Die Alinto AG hat beschlossen, den Grossteil ihrer Dienstleistungen in der Schweiz an die SEPPMAIL AG zu übertragen. Die Partner und Kunden der Alinto AG in den Bereichen Antispam («Cleanmail»), Signieren und Verschlüsseln, E-Mail-Archivierung und Exchange in Cloud-Diensten werden künftig von SEPPMAIL betreut. Alinto und SEPPMAIL sind überzeugt, dass es im besten Interesse ihrer Schweizer Partner und Kunden ist, ihnen jetzt und in Zukunft vollständig sichere E-Mail-Dienste mit einer starken und langjährigen lokalen Präsenz anzubieten. Die Transaktion beginnt im Dezember und soll bis zum zweiten Quartal 2026 abgeschlossen sein.

Alinto wird künftig strategische Kernfunktionen wahrnehmen und alle Märkte von Frankreich (Lyon) aus bedienen, wobei der Schwerpunkt auf Open-Source-basierten sicheren E-Mail-Diensten (Sogomail und SOGo) liegt. Im Rahmen dieser strategischen Neuausrichtung behält Alinto einige wichtige Schweizer Kunden, die Sogomail-Dienste nutzen, die weiterhin in der Schweiz betrieben werden.

SEPPMAIL verpflichtet sich, den in der Schweiz ansässigen Partnern und Kunden von Alinto einen stabilen und kontinuierlichen Service zu bieten und sie in den seppmail.cloud-Service zu integrieren. Die wichtigsten Mitarbeiter von Alinto Schweiz werden ab Dezember 2025 zu Mitarbeitern von SEPPMAIL.

Supportanfragen zu aktuellen Alinto-Kunden und -Diensten sowie Fragen zur bevorstehenden Migration sind an support@seppmail.ch zu richten.

SEPPMAIL wird die Partner und Kunden in den kommenden Wochen per E-Mail und Webinare über die nächsten Schritte informieren, um die technischen und administrativen Schritte für die Übertragung ab Ende Dezember 2025 zu regeln.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das Jahr 2025 zum Jahr der E-Mail-Sicherheit ausgerufen. Ein starkes Signal für ein Thema, das im digitalen Alltag oft übersehen wird – aber entscheidend ist, um Identität, Vertraulichkeit und Integrität in der Unternehmenskommunikation zu sichern. Als führender Anbieter für sichere E-Mail-Kommunikation in der Cloud nimmt SEPPMAIL diese Initiative zum Anlass, Einblick zu geben, wie wir aktiv an der Verbesserung der E-Mail-Sicherheitslandschaft arbeiten – insbesondere dort, wo selbst die großen Player Schwächen zeigen.

Wenn große Namen stolpern: Das DKIM-Dilemma bei M365

Aktuell sehen unsere Experten einen wiederkehrenden Befund: Bei bestimmten E-Mails, die von Microsoft 365 (M365) versendet werden, fehlen kritische DNS-Einträge für die DKIM-Signatur (DomainKeys Identified Mail). Das bedeutet: Diese Signaturen können durch einen empfangenden Server nicht korrekt validiert werden. Das ist eine automatisiert aktivierte Fehlkonfiguration seitens Exchange Online, die bei einer nicht ignorierbaren Anzahl von M365-Tenants auftritt. Leider kann man bei einer E-Mail aus so einem Tenant die Integrität der Nachricht auf Empfängerseite nicht überprüfen. Wir sehen diese Fälle bei uns in der SEPPMAIL-Cloud bei 5-10% (!) der mit .onmicrosoft.com DKIM-signierten ankommenden E-Mails aus Microsoft Tenants.

Da wir das Problem kennen und unsere SEPPMAIL.cloud sehr flexibel darauf reagieren kann, konnten wir rasch einen Workaround bauen und solche Mails trotzdem annehmen. Traurigerweise misst Microsoft aber bei der internen Zustellung an den Empfänger mit zweierlei Maßen. Wenn ein Mailserver, wie der von SEPPMAIL.cloud, nämlich eine solche Nachricht über eine IPv6-Verbindung an M365 übermitteln möchte, lehnt Microsoft diese häufig temporär ab, weil die DKIM-Validierung fehlschlägt. Trotz Einsatz moderner Standards wie ARC (Authenticated Received Chain) oder spezieller Konnektoren muss ein vor die M365 Cloud vorgeschaltetes System einige Handstände machen und die Security wieder aufweichen um das E-Mail zuzustellen. Dies bedeutet Mehraufwand der bei korrektem Handling von DKIM durch Microsoft vermieden werden könnte.

