Update: Informationen zu "Efail"-Meldungen
Erstellt am 14.Mai 2018, 18:40 Uhr | Kategorie: Blog
Update am 15. Mai 15:30:
Wir haben ein Update für alle Mailvelope-Nutzerinnen und -Nutzer:
Das Open Source-Verschlüsselungs-Plugin Mailvelope ist von den kritischen Efail-Schwachstellen nicht betroffen und kann weiter verwendet werden. Das hat Mailvelope heute Nachmittag mitgeteilt. Mit Mailvelope kann PGP im Posteo-Webmailer genutzt werden. Wir stehen mit dem Mailvelope-Entwickler, Thomas Oberndörfer, in Kontakt.
Er kündigte dennoch an, den Umgang des Plugins mit HTML-Mails im Bezug auf den Datenschutz zu verbessern und z.B. das Nachladen externer Inhalte wie Bilder optional zu machen.
Nutzern rät er, auf die heute erschienene Version 2.2.2 upzudaten, die kleinere Probleme behebt.
14. Mai 18:40:
Liebe Posteo-Nutzerinnen und Posteo-Nutzer,
heute wird in den Medien über Sicherheitslücken bei den Ende-zu-Ende-Verschlüsselungsstandards PGP und S/MIME berichtet.
Die Untersuchung wurde uns erst heute bekannt. Deshalb können wir zu der Veröffentlichung noch keine endgültige Einschätzung abgeben. Wir prüfen das Dokument aktuell für Sie, holen Einschätzungen von Sicherheitsexperten ein und haben Kontakt zu Entwicklern gängiger Verschlüsselungs-Softwares hergestellt.
Wir wollen kurz auf Fragen eingehen, die uns erreicht haben – und erste Tipps für PGP und S/MIME-Nutzer geben. Bei Neuigkeiten werden wir diesen Blog-Beitrag updaten.
Kurz-Info:
1.) Wenn Sie keine Ende-zu-Ende Verschlüsselung mit PGP oder S/MIME nutzen, betrifft Sie dieses Thema nicht.
2.) Verwenden Sie PGP oder S/MIME, blockieren Sie das Ausführen von HTML-Code und das Nachladen externer Inhalte. (Anleitungen dazu finden Sie am Ende dieses Blog-Beitrags)
3.) Alle Beteiligten einer verschlüsselten Kommunikation müssen die unter 2.) beschriebenen Maßnahmen umsetzen.
Ist “die E-Mail-Verschlüsselung” jetzt unsicher?
Nein, das ist pauschal so nicht richtig. Denn: “Die Eine” E-Mail-Verschlüsselung gibt es nicht. E-Mails werden heute in der Regel mit verschiedenen Sicherheits- und Verschlüsselungstechnologien gleichzeitig abgesichert. Eine Ende-zu-Ende-Verschlüsselung schützt beispielsweise nicht die gesamte E-Mail-Kommunikation, auch wenn das viele glauben: Sie schützt nur die Inhaltsdaten.
Die E-Mail-Metadaten und der Betreff werden über die Transportwegverschlüsselung der Provider geschützt.
Die Sicherheit einer E-Mail-Kommunikation hängt real also von der Kombination verschiedener Technologien ab. Wird eine Verschlüsselungstechnologie isoliert betrachtet, sagt dies wenig über die tatsächliche Sicherheit einer bestimmten E-Mail-Kommunikation in der Praxis aus.
Angriff nur unter engen Voraussetzungen möglich
Die Macher der Untersuchung setzen in ihrem Szenario voraus, dass ein Angreifer bereits Zugriff auf die verschlüsselte Kommunikation hat. E-Mail-Provider setzen heute aber Sicherheitstechnologien ein, die Man-in-the-Middle-Attacken und nicht authentifizierte Zugriffe auf verschlüsselte Kommunikation wirksam verhindern können.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt zu den Voraussetzungen für den Angriff:
“Zur Ausnutzung der Schwachstellen muss ein Angreifer Zugriff auf den Transportweg, den Mailserver oder das E-Mail-Postfach des Empfängers haben.”
Fakt ist: Provider sichern Transportwege, Mailserver und Postfächer heute immer besser ab – bei uns erfolgt dies nach dem Stand der Technik. Nutzer sollten Ihre Endgeräte ebenfalls gut absichern.
Ein Beispiel zu den Transportwegen: 2014 haben wir als erster Provider die innovative Technologie DANE eingeführt, die gängige Schwachstellen in der Transportwegverschlüsselung TLS beseitigt. Eine Kombination aus einer Ende-zu-Ende-Verschlüsselung und einer DANE-basierten Transportwegverschlüsselung ergibt ein sehr hohes Schutzniveau.
Tipp: Im Posteo-Webmailer wird Ihnen vor dem Versenden einer E-Mail angezeigt, ob ihre verschlüsselte E-Mail durch DANE geschützt ist.
Die E-Mailserver schützen wir mit zahlreichen Technologien und einer Infrastruktur, die unser internes Netz und die Kundenpostfächer besonders konsequent vor Zugriffen von außen schützt. Ihr Postfach können Sie mit einem starken Passwort schützen – und wir verschlüsseln jeden Zugriff auf Ihr Postfach mit den neuesten Technologien. Ein noch höheres Schutzniveau erreichen Sie, wenn Sie die Zwei-Faktor-Authentifizierung mit dem zusätzlichen Postfachschutz aktivieren. Mit der TLS-Versand-Garantie verhindern sie, dass Ihre E-Mails ohne Transportwegverschlüsselung an andere E-Mail-Server übertragen werden.
Das BSI beschreibt noch eine zusätzliche Voraussetzung für den Angriff:
“Zusätzlich müssen auf Empfängerseite aktive Inhalte erlaubt sein, also etwa die Ausführung von html-Code und insbesondere das Nachladen externer Inhalte.”
Nutzer von Ende-zu-Ende-Verschlüsselungen sollten deshalb umgehend Ihre Einstellungen zum Ausführen von HTML-Code und dem Nachladen externer Inhalte entsprechend überprüfen und ggf. anpassen. Dann sollte die akute Gefährdung abgewendet sein.
Anleitungen: So blockieren Sie das Nachladen externer Inhalte/das Ausführen von HTML-Code
Thunderbird
HTML-Anzeige deaktivieren:
1. Klicken Sie oben rechts in Thunderbird auf den Sandwich-Button.
2. Klicken Sie auf “Ansicht”.
3. Unter “Nachrichteninhalt” wählen Sie den Menüpunkt “Reiner Text” aus.
Externe Inhalte deaktivieren:
1. Klicken Sie oben rechts in Thunderbird auf den Sandwich-Button und öffnen Sie die “Einstellungen”.
2. Öffnen Sie den Menüpunkt “Datenschutz”.
3. Entfernen Sie im Abschnitt “E-Mail-Inhalte” das Häkchen bei “Externe Inhalte in Nachrichten erlauben”.
Apple Mail
1. Klicken Sie in der Menüleiste auf “Mail” und öffnen Sie dort die “Einstellungen”.
2. Öffnen Sie den Menüpunkt “Darstellung”.
3. Entfernen Sie das Häkchen bei “Entfernte Inhalte in Nachrichten laden”.
iOS
1. Öffnen Sie die “Einstellungen”-App.
2. Tippen Sie auf “Mail”.
3. Deaktivieren Sie im Abschnitt “Nachrichten” den Schalter neben “Bilder von Webservern laden”.
Outlook
1. Klicken Sie auf “Datei” und dort im Seitenmenü auf “Optionen”.
2. Öffnen Sie den Menüpunkt “Trust Center” und klicken Sie dort auf “Einstellungen für das Trust Center”.
3. Klicken Sie auf “E-Mail-Sicherheit”.
4. Setzen Sie im Abschnitt “Als Nur-Text lesen” ein Häkchen bei “Standardnachrichten im Nur-Text-Format lesen” und bei “Digital signierte Nachrichten im Nur-Text-Format lesen”.
5. Bestätigen Sie die Änderung mit einem Klick auf “Ok”.
Viele freundliche Grüße
das Posteo Team