11.2022 von DomainFactory, Anna Philipp

Mails ohne SSL: ungeschützt zwischen Servern unterwegs

Zu seinen Anfangszeiten hatte das Internet (bzw. dessen Vorläufer, das ARPANET) nur einen ganz kleinen Benutzerkreis. E-Mails waren gewissermaßen elektronische Notizzettel, die die Benutzer sich gegenseitig in elektronischen Postfächern hinterlassen konnten. Dass wie heute einmal große Teile des Geschäfts- und Privatlebens von E-Mail abhängen würden, hätte man sich damals nicht träumen lassen. Die Verschlüsselung von E-Mails ist daher etwas, was gewissermaßen nachträglich hinzuerfunden wurde. Sie ist nicht in den gebräuchlichen E-Mail-Protokollen POP (Post Office Protocol) bzw. POP3 und IMAP (Internet Message Access Protocol) zum Empfang von E-Mails oder SMTP (Simple Message Transfer Protocol) zum Versand enthalten, die sämtlich schon in den 1980er Jahren entwickelt wurden. Daher kann jemand, der eine Mail ohne SSL auf ihrem Weg durch das Internet abfängt, sie im Klartext lesen und sogar manipulieren und zum Empfänger weiterschicken, ohne dass dieser es merkt. Dies wird als „Man-in-the-Middle“- oder „Adversary-in-the-Middle“-Attacke bezeichnet.

Um das Problem der fehlenden Verschlüsselung bei der Kommunikation im Internet zu lösen, wurde 1994 das Protokoll Secure Sockets Layer (SSL) eingeführt. Zunächst wurde es nur für die Übertragung von Webseiten-Daten über HTTP verwendet. 1999 erschienen die ersten Standards RFC 2595 und RFC 2487 für SSL-verschlüsselten E-Mail-Versand und -Empfang; die entsprechenden sicheren Verfahren werden als POP3S, IMAPS und SMTPS bezeichnet und verwenden heute im Standard die speziellen Ports 995, 993 und 465.

Mittlerweile heißt SSL eigentlich Transport Layer Security (TLS). Die Bezeichnung SSL ist veraltet, wird aber trotzdem weiterverwendet, weil sie sich eingebürgert hat. Um Missverständnisse zu vermeiden, wird auch oft von TLS/SSL gesprochen.

SSL: Transportverschlüsselung zwischen Server und Client

Bei SSL handelt es sich um eine (serverbasierte) Transportverschlüsselung. Die Mails werden also auf ihrem Weg zwischen dem Mailserver und Ihrem E-Mail-Client verschlüsselt. Eine solche Transportverschlüsselung ist nicht zu verwechseln mit einer (clientbasierten) Ende-zu-Ende-Verschlüsselung, bei der die E-Mails auf dem ganzen Weg zwischen Absender und Empfänger verschlüsselt bleiben. Eine solche (beispielsweise mit PGP oder S/MIME) ist zwar noch sicherer, aber auch wesentlich umständlicher zu nutzen.

Um SSL zu verstehen, muss man sich mit dem Konzept der asymmetrischen Verschlüsselung vertraut machen. Bei der asymmetrischen Verschlüsselung besitzt jede teilnehmende Partei ein Schlüsselpaar, bestehend aus einem sogenannten privaten und einem öffentlichen Schlüssel (Private Key, Public Key. Daher wird die asymmetrische Verschlüsselung auch als Public-Key-Verschlüsselung bezeichnet.

Das wichtigste Prinzip: Ein Inhalt, der vom Sender mit dem öffentlichen Schlüssel verschlüsselt wurde, kann nur mit einem privaten Schlüssel entschlüsselt werden, den aber niemand außer den Empfängern besitzt. Ein Server, der asymmetrisch verschlüsselte Inhalte empfangen will, macht also seinen öffentlichen Schlüssel frei zugänglich. Private Schlüssel müssen sorgfältig geheimgehalten werden, denn wer auf ihn Zugriff hat, kann die ganze Kommunikation mitlesen.

SSL-Zertifikate schaffen Vertrauen

Bei der SSL-Verschlüsselung von Mails schickt der Mail-Client eine mit dem öffentlichen Schlüssel des Servers verschlüsselte geheime Nachricht an den Server. Hier eröffnet sich aber eine mögliche Schwachstelle: Woher weiß der Client, dass der angebliche öffentliche Schlüssel des Servers auch wirklich zu diesem gehört? Ein Angreifer könnte dem Client ja den eigenen öffentlichen Schlüssel unterschieben, um danach die Kommunikation heimlich mitzulesen.

Hier kommen die berühmten Zertifikate ins Spiel, von denen bei SSL immer die Rede ist. Ein Zertifikat ist ein Datensatz, in dem bestätigt wird, dass der fragliche öffentliche Schlüssel tatsächlich zu diesem Server gehört. Dass das stimmt, dafür bürgt eine vertrauenswürdige Stelle, die das Zertifikat mit ihrer digitalen Signatur versieht. Es gibt weltweit viele solche Zertifizierungsstellen (Certificate Authorities, CAs). DomainFactory zum Beispiel arbeitet mit der CA Starfield zusammen. CAs, die Zertifikate für Nutzer ausstellen, werden wiederum von übergeordneten CAs zertifiziert. So entsteht die sogenannte Public-Key-Infrastruktur.

Wussten Sie, dass bei einem WordPress-Pro-Produkt jede Webseite automatisch und kostenlos mit einem SSL-Zertifikat abgesichert wird.

Verschlüsselung beim Versand und beim Empfang von Mails

Zurück zum Mail-Client, der mit dem Server kommuniziert: Der Client prüft das Zertifikat des Servers. Ist es gültig, akzeptiert der Client den öffentlichen Schlüssel des Servers und schickt dem Server eine mit diesem verschlüsselte geheime Nachricht. Bei dieser geheimen Nachricht handelt es sich um einen sogenannten symmetrischen Schlüssel (oder eine Information, mit der ein geheimer symmetrischer Schlüssel erstellt werden kann).

Dieser Schlüssel kann sowohl zum Verschlüsseln als auch zum Entschlüsseln von Nachrichten verwendet werden und gilt nur für diese eine Sitzung. Mit ihm wird nun die Mail vom Server verschlüsselt, als Geheimtext vom Server zum Client geschickt und dort wieder entschlüsselt.

So werden also Ihre Mails mit SSL beim Empfang per POP3 oder IMAP geschützt – Sie erinnern sich, das ist der Posteingangsserver sslin.df.eu mit dem Port 993 für IMAPS bzw. 995 für POP3S. Beim Postausgang funktioniert es genau umgekehrt: Hier verschlüsselt Ihr Client die Mail und schickt sie an den Server sslout.df.eu an den Port 465 für SMTPS.

Professionell kommunizieren und produktiver arbeiten mit dem sicheren E-Mail-Hosting MyMail von DomainFactory. Erfahren Sie mehr!

Weiterführende Informationen

• Das Einrichten von Postfächern mit SSL ist in allen gängigen E-Mail-Clients einfach und komfortabel. Schritt-für-Schritt-Hilfe beim Einrichten finden Sie in den FAQ von DomainFactory.
• Außerdem steht Ihnen bei Fragen unser Kundenservice selbstverständlich gerne zur Verfügung!