Dossira
Frühzugang anfragen
Menü
← Zurück zum Sicherheitscenter

Wie sich echte Ende-zu-Ende-Verschlüsselung von gängigen Alternativen unterscheidet

Ein praktischer Vergleich von E-Mail, geteilten Laufwerken, Chat-Apps und echten E2EE-Workspaces

Dossira-Produktstatushinweis: Dieser Artikel erklärt E2EE als allgemeines Sicherheitsmodell. In der aktuellen privaten Vorschau von Dossira deckt optionale E2EE unterstützte Dateiinhalt-Operationen für registrierte Mitglieder ab. Dateinamen und Ordnermetadaten bleiben außerhalb dieser Grenze, und Gastfreigabe-Flows haben noch keine gleichwertige E2EE-Unterstützung.

Im Alltag teilen wir sensible Unterlagen meist auf drei Wegen: E-Mail, Links zu geteilten Laufwerken und Chat-Apps. Alle drei können für normale Nutzung „sicher genug“ sein. Aber sie sind nicht dasselbe wie echte Ende-zu-Ende-Verschlüsselung (E2EE).

Echte E2EE bedeutet: Der Inhalt wird auf unserem Gerät verschlüsselt und nur auf dem Gerät des Empfängers entschlüsselt. Der Dienst dazwischen kann ihn nicht lesen.

Ein einfaches Denkmodell

In der Praxis sehen wir drei Ebenen:

  1. Transportverschlüsselung
    Daten werden verschlüsselt, während sie zwischen Servern übertragen werden (oft TLS). Die sendenden und empfangenden Dienste können sie weiterhin lesen. [1][2]

  2. Anbieter-verwaltete Verschlüsselung im Ruhezustand
    Daten werden im Speicher des Anbieters verschlüsselt. Der Anbieter kontrolliert weiterhin die Schlüsselkette, die für Funktionen wie Vorschau, Indexierung, Scanning, Wiederherstellung und Compliance-Werkzeuge nötig ist. [4][11]

  3. Echte Ende-zu-Ende-Verschlüsselung
    Daten werden auf unserem Gerät verschlüsselt und nur von den vorgesehenen Empfängern entschlüsselt. Der Dienst dazwischen kann sie nicht lesen. [8][9]

1) E-Mail

Was wir normalerweise bekommen

Die meisten modernen E-Mails sind hauptsächlich durch TLS während der Übertragung zwischen Servern geschützt. Das hilft gegen passives Abfangen, während die Nachricht übertragen wird. [1][2]

TLS ist jedoch keine echte E2EE. E-Mail wird von Mailsystemen auf der Sende- und Empfangsseite verarbeitet, und Nachrichten können in Postfächern, Archiven, Backups und Weiterleitungsketten gespeichert werden.

Wie echte E2EE-E-Mail aussieht (in der Praxis selten)

Ende-zu-Ende-verschlüsselte E-Mail existiert (zum Beispiel OpenPGP oder S/MIME), erfordert aber Einrichtung, Schlüsselverwaltung und kompatible Werkzeuge auf beiden Seiten. Deshalb nutzen viele Organisationen sie nicht durchgängig mit externen Gegenparteien. [3][12]

Praktisches Fazit: E-Mail ist stark für Koordination. Für langlebige vertrauliche Dokumenten-Workflows ist sie nicht ideal, sofern wir nicht bewusst Ende-zu-Ende-Kontrollen hinzufügen.

Was wir normalerweise bekommen

Gängige Business-Laufwerke verschlüsseln Daten während der Übertragung und im Ruhezustand. Das ist gute Hygiene und reduziert viele alltägliche Risiken. [4][11]

In Standardkonfigurationen ist dies jedoch keine echte E2EE. Der Anbieter kann Inhalte im Rahmen des Dienstbetriebs generell entschlüsseln, weil er die Schlüssel kontrolliert und serverseitige Funktionen unterstützen muss (Vorschau, Indexierung, Scanning, Wiederherstellung usw.). [4][11]

Die wichtige Nuance

Einige Anbieter bieten clientseitige Verschlüsselung an, bei der der Kunde die Schlüssel kontrolliert und der Anbieter nicht entschlüsseln kann. Das bewegt sich näher an echte E2EE heran, bringt aber typischerweise Funktionseinschränkungen gegenüber Standardfreigaben mit sich. [5][6][7]

Praktisches Fazit: Geteilte Laufwerke sind bequem und vertraut. Sie sind nicht automatisch anbieterblind, sofern wir nicht einen kundenseitig kontrollierten Verschlüsselungsmodus aktivieren und die Kompromisse akzeptieren.