Das alles ist mehr als eine traurige Randnotiz in unserem Kampf um sichere E-Mail Kommunikation und zeigt vor allem wieder einmal, wie wichtig konsequentes Handling von Sicherheitsmechanismen ist, und dass sich die großen Player leider nicht daran halten.

Was SEPPMAIL anders macht

Bei SEPPMAIL haben wir uns bewusst entschieden, solche Schwächen nicht zu ignorieren, sondern sie lösungsorientiert abzufedern. Unser Cloud-System analysiert eingehende Nachrichten und erkennt, wenn ein DKIM-Schlüssel nicht per DNS abrufbar ist. Anstatt die Nachricht ersatzlos abzulehnen – was zu Kommunikationsabbrüchen führen würde – setzen wir auf Transparenz und Nutzerinformation:

• Verdächtige Nachrichten werden in Quarantäne verschoben.
• Der Absender erhält eine sofortige Rückmeldung, inklusive Hinweis, dass seine Nachricht aufgrund eines nicht validierbaren DKIM-Eintrags blockiert wurde.
• Für IT-Administratoren liefern wir eine praxisnahe Anleitung, wie der Fehler behoben werden kann.
  Dieser Ansatz schützt nicht nur Empfänger vor potenziell kompromittierten E-Mails, sondern befähigt auch Versender, ihre Systeme korrekt zu konfigurieren – ein Beitrag zu mehr E-Mail-Sicherheit im gesamten Ökosystem.

Verantwortung und Kompetenz im E-Mail-Sicherheitsjahr

Das BSI ruft Unternehmen explizit dazu auf, technologische Verantwortung zu übernehmen und Sicherheitsstandards aktiv zu fördern. Genau das tun wir. SEPPMAIL steht für praxisnahe, automatisierte und datenschutzkonforme Sicherheitslösungen, die den realen Herausforderungen moderner Kommunikation gerecht werden.

E-Mail-Sicherheit endet für uns nicht beim Signieren und Verschlüsseln von Nachrichten – sie schließt auch die intelligente Behandlung fehlerhafter oder verdächtiger Zustellversuche ein. Denn nur wer versteht, wie komplexe Mail-Interaktionen zwischen Systemen funktionieren, kann wirklich Schutz bieten.

Fazit

2025 markiert einen Wendepunkt in der Wahrnehmung von E-Mail-Sicherheit in Deutschland und Europa. Während mancher Global Player noch mit unvollständigen DKIM-Einträgen kämpft, setzt SEPPMAIL in der Cloud auf konsequente Analyse, Transparenz und aktive Kommunikation mit allen Beteiligten.

So stellen wir sicher, dass E-Mail-Kommunikation nicht nur funktioniert – sondern sicher, nachvollziehbar und vertrauenswürdig bleibt. Ganz im Sinne des BSI-Jahres der E-Mail-Sicherheit 2025.

In den letzten Wochen haben uns Kunden und Partner vereinzelt darüber berichtet, dass der Betrieb einer SEPPMAIL VM in Azure nicht möglich war. Ausgehende E-Mails auf Port 25 zu senden, ging trotz Azure Enterprise Subscription und Öffnen eines Microsoft Support-Calls nicht, somit war eine Parallel-Integration zu einem E-Mail-System nicht konfigurierbar.

Bestehende SEPPMAIL VMs dürften weiterhin funktionieren. Bei einem Wechsel zu einer anderen Subscription kann es zu Einschränkungen oder gar zum Funktionsstopp kommen.

Wir möchten nun proaktiv darauf hinweisen, dass Microsoft offensichtlich den Einsatzbereich von SMTP-sendenden Devices schrittweise einschränkt. Hier ist nun ein Status aus unserer Sicht, ohne Anspruch auf Vollständigkeit.

Aktuelle Richtlinien von Azure

• Enterprise- und Microsoft-Kundenverträge (EA und MCA-E):

Für VMs in diesen Abonnements ist der ausgehende SMTP-Verkehr über Port 25 standardmäßig nicht blockiert.

Allerdings ist Port 25 bei Enterprise Dev/Test-Abonnements standardmäßig blockiert. Um diese Sperre aufzuheben, können Sie im Azure-Portal unter der Ressource „Virtuelles Netzwerk“ die Funktion „Diagnose und Behebung“ nutzen und eine Ausnahme beantragen. Nach Genehmigung muss die betroffene VM neu gestartet werden, um die Änderungen zu übernehmen.

