De-Mail Firmenanbindung

Die Anbindung von Firmen an De-Mail kann über mehrere Wege erfolgen. Technisch ist es auch wieder nur ein Transport der Mails per SMTP oder POP3 über SSL mit Zertifikaten. Allerdings gibt es bei Firmen eben auch mehr als einen einzigen Empfänger, zumindest wenn die Firma sehr viel größer ist.

Wenn ich bei Net at Work z.B. die Mailadresse frank.carius@netatwork.de-mail.de haben werde, so kann ich natürlich keinen MX-Record in der De-Mail.DE-Zone eintragen lassen. Ich muss mir einen Provider suchen, der bei De-Mail akkreditiert ist und für mich diese Domäne einträgt. Alle Mails an diese Domäne werden dann an den Provider gesendet, welcher dann weiß, wie er damit weiter umgehen muss.

Versand und Empfang von De-Mail als Firma

Aus technische Sicht sind drei verschiedene Lösungen für Firmen vorgesehen:

Schauen wir und die Optionen genauer an:

Die (virtuelle) Poststelle mit Poststelle@firma.de-mail.de

Unter dem Begriff "Virtuelle Poststelle (VPS)" gibt es durchaus auch andere Ansätze. Heute ist es ja schon selbstverständlich, dass jeder Arbeitsplatz per Durchwahl direkt von intern und extern erreichbar ist und auch Briefe mit einem Namen als Empfänger direkt zum Arbeitsplatz zugestellt werden. Aber für die klassische "Geschäftspost", die nicht gezielt an eine Person adressiert ist, gibt es auch heute noch die "Poststelle". Oft ist die Poststelle in Personalunion auch gleich der Empfang im Hauptgebäude, bei der der Zulieferer die Briefe oder Pakete abgibt. Das Personal der Poststelle quittiert Einschreiben, öffnet die Briefe, versieht Sie mit einem "Posteingangsstempel" und sorgt für die Weitergabe in die jeweilige Fachabteilung.

Analog dazu könnte eine Firma auch ihren Betrieb mit De-Mail einrichten. Nicht jede Person mit einem Schreibtisch oder Postfach auf dem zentralen Mailsystem muss auch eine De-Mail-Adresse haben. Es könnte sogar unerwünscht sein, dass Mitarbeiter selbst signieren und verschlüsseln. Bei DE-Mail signieren und verschlüsseln auf jeden Fall die Provider untereinander. Der Weg zum Kunden ist hingegen "nur" TLS-verschlüsselt, z.B.HTTPS.

Daher könnte für viele Firmen der erste Einstieg in De-Mail damit beginnen, dass es eine Adresse in der Form "Poststelle@firma.de-mail.de" gibt, an welche andere De-Mail-Teilnehmer einfach zentral ihre Mail senden. Ein System, fragt dann dieses Postfach z.B.: beim Provider entsprechend häufig ab. Dabei ist es auch relativ einfach, eine starke Authentifizierung umzusetzen. Für die Firma gibt es auch nur ein Zertifikat (Ausgestellt auf Poststelle@firma.de-mail.de), welches dann auch sicher z.B. auf einer Smartcard liegen könnte. An dieser zentralen Stelle werden eingehende Mails auch entschlüsselt, ehe sie dann manuell an die entsprechende Fachabteilung weiter geleitet werden.

Zum Versand müssten die internen Versender ihre Nachrichten natürlich ebenfalls erst an die Poststelle senden, die diese dann mit ihrem Namen und signiert über die Verbindung zum De-Mail Provider versendet.

Die Poststelle könnte natürlich neben der Verschlüsselung und Signatur natürlich auch gleich die Mails auf Viren scannen, einen Disclaimer anfügen und die Nachrichten revisionssicher archivieren. Damit müssten diese Funktionen nicht auf allen möglichen internen Postfächern umgesetzt werden. Wer wenige Postfächer betreibt, kann

Wenn es ein paar weitere Empfänger und Sender geben soll, dann kann es einfacher sein, diese beim Provider zu betreibe und per Browser daraus zuzugreifen.Größere Firmen werden dann eher den Weg eines zentralen Abrufs mit einem Gateway wählen.

Die große Firma

Allerdings skaliert diese virtuelle Poststelle nur soweit gut, wie das Mailvolumen überschaubar bleibt. Da es nur ein Alias gibt, ist es kaum möglich die Mails automatische intern zu verteilen. Diese Einschränkung gilt nicht mehr, wenn der Provider nicht selbst die Aufteilung der Mails in Postfächer übernimmt, sondern die Mails an ihre De-Mail-Domäne ihnen zusendet, dann können Sie selbst bestimmen, welche Empfänger "gültig" sind und selbst weitere Empfänger anlegen. Wobei ich annehme, dass die Provider trotzdem eine Liste der gültigen Empfänger von ihnen benötigt, damit er die Mail beim Einwurf in das zentrale Postfach seine Quittung erstellen kann. Das kann er ja nur machen, wenn die Adresse auch gültig ist. Ansonsten muss er einen NDR erstellen.

Empfang

Die Mail können durch den Abruf eines Sammelpostfachs per POP3S oder IMAP4S vom De-Mail-Provider oder direkte SMTP-Zustellung durch den De-Mail-Provider erfolgen. Damit ist aber nur sichergestellt, dass die Übertragung der Mails verschlüsselt erfolgt. Ohne zusätzliche Komponenten habe Sie noch keinerlei zentrale effektive Lösung bezüglich einer zentralen Entschlüsselung von Mails, was für Archivierung, Virenscan und Zugriff per PDA essentiell ist) und überprüfen auch noch nicht die Signatur einer Nachricht.

Versand

Auch beim Versand müssen Sie noch etwas Arbeit investieren. Die meisten Mailserver können sehr wohl eine Mail anhand der Empfänger in unterschiedliche Richtungen weiter leiten. Allerdings müssen Sie nicht nur die Nachrichten an De-Mail-Empfänger zum De-Mail-Provider leiten und die anderen Nachrichten ins Internet, sondern sie müssen auch die Absenderadresse für die entsprechende Richtung anpassen. Im De-Mail-Verbund funktionieren keine öffentlichen Mailadressen und ein Empfänger im Internet können nicht viel mit einer De-Mail-Adresse als Absender anfangen. Sie können darauf nur antworten, wenn Sie selbst ein De-Mail-Konto besitzen. Das trifft sicher einige Empfänger in Deutschland aber ganz sicher den großen Rest der Welt, die keine De-Mail-Adresse bekommen können.

Das Problem des "Absenders Umschreiben" könnte der De-Mail-Provider vornehmen, wenn er eine Zuordnungstabelle der De-Mail-Postfächer zu öffentlichen Adressen hat. Allerdings ist auch dieser Punkt noch nicht geklärt. Als De-Mail-Teilnehmer sollten Sie aber auch die Option nutzen, Mails "signiert " und vielleicht sogar verschlüsselt zu versenden. Und diese Aufgabe werden Sie ganz sicher nicht an den De-Mail-Provider delegieren wollen.

Während zum Signieren ihr eigenes Zertifikat (mit ihrem privaten Schlüssel) genügt, müssen Sie zum Verschlüsseln das Zertifikat des Empfängers abrufen. Dazu wird ihr De-Mail-Provider einen LDAP-Server bereit stellen, auf dem das Zertifikat abgerufen werden kann. Allerdings erwarte ich, dass der Zugriff nicht anonym möglich ist und wenn Sie nicht auf jedem Client entsprechend den Zugriff auf den LDAP-Server konfigurieren wollen (d.h. Servername, Anmeldedaten, Kennwort, Namensauflösung, Firewall etc.), sollten Sie Gedanken über ein zentrales Gateway anstellen, welches die Mails im Auftrag des Benutzers signiert und abhängig vom Empfänger das erforderliche Zertifikat bezieht und verschlüsselt.

Szenarien für den Versand

Wenn Sie ein Mailsystem mit zwei Konten konfigurieren, dann müssen Sie abhängig von der Zieladresse auch die passende Absenderadresse (und damit auch das Konto) auswählen. Auch hier ist die Tabelle wie auf De-Mail für Privatanwender so zu lesen, dass der Absender in "Von" die Mail nach Authentifizierung an das System in "Via" zustellt, welcher die Mail dann an das Ziel weiter leitet. Der Host in "Via" ist also nicht der Mailserver des Empfängers, sondern das Relay-System des Senders.

Von Via Ziel Ergebnis
Internet Server Öffentlich

Mail wird über den normalen SMTP-Versand in das Internet versendet. So hat ihr System schon immer gearbeitet.
Internet Server

Diese Mail kann nicht zugestellt werden! Es ist zwar denkbar, dass sie die Mail z.B.: zum Smarthost ihres Providers weiter leiten oder per DNS einen Weg zu De-Mail.DE finden, aber die Mail wird nicht an einen Mailserver in De-Mail zugestellt werden, da der Übergang in diese Richtung nicht möglich ist. Sie bekommen eine Unzustellbarkeitsmeldung zurück.
Öffentlich

Der De-Mail Service darf die Mail nicht annehmen, da der Absender nicht die De-Mail-Adresse verwendet. Es wäre möglich dass der Provider die Mail dennoch annimmt aber anhand der Anmeldedaten die Absenderadresse "korrigiert", aber das ist nicht garantiert