3) Chat-Apps (WhatsApp, Signal)

Was wir normalerweise bekommen

Signal-Konversationen sind Ende-zu-Ende-verschlüsselt. [8]
WhatsApp schützt Nachrichten mit Ende-zu-Ende-Verschlüsselung unter Verwendung des Signal-Protokolls. [9][10]

Warum Chat-Apps für Dokumenten-Workflows trotzdem schwierig sind

Chat-Streams sind für Gespräche gebaut, nicht für strukturierte Produktion:

  • Versionen und Freigaben gehen in langen Threads unter
  • Entscheidungen lassen sich schwer an eine einzelne Datei binden
  • Zugriffskontrolle bedeutet meist „Mitglied des Chats“
  • Auditierbarkeit und Lifecycle-Kontrollen sind gegenüber einem Workspace-Modell begrenzt

Praktisches Fazit: Chat-Apps sind hervorragend für schnelle, vertrauliche Abstimmung. Für strukturierte Workflows, in denen klare Versionen, Entscheidungen und kontrollierter Zugriff nötig sind, sind sie unhandlich.

Was „echte E2EE“ in einem Workspace bedeutet

Ein echter E2EE-Workspace versucht zu kombinieren:

  • das Datenschutzmodell sicherer Nachrichten (der Anbieter kann Inhalte nicht lesen), und
  • das Workflow-Modell professioneller Arbeit (Dokumente, Kommentare, Entscheidungen, Berechtigungen)

Der Kompromiss ist konstant: Wenn der Server Inhalte nicht lesen kann, kann er keine serverseitigen Funktionen ausführen, die Klartext benötigen.

Schneller Vergleich

MechanismusVerschlüsselt während der ÜbertragungVerschlüsselt im RuhezustandEchte E2EE standardmäßigAm besten für
E-Mail (typisch)Ja (oft TLS) [1][2]AnbieterabhängigNeinKoordination, externe Kommunikation
Geteilte Laufwerke (typisch)Ja [4][11]Ja [4][11]Nein (außer clientseitigem Verschlüsselungsmodus) [5][6][7]Zusammenarbeit, Speicherung, Teilen
Signal / WhatsAppJaJa (verschlüsselte Nutzdaten)Ja [8][9][10]Vertrauliche Chat-Abstimmung
Echter E2EE-WorkspaceJaJaJaStrukturierte vertrauliche Arbeit

Referenzen

[1] Google Workspace Admin Help — Send email over a secure TLS connection
https://support.google.com/a/answer/2520500

[2] Canadian Centre for Cyber Security — Email security best practices (ITSM.60.002), PDF
https://www.cyber.gc.ca/sites/default/files/ITSM.60.002-email-security-best-practices-en.pdf

[3] UK National Cyber Security Centre — Protect email in transit (notes OpenPGP / S/MIME and deployment considerations)
https://www.ncsc.gov.uk/collection/email-security-and-anti-spoofing/protect-email-in-transit

[4] Microsoft Learn (Purview) — Data encryption in OneDrive and SharePoint (BitLocker + per-file encryption)
https://learn.microsoft.com/en-us/purview/data-encryption-in-odb-and-spo

[5] Google Drive Help — Get started with encrypted files in Drive, Docs, Sheets & Slides (Google Workspace client-side encryption)
https://support.google.com/drive/answer/10519333

[6] Google Workspace Admin Help — Client-side encryption FAQ
https://support.google.com/a/answer/14328489

[7] Google Developers — Google Workspace Client-side Encryption overview (explains that CSE prevents Google servers from decrypting)
https://developers.google.com/workspace/cse/guides/overview

