Möchte man Daten verschlüsseln oder Zugangsdaten sicher an Externe übertragen, muss man dafür sorgen, dass die Kombination aus Anmeldename und Kennwort nicht dritten in die Hände kommt. Ein gängiges Verfahren diese Daten zu übertragen, ist einfach unterschiedliche Kanäle zu verwenden. So kann man den Login-Namen beispielsweise per E-Mail übertragen und das Kennwort per SMS oder Messenger. Dabei ist darauf zu achten, dass immer nur eine der Informationen in der Nachricht enthalten ist. Es wäre fatal, wenn in der Kennwort-Übertragung nochmal der Anmeldename mit übermittelt wird (Ihr Passwort zum Login xxx: yyyyy). Eine alternative und sicherer Vorgehensweise ist die folgende. Dieses Verfahren nutzt nur einen Übertragungskanal und ist trotzdem sicher:
- Es wird das Kennwort erstellt und intern an sicherer Stellen (z.B. im persönlichen Kennwort-Tresor KeePass) gespeichert.
- Dann wird über das MSP Tool PrivateBin ein Einmal-Link für jeden Empfänger erstellt:
Damit dieser Link nur einmal aufgerufen werden kann, muss der Haken "Nach dem Lesen löschen" gesetzt sein. Darüber hinaus kann eine einstellbare Gültigkeit bis zum automatischen Ablauf eingetragen werden. - Nun wird dieser Link über den Button Email per Outlook verschickt:
Bitte in der E-Mail jeden Empfänger der Nachricht um eine Bestätigung des Empfangs und der sicheren Ablage des Kennwortes bitten. - Bestätigt der Empfänger den Empfang und dass er das Passwort an sicherer Stelle gespeichert hat (z.B. ein Kennwort-Tresor).
- Hat jemand den Link abgefischt und das Kennwort ausgelesen, ist noch nichts passiert, denn das Kennwort ist noch nicht nutzbar. Der Empfänger, der das Kennwort bekommen sollte, sieht das im Browser, da der Link bereits ungültig ist. Sie erstellen dann ein neues Kennwort und schicken dieses genau so raus, wie oben. Erst wenn das Kennwort angekommen ist, wird dieses verwendet
- Im nächsten Schritt können Sie dieses Kennwort dort einstellen, wo es verwendet werden soll bzw. verschlüsseln die versendende Datei.
- Jetzt kann die Datei bereitgestellt oder versendet werden. Fischt jemand diese Datei ab, hat das Kennwort nicht erhalten und kann nicht auf die Daten zugreifen
Ein mögliches Problem mit diesem Verfahren liegt darin, dass es nur mit einer 1:1 Beziehung zwischen Absender und Empfänger anwendbar ist. Der Absender muss jedem Empfänger ein separates Kennwort erstellen und zustellen, damit das so funktioniert. Anderenfalls liest der erste Empfänger den Link aus und der zweite kommt nicht mehr an das Kennwort heran.
Damit das Verfahren sicher bleibt und trotzdem nur ein Kennwort für mehrere Empfänger verwendet werden kann, müsste für jeden Empfänger ein Einmal-Link mit demselben Kennwort erstellt werden und dann von jedem Empfänger bestätigen werden, dass das Kennwort angekommen ist. Erst danach, also wenn alle geantwortet haben, darf das Kennwort zur Verschlüsselung von Daten verwenden werden. Das hat dann ggf. einen zeitlichen Impact, vor allem wenn ein Empfänger nicht erreichbar ist. Man kann in diesem Fall mit der Ablaufzeit die Gültigkeitsdauer beschränken und nach diesem Ablauf trotzdem die Datei verschicken. Alternativ kann ein einzelner Link auch ungültig gemacht werden, indem man diesen einfach in den Ausgangskopien des eigenen Postfachs anklickt. Diese Verwendung invalidiert den Link sofort. Empfänger, die bis dahin nicht geantwortet haben, sind dann aber nicht in der Lage diese Daten zu verwenden. Das bereits verwendete Kennwort darf dann aber nicht für eine weitere Übertragung verschickt werden, da dann die Möglichkeit besteht, dass jemand die Datei bereits abgefangen hat und nur auf das Kennwort wartet. Es muss dann ein neues Kennwort zur Anwendung kommen und eine neue Übertragung nach diesem Verfahren auf den Weg gebracht werden.