PGP Verschlüsselung

[kjas7183a]

Es wäre cool wenn Email Benachrichtigungen von comdirect (optional) mit PGP verschlüsselt werden könnten.

Facebook hat zum Beispiel auch eine solche Funktion.

[ralfbergs]

---

@Micha888  schrieb:

Ich habe in keinem Wort erwähnt das S/MIME keine E2E ist und in großen Firmen verwendet wird.

Ok, dann habe ich Deine Aussage bzgl. "Jeder weis doch mittlerweile das Google, Microsoft mit deren Office 365 oder auch Hotmail, den gesamten Email-Verkehr auswerten, vor-allem nach Passwörtern und Logins suchen" scheinbar falsch interpretiert -- ich hatte Dich so verstanden, als seien Deiner Meinung nach S/MIME-verschlüsselte Nachrichten auf dem Server durchsuchbar. Wenn Du das nicht so gemeint hast, dann tut mir das Missverständnis leid.

Ich habe Kryptographie Studiert und verstehe die Algorithmen dahinter, deshalb kann ich auch sagen das PGP und S/MINE im Prinzip Mathematisch genauso funktionieren, jedoch braucht man bei S/MIME diese Zertifikate und eine Vertrauenswürde CA. 

Man könnte genauso gut selbst-signierte S/MIME-Zertifikate nehmen für so einen speziellen Fall wie diesen hier, wo man als Kunde sein eigenes Zertifikat direkt im Online-Banking an die Bank hochladen könnte. Dann käme man ohne CA aus und könnte alles zu Hause machen...

Ich würde hier niemanden beleidigen wie due, und sagen dass Mr. X keine Ahnung hat.

Ich habe niemanden beleidigt.

[ralfbergs]

Das ist ja krass -- ich bin beeindruckt.

Und frage mich gleichzeitig, wieso gerade die comdirect als Direktbank das nicht längst selbst nutzt?!

@Micha888: Lies mal, was die Commerzbank auf der Seite ihrer CA schreibt... 😉

Die Empfehlung der Commerzbank ist X.509 einzusetzen, es ist der weltweit akzeptierte Standard

[Nakal]

PGP ist unverbindlich und kann von jedem genutzt werden. Es ist auch einfacher richtig zu nutzen als X509 (Wer kann schon einen Private Key selbst erstellen und der zugehörigen CSR an die CA senden? Haha das möchte ich mal sehen!) und ist für viele Privatpersonen in Mailern wie Thunderbird oder als App mit OpenKeychain leicht und verständlich nutzbar.

Ich schließe mich den anderen an, dass die Begründung, dass man zu etwas in AGBs zugestimmt hat, sehr schwach ist. Die EU betrachtet Daten ganz abstrakt. Hier ist die Frage ob man einen Personenbezug herstellen kann. Das sind ja oft wirtschaftliche Daten. Verschlüsselung ist ein geeignetes Mittel, um sich datenschutzrechtlich abzusichern, wie ich das als Laie verstehe.

Zudem gibt es noch die Möglichkeit E-Mails mit einem PGP Schlüssel zu signieren. Damit würde man sich auch gegen Missbrauch wie Phishing schützen können.

[ralfbergs]

"PGP ist unverbindlich" ist jetzt nicht gerade eine sehr "starke" Aussage. Was soll das denn heißen?

Gerade da Du selbst Thunderbird (TB) erwähnst: S/MIME ist in aktuellen TB-Versionen genauso einfach zu nutzen wie PGP.

"Private Key selbst erstellen und CSR an CA senden" ist auch nicht so schwer, wie Du es darstellst. Es muss ja niemand mit "openssl" auf der Kommandozeile hantieren. Das kann man als CA so implementieren, dass es im Browser völlig transparent abläuft (Keypair generieren, Public Key zertifizieren, Download des Zertifikats).

Zum Thema "dig. Signatur": Das geht natürlich auch mit S/MIME, nicht nur mit PGP.

PS: Falls jemand meint, ich hätte etwas gegen PGP: Ganz im Gegenteil, ich benutze das seit über 30 Jahren. Ich möchte hier nur eine offene Diskussion führen, ohne irgendwas von vornherein auszuschließen...

[Silver_Wolf]

---

@ralfbergs  schrieb:

Und frage mich gleichzeitig, wieso gerade die comdirect als Direktbank das nicht längst selbst nutzt?!

@Micha888: Lies mal, was die Commerzbank auf der Seite ihrer CA schreibt... 😉

Die Empfehlung der Commerzbank ist X.509 einzusetzen, es ist der weltweit akzeptierte Standard

---

Ich halte das alles für weit übertrieben.

Der übliche Mail-Verkehr mit der Bank enthält keine kritischen Daten.

Ob das mein Provider lesen kann oder nicht ist mir vollkommen egal.  🙂

[Nakal]

Mein geht keine Verträge und Pflichten ein. Das ist unverbindlich. Wozu soll ich mich mit einer CA befassen, wenn ich allein die Verschlüsselung und Signatur brauche?

Von der CA vertrauliche Schlüssel generieren lassen ist eben das, was grob falsch ist. Man generiert private Schlüssel ausschließlich bei sich selbst. Deswegen macht es PGP exakt richtig.

Ich benutze PGP ebenfalls sehr lange und hatte ebenfalls ein amtlich beglaubigtes X509 Zertifikat.

[ralfbergs]

Du unterstellst da was, was i. d. R. nicht zutrifft.

Die Generierung des Schlüsselpaares bei S/MIME passiert in Deinem Browser. Der Private Key verlässt dabei nicht den Browser. Nur der Public Key wird zur CA geschickt zwecks Signierung.

[ralfbergs]

Nun ja, nicht jeder geht so sorglos mit vertraulichen Nachrichten um -- bitte setze das nicht als Maßstab an.

[Nakal]

Wenn das so läuft, dass der Schlüssel im Browser generiert wird, dann hast Du Glück. Ich habe mein amtliches Zertifikat zusammen mit Schlüssel zugeschickt bekommen. Mit einem Link wo ich den auch später noch einmal herunterladen kann.

Mich interessieren die Aussagen einer CA nicht. Vertrauen kommt auf meine Entscheidung hin, nicht wenn irgendjemand, den ich nicht kenne mir sagt "vertraue mir".

[Silver_Wolf]

---

@ralfbergs  schrieb:

Nun ja, nicht jeder geht so sorglos mit vertraulichen Nachrichten um -- bitte setze das nicht als Maßstab an.

---

Was ist an der Nachricht daß ich ein neues Dokument im Postfach habe vertraulich?

Oder der Meldung über eine Order-Ausführung? Gut, da sieht man was ich gehandelt habe. Und?

Das interessiert meinen Provider doch nicht.