Diese Website speichert Cookies auf Ihrem Computer. Diese Cookies werden verwendet, um Ihre Website zu optimieren und Ihnen einen persönlich auf Sie zugeschnittenen Service bereitstellen zu können, sowohl auf dieser Website als auch auf anderen Medienkanälen. Mehr erfahren über die von uns eingesetzten Cookies finden Sie in unserer Datenschutzrichtlinie
Anzeige
Anzeige

Forscher finden Schwachstellen in E-Mail-Verschlüsselung

Löwen. E-Mails werden bislang kaum verschlüsselt, weil die beiden gängigen Kryptoverfahren vielen Anwendern zu kompliziert erscheinen. Aber immerhin galten die Standards als sicher. Doch nun haben Forscher kritische Schwachstellen in den Verschlüsselungsverfahren entdeckt.

Forscher finden Schwachstellen in E-Mail-Verschlüsselung

Forscher haben bei der Verschlüsselung von E-Mails gravierende Schwachstellen entdeckt. Foto: Jan-Philipp Strobel

IT-Forscher haben fundamentale Sicherheitslücken in den beiden gängigen Verschlüsselungs-Verfahren für E-Mails gefunden, durch die Angreifer unter Umständen Zugriff auf geheime Nachrichten bekommen könnten. Allerdings müssen für eine erfolgreiche Attacke mehrere Voraussetzungen erfüllt sein.

Außerdem kann man die Gefahr durch richtige Einstellungen reduzieren. „Sie sind nur betroffen, wenn ein Angreifer bereits Zugriff auf ihre E-Mails hat“, schränkten die Experten zudem ein.

Durch die Schwachstelle können mit den Standards OpenPGP und S/MIMEverschlüsselte E-Mails auf zwei verschiedenen Wegen so manipuliert werden, dass Angreifer den Klartext erhalten, berichteten Sicherheitsforscher der Fachhochschule Münster, der Ruhr-Universität Bochum sowie der belgischen Universität Leuven. Im schwerwiegenderen der beiden Angriffsszenarien erlaubten Apple Mail, der E-Mail-Client des iPhone-Systems iOS und das Programm Mozilla Thunderbird das direkte Herausziehen der Nachrichten, das einfacher umzusetzen sei.

Insgesamt seien für die Attacken 25 von 35 getesteten E-Mail-Programmen bei S/MIME anfällig und 10 von 28 geprüften E-Mail-Clients, die OpenPGP entschlüsseln können, hieß es. S/MIME wird vor allem im Unternehmensumfeld verwendet, während OpenPGP meist Privatanwender sowie Journalisten und Aktivisten nutzen.

Herkömmliche, nicht verschlüsselte E-Mails sind von der Lücke ohnehin nicht betroffen. Sie können ohnehin ähnlich wie eine Postkarte offen eingesehen werden. Die Verschlüsselung mit OpenPGP oder S/MIME galt bislang als relativ sicher, wenn man die Verfahren richtig anwendet.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wies darauf hin, dass für die „EFail“-Attacke der Zugriff auf den Transportweg, den Mailserver oder das E-Mail-Postfach des Empfängers notwendig sei. Zudem müsse beim Empfänger dafür die Ausführung von HTML-Code und das Nachladen externer Inhalte im E-Mail-Programm erlaubt sein. Beide Verfahren könnten aber weiter sicher eingesetzt werden, wenn sie korrekt implementiert und sicher konfiguriert werden.

Um das zu gewährleisten, müssten Anwender aktive Inhalte in ihrem E-Mail-Programm ausschalten. Dazu zählten das Ausführen von HTML-Code und das Nachladen externer Inhalte in E-Mails. Anders als bei PC-Mail-Clients sei das bei Mobilgeräten oft voreingestellt. Entwickler von E-Mail-Anwendungen hätten schon Updates angekündigt oder bereitgestellt. Das BSI betont aber, dass eine sichere Konfiguration unabhängig von Updates bereits durch das Ausschalten aktiver Inhalte gegeben sei.

Die Bürgerrechtsstiftung Electronic Frontier Foundation (EFF) rät indes, zumindest bei Mobilgeräten für die vertrauliche Kommunikation vorübergehend besser Kryptomessenger wie Signal einzusetzen.Die Forscher selbst empfahlen, die E-Mails nicht mehr in dem E-Mail-Programm selbst zu entschlüsseln, sondern eine andere Software dazu zu verwenden. Mittelfristig müssten aber Software-Updates für die Lücken veröffentlicht und auf lange Sicht auch die Verschlüsselung-Standards selbst weiterentwickelt werden. Die Experten hatten bereits seit dem Herbst mit Unternehmen und Behörden daran gearbeitet, die Lücken zu schließen.

Der deutsche Software-Entwickler Werner Koch, der maßgeblich das freie PGP-Programm GNU Privacy Guard (GnuPG) entwickelt hat, trat Experten entgegen, die empfohlen hatten, die PGP-Software zu deinstallieren. Der Web-Standard HTML werde die die Schaffung eines Rückkanals missbraucht. Es gebe aber keine Anzeichen dafür, dass die PGP-Software selbst unsicher sei.

Anzeige
Anzeige
Das könnte Sie auch interessieren

Digitales

Google bringt eigene Podcast-App für Android

Berlin. Podcasts erreichen immer mehr Zuhörer. Google schließt sich mit einer eigenen Android-App dem Boom an und will mit der Empfehlung von Inhalten auf Basis der Nutzerinteressen punkten.mehr...

Digitales

Firefox mit Add-ons Speicherdiät verordnen

Berlin. Der Firefox-Browser braucht bekanntlich viel Speicherplatz. Sind viele Tabs gleichzeitig geöffnet, kann darunter die Geschwindigkeit leiden. Mit zwei kleinen Add-ons können sich User behelfen.mehr...

Digitales

Instagram erlaubt lange Videos

Berlin. Die Fotoplattform Instagram erlaubt es Nutzern künftig, auch längere Videos zu veröffentlichen. Die Filme können mit einer App hochgeladen und angeschaut werden.mehr...

Digitales

Morgens wird eher analytisch getwittert, abends emotional

Bristol. US-Präsident Donald Trump mit seinen morgendlichen Twittersalven scheint eine Ausnahme zu sein: Die meisten Nutzer verfassen ihre Tweets am Tagesanfang eher rational und sachlich. Erst am Abend kommen mehr Gefühle ins Spiel, sagen Forscher.mehr...

Digitales

Schuldfrage bei künstlicher Intelligenz noch ungeklärt

München. Im Science-Fiction-Klassiker „Dark Star“ denkt eine intelligente Bombe, sie sei Gott - und sprengt das Raumschiff. So weit ist die Technik noch nicht. Doch Juristen zerbrechen sich die Köpfe: Wer haftet, wenn künstliche Intelligenz Fehler macht?mehr...

Digitales

Webseite zeigt Weltzeit an

Berlin. Ob in der Fernbeziehung, bei beruflichen Kontakte oder auf Reisen - das Abgleichen der eigenen mit einer anderen Zeitzone gehört für viele mittlerweile zum Alltag. Eine praktische Webseite macht das Leben in verschiedenen Zeiten einfacher.mehr...