• Andere Abonnementstypen:

Bei Abonnements außerhalb von EA und MCA-E blockiert Azure standardmäßig ausgehende Verbindungen über Port 25. Diese Richtlinie dient der Verbesserung der Sicherheit und der Einhaltung von Industriestandards.

Strategien für VMs, die Port 25 zwingend benötigen

1. Ausnahmeantrag für Port 25 stellen

Falls Ihr Abonnement es erlaubt, können Sie eine Ausnahme beantragen, um Port 25 zu entsperren. Gehen Sie dazu wie folgt vor:

• Navigieren Sie im Azure-Portal zur Ressource „Virtuelles Netzwerk“.
• Nutzen Sie die Funktion „Diagnose und Behebung“, um einen Antrag zu stellen.
• Nach der Genehmigung muss die betroffene VM neu gestartet werden.

2. Alternative Abonnements nutzen

Falls Ihre aktuelles Abonnement keine Ausnahme für Port 25 erlaubt, sollten Sie in Erwägung ziehen, auf eine Enterprise-Subscription oder eine andere passende Kategorie umzusteigen, die keine Blockierung von Port 25 vorsieht.

3. Sicherheitsmaßnahmen verstärken

Der Betrieb von Port 25 bringt Sicherheitsrisiken wie Spam-Verteilung mit sich. Daher sollten Sie zusätzliche Maßnahmen ergreifen wie:

• Einschränkungen auf IP- oder Firewall-Ebene, um nur autorisierten Datenverkehr zuzulassen.
• Implementierung von Mechanismen zur Missbrauchserkennung und -verhinderung.

Zukunftsaussichten zu Port 25 auf Azure

Microsoft hat derzeit keine Pläne angekündigt, Port 25 vollständig für alle Abonnements zu blockieren. Dennoch ist es möglich, dass sich die Richtlinien zukünftig ändern könnten, um Sicherheitsstandards weiter zu erhöhen. Deswegen prüfen Sie, ob Ihr Abonnement eine Ausnahme für Port 25 erlaubt, und beantragen Sie diese gegebenenfalls rechtzeitig.

Verfolgen Sie regelmäßig die Richtlinien-Updates von Microsoft, um auf Änderungen vorbereitet zu sein.

Falls das in Ihrem Abonnement nicht möglich ist, finden Sie alternative Hosting-Anbieter, die diesen Service bieten, oder betreiben Sie die SEPPMAIL Appliance bei sich im Rechenzentrum. Alternativ wechseln Sie in die SEPPMAIL.cloud, falls das Ihre Unternehmensrichtlinie und das Setup der Appliance erlauben.

Für Amazon Web Services haben wir Ähnliches festgestellt; wir haben jedoch so wenige Kunden auf dieser Plattform, dass wir hier nicht weiter recherchiert haben.

Mit der jahrzehntelangen Erfahrung im Bereich E-Mail-Security und nach tausenden von Kundenprojekten haben wir die wichtigsten Faktoren für erfolgreiche Projekte in einem Sieben-Schritte-Programm zusammengefasst. Wenn auch Sie vorhaben, die E-Mail, Ihr wichtigstes Kommunikationsmedium im Geschäftsbereich, auf ein neues Sicherheitsniveau zu heben, lassen Sie sich von unserem Leitfaden inspirieren und starten Sie gleich von Anfang an im Projekt richtig durch.

Die sieben Schritte im Überblick:

1. 1. Finde Anwendungsfälle
   2. Hole Stakeholder ins Boot
   3. Führe einen Proof-of-Value durch
   4. Überzeuge die Führungsebene vom positiven Business Case
   5. Implementiere mit einem kompetenten Partner
   6. Informiere über die Verbesserung
   7. Finde weitere Anwendungsfälle

Um Ihnen die Arbeit zu erleichtern, finden Sie hier die zentralen „Best practices“ für die einzelnen Schritte.

1.  Finde Anwendungsfälle

In jedem Unternehmen sind sie irgendwo versteckt – die Anwender, die E-Mails verschlüsseln oder signieren (müssen). Oft passiert das mit händischen Konfigurationen am jeweiligen Endgerät und muss mühsam gewartet werden. Es kann auch sein, dass neuen Regularien (DSGVO, NIS2, TISAX …) das Unternehmen in ein Verschlüsselungsprojekt drängen oder ein Vorfall im Bereich E-Mail-Sicherheit plötzlich die Aufmerksamkeit des Managements hat. Wenn Sie Ihre Wahrnehmung auf das Thema schärfen, finden Sie sicher ein paar Fälle, für die es sich lohnt, Ihre E-Mail-Kommunikation professionell abzusichern.

2.  Hole Stakeholder ins Boot

Eine Änderung der Technologie bedingt meist auch eine Änderung am Verhalten der Benutzer. Auch wenn das beim Einsatz von SEPPMAIL minimal ist, haben Mitarbeiter oft Vorbehalte, wenn Veränderungen stattfinden. Es gibt glücklicherweise in jedem Unternehmen die „Leuchtfiguren“, die Vorbildcharakter haben. Finden Sie zu den Anwendungsfällen solche Leuchtfiguren (Stakeholder) und binden Sie sie möglichst früh in Ihr Vorhaben ein.

Überzeugen Sie die Stakeholder, dass die Anwendungsfälle Vorteile haben und der Einsatz von SEPPMAIL sinnvoll ist.

3.  Führe einen Proof-of-Value durch

Proof-of-Concepts sind ein alter Hut – führen Sie einen Proof-of-Value (PoV durch)! E-Mail-Sicherheit auf ein neues Niveau zu heben ist eine Sache, die Investition dahinter zu rechtfertigen eine andere. Bevor Sie in eine Diskussion mit dem Management über die Budgetfreigabe gehen, testen Sie SEPPMAIL mit Ihren Anwendungsfällen durch und dokumentieren Sie die Ergebnisse. Nach unserer Erfahrung ist das die beste Grundlage für den nächsten Schritt. Ein guter PoV beinhaltet die Anwendungsfälle und Szenarien, die erfüllt werden müssen, und das Ergebnis beschreibt den Erfüllungsgrad. Jeder verantwortungsvolle Manager investiert in E-Mail-Sicherheit, sobald es konkrete, funktionierende Lösungen gibt, die dem Unternehmen helfen, sich abzusichern.

4.  Überzeuge die Führungsebene vom positiven Business Case

Ein Business Case kann sehr detailliert und lang sein oder auf eine einzelne A4-Seite passen. Wichtig ist, dass das Management daraus erkennt, dass die Investition in E-Mail-Sicherheit wert- und sinnvoll ist.

Ein guter Business Case sollte folgende Punkte enthalten:

• Gründe, warum man investieren möchte (Vorsicht – keine Lösungen einbauen, hier die Anwendungsfälle und potenzielle Risiken erklären, wenn alles so bleibt, wie es ist)
• Optionen, wie man weiter vorgehen kann und Empfehlungen des Projektteams
  • Nichts tun
  • Minimale Lösung
  • Präferierte Lösung
  • Andere mögliche Optionen

• Risiken des Einsatzes
• Kosten des Projektes
• Dauer des Projektes
• Nutzen der Investition, hier kann man Folgendes einbringen:
  • Senkung des Risikos einer Strafe durch Verletzung eines Gesetzes (Haftungsrisiko)
  • Senkung des Risikos einer Cyberattacke
  • Erreichen neuer Märkte durch eine Zertifizierung (NIS2, TISAX …)
  • Erreichen neuer Märkte durch höhere Reputation
  • Senkung der Kosten durch neue oder veränderte Prozesse (statt Fax è sichere E-Mail)

Wenn der Business Case positiv befürwortet wird, kann das Projekt in die Umsetzung gehen und der Betrieb starten.

5.  Implementiere mit einem kompetenten Partner

Ein funktionierendes E-Mail-System ist die Basis für den gesunden Schlaf jedes E-Mail-Admins. Probleme mit der Zustellung schlagen schnell im Support auf und eskalieren gerne, da die Anwender bei Fehlern in Stress geraten und daher oft überhitzt reagieren. Veränderungen im E-Mail-Strom bedürfen also der Planung und sauberen Umsetzung. Glücklicherweise hat SEPPMAIL ein kompetentes Partnernetzwerk mit ausgebildeten „SEPPMAIL System Engineers“, um die Erweiterung Ihres E-Mail-Systems fachgerecht und reibungslos umzusetzen. Egal ob Exchange onprem, Exchange Online, Lotus Notes oder jedes andere E-Mail-System: SEPPMAIL sollte nach erfolgreichem PoV in kurzer Zeit Teil Ihrer Infrastruktur sein.

6.  Informiere über die Verbesserung

Viele IT-Projekte schaffen fantastische Verbesserungen, und trotzdem hört man nie wieder etwas davon. Nutzen Sie den Schwung der Neuerung, betreiben Sie „Security-Marketing“ und kommunizieren Sie dies an die Mitarbeiter und Ihr externes Ökosystem. Wenn Sie Gutes tun, sollten Sie auch darüber informieren. Hier sind ein paar Tipps, wie man mit wenig Aufwand große Reichweite schafft:

• An die Mitarbeiter – informieren Sie im/in internen Newsletter/Intranet/Meetings über die neuen Möglichkeiten und geben Sie Tipps und Links für weitere Infos (Handhabung, Tipps und Tricks)
• An Externe – kündigen Sie die Veränderung für die Zielgruppen an.
  Falls Sie zu spezifischen Zielgruppen verschlüsselt kommunizieren, informieren Sie diese über die Neuerungen.
• An Externe – passen Sie Ihren Disclaimer (der Text in jeder E-Mail mit der Grußformel und den Kontaktdaten) so an, dass extern sichtbare Veränderungen angekündigt und beschrieben werden. Beispiele:
  • Ein Monat vor Einsatz der zertifikatsbasierten Signatur:
    „Ab 1.1.2025 senden wir unsere E-Mails ausschließlich digital signiert. Nur E-Mails mit einer gültigen Signatur sind ab dann von uns und wurden auf dem Weg nicht verändert.“
  • Ab Einsatz für drei Monate: 
    „Seit 1.1.2025 senden wir unsere E-Mails ausschließlich digital signiert. Nur E-Mails mit einer gültigen Signatur sind ab dann von uns und wurden auf dem Weg nicht verändert.“

7.  Finde weitere Use-Cases

„Mit dem Essen kommt der Appetit“, und das gilt nach unserer Erfahrung auch bei SEPPMAIL-Projekten. Wenn Unternehmensbereiche mit einer Lösung erfolgreich sind, kommen andere auf den Geschmack. Wir haben schon oft erlebt, dass nach den ersten Schritten mit SEPPMAIL rasch Erweiterungen bestellt wurden, weil im Unternehmen die Lust auf bessere E-Mail-Kommunikation gewachsen ist oder andere Herausforderungen, wie z.B. das Teilen von großen Dateien, dann mit SEPPMAIL einheitlich mittels E-Mail gelöst werden können. Hören Sie auf Ihre Mitarbeiter und Abteilungsleiter, wie nach Außen kommuniziert wird und welche Prozesse noch mit dem SEPPMAIL-Lösungsportfolio verbessert werden können. Das wird Ihre Glaubwürdigkeit beim Management stärken und die Investition in SEPPMAIL als gute Entscheidung festigen. Wir sind selbst immer wieder überrascht, welche kreative Lösungen unsere Kunden mit unseren Produkten erschaffen.

Wir wünschen viel Erfolg bei unserem Sieben-Punkte-Plan. Wenn Sie weitere Fragen haben, kontaktieren Sie uns. 

Die aktuell in Begutachtung befindliche Novelle des österreichischen Gesundheitstelematikgesetzes wird aus heutiger Sicht im Januar 2025 in Österreich in Kraft treten und die Ablöse von Fax als Übertragungsmedium von Gesundheitsdaten einleiten.

Liest man diesen Satz, dann stellt sich die Frage, warum diese Novelle nicht schon 1995 in Kraft getreten ist? Denn schon damals war die Übertragungstechnik 20 Jahre alt und war die dominante Variante zur Übertragung von personenbezogenen Gesundheitsdaten. Fax ist 1974 großflächig kommerziell verwendbar geworden und hat die Büros der 80er und 90er Jahre dominiert.

Nun kann man sowohl über die Technik als auch über den Zeitpunkt lästern; als österreichischer Bürger bin ich froh, dass dieser Schritt überhaupt gemacht wird, denn auch meine Gesundheitsdaten werden in nächster Zeit immer wieder übertragen werden.

Die viel spannendere Frage ist wohl: Welche Technologie wird der Nachfolger? Bei einem gesetzlich bedingten Wechsel einer Technologie bringen sich üblicherweise die Vertreter neuer Technologien in Stellung, um die Ablöse zu übernehmen. SEPPMAIL ist einer davon, das steht hier außer Frage. Um den Werbeblock für unsere Produkte noch etwas hinauszuschieben, schauen wir doch in die Schweiz, wie dort Gesundheitsdaten übertragen werden.