[8] Signal Support — Is it private? Can I trust it?
https://support.signal.org/hc/en-us/articles/360007320391-Is-it-private-Can-I-trust-it

[9] WhatsApp — Answering your questions about privacy on WhatsApp
https://www.whatsapp.com/privacyquestions

[10] WhatsApp — Security Advisories
https://www.whatsapp.com/security/advisories

[11] Microsoft Support — How OneDrive safeguards your data in the cloud
https://support.microsoft.com/en-us/office/how-onedrive-safeguards-your-data-in-the-cloud-23c6ea94-3608-48d7-8bf0-80e142edd1e1

[12] UK Information Commissioner’s Office — Encryption scenarios
https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/encryption/encryption-scenarios/

Häufig gestellte Fragen

Was ist der Unterschied zwischen Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung? ▼
Transportverschlüsselung (oft TLS) schützt Daten während der Übertragung zwischen Diensten, aber die Dienste können sie weiterhin lesen. Ende-zu-Ende-Verschlüsselung bedeutet, dass der Inhalt auf unserem Gerät verschlüsselt und nur von den vorgesehenen Empfängern entschlüsselt wird, sodass der Dienst dazwischen ihn nicht lesen kann.
Ist E-Mail verschlüsselt? ▼
E-Mail ist häufig durch TLS geschützt, während sie zwischen Mailservern übertragen wird; das hilft gegen Abfangen während der Übertragung. Aber E-Mail ist normalerweise für die sendenden und empfangenden Mailsysteme lesbar und kann in Postfächern, Archiven und Weiterleitungsketten gespeichert werden. Echte Ende-zu-Ende-verschlüsselte E-Mail gibt es, sie wird jedoch über Organisationen und Gegenparteien hinweg selten durchgängig eingesetzt.
Sind Google Drive und OneDrive Ende-zu-Ende-verschlüsselt? ▼
In Standardkonfigurationen verschlüsseln sie Daten während der Übertragung und im Ruhezustand, aber der Anbieter kontrolliert die Schlüssel, die für den Betrieb des Dienstes erforderlich sind. Einige Tarife bieten clientseitige Verschlüsselungsmodi, bei denen der Kunde die Schlüssel kontrolliert; das verändert jedoch typischerweise, welche Funktionen verfügbar sind.
Sind WhatsApp und Signal Ende-zu-Ende-verschlüsselt? ▼
Ja, diese Apps sind für Ende-zu-Ende-verschlüsselte Nachrichten konzipiert. Sie sind stark für vertrauliche Abstimmung, aber Chat-Verläufe können für strukturierte Dokumenten-Workflows mit Versionen, Freigaben und auditierbaren Entscheidungen unpraktisch sein.
Wann ist ein echter E2EE-Workspace die bessere Wahl? ▼
Wenn vorgesehene Empfänger benötigen, dass Inhalte für den Dienstanbieter unlesbar bleiben. Der Kompromiss besteht darin, dass serverseitige Funktionen und Integrationen, die Klartext benötigen, begrenzt sind. Dossiras aktuelle private Vorschau bietet Dateiinhalt-E2EE nur innerhalb der dokumentierten Mitgliederfluss-Grenze.
Bedeutet E2EE, dass wir Zugriffskontrolle ignorieren können? ▼
Nein. E2EE schützt Inhalte davor, vom Dienstanbieter gelesen zu werden, aber wir benötigen weiterhin starke Workspace-Mitgliedschaftsregeln, Admin-Hygiene und Gerätesicherheit. E2EE ist am wirksamsten, wenn es mit diszipliniertem Zugriffsmanagement kombiniert wird.
Was ist der wichtigste Kompromiss, wenn der Server Inhalte nicht lesen kann? ▼
Wenn der Server Inhalte nicht entschlüsseln kann, kann er Funktionen, die Klartext benötigen, nicht zuverlässig bereitstellen, etwa bestimmte Integrationen, automatisierte Verarbeitung oder serverseitige Indexierung. E2EE verlagert mehr Arbeit auf unsere Geräte und mehr Verantwortung auf die Workspace-Governance.