Vivien: Hallo Andreas, vielen Dank, dass du dich heute mit uns über sichere Kommunikation für Unternehmen unterhälst; das freut mich sehr! Was genau ist CareTeam und was bietet ihr an?

Andreas Saladin: Die CareTeam-Praxis mit Sitz in Basel in der Schweiz wurde 2023 gegründet und war eine der ersten Organisationen der psychologischen Psychotherapie, eine Kategorie, die erst neu erschaffen wurde. Die Praxis wurde in einer Zeit gegründet, als in der Schweiz ein Gesetzeswechsel stattgefunden hat - vom Delegationsmodell zum Anordnungsmodell. Eine wesentliche Änderung war, dass Psychotherapeutinnen in Weiterbildung nicht mehr als Angestellte bei Psychiaterinnen arbeiten durften. Es entstand eine Lücke und ein echtes Problem für diese Personen, welche die Berufserfahrung im Rahmen einer Institution mit fachlicher Leitung sammeln müssen.

Obwohl die Form der psychologischen Psychotherapie heute noch nicht die volle Würdigung innerhalb des Schweizerischen Gesundheitssystems genießt, so ist es doch ein großer Schritt zur Autonomie und Würdigung des Berufsstands der Psychologie und psychologischen Psychotherapie. Was heute noch fehlt, ist die Gleichstellung mit ärztlichen Institutionen; dies ist in Bezug auf die Anrechenbarkeit der Berufsjahre ein wichtiger Schritt, der von den Berufsverbänden vorbereitet wird.

CareTeam-Logo. Bild: CareTeam

Vivien: Was zeichnet das CareTeam aus?

Andreas Saladin: CareTeam - unser Name ist bei uns Philosophie. Wir sind ein Unternehmen, das durch die Mitarbeiterinnen lebt und durch das Miteinander. Psychotherapie ist eine anspruchsvolle Tätigkeit, die viel menschliches Engagement braucht. Die Organisation ist nicht nur ein Gefäß, das es Personen in Weiterbildung erlaubt, überhaupt tätig sein zu können, sondern auch eine administrative Entlastung für alle Beteiligten. Ein Lean Management, keine Großinvestoren mit Renditeabsichten, sondern eine vom Gründer getragene Organisation, die mit der Philosophie einer Genossenschaft funktioniert. Als Organisation haben wir Vorteile von Kollektivlösungen - sowohl wirtschaftlich als auch von den Prozessen. Wir sind eine Organisation im Dienste der Mitarbeiterinnen

Sichere Kommunikation im Gesundheitssektor

Vivien: Warum ist gerade im Gesundheitssektor vertrauliche, sichere Kommunikation, wie durch Ende-zu-Ende-Verschlüsselung, so wichtig?

Andreas Saladin: Das Thema Datenschutz ist im Bereich der Psychotherapie essentiell. Mit der neuen Datenschutzverordnung ist stets ein Arbeitsverarbeitungsvertrag erforderlich. Auch wenn damit eine Zuweisung von Verantwortung gemacht wird, so ist es doch vor allem ein Name für das Vertrauen. Sicherheit kommt meines Erachtens aus dem Ansatz und aus der Philosophie. Open-Source und Sicherheit durch Design sind die Merkmale, die relevant sind.

Vivien: Warum habt ihr euch für Tuta entschieden und nicht zum Beispiel für andere Mailanbieter, die auch aus der Schweiz kommen?

Andreas Saladin: Als Gründer der Praxis hatte ich viele Herausforderungen, man muss sich in vielen Themen orientieren. Ich erinnere mich an die Übersichtlichkeit von Tuta, die mir rasch zugänglich erschien und mir die Entscheidung einfach machte. Auch wollte ich nichts mit Hosting, Updates, Trouble-Shooting etc. zu tun haben. Diese Dinge an einen Dienstleister auszulagern ergibt einfach am meisten Sinn.

„Ich habe festgestellt, dass Tuta den Datenschutz am konsequentesten umsetzt.“

Ich suchte bewusst nach einer Lösung, die keine eigenen Mailserver benötigt und nicht auf Drittsoftware angewiesen ist. Alles soll konsequent auf Datensicherheit ausgelegt sein. In der Schweiz gibt es das berühmte HIN-Netzwerk – ein Monopol in der Schweiz mit dem Angebot einer zusätzlichen Transportverschlüsselung. Wie Sicherheit gehandhabt wird, ist da Betriebsgeheimnis - damit ist das Merkmal “Sicherheit by Design” bereits unerfüllt, weil es unklar ist.

