Gratis
24. Mai 2018 - Technisch-organisatorische Maßnahmen

EFAIL – Ist E-Mail-Verschlüsselung unsicher?

In den vergangenen Tagen forderten mehrere Magazine dazu auf, Verschlüsselungs-Programme, die den sicheren Austausch von E-Mails ermöglichen, zu deinstallieren. Hintergrund ist das Auftauchen einer Schwachstelle. Doch ist es wirklich sinnvoll, auf die Verschlüsselungsprogramme zu verzichten?

E-Mail-Verschlüsselung Forscher fanden „kritische Schwachstellen“ in E-Mail-Verschlüsselungs-Methoden. Sind diese nun nicht mehr zu gebrauchen? (Bild: weerapatkiatdumrong / iStock / Thinkstock)

Der Sicherheitsforscher Sebastian Schinzel von der FH Münster kündigte über Twitter an, Informationen über „kritische Schwachstellen“ in den Verfahren PGP und S/MIME zu veröffentlichen. Diese dienen der E-Mail-Verschlüsselung.

Was die Medien dazu sagen

Wie nicht anders zu erwarten war, sorgte diese Ankündigung für ein breites mediales Echo. Und das bereits zu einem Zeitpunkt, als die eigentlichen Forschungsergebnisse noch nicht veröffentlicht waren.

Wenn Forscher gleich in beiden Verfahren sicherheitsrelevante Schwachstellen finden, kann das ernstzunehmenden Konsequenzen für die Datensicherheit und den Datenschutz im E-Mail-Verkehr haben.

So riet beispielsweise das Nachrichtenmagazin „Der Spiegel“ in einem Artikel, von der Verschlüsselung von Mails abzusehen. Andere Zeitschriften titelten, dass die Kommunikation per E-Mail nicht mehr sicher sei.

Das Ende der E-Mail-Verschlüsselung?

Die Forscher haben die gefundenen Schwachstelle auf der Webseite „EFAIL“ beschrieben. Wer sich damit eingehender beschäftigt, weiß, dass die beschriebene Lücke zwar sehr ärgerlich ist, allerdings nicht das Ende der E-Mail-Verschlüsselung einläutet.

Denn die eigentlichen Verschlüsselungs-Verfahren ließen sich nicht knacken und überwinden. Den Forschern ist es allerdings unter sehr selten eintretenden Umständen gelungen, an eigentlich verschlüsselte Inhalte zu kommen.

So funktioniert die Schwachstelle

Um dieses Ziel zu erreichen, muss das E-Mail-Programm so konfiguriert sein, dass es das automatische Nachladen von Inhalten in HTML-E-Mails erlaubt. Das gilt für die meisten Mailprogramme auf mobilen Geräten.

Über die Funktion haben Angreifer die Möglichkeit, sich eine Nachricht zurückschicken zu lassen. Doch zuvor ist es notwendig, die E-Mail abzufangen und zu manipulieren. Erst dann überträgt das E-Mail-Programm den automatisch entschlüsselten Nachrichtentext.

Wie das das Bundesamt für Sicherheit in der Informationstechnik (BSI) klarstellte, ist für das Funktionieren der Attacke deshalb notwendig:

  • Zugriff auf den Transportweg, den Mailserver oder das E-Mail-Postfach des Empfängers
  • Ausführung von HTML-Code und das Nachladen externer Inhalte im E-Mail-Programm müssen erlaubt sein.

Verschlüsselung ist nach wie vor sicher

Das bedeutet, dass sich die aufgezeigte Lücke durch einfache und bewährte Maßnahmen schließen lässt, oder ein Angriff auf diesem Weg gar nicht möglich ist.

Von Mails im HTML-Format und externen Links ist seit vielen Jahren bekannt, dass sie zu Sicherheitsproblemen führen können. Wird das automatische Nachladen von HTML-Code und von Grafiken im Mailprogramm deaktiviert, ist dieser Angriff nicht ausführbar.

Wie das BSI richtig bemerkt, empfiehlt es sich, E-Mail-Server und Programme ohnehin gegen unautorisierten Zugriff zu schützen.

Sicherheitsbewusste Administratoren werden die aufgezeigten Lücken also längst geschlossen haben oder haben jetzt die Gelegenheit, das mit wenig Aufwand tun.

Stephan Lamprecht