Cryptoparty für Frauen im Posteo Lab am 24.02.

Erstellt am 08. Februar 2016, 16:45 Uhr | Kategorie: Blog

Liebe Interessierte,

wir haben einen Veranstaltungshinweis für Sie:

Am Mittwoch, den 24.02., findet im Posteo Lab auf dem Berliner Kreuzberg eine Cryptoparty für Frauen statt. Gastgeberinnen sind die Hackerinnen von Heart of Code.

Die Hackerinnen sind ab 19 Uhr bei uns zu Gast. Die Veranstaltung startet mit zwei kurzen Vorträgen zum Thema Verschlüsselung. Im Anschluss wird den Teilnehmerinnen des Workshops gezeigt, wie sie sicher im Internet kommunizieren, und wie sie sich vor Ausspähung durch Geheimdienste und Werbetreibende schützen können.

Zum Hintergrund:
Die Hackerinnen von “Heart of Code” möchten Frauen den Zugang zu Informationstechnologien, Tools und Inhalten erleichtern – und damit die Hacking-Community und die Tech-Landschaft langfristig diverser gestalten. Wir unterstützen dieses Anliegen, da Frauen in der IT-Branche bisher deutlich unterrepräsentiert sind. Deshalb stellen wir den Hackerinnen das Posteo Lab gerne für die Veranstaltung zur Verfügung.

Viele Grüße
Ihr Posteo-Team

Die Nicht-Sammler

Erstellt am 07. Januar 2016, 17:58 Uhr | Kategorie: Medien

Kostenlose E-Mail-Provider stehen seit der NSA-Affäre, aber auch angesichts einer dramatischen Zunahme von Hacker-Angriffen massiv unter Druck: Sie scheinen keine sichere Nachrichtenübertragung und -speicherung garantieren zu können. Das ist die Chance für kleinere Anbieter. Sie stoßen in die Lücke, die ihnen die großen Internet-Dickschiffe im Datenmeer bieten, indem sie den elektronischen Postverkehr für ihre Kunden anonymisieren.

zum Artikel

Zweites erweitertes Sicherheitszertifikat

Erstellt am 22. Dezember 2015, 18:00 Uhr | Kategorie: Info

Liebe Kundinnen und Kunden,

wir setzen ab jetzt auch unser zweites, erweitertes Sicherheitszertifikat ein.

Solche beglaubigten, “grünen Sicherheitszertifikate” werden vor allem von Unternehmen eingesetzt, die mit sensiblen Daten umgehen, z.B. von Banken. Sie können es links von unserer Webadresse https://posteo.de in Ihrem Browser einsehen (meist ein grün hinterlegtes Schlüsselsymbol). So können Sie stets auf einen Blick erkennen, dass Sie tatsächlich auf der Website von Posteo sind – und nicht etwa auf einer Phishing-Site. Wenn Sie ein lokales E-Mailprogramm verwenden, überprüft dieses außerdem vor einem verschlüsselten Verbindungsaufbau zu Posteo das Sicherheitszertifikat – und somit die Echtheit des Verschlüsselungspartners. Hierfür nutzen E-Mailprovider Zertifizierungsstellen: Sie bestätigen die Echtheit eines Sicherheitszertifikats, bevor eine verschlüsselte Verbindung aufgebaut wird. OCSP ist eine zusätzliche Sicherheitsmaßnahme: Ein OCSP-Server bestätigt, dass ein Zertifikat nicht widerrufen wurde.

