So funktioniert die Ende-zu-Ende-Verschlüsselung in sygnadesk
Der Inhalt der Meldungen wird im Browser der hinweisgebenden Person verschlüsselt und ausschließlich im Browser einer berechtigten Person gelesen. Der Schlüssel entsteht aus ihrem Passwort und gelangt nie auf den Server, sodass weder sygnadesk noch ein Partner etwas hat, womit sich der Inhalt lesen ließe.
A. Worin der Unterschied liegt: wo der Schlüssel ist
Im Standardmodus (Voreinstellung) ist der Inhalt der Meldungen in der Datenbank mit Schlüsseln verschlüsselt, die die Plattform verwaltet. Das schützt vor dem Abfluss von Datenträgern und Sicherungskopien, aber der Schlüssel liegt auf der Serverseite: in Ausnahmefällen, die protokolliert werden (Supportanfrage auf Ihre Weisung, gesetzliche Pflicht), kann das Personal des Betreibers an den Inhalt gelangen.
Im Ende-zu-Ende-Modus existiert der Schlüssel nur in den Browsern: bei der hinweisgebenden Person, die verschlüsselt, und bei der berechtigten Person, die entschlüsselt. Der Server erhält und liefert ausschließlich Chiffrat. Er hat keinen Schlüssel und kann den Inhalt nicht lesen, selbst wenn er wollte oder müsste. Sie schalten den Modus mit einer Einstellung ein, und die Organisation übernimmt die Verantwortung für die Schlüssel.
B. Woher die Schlüssel kommen und warum der Server keine hat
Jede berechtigte Person hat einen persönlichen Schlüssel, der aus ihrem Passwort im Browser entsteht. Das Passwort verlässt den Browser nicht, und der private Schlüssel wird auf dem Server ausschließlich verschlüsselt abgelegt. Der Organisationsschlüssel, der Meldungen entschlüsselt, liegt in einem Tresor der Organisation, der für jede berechtigte Person separat verschlossen ist: ihr persönlicher Schlüssel öffnet ihre Kopie, keine andere.
Die Meldeseite erhält nur den öffentlichen Teil des Organisationsschlüssels. Mit dem öffentlichen Teil lässt sich nur verschlüsseln, nicht entschlüsseln. Deshalb können Meldeseite, Server und jeder, der diesen Teil sieht, Inhalte in den Tresor legen, ihn aber nicht öffnen.
C. Der Weg einer Meldung: wo der Inhalt lesbar ist und wo verschlüsselt
Die hinweisgebende Person schreibt die Meldung auf der Seite unter der Marke des Unternehmens. Bevor etwas gesendet wird, verschlüsselt der Browser Inhalt, Dateien und Kontaktdaten mit dem öffentlichen Teil des Organisationsschlüssels. Ab diesem Moment existiert nur Chiffrat: es passiert das Edge-Netz, gelangt in eine Datenbank in der Europäischen Union und in Sicherungskopien im EWR.
Eine berechtigte Person gibt im Panel ihr Passwort ein. Das Passwort erzeugt den persönlichen Schlüssel, dieser öffnet den Tresor, der Tresor gibt den Organisationsschlüssel frei, und der Inhalt erscheint in ihrem Browser. Die Antwort an die hinweisgebende Person geht denselben Weg zurück, genauso verschlüsselt; sie liest sie nach Eingabe von Meldungsnummer und PIN. Der Betreiber sieht die ganze Zeit Meldungsnummer, Status und Fristen, weder Inhalt noch Identität.
D. Was passiert, wenn…
-
Ein Mitarbeiter geht
Der Administrator rotiert den Tresor der Organisation: der neue Schlüssel ist nur für die verbleibenden Personen verschlossen, und die gehende Person verliert den Zugang sofort.
-
Jemand vergisst das Passwort
Sie öffnet den Tresor mit dem persönlichen Notfallcode, der bei der Zugangsvergabe ausgegeben wurde. Der Code wird außerhalb des Systems aufbewahrt, etwa im Firmentresor oder im Passwortmanager.
-
Alle verlieren Passwörter und Codes
Niemand kann die Inhalte wiederherstellen, auch sygnadesk nicht. Deshalb hält die Organisation mindestens zwei Personen mit funktionierendem Zugang.
-
Eine Behörde verlangt Daten vom Betreiber
Der Betreiber hat Chiffrat und Metadaten. Er hat keinen Schlüssel, also nichts herauszugeben; das Verlangen geht an die Organisation, die mit ihrer eigenen Rechtsabteilung entscheidet.
-
Die Organisation schaltet E2E ab
Ein 48-Stunden-Fenster mit Abbruch über einen Link in der E-Mail. Nach dem Wechsel in den Standardmodus bleibt das ursprüngliche Chiffrat als Nachweis erhalten.
So wird der E2E-Modus aktiviert
Die Organisation entscheidet. Der Administrator aktiviert den Modus im Panel, gibt Erklärungen zu den Folgen ab (auch dazu, dass Inhalte nach dem Verlust der Schlüssel nicht wiederherstellbar sind), bestätigt per E-Mail, und ein Eintrag geht ins Audit-Protokoll. Dann benennt er berechtigte Personen: jede erzeugt aus ihrem Passwort einen persönlichen Schlüssel und erhält einen Notfallcode. Die Regeln stehen in den Nutzungsbedingungen (Ziffer 3) und im Auftragsverarbeitungsvertrag (Ziffer 3.2).
Nutzungsbedingungen, Ziffer 3: E2E-Modus Auftragsverarbeitungsvertrag, Ziffer 3.2 So funktioniert das gesamte System
E2E im Testkonto aktivieren
Der Ende-zu-Ende-Modus ist in jedem Paket enthalten. Legen Sie ein Konto an, durchlaufen Sie die Aktivierung und prüfen Sie, dass in der Datenbank nur Chiffrat bleibt.