Verschlüsselte E-Mails: Massive Sicherheitslücke in E-Mail-Programmen entdeckt
Nicht nur Messaging-Dienste bieten eine verschlüsselte Kommunikation – auch E-Mails lassen sich verschlüsseln, und das schon seit vielen Jahren. Doch jetzt ist eine Sicherheitslücke aufgetaucht, mit der sich gängige Verschlüsselungsmethoden binnen Minuten umgehen lassen.
E-Mail-Verschlüsselung: Eigentlich eine gute Idee …
Mit gängigen E-Mail-Clients wie Outlook, Thunderbird und Apple Mail lassen sich verschlüsselte E-Mails verschicken – teilweise mithilfe zusätzlicher Tools für eine PGP- oder S/MIME-Verschlüsselung. Wie das funktioniert, haben wir bereits vor einiger Zeit für Windows-Benutzer, für Apple Mail, für Android-Apps und für Benutzer von Thunderbird erklärt.
HTML-Code lässt Mail-Clients für den Angreifer entschlüsseln
Allerdings besteht eine ernsthafte Sicherheitslücke, die weniger die Verschlüsselung selbst als den Umgang mit verschlüsselten Mails durch die E-Mail-Clients selbst betrifft. Ein Forschungsteam um Professor Sebastian Schinzel von der Fachhochschule Münster hat herausgefunden, dass Angreifer verschlüsselte Mails, die sie „abgefangen“ haben, entschlüsseln können, indem sie den verschlüsselten Text im HTML-Code versteckt in einer anderen Mail erneut an den Empfänger schicken.
Über weiteren einfachen HTML-Code ist es möglich, den Mail-Client des Empfängers dazu zu bringen, eine weitere Mail an den Angreifer zurückzuschicken – und zwar mit dem entschlüsselten Text. Das Ganze funktioniert nur dann nicht, wenn der Empfänger HTML für E-Mails deaktiviert hat – was heutzutage aber nur noch sehr selten der Fall ist. Schutz ist daher aktuell nur durch das Deaktivieren von HTML-Mails und das Deaktivieren des Herunterladen entfernter Inhalte in E-Mails möglich.
Wenn ihr wissen wollt, welcher Mail-Client – abgesehen von dieser Sicherheitslücke – der Beste ist, solltet ihr euch unsere Bilderstrecke ansehen.
Das Forscherteam hat Unternehmen wie Apple und Microsoft eigenen Angaben bereits vor Monaten kontaktiert, bisher hätten diese aber nicht reagiert. Es bleibt zu hoffen, dass diese in ihren Mail-Clients bald Schutzmechanismen einbauen.
Quellen: Tagesschau, EFF, MacRumors