Darum verwenden wir ein zweites Zertifikat
Und hier liegt auch der Grund für den zusätzlichen Einsatz des zweiten Zertifikates: Die OSCP-Server der Zertifizierungsstelle StartCom waren in den vergangenen Tagen nicht zuverlässig erreichbar. Dies führte in Einzelfällen zu Beeinträchtigungen mit Programmen, die OCSP zusätzlich prüfen – wie z.B. Thunderbird und Firefox. Wir wissen, dass einige unserer Kunden beim Aufruf unserer Website oder bei der Arbeit mit lokalen E-Mailprogrammen deshalb einen Fehler gemeldet bekamen. Bei Posteo selbst lag zu keinem Zeitpunkt eine Störung vor und die Sicherheit Ihrer Verbindungen waren zu keinem Zeitpunkt beeinträchtigt. Da es für uns jedoch völlig inakzeptabel ist, dass eine Störung bei einer einzelnen Zertifizierungsstelle wiederholt einige unserer Kunden beeinträchtigt, verwenden wir ab sofort auch ein von der Bundesdruckerei beglaubigtes Zertifikat, das wir bereits vor einiger Zeit als Zweit-Zertifikat erstellt hatten. #more#

Was eine Zertifizierungsstelle tut
E-Mailprovider nutzen Zertifizierungsstellen, um die Echtheit ihres Sicherheitszertifikats zu bestätigen, bevor eine verschlüsselte Verbindung aufgebaut wird. Ein Zertifizierer beglaubigt außerdem den öffentlichen Schlüssel des SSL-Zertifikats eines Providers. Ähnlich wie ein Notar: Nach der Prüfung zahlreicher Unterlagen (u.a. Handelsregisterauszug, Personalausweise, Anrufe bei uns und unseren Anwälten etc.) bestätigt die Zertifizierungsstelle, dass der öffentliche Schlüssel wirklich zum Provider, in unserem Fall also zu Posteo e.K., gehört. Die Zertifizierungsstelle erstellt unser Zertifikat bzw. unser Schlüsselpaar jedoch nicht – das tun wir selbst. Deshalb kann sie die Schlüssel auch nicht manipulieren oder austauschen.

Unser neues, von der Bundesdruckerei beglaubigtes Zertifikat entspricht den aktuellen Sicherheits-Standards und wurde mit dem SHA-256-Algorithmus signiert.

Falls Ihr Browser, Ihr Mailprogramm, Smartphone oder Tablet nach der Umstellung eine Fehlermeldung wegen eines ungültigen Zertifikates produzieren sollte, liegt dies nicht an einem Angriff oder einem Fehler. Ihr Programm hat dann lediglich noch das alte Zertifikat zwischengespeichert. Abhilfe sollte in den meisten Fällen ein Neustart des Programms oder Gerätes bringen.

Die “elektronischen Fingerabdrücke” unseres neuen Sicherheitszertifikates lauten:
SHA256: 6A:B1:9D:FB:FB:10:2E:D8:89:01:76:8C:B1:6B:61:13:A1:E3:B6:A5:47:D6:85:A3:FD:08:7F:11:DA:35:77:E7
SHA1: 8D:D7:97:B4:45:79:4D:EC:64:AE:D1:90:88:AC:B4:F4:5A:21:EA:6A
MD5: DA:CC:03:04:8C:E8:03:54:4F:6B:B2:2E:C2:ED:94:D8

Sie finden die Fingerabdrücke beider Zertifikate auch in unserem Impressum. Diese Information ist nur für Nutzer relevant, die unsere Zertifikate manuell abgleichen.

Sollte ein von Ihnen verwendetes Programm oder System das Root-Zertifikat der Bundesdruckerei nicht vorinstalliert haben und der Verbindung zu Posteo deshalb nicht trauen, können Sie es nachinstallieren. Sie finden es zum Download auf der Webseite der Bundesdruckerei. Dort finden Sie auf der Downloadseite auch den Fingerprint des Root-Zertifikats “D-TRUST Root Class 3 CA 2 EV 2009”, den wir zum Vergleich auch hier veröffentlichen:
SHA-256 EE:C5:49:6B:98:8C:E9:86:25:B9:34:09:2E:EC:29:08:BE:D0:B0:F3:16:C2:D4:73:0C:84:EA:F1:F3:D3:48:81
SHA-1 96:C9:1B:0B:95:B4:10:98:42:FA:D0:D8:22:79:FE:60:FA:B9:16:83

Die Posteo-Domains, die wir mit dem SSL-Zertifikat verwenden, sind in unserem Besitz. Die Einträge unseres Nameservers im DNS sind auch zusätzlich mit DNSSEC abgesichert, um Manipulationen auszuschliessen. Und durch DANE können die Fingerprints unseres Schlüssels zweifelsfrei von jedem überprüft werden.