Die Verantwortlichen für dieses Thema in der Schweiz haben sehr früh – nämlich 1995 – auf zwei Strategien gesetzt.

• Die Übertragungsmethode muss für ALLE Teilnehmer leicht verfügbar sein.
• Es wird auf technologische Standards gesetzt.

„Alle“ im Gesundheitswesen sind hauptsächlich Patienten, Ärzte, Versicherungen, Krankenhäuser und Therapieeinrichtungen. Bei der Kommunikation zwischen diesen Teilnehmern müssen Gesundheitsdaten vor fremdem Zugriff geschützt werden und sicher ankommen.

Bei technologischen Standards wird die Sache, besonders in der kurzlebigen IT, schon etwas schwieriger. Normungsinstitute versuchen, einheitliche Standards zu schaffen, damit die Kunden möglichst herstellerneutrale Technologie einsetzen können, um die Abhängigkeit von Herstellern zu vermeiden. Das wird naturgemäß von den großen Playern immer wieder ausgereizt, um den entscheidenden Vorteil für sich herauszuarbeiten. Die offene Marktwirtschaft hat auch hier ihre Nachteile, man erinnere sich an Video2000 und VHS, BlueRay gegen HD-DVD und so weiter.

Glücklicherweise hat sich für die elektronische Kommunikation in der IT ein Standard etabliert, der sowohl die Verbreitung in der Branche hat als auch die Einfachheit besitzt, von jedem benutzt werden zu können. E-Mail ist für alle möglich, E-Mail funktioniert auf jedem Endgerät, E-Mail ist ein globaler Standard. Auch die E-Mail-Verschlüsselungstechnologie S/MIME ist standardisiert und ist eine zentrale Komponente der Schweizer Lösung.

Die Schweiz hat sich im Blickwinkel des IT-Zeitalters also schon sehr früh für E-Mail entschieden. Die Idee, Gesundheitsdaten via verschlüsselter E-Mails zu versenden, wurde in der Schweiz konsequent nachverfolgt.

Es ist für alle im Gesundheitsbereich sehr einfach, dem „Health Information Network“ (HIN) beizutreten, und genauso einfach ist es für einzelne Personen, verschlüsselte persönliche Gesundheitsdaten via E-Mail zu empfangen.

Diese grundlegenden technologischen Entscheidungen waren der Ausgangspunkt für HIN, welches eine im globalen Vergleich beispiellose Erfolgsgeschichte ist. Trotz Freiwilligkeit der Teilnahme und nicht zu vernachlässigender Kosten sind 100 % aller Spitäler, 80 % aller Versicherungen und 99 % aller Ärzte Teilnehmer dieses Netzwerkes.

Wenn man nun das weltweite Ansehen des Schweizer Gesundheitssystems betrachtet, spielt das Vertrauen in die Kommunikation zwischen den Teilnehmern neben der gebotenen Qualität der Leistungen eine bedeutende Rolle. Vertrauen mittels Einheitlichkeit und Standards zu schaffen, ist also möglich, wenn man die richtigen Entscheidungen trifft.

Der gesamte Funktionsumfang der E-Mail-Verschlüsselung wird seit den frühen 2000er Jahren durch SEPPMAIL zur Verfügung gestellt. Eine HIN-Appliance ist eine SEPPMAIL-Appliance im HIN-Look. Wir als SEPPMAIL haben also die Technologie, um große Branchen flächendeckend mit sicherer E-Mail zu versorgen. Die Funktion umfasst die Kommunikation zwischen Institutionen und zu Einzelpersonen und ist nun schon jahrzehntelang ein Garant für sichere Datenübertragung im Gesundheitssystem der Schweiz.

Sie wollen mehr wissen? Dann kontaktieren Sie uns. 

Am 17. Juli 2024 haben die Exchange Engineering Teams die öffentliche Vorschau von SMTP DANE mit DNSSEC angekündigt.

In wenigen Worten: DANE (DNS-based Authentication of Named Entities) und DNSSEC (Domain Name System Security Extensions) arbeiten zusammen, um die E-Mail-Sicherheit zu verbessern, indem sie sicherstellen, dass der E-Mail-Server, mit dem Sie sich verbinden, legitim ist und die Kommunikation sicher ist.

– DNSSEC sichert das Domain Name System (DNS), indem es sicherstellt, dass die Antworten auf DNS-Abfragen (z. B. Ermittlung der IP-Adresse eines E-Mail-Servers) nicht manipuliert wurden. Es fügt eine Überprüfungsebene mit digitalen Signaturen hinzu, die Angreifer daran hindert Sie auf gefälschte Server umzuleiten (DNS-Spoofing).

– DANE baut auf DNSSEC auf, indem es E-Mail-Anbietern erlaubt, die kryptografischen Zertifikate (TLS-Zertifikate) ihrer E-Mail-Server in DNS-Einträgen veröffentlichen. Dies hilft E-Mail-Clients zu überprüfen, ob das Zertifikat des Servers korrekt ist und nicht durch ein gefälschtes Zertifikat ersetzt wurde.

Warum also macht DANE mein E-Mail-System sicherer?

DNSSEC und DANE verhindern vor allem Man-in-the-Middle-Angriffe und stellen sicher, dass E-Mail-Verschlüsselung sicher an den richtigen Server gesendet werden, was die allgemeine Sicherheit von E-Mail-Diensten erhöht. Für weitere Informationen zu den genauen Details von DANE/DNSSEC lesen Sie https://labs.ripe.net/author/dennis_baaten/better-mail-security-with-dane-for-smtp

DANE und SEPPMAIL.cloud

SEPPMAIL.cloud ist seit langem für DANE/DNSSEC vorbereitet und ein Setup mit Exchange online und SEPPMAIL.cloud ist eine tolle Kombination. Sie können die Vorteile von DANE/DNSSEC sowohl in parallelen als auch in Inline-Szenarien nutzen, lesen Sie Details unten.

Inline-Modus mit Exchange Online

Im Inline-Modus, bei dem SEPPMAIL.cloud die erste Verteidigungslinie ist und Exchange Online über Partnerkonnektoren angebunden ist, veröffentlicht SEPPMAIL automatisch das richtige TLSA-Zertifikat für den MX-Eintrag im DNS. Dies ist jedoch nur dann wirksam, wenn die Domäne unseres Kunden DNSSEC aktiviert hat, was in den Händen des Kunden selbst liegt.

Wenn DNSSEC richtig konfiguriert ist, kann nicht nur SEPPMAIL.cloud als Front zum Internet E-Mail sicherer handhaben, auch die Verbindung zwischen SEPPMAIL.cloud und Exchange Online könnte ein wenig von DANE profitieren. Der Konnektor, den wir heute verwenden, ist zertifikatsbasiert, d.h. Microsoft akzeptiert die Verbindung nur, wenn unser Zertifikat gegeben ist. Indem wir sicherstellen können, dass das richtige Zertifikat von Microsoft geliefert wird (und kein DNS-Spoofing stattfindet), hilft es, auch dieses unwahrscheinliche Szenario abzudecken und reduziert das Risiko eines MITM-Angriffs auch auf dieser Angriffsfläche.

Paralleler Modus mit Exchange Online

In einem Parallelmodus-Szenario bearbeitet Microsoft die DNS-Anfragen für entfernte E-Mail-Server, so dass der größte Teil der Konfiguration dort vorgenommen werden muss.

Änderungen bei Exchange Online

Im Parallelmodus macht die Aktivierung von DANE auf Exchange Online einen größeren Unterschied, da die Verbindungen von überall her zu Microsoft kommen. DANE stellt sicher, dass diese Mails an die richtige Stelle zugestellt werden und dass die E-Mails, die von SEPPMAIL.cloud zurück zu Exchange Online injiziert werden, ebenfalls mit TLS verschlüsselt und an die richtigen Server zugestellt werden.

Um DANE im Parallelmodus zu aktivieren, folgen Sie einfach den Anweisungen von Microsoft in den „Learn“-Artikeln. Grundsätzlich wird bei der Einrichtung ein neuer DANE-aktivierter MX-Eintrag erstellt, den Sie konfigurieren müssen. Details finden Sie unter dem Link Inbound aktivieren.

Für ausgehende E-Mails gibt es scheinbar nichts zu tun, wie hier Enable outbound dokumentiert.

Änderungen in der SEPPMAIL.cloud

In der SEPPMAIL.cloud müssen Sie dann die Forward-Server in login.seppmail.cloud auf Ihrem Kunden-Tenant auf die vom Powershell-Befehl ausgegebenen ändern. Dies soll zeitlich gut abgestimmt mit der Änderung des MX-Eintrags geschehen. Prüfen Sie Sie anschließend den Mailflow in der SEPPMAIL.cloud, indem Sie den Mailflow in den Logs überwachen.

Tools:

Um die DNSSEC-Konfiguration einer E-Mail-Domain zu überprüfen, verwenden Sie https://dnsviz.net/ (auch verlinkt im Menü „Support-Tools“ des SEPPMAIL.cloud Portals)

Links:

Microsoft Learn Artikel zu DNSSEC/DANE: https://learn.microsoft.com/en-us/purview/how-smtp-dane-works

In einer zunehmend vernetzten Welt, in der digitale Kommunikation eine zentrale Rolle spielt, ist der Schutz sensibler Informationen von höchster Bedeutung. Die NIS-2-Richtlinie (EU-Richtlinie zur Netzwerk- und Informationssicherheit) ist am 27.12.2022 im Amtsblatt der Europäischen Union veröffentlicht worden und muss von Mitgliedsstaaten bis zum 17.10.2024 in nationales Recht umgesetzt werden. [1]

Durch ihre Einführung sollen Maßnahmen gegen Cyberbedrohungen verstärkt und ein einheitlicher europäischer Rechtsrahmen für den EU-weiten Aufbau nationaler Kapazitäten für die IT-Sicherheit sowie Mindestsicherheitsanforderungen an und Meldepflichten für bestimmte Dienste geschaffen werden. Ziel ist es, einheitliche Maßnahmen festzulegen, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen in der EU erreicht werden soll (Art.1 NIS-2). Im Vergleich zur alten NIS-1-Richtlinie werden höhere Sicherheitsstandards gefordert, der Adressatenkreis wurde erweitert und die Strafen für eine Nichteinhaltung signifikant auf das Niveau der EU-DS-GVO erhöht (bis zur Haftung der Geschäftsführung mit ihrem Privatvermögen).

NIS-2 ist Chef-Sache und „Chef-Haftung“

Auch wenn sich Unternehmen auf den ersten Blick nicht zum Adressatenkreis dazugehörig fühlen, sollten sie sich dennoch nicht in Sicherheit wiegen. Art. 21 II d NIS-2 regelt, dass auch alle Risikomaßnahmen im Bereich der Cybersicherheit die „Sicherheit der Lieferkette …“ umfassen müssen. Lieferanten, egal wie groß, werden als mögliche Schwachstellen angesehen und tun gut daran, sich an die Sicherheitsstandards zu halten. Unternehmen werden zunehmend eine Risikobewertung bei der Auswahl ihrer Dienstleister vornehmen und das Risikomanagement vertraglich regeln.

Eine der Kernmaßnahmen, um diesen Anforderungen gerecht zu werden, ist die Verschlüsselung von E-Mails.

E-Mails sind nach wie vor eines der am häufigsten genutzte Kommunikationsmittel im geschäftlichen Umfeld und somit Angriffsvektor Nr. 1. Sie enthalten oft vertrauliche Informationen wie Geschäftsstrategien, personenbezogene Daten oder finanzielle Details. Unverschlüsselte E-Mails sind anfällig für Angriffe, da sie während der Übertragung abgefangen und von Unbefugten gelesen werden können. Hier kommt die Verschlüsselung ins Spiel.

Durch die Verschlüsselung von E-Mails wird der Inhalt in einen unleserlichen Code umgewandelt, der nur von autorisierten Empfängern entschlüsselt werden kann. Dies stellt sicher, dass selbst im Falle eines Angriffs oder Datenlecks keine sensiblen Informationen preisgegeben werden. Die NIS-2-Richtlinie betont die Notwendigkeit solcher Sicherheitsmaßnahmen, um die Integrität und Vertraulichkeit der digitalen Kommunikation zu gewährleisten.

Auch wenn davon auszugehen ist, dass die Umsetzung der Richtlinie in deutsches Recht bis zum 17.10.2024 nicht erfolgen wird, sollten Unternehmen, die den Anforderungen der NIS-2-Richtlinie gerecht werden wollen, dringend die Implementierung von E-Mail-Verschlüsselung in ihre Sicherheitsstrategien integrieren. Dies schützt nicht nur sensible Daten, sondern stärkt auch das Vertrauen von Kunden und Partnern in die Sicherheit ihrer Kommunikation. Angesichts der steigenden Bedrohungen im Cyberraum ist die Verschlüsselung von E-Mails ein unverzichtbares Element moderner IT-Sicherheit.

[1] https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022L2555