Diese Mail kann nicht zugestellt werden, da die Absenderadresse keine De-Mail-Adresse ist. Verlassen Sie sich nicht darauf nicht darauf, dass ihr Provider vielleicht ihre Absenderadresse anhand der Anmeldedaten des Gateways korrigiert.
Internet Server Öffentlich

Die meisten Provider werden die Mail annehmen und zustellen, da sie die Gültigkeit der Absenderadresse nicht prüfen können. Es könnte sein, dass deutsche Provider irgendwann De-Mail.DE über unsicherer Verbindungen blockieren, das Sie als Phishing erkannt werden. Wird die Mail aber zugestellt, dann kann der Empfänger nicht antworten, da die De-Mail-Absenderadresse aus dem öffentlichen Netz nicht erreichbar ist. Nur wenn der Empfänger ebenfalls ein De-Mail Konto hat, könnte er eine Antwort darauf senden.
Öffentlich

Ein De-Mail-Provider kann so eine Mail in das öffentliche Internet weiterleiten, wenn er die Absenderadresse durch die öffentliche Adresse des Absenders ersetzt. Die muss der Provider aber wissen und das Rewriting anbieten. Darauf verlassen können und sollten Sie sich nicht. Zudem könnten Spamfilter beim Empfänger die Annahme verhindern. (Siehe auch SPF/CallerID)
Internet Server  

Diese Mail wird nicht zugestellt. Vielleicht akzeptiert das Relay ihres Providers noch die Mail aber spätestens beim Versuch einer Zustellung an den MX-Server von De-Mail wird die Mail abgewiesen, das alle Nachrichten an De-Mail nur über authentifizierte Verbindungen in das System kommen können.

Die Mail wird korrekt versendet. Es ist aber zu erwarten, dass die Provider prüfen, dass die verwendete Absenderadresse auch zum angemeldeten Benutzer bzw. der dem Namensraum (Domäne) des Gateways passt.

Aus der Tabelle ist gut ersichtlich, dass eine Firma einfach "nur" sicherstellen muss, dass Mails an eine De-Mail Adresse mit einer gültigen De-Mail Absenderadresse zum De-Mail Providers gehen müssen und alle anderen Mails mit einer öffentlichen Adresse den klassischen Weg ins Internet nehmen müssen.

Szenarien für den Empfang

Eine ähnliche Tabelle lässt sich auch für den Empfang von Mails aufstellen, die einen Hinweis auf die sinnvolle Konfiguration ihrer Mailserver und Gateways gibt. Hier ist nun das "VIA"-Rechner vertraglich mit dem Empfänger gekoppelt.

Von Via Ziel   Ergebnis
Öffentlich Internet Server

Mail wird über den normalen Weg (MX-Record) ihrem System zugestellt und im Postfach abgelegt.
Öffentlich Internet Server

Diese Mail wird nicht zugestellt. Vielleicht akzeptiert das Relay ihres Providers noch die Mail aber spätestens beim Versuch einer Zustellung an den MX-Server von De-Mail wird die Mail abgewiesen, das alle Nachrichten an De-Mail nur über authentifizierte Verbindungen in das System kommen dürfen.

Das müssen Sie als Administrator sicherstellen, dass ein "böser Sender" nicht einfach ihre De-Mail-Adresse als Ziel verwendet nun die Mail an den MX-Record ihrer öffentlichen Domäne zustellt.
Öffentlich Mit einem anonymen Konto darf es nicht möglich, eine Mail an einen De-Mail Server oder ihr De-Mail-Gateway einzuliefern. Aber dazu gibt es auch gar keine Veranlassung da ja der MX-Record für ihre Firmendomäne hoffentlich nicht zu einem De-Mail-Server weist.
Öffentlich Selbst wenn das Ziel eine De-Mail-Adresse ist, Es ist einem anonymen Konto nicht möglich, eine Mail an einen De-Mail Server einzuliefern
Ein De-Mail Absender, wird bei korrekter Konfiguration Mails an De-Mail Sender immer über das De-Mail Provider Netzwerk übermitteln und zustellen.

Ich kann mir zudem vorstellen, dass Provider und Firmen sehr bald Regeln zur Sperre von De-Mail Absendern und Empfängern über "ungesicherte Verbindungen " einbauen, da Sie definitiv Mails sind, die eine Vertraulichkeit vortäuschen.

"Small Business De-Mail" - noch nicht möglich

Die folgende Beschreibung soll die Anbindung einer Firma bezüglich des Mailroutings beschreiben. Ich denke aber, dass eine so kleine Firme mit einer "virtuellen Poststelle" vermutlich besser fährt. Zumal die Frage nach den Zertifikaten und deren Bereitstellung für andere De-Mail-Teilnehmer nicht berücksichtigt ist.