Auch, wenn wir keinen Einfluss auf die Beeinträchtigungen durch die Störung bei der Zertifizierungsstelle hatten, möchten wir Sie um Entschuldigung bitten, falls Sie von diesem ärgerlichen Fehler betroffen waren.

Viele Grüße
Ihr Posteo-Team

Neu: Posteo-Webmailer findet Schlüssel automatisch

Erstellt am 22. Dezember 2015, 13:30 Uhr | Kategorie: Info

Liebe Kundinnen und Kunden,
Liebe Interessierte,

wir haben die Ende-zu-Ende-Verschlüsselung im Posteo-Webmailer noch einfacher gemacht.
So lassen sich nun auch Anhänge komfortabel im Webmailer (mit PGP/MIME) verschlüsseln.

Zeitgleich haben wir heute die erste Anwendung für unser neues Posteo-Schlüsselverzeichnis freigeschaltet:

Wenn Sie bei uns die Ende-zu-Ende-Verschlüsselung im Browser nutzen, findet Posteo die öffentlichen Schlüssel Ihrer Kontakte jetzt in vielen Fällen automatisch. Möglich machen dies das Posteo-Schlüsselverzeichnis und die Posteo-Schlüsselsuche: Unsere Schlüsselsuche sucht weltweit automatisiert nach passenden öffentlichen Schlüsseln Ihrer Kontakte – und zeigt sie Ihnen an, bevor Sie eine E-Mail versenden.

In vielen Fällen müssen Sie einen Kontakt also nicht mehr um seinen öffentlichen Schlüssel bitten, bevor Sie ihm eine verschlüsselte E-Mail schicken können.
#more#
Das passiert im Hintergrund:
Sobald Sie den Empfänger Ihrer E-Mail eintippen, durchsucht unsere innovative Schlüsselsuche nicht nur die weltweiten PGP-Keyserver im Hintergrund nach passenden Schlüsseln zu dieser E-Mail-Adresse, sondern auch das DNS, das so genannte “Telefonbuch des Internets” sowie weitere Quellen des Posteo-Schlüsselverzeichnisses. Findet die Schlüsselsuche einen passenden Schlüssel zur E-Mail-Adresse Ihres Kontaktes, wird Ihnen dieser angezeigt. So wird Ende-zu-Ende-Verschlüsselung komfortabel und modern. Und zwar ohne Sicherheitseinbußen: Die Verschlüsselung im Webmailer erfolgt mit dem Opensource-Plugin Mailvelope, das Sie lokal bei sich installieren. So ist eine echte Ende-zu-Ende-Verschlüsselung sichergestellt, bei der Ihr privater Schlüssel stets lokal auf Ihren Geräten verbleibt. Er wird zu keinem Zeitpunkt auf unseren Servern gespeichert. Dies würde das Prinzip einer Ende-zu-Ende-Verschlüsselung (zwischen dem Absender und dem Empfänger einer E-Mail) ad absurdum führen. Auch funktioniert die Verschlüsselung und Schlüsselsuche mit allen anderen E-Mail-Anbietern, die sich an die im E-Mail-Bereich international vereinbarten Standards halten. Sie ist keine “Insellösung”, bei der beide Kommunikationspartner bei demselben Anbieter sein müssen, um verschlüsselt miteinander kommunizieren zu können.

Unsere Philosophie ist es, aus Sicherheitsgründen ausschliesslich auf echte Ende-zu-Ende-Lösungen, Opensource-Technologien und freie Standards zu setzen. Unserer Ansicht nach lässt sich nur so ein Höchstmaß an Sicherheit, Transparenz, Komfort und Kompatibilität erreichen. Das Plugin Mailvelope ist z.B. quelloffen (Open Source) und wurde einem Sicherheitsaudit (von Cure53) unterzogen.

