Aktuelles bei m2solutions

Efail-Angriffe auf PGP und S/MIME verschlüsselte Mails – was steckt dahinter?


E-Mail-Verschlüsselung gehört heutzutage zum Standard in der deutschen Geschäftswelt. Doch nun irritieren die Schlagzeilen über Efail-Angriff viele Anwender: Sind die verschlüsselten E-Mails wirklich sicher? Zunächst einmal muss man verstehen, was denn überhaupt geschehen ist.

Was ist Efail?

Ein Forscherteam der FH Münster, der Ruhr-Universität Bochum sowie der Universität Leuven (Belgien) hat schwerwiegende Schwachstellen in den E-Mail-Verschlüsselungsstandards OpenPGP und S/MIME gefunden. Ein Angreifer muss im ersten Schritt Zugriff auf eine verschlüsselte E-Mail haben. Zum Beispiel kann eine E-Mail während des Transportweges oder auf einem E-Mