Update 3: Richtigstellungen zu Stiftung Warentest
Erstellt am 29.Januar 2015, 12:00 Uhr | Kategorie: Blog
Liebe Posteo-Kunden,
Heute ist ein Test der Stiftung Warentest erschienen, der E-Mailanbieter testet. Posteo ist gemeinsam mit einem anderen Anbieter punktgleicher Testsieger.
Leider sind im Test trotzdem zahlreiche Falschaussagen zu unserem Angebot und zu den Angeboten anderer Anbieter enthalten. Die Redaktion der Stiftung Warentest hat außerdem verschiedene technische Zusammenhänge falsch dargestellt.
Update: Wir haben bereits eine Richtigstellung von Stiftung Warentest eingefordert.
Update 2 (30.01., ca. 11:00): Die Stiftung hat den Test kurzfristig von ihrer Seite test.de genommen und hat uns mitgeteilt, dass Anfang der kommenden Woche eine aktualisierte Fassung veröffentlicht wird. Darüber hinaus wird die Stiftung Warentest den Sachverhalt auch in der nächsten Ausgabe ihrer Zeitschrift “test” aufgreifen.
Update 3 (30.01., ca. 16:00): Die Stiftung Warentest hat uns soeben erlaubt, ihre Stellungnahme an uns vollständig zu veröffentlichen.
“Sehr geehrter Herr Löhr,
ich muss mich zunächst entschuldigen, dass wir auf Ihre Mail inhaltlich am gestrigen Tage nicht reagieren konnten. Es war leider so, dass – aus verschiedenen Gründen – keine der Personen, die sich inhaltlich vertieft mit dieser Untersuchung beschäftigt haben, im Haus war.
Wir haben inzwischen mit dem von uns beauftragten Prüfinstitut Ihre Punkte besprochen und gehen nun davon aus, dass wir unsere Veröffentlichung an mehreren Stellen ändern werden. Wir werden deshalb den Test kurzfristig von unserer Seite test.de nehmen und Anfang der kommenden Woche eine aktualisierte Fassung veröffentlichen. Darüber hinaus werden wir den Sachverhalt auch in der nächsten Ausgabe unserer Zeitschrift test aufgreifen.
Ich bedauere, dass in dieser Veröffentlichung offensichtlich nicht alle Sachverhalte korrekt wiedergegeben wurden, und kann Ihnen versichern, dass wir die Ursachen dafür untersuchen und notwendige Schlussfolgerungen daraus ziehen werden.
Mit freundlichen Grüßen,
Dr. Holger Brackemann
Leiter des Bereichs Untersuchungen”
Mit diesem Blogbeitrag möchten wir die verschiedenen Falschaussagen von Stiftung Warentest richtigstellen.
-————————————————————————————
Falschaussagen: Zwei-Faktor-Authentifizierung
Zu unserer Zwei-Faktor-Authentifizierung macht Stiftung Warentest gleich mehrere Falschaussagen.
Sie schreibt: „Die Crux: Sicherheits-Funktionen wie die Zwei-Faktor-Authentifizierung realisiert auch Posteo über ein via Handy übertragenes Einmalpasswort. Einzige Lösung, um anonym zu bleiben: eine im Ausland gekaufte, nicht personalisierte Guthabenkarte fürs Handy. Verzichten Kunden auf das Zwei-Faktor-Verfahren, steigt das Risiko, dass das Konto gehackt wird. “
Wir stellen richtig:
1.) Es ist falsch, dass beim Nutzen der Zwei-Faktor-Authentifizierung bei Posteo ein Passwort „via Handy übertragen“ wird. Die Redaktion hat schlicht das für die Zwei-Faktor-Authentifizierung bei Posteo verwendete TOTP-Verfahren nicht verstanden, das wie folgt funktioniert: Das Einmal-Passwort wird auf dem Kunden-Gerät (z.B. auf einem Mobiltelefon, Tablet oder Desktop) erzeugt und angezeigt, für das der Kunde zuvor die Zwei-Faktor-Authentifizierung aktiviert hat. Aktiviert der Kunde die Absicherung, wird auf seinem Gerät ein individueller Algorithmus hinterlegt, der auch in unserem System gespeichert wird. Mit diesem wird alle 30 Sekunden ein individuelles Einmal-Passwort berechnet – und zwar auf dem Gerät des Kunden und unabhängig davon auch im System von Posteo.