Anleitungen:
Schritt-für-Schritt-Anleitungen für das Einrichten und Verwenden der Ende-zu-Ende-Verschlüsselung im Posteo-Webmailer finden Sie in der Posteo-Hilfe.

Kunden, die bereits die Ende-zu-Ende-Verschlüsselung im Posteo-Webmailer verwenden, erfahren in der Posteo-Hilfe außerdem, wie Sie die neue Posteo-Schlüsselsuche und das Verschlüsseln von Anhängen in wenigen Schritten aktivieren können.

Für Entwickler:
Für unsere weltweite Schlüsselsuche haben wir ein Opensource-Plugin für den Webmailer Roundcube entwickelt, welches unter AGPL-Lizenz freigegeben und auf Github zu finden ist.

Viele Grüße und schöne Feiertage
Ihr Posteo-Team

Bundespräsident hat VDS-Gesetz unterzeichnet

Erstellt am 17. Dezember 2015, 14:00 Uhr | Kategorie: Blog

Wie wir soeben schriftlich aus dem Bundespräsidialamt erfahren haben, hat Bundespräsident Joachim Gauck das Gesetz zur Wiedereinführung der Vorratsdatenspeicherung (“Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten”) bereits am 10. Dezember 2015 unterzeichnet.

Da dies der Öffentlichkeit offenbar bisher nicht bekannt ist, möchten wir hiermit darüber informieren.

Wir hatten den Bundespräsidenten vor einigen Wochen angeschrieben, mit der Bitte, das Gesetz nicht zu unterzeichnen. Auch, wenn E-Maildienste wie Posteo von der Vorratsdatenspeicherung ausgenommen sind.

Denn in der Praxis der Auskunftsverfahren und der Überwachungsvorgänge existieren zahlreiche Missstände, die wir in unserem diesjährigen Transparenzbericht kritisiert hatten. Auf diese hatten wir den Bundespräsidenten in unserem Brief hingewiesen.

Den Schriftwechsel zwischen uns und dem Bundespräsidialamt finden Sie untenstehend.

#more#


Folgende Antwort aus dem Bundespräsidialamt vom 15.12. erreichte uns heute:

“Sehr geehrter Herr Löhr,

Bundespräsident Joachim Gauck hat mich gebeten, für Ihren Brief vielmals zu danken und Ihnen zu antworten.
Im Rahmen der Ausfertigung von Gesetzen hat der Bundespräsident allein deren Verfassungsmäßigkeit, nicht aber die Zweckmäßigkeit einzelner gesetzlicher Regelungen zu überprüfen. Das hat er auch bei dem von Ihnen beanstandeten Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten unter Berücksichtigung der Rechtsprechung des Bundesverfassungsgerichts getan. Nach eingehender Prüfung ist er dabei zu dem Ergebnis gekommen, dass ein Verfassungsverstoß, der allein ihn hätte berechtigen können, die Ausfertigung zu verweigern, nicht vorliegt. Der Herr Bundespräsident hat daher – der Verfassung verpflichtet – das Gesetz am 10. Dezember 2015 unterschrieben und den Auftrag zur Verkündung im Bundesgesetzblatt gegeben.

Mit freundlichen Grüßen
Im Auftrag”

Die Antwort des Bundespräsidialamtes im PDF-Format



Wir schrieben am 11.11.2015:

“Sehr geehrter Herr Bundespräsident,

ich wende mich als Geschäftsführer des deutschen Telekommunikationsanbieters Posteo.de an Sie. Wir erbringen E-Mail-Dienstleistungen und bei uns werden mehr als 120.000 bezahlte E-Mail-Postfächer geführt. Ich schreibe Sie an, da Sie über die Einführung des “Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten” (“Vorratsdatenspeicherung”) entscheiden.

In diesem Zusammenhang möchte ich Sie über Missstände in der Praxis der Auskunftsverfahren und der Überwachungsvorgänge informieren, deren Nutzung mit der Einführung des oben genannten Gesetzes zunehmen wird.

Die Vorratsdatenspeicherung soll in ihrer Anwendung durch den Richtervorbehalt kontrolliert werden.
Jedoch weisen alle öffentlich verfügbaren Zahlen, wie wir in unserem Transparenzbericht aufzeigen, darauf hin, dass in der Praxis offenbar alle Anträge auf Überwachung bewilligt werden. Das Instrument des Richtervorbehaltes wird seiner ihm zugedachten Kontrollaufgabe in der Praxis offenbar nicht gerecht. Der Rechtsschutz der betroffenen Bürgerinnen und Bürger ist deshalb unserer Ansicht nach nicht ausreichend gewährleistet. Öffentliche Statistiken existieren für das Land Berlin: Dort ist nach 2007 kein einziger Antrag auf eine Überwachungsmaßnahme mehr abgelehnt worden. Bewilligt wurden zwischen 2008 und 2014 insgesamt 14.621 Überwachungen. Diese Zahlen bestätigen auch zwei Studien (des Max-Planck-Institutes für ausländisches und internationales Strafrecht und der Universität Bielefeld, siehe Transparenzbericht): Aus ihnen geht ebenfalls hervor, dass nur in absoluten Ausnahmefällen einer beantragten Überwachungsmaßnahme nicht stattgegeben (0,4% Ablehnungsquote) wird. Angesichts der Zahlen aus Berlin sehen wir dringenden Klärungsbedarf. Wird in einem Staat allen Anträgen auf Überwachung stattgegeben, ist dies ein starker Hinweis darauf, dass sich der Rechtsstaat auf dem Weg in einen Überwachungsstaat befindet.
Alleine schon vor diesem Hintergrund darf ein “Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten” (“Vorratsdatenspeicherung”) nicht eingeführt werden, da der Richtervorbehalt seiner ihm zugedachten Kontrollaufgabe in der Praxis offenbar nicht gerecht wird.

Wir haben den Bundesjustizminister auf diesen Umstand aufmerksam gemacht. Leider ist das Bundesministerium der Justiz in seiner schriftlichen Antwort an uns mit keinem einzigen Wort auf die offenbar seit Jahren bestehenden Zustände beim Richtervorbehalt eingegangen.

Wir kritisieren in unserem Transparenzbericht auch den Missstand, dass der Gesetzgeber die Wirksamkeit des Richtervorbehaltes bisher nicht ausreichend evaluiert. Die Information, wie oft ein Richter eine beantragte Überwachungsmaßnahme ablehnt, ist ein wichtiger Indikator dafür, wie wirksam das Kontrollinstrument des Richtervorbehaltes tatsächlich ist. Der Gesetzgeber hat dafür Sorge zu tragen, dass hierzu aussagekräftige Zahlen aus allen Bundesländern vorliegen. Wir sehen daher eine entsprechende Anpassung der Berichtspflichten nach § 100b Abs. 5, Abs. 6 StPo als erforderlich an.

Ich möchte Sie ausserdem davon in Kenntnis setzen, dass große Probleme in der Praxis der Auskunftsersuchen bestehen. Solche Ersuchen werden im Rahmen der Vorratsdatenspeicherung aller Voraussicht nach stark zunehmen. Fast alle Auskunftsersuchen von Ermittlungsbehörden des Bundes und der Länder, die unser Unternehmen erreichen, sind rechtswidrig. Durch Beschwerden bei den jeweils zuständigen Datenschutzbeauftragten haben wir in Erfahrung gebracht, dass dies nicht nur uns betrifft. Wir sind besorgt und sehen die Sicherheit der Verfahren in der Praxis nicht gewährleistet. So werden uns beispielweise fast alle Ersuchen durch Ermittlungsbehörden unsicher übermittelt, es handelt sich hierbei u.a. um Verstöße gegen das BDSG § 9, Anlage, Satz 4 und 8. Dieses Vorgehen verletzt die Rechte der Betroffenen und kann Ermittlungen gefährden. In einem Schreiben an den Fraktionsvorsitzenden der SPD im Bundestag, Thomas Oppermann, hat Bundesinnenminister Thomas de Maiziere hier Rechtsverstöße einräumen müssen (siehe die beigefügte Heise-Meldung vom 19.10.2015). Des Weiteren ersuchen Ermittlungsbehörden regelmäßig bei Bestandsdatenersuchen nach § 113 TKG auch um Verkehrsdaten wie dynamische IP-Adressen oder um andere Daten, die im Rahmen des Verfahrens nicht herausgegeben werden dürfen. Diese Missstände haben wir in unserem Transparenzbericht 2014 vom 20. August 2015 thematisiert, den Sie diesem Schreiben beiliegend erhalten. Der Bericht enthält verschiedene Beispiele solcher rechtswidriger Ersuchen sowie Antworten verschiedener Datenschutzbeauftragter.

Wir möchten Sie auch darauf hinweisen, dass es sich offenbar um ein weitreichendes Problem handelt: Der Branchenverband BITKOM hatte bereits im Oktober 2012 vor dem Rechtsausschuss des Deutschen Bundestages auf “zahllose” solcher rechtswidriger Ersuchen hingewiesen, und die Bundesregierung wurde hierzu inzwischen zweimal befragt (siehe Transparenzbericht). Die Pressestelle der Deutschen Telekom erklärte zu unserem Vorstoß am 26.08.2015 auf Twitter: “Ja, wir beanstanden die Rechtsverstöße und wie auch schon gesagt, wir begrüßen ihren Appell.”

Wir kritisieren außerdem, dass die manuelle Bestandsdatenauskunft nach §113 TKG eine Grauzone darstellt: Es existieren keine öffentlichen Statistiken, so dass für die Öffentlichkeit nicht nachvollziehbar ist, wie oft das Auskunftsverfahren durch Behörden in Anspruch genommen wird. Unserer Auffassung nach sollten deshalb für Abfragen nach § 113 TKG umgehend Berichtspflichten eingeführt werden. Die Zahlen sollten jährlich veröffentlicht werden, wie es auch bei anderen Arten von Auskunftsersuchen wie z.B. bei Abfragen nach § 112 TKG (Veröffentlichung im Jahresbericht der Bundesnetzagentur) und bei Abfragen nach § 100a StPO (Veröffentlichung auf der Internetseite des Bundesamtes für Justiz) üblich ist.

Wenn Überwachungsmöglichkeiten in Deutschland immer weiter ausgebaut werden, während die in unserem Transparenzbericht aufgezeigten Mängel fortbestehen und alle verfügbaren Zahlen darauf hindeuten, dass offenbar jeder Antrag auf Überwachung bewilligt wird, ist dies eine Entwicklung, die der Demokratie nicht zuträglich sein kann. Wir befürchten außerdem, dass es nach der Einführung des “Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten” (“Vorratsdatenspeicherung”) zu einem weiteren Anstieg der rechtswidrigen Abfragen nach § 113 TKG kommt. Die statistischen Belege dafür, dass der Richtervorbehalt als Kontrollinstrument nicht ausreicht, um den Rechtsschutz der Bürgerinnen und Bürger bei solchen Maßnahmen ausreichend zu gewährleisten, halten wir für stichhaltig. Ferner sind wir der Überzeugung, dass die unzureichenden Statistik- und Berichtspflichten zu einer weiteren Schieflage beim System der Checks & Balances beitragen (siehe hierzu auch den aktuellen Tätigkeitsbericht der BfDI). Aufgrund dieser Rechtswirklichkeiten in der Praxis der Auskunftsverfahren darf die Vorratsdatenspeicherung unserer Auffassung nach nicht wieder eingeführt werden.

Wenden Sie sich bei Fragen oder Anmerkungen gerne jederzeit an mich, bis dahin verbleibe ich

mit freundlichen Grüßen
Patrik Löhr"


Unser Schreiben im PDF-Format