Achtung
Aktuell scheint es noch nicht möglich zu sein, ohne Drittprodukte einen Exchange Server an De-Mail anzubinden

Analog zur einfachen Anbindung von Privatanwendern können auch Firmen einen ähnlichen Weg nutzen, indem Sie ausgehende Mails einfach immer über die De-Mail-Anbindung versenden und den Provider als Smarthost verwenden. Mit Exchange 2007/2010 könnte das dann wie folgt aussehen:

Über diesen Weg könnte eine einfache Anbindung einer kleineren Firma an De-Mail ohne zusätzliche Produkte möglich sein. Speziell Anforderungen einer "höheren Sicherheit" mit Client Zertifikaten, der Verschlüsselung und Signierung von Mails per "S/MIME" etc. bietet diese Anbindung keine Unterstützung. Solche Funktionen müssen dann auf dem Client ausgeführt werden.

Allerdings sind einige Punkte für solche eine Anbindung noch nicht gelöst

Insofern sind so kleine Firmen vielleicht besser damit beraten, ein Sammelpostfach (virtuelle Poststelle) beim Provider zu betreiben und einfach per Webmail oder IMAP4S von einem ausgewählten Client zu nutzen.

"Große Anbindung"

Wenn eine Firma De-Mail und das Thema Signatur und Verschlüsselung vollständig angehen möchte und nicht nur den kleinsten gemeinsamen Nenner erreichen möchte, dann muss das System, welches an der Grenze zum Internet steht, auch die Besonderheiten von De-Mail kennen und unterstützen und z.B.

Wobei die De-Mail-Provider das Thema "Ende zu Ende"-Verschlüsselung und Signierung erst mal nicht auf ihrer Agenda haben. Auch wenn es eine wichtige Funktion ist, steigt damit die Komplexität und könnte letztlich die Einführung von De-Mail behindern.

Das sei erst mal nur eine Kurzfassung der Möglichkeiten, die keineswegs vollständig ist. De-Mail hat einige weitere besondere Features (z.B. hohe Sicherheit, Quittungen etc.), die ein Gateway durchaus unterstützen sollte.

De-Mail "Gateway light"

Es gibt ein "Mustergateway", welches als Beispiel auch von De-Mail verteilt wird. Es handelt sich dabei um eine Software, die auch auf Windows XP ablauffähig ist und JAVA nutzt. Start vereinfacht holt das Gateway die Mails per POP3S beim Provider ab und liefert diese per SMTP an ihren Server zu. Aber für einen produktiven Einsatz fehlen sicher noch verschiedene Funktionen. So ist es eher ein etwas erweiterter POP3-Sauger. Sobald ich eine De-Mail Gegenstelle finde, werde ich mir das Gateway genauer anschauen.

Störend ist aus meiner vor allem, dass es keinen SMTP-Empfang bereit stellt und daher nur die Mindestanforderungen erfüllt. Funktionen wie Gateway-basierte Signierung und Verschlüsselung und die Integration in

Laut Spezifikation muss es zudem eine "Default-Adresse" geben, an die alle Mails zugestellt werden, die nicht zustellbar wären. Also wieder ein Sammelpostfach. Mir würde es viel besser gefallen, diese ungültigen Adressen mit einem SMTP-Fehler gleich ablehnen zu können oder wenn der Absender die Mail gar nicht erst auf die Reise schickt, wenn der Empfänger nicht im LDAP-Server vorhanden ist.

Hier bleibt also noch etwas Arbeit.

Anbieter von DE-Mail Lösungen

Mit dem Angebot von DE-Mail gibt es natürlich auch mehrere Anbieter mit Zusatzprodukten für DE-Mail. Sie können nicht wirklich erwarten, dass Exchange, Notes und andere Mailsysteme, die weltweise verfügbar sind und sich weitestgehend an Standards orientieren auf die Besonderheiten der deutschen DE-Mail-Lösung eingehen. Neben den Drittanbietern werden auch die DE-Mail-Anbieter selbst die ein oder andere Lösung zur Anbindung einer Firma bereitstellen. Ob Sie damit aber besser fahren, ist wieder von ihren Anforderungen abhängig, da DE-Mail Anbieter hier auch nicht auf jeden ihrer Wünsche individuell eingehen werden bzw. eher keinen Consultant zu ihnen senden, um die das System dann auch einzurichten.

Da der Markt hier noch relativ jung und unübersichtlich ist, kann die folgende Liste noch nicht als Vollständig angesehen werden und sicher nicht als Referenz oder gar Produktempfehlung gelten. Bis auf das von Net at Work selbst entwickelte enQsig, welches DE-Mail unterstützt, habe ich bislang kein anderes Produkt in Aktion gesehen.

Weitere Links

Keywords:De-Mail SMIME Sicherheit