Best practice: Passwörter an Kunden senden?

Nein, wenn einer Zugriff auf die Mails hat, egal ob im Client, dem Server oder auf der Leitung, sind die Zugangsdaten bei fehlender Ende-zu-Ende-Verschlüsselung kompromitiert.

Die Verbindung zwischen Mailservern ist heute zwar schon sehr oft verschlüsselt, aber es erfolgt keine Überprüfung, ob das Zertifikat gültig ist und ob der richtige Server erreicht wurde. Den Servern ist es auch egal, ob die Verbindung verschlüsselt oder unverschlüsselt ist. Mailserver wollen eine Mail loswerden, egal wie.

Hallo,

was Tolles habe ich bisher auch nicht gefunden.

Ich nutze:
A) Email mit Kennwortgeschützer 7zip-Datei, Das Kennwort dann als Bild per SMS, WhatsApp, Post, Fax oder mündlich
B) Datei direkt auf dem Server des Kunden ablegen

Stefan

Als Textdatei in einer passwortgeschützten ZIP-Datei und das Passwort für die ZIP-Datei telefonisch mitteilen. Alternativ kann man es auch per verschlüsselter E-Mail (SMIME/PGP) senden.
Sobald du das Passwort an irgendwen anderes übermittelst, ist es nicht mehr sicher. Und das gilt in meinen Augen auch für Passwortdienste.

Guten Abend Rene,
die EU-DGSVO regelt den geschäftlichen Versand von Passwörtern. Kurz um: Es müssen zwei getrennte Kanäle verwendet werden. Diensten, wie du vorgeschlagen hast, würde ich nie geschäftliche Daten wie Passwörter, Zertifikate, etc... anvertrauen. Auch wenn das Hosting in Deutschland erfolgt.

Auf dessen Basis haben wir eine Eigenentwicklung im Einsatz. Das Prinzip ist recht simpel. Ich rufe eine Weboberfläche auf, gebe die E-Mail-Adresse und Mobilfunknummer des Empfängers, das vorher telefonisch definierte Passwort sowie den Text den ich übermitteln möchte, ein. Anschließend verschicke ich die Nachricht.

Der Empfänger erhält per E-Mail den Link zu der Nachricht. Authentifiziert sich mit dem Passwort und dem Einmalcode, der per SMS verschickt wurde. Sobald die Nachricht aufgerufen wurde, wird diese inkl. alle (Meta)daten unwiderruflich auf unserem Server gelöscht.


Gruß,
Dani

Kurzer Nachtrag

Seit einiger Zeit bekommen Kunden einen "Willkommens-Zettel" persönlich übergeben.
Darauf steht unter anderen auch ein zufälliges Kennwort was ich für diese Zwecke dann verwenden.
Leider finden viele diese wichtige Unterlage später nicht wieder

Stefan

1. Zu einem Kommentar hier, der sich auf die DSGVO bezieht:
Die DSGVO "regelt" das nicht. Zumindest nicht direkt. Es gibt keine "Regeln" in der DSGVO, wo steht, dass man Passwörter über einen zweiten Kanal versenden muss. Und die DSGVO unterscheidet nicht zwischen "geschäftlich" und "privat", sondern zwischen "personenbezogen" und "nicht personenbezogen".

Allerdings bezieht die DSGVO auch die "technischen und organisatorischen Maßnahmen" mit ein. Wenn die so unzureichend sind, dass Unberechtigte Passwörter erhalten, mit denen sie (nicht nur!) personenbezogene Daten einsehen können, dann haben unsere Aufsichtsbehörden dazu eine feste Meinung, die dazu führen kann, dass man am Ende ein Bußgeld bezahlen muss.

Letztendlich muss der Schutz des Passworts und das Passwort selbst angemessen sein.

2. Wichtige, unverschlüsselte Passwörter immer auf einem zweiten Kanal übertragen. Egal, welcher das ist. Zweckmässig kann eine SMS sein. Statt dessen auch ein Messenger. Manch einer schreibt das Passwort auf eine Papierseite und hält es während einer Skype-Konferenz hoch, damit das Gegenüber das Passwort abschreiben kann

Abgesehen davon frage ich mich mal wieder, warum kein S/MIME oder PGP bzw. GnuPG benutzt wird. Das ist kostenlos und das einzige, was man machen muss, ist den öffentlichen Schlüssel auszutauschen. Selbst wer PGP nicht regelmäßig benutzen möchte, kann mal eben GnuPG installieren und einen neuen, eigenen Schlüssel erstellen. Das dauert nur Sekunden.
Mittlerweile gibt es sogar Dienstleister, die den eigenen, selbst erstellten Schlüssel "zertifizieren", indem sie den PGP-Schlüssel beglaubigen, der vorher mit dem nPA (neuer Personalausweis) unterschrieben wurde. Siehe "Fraunhofer" und "Volksverschlüsselung".

Moin,

ich weiß ja nicht in was für einer Firma du arbeitest, aber es gibt da draußen Firmen da ist "mal eben installieren" nicht unter 6 Monaten machbar, weil man u. a. das ein oder andere Gremium (Betriebsrat, CAB, etc. ) einbeziehen muss und das Programm bevor es auf deinem PC ankommt noch durch die Abnahmeumgebung(en) muss.

/Thomas