Das Passwort wird nicht per Handy übertragen. Der Kunde gibt das Einmal-Passwort selbst beim Login-Vorgang auf der Posteo-Website ein. Die beiden Codes werden beim Login dort miteinander verglichen. Stimmen sie überein, erfolgt das Login. Eine Verbindung zwischen dem Gerät des Kunden und Posteo besteht nicht.
2.) Es ist falsch, dass die Authentifizierung bei Posteo per Handy erfolgen muss. Unsere Kunden können hierfür auch ein Tablet, einen Computer oder einen Yubikey benutzen. In keinem Fall besteht aber eine Verbindung zwischen der Zwei-Faktor-Authentifizierung und der Mobilfunk-Karte des Kunden.
3.) Es ist aus den oben genannten Gründen auch falsch, dass die Zwei-Faktor-Authentifizierung die Anonymität unserer Kunden beeinträchtigt. Dies behauptet die Stiftung Warentest und geht sogar so weit, Posteo-Kunden zu empfehlen, eine im Ausland gekaufte, nicht personalisierte Guthabenkarte für ihr Handy zu kaufen. Diese Empfehlung ist völliger Unfug und entbehrt jeder Grundlage (siehe unsere Ausführungen oben).
-————————————————————————————
Falschaussagen: Verschlüsseltes Postfach
Die Stiftung Warentest behauptet in ihrem Testbericht:
„Nur einer liest nicht mit“ und betont in ihrem Text wiederholt: „Mit einer Ausnahme speichert jeder der geprüften E-Mail-Dienste Nachrichten seiner Kunden im Klartext.“ Nur ein Anbieter schütze die Kunden und speichere deren E-Mails verschlüsselt.
Diese Aussage ist falsch.
Wir stellen richtig:
Alle getesteten Anbieter speichern die E-Mails der Kunden grundsätzlich im Klartext ab – es sein denn, der Kunde selbst nutzt eine Ende-zu-Ende-Verschlüsselung und aktiviert eine optionale Eingangs-Verschlüsselung, dann wird der Inhalt (ohne Betreff, Absender und andere so genannte Metadaten) neu eingehender E-Mails verschlüsselt gespeichert. Die Stiftung Warentest bezeichnet dennoch eine optionale Verschlüsselung neu eingehender E-Mails durch den Anbieter als “Verschlüsselung des Postfachs”. Sie suggeriert so fälschlicherweise, bei dem Anbieter würden alle E-Mails verschlüsselt gespeichert. Tatsächlich ist dies eine optionale Funktion, die zudem nur einen Teil der E-Mails betrifft (z.B. nicht die gesendeten E-Mails) und nur Nutzern von PGP vorbehalten bleibt.
Posteo bietet seit dem 28.01. ebenfalls eine Eingangs-Verschlüsselung mit PGP und mit S/MIME an. Zur Klarstellung beschreiben wir die Funktionsweise einer Eingangs-Verschlüsselung näher:
Bei einer Eingangs-Verschlüsselung können lediglich Kunden, die bereits PGP (oder S/MIME) verwenden, ihren öffentlichen Schlüssel hochladen und alle neu eingehenden E-Mails mit PGP oder S/MIME verschlüsseln. Die bereits im Postfach enthaltenen Nachrichten bleiben unverschlüsselt, alleine deshalb ist die pauschale Bezeichnung „verschlüsseltes Postfach“ schon falsch.
Eine Verschlüsselung neu eingehender E-Mails ist erstens keine Postfach-Verschlüsselung, da das E-Mail-Archiv unverschlüsselt bleibt. Zweitens ist sie ausschließlich Kunden vorbehalten, die eine Ende-zu-Ende-Verschlüsselung nutzen. Ende-zu-Ende-Verschlüsselung muss stets der Nutzer selbst einrichten – und nur wenige tun das.
Trotzdem hat Stiftung Warentest die optionale Eingangs-Verschlüsselung als grundsätzliche “Verschlüsselung des Postfachs” bezeichnet und maßgeblich zur Bewertung des Verschlüsselungskonzeptes der Provider herangezogen.
Auch der Titel „Nur einer liest nicht mit“ suggeriert Sicherheit, die nicht existiert: Maßnahmen wie das Scannen auf Spam oder eine richterlich angeordnete Postfach-Überwachung sind bei einer Eingangs-Verschlüsselung weiterhin möglich, da die E-Mails erst nach dem Eintreffen auf den Servern des Providers verschlüsselt werden.
-————————————————————————————
Falschaussage Umzugshilfe
Die Stiftung Warentest zählt im Artikel Anbieter auf, die eine Umzugshilfe bieten. Posteo wird hier fälschlicherweise nicht genannt.
Wir stellen richtig:
Posteo bietet seit Jahren eine Umzugshilfe an, mit der E-Mails zu Posteo übertragen werden können. In unserer Hilfe bieten wir hierzu Anleitungen an und unser Support-Team hilft kostenfrei ebenfalls bei Fragen rund um den Umzug.
-————————————————————————————
Missverständliche Formulierung: „E-Mail made in Germany“
Stiftung Warentest schreibt, dass Kunden der in der Initiative „E-Mail made in Germany“ verbundenen Firmen sehen würden, ob die Nachricht verschlüsselt übermittelt und nach deutschem Datenschutz gespeichert wird. Zitat: "Schon beim Eintippen der Mailadresse des Empfängers signalisiert ein grüner Haken, ob beides zutrifft.“
Wir stellen richtig:
Kunden der Initiative „E-Mail made in Germany“ sehen nicht in allen Fällen, ob eine E-Mail verschlüsselt übermittelt und nach deutschem Datenschutzrecht gespeichert wird.
Beides trifft z.B. auch auf Posteo zu, trotzdem wird beim Versand zu Posteo kein „grüner Haken angezeigt“. Posteo ist nicht Mitglied der PR-Initiative. Offene und sichere Methoden wie DANE, das Posteo als erster deutscher E-Mail-Provider eingeführt hat, bleiben unberücksichtigt, obwohl Posteo damit eine sichere Transportverschlüsselung anbietet – und deutschen Datenschutz ebenfalls.
-————————————————————————————
Missverständliche Formulierung: SSL-Verschlüsselung.
Zur gängigen SSL-Verschlüsselung behauptet Stiftung Warentest:
Die Stiftung Warentest behauptet, dass jeder zweite Anbieter im Test bei unsicherer Verbindung einfach nicht senden würde.
Wir stellen richtig:
Das ist eine missverständliche Darstellung. Hier fehlen der Redaktion vermutlich die grundlegenden Kenntnisse der E-Mailtechnik: SSL-fähige E-Mailserver versuchen in der Regel beim Versand zwar stets, eine mit SSL-verschlüsselte Verbindung aufzubauen – ist dies aber nicht möglich, weil z.B. der E-Mailserver des Empfängers nicht verschlüsseln kann, wird die E-Mail auch ohne SSL-Verschlüsselung versendet. Das gehört zum E-Mail-Standard und wird allgemein so gehandhabt. Wir können nur vermuten, dass die Redaktion die erzwungene SSL-Verschlüsselung der Anbieter meint, die bei vielen Anbietern besteht, wenn der Kunde eine E-Mail von seinem Rechner an seinen jeweiligen Anbieter „übergibt“, bevor dieser die E-Mail dann zu anderen Anbietern versendet. Beim eigentlichen E-Mailversand durch das Internet wird eine E-Mail in der Regel entgegen der Annahme von Stiftung Warentest von den Anbietern auch dann (unverschlüsselt) versendet, wenn der Gegenserver nicht verschlüsseln kann.