Gegenüber anderen Anbietern wie beispielsweise Proton überzeugte mich die Konsequenz - die gesamte Bandbreite sind eigene Entwicklungen - selbst das Verschlüsselungsprotokoll. Die quantensichere Verschlüsselung hat mich fasziniert. Clients auf Android kommen ohne Google Services aus - ich hab zwar nicht den Marktüberblick, aber Tuta scheint hier ein Alleinstellungsmerkmal zu haben.

CareTeam-Startseite. Screenshot: CareTeam-Startseite.

Wie klappt’s mit Tuta Mail

Vivien: Wie lief die Implementierung von Tuta bei euch ab? War es einfach oder gab es ein paar Schwierigkeiten?

Andreas Saladin: Man braucht nur den Account erstellen und damit hat man das Thema bereits erledigt. Natürlich braucht es eine Einarbeitung, allerdings ist der Client von Tuta gut aufgeräumt und hat eine logische Struktur. Er ist nicht überladen; ich kam damit sehr gut zurecht.

Vivien: Was gefällt dir am besten an Tuta bzw. was ist der größte Vorteil?

Andreas Saladin: Sicherheit – das ist der große Vorteil von Tuta. Das Thema Sicherheit in der Kommunikation bleibt aber ein sehr wichtiges - und eines, bei dem ein Dazulernen nie aufhört.

Andreas’ Sicht auf die Sicherheit

Andreas Saladin: Aus meiner Sicht sind die „Man-in-the-Middle“-Angriffe auf E-Mails unwahrscheinlich, denn E-Mail-Server verbinden sich direkt miteinander, ohne zufällige Zwischenserver. Der Weg wird über DNS bestimmt - ein Verzeichnisdienst, der zu jeder Domain den zuständigen Mailserver liefert. Ein Sender fragt die DNS nach dem Mailserver für den Empfänger und verbindet sich direkt dorthin. Die verschlüsselte Verbindung läuft zwar über Provider, Internet-Knoten und Unterseekabel, aber TLS prüft mit Zertifikaten die Identität des Zielservers. Ein Angreifer müsste entweder DNS manipulieren (DNS Poisoning) oder das Internet-Routing umleiten (BGP Hijacking), um Traffic abzufangen. Beides ist extrem aufwendig, wird überwacht und scheitert meist an der Zertifikatsprüfung, die gefälschte Server entlarvt.

Eine der größten Sicherheitsrisiken ist meiner Meinung nach Folgendes:

Der E-Mail-Provider kann mitlesen. Die meisten E-Mail-Anbieter wie Gmail, Outlook, GMX etc. speichern Nachrichten im Klartext auf ihren Servern, was eine einfachere Verarbeitung, Suche und Spam-Filterung ermöglicht. Der Provider hat dadurch technisch vollständigen Zugriff auf alle gespeicherten E-Mails Nur Anbieter mit Zero-Knowledge-Architektur wie Tuta verschlüsseln E-Mails so, dass sie selbst keinen Zugriff auf den Inhalt haben - solche Dienste sind die Ausnahme.

Ein weiteres Sicherheitsrisiko sind kompromittierte Endgeräte. Spyware, Keylogger oder Trojaner auf dem Computer des Absenders oder Empfängers können E-Mails abgreifen, bevor sie verschlüsselt oder nachdem sie entschlüsselt wurden. Solche Schadsoftware gelangt häufig durch Phishing-Angriffe auf Geräte. Selbst die stärkste Transportverschlüsselung hilft nichts, wenn das Endgerät bereits kompromittiert ist. An dieser Stelle vertraue ich der Software von Tuta am meisten, dass solche Angriffe es schwieriger hätten. Wir nutzen aus diesem Grund auch konsequent Linux und nicht ein amerikanisches Betriebssystem.

Aus meiner Sicht hat man mit einem guten E-Mail Dienst auch ohne die verschlüsselte Variante bereits ein besseres Maß an Sicherheit. Das ist wichtig, weil doch ein erheblicher Teil der einfachen Kommunikation ohne besondere Inhalte ohne die E2E-Verschlüsselung läuft. Die Transportverschlüsselung ist heute ja überall Standard - zum Glück.

Vivien: Wow, du hast dich mit dem Thema Sicherheit im Netz wirklich intensiv auseinandergesetzt, wirklich beeindruckend. Vielen Dank für dieses tolle Interview! Ich hoffe, dass dir unsere verschlüsselte E-Mail-Lösung für dein Unternehmen weiterhin gute Dienste leistet, und und freue mich, regelmäßig auf Feedback zu underen Updates und zu fehlenden Funktionen, die ihr noch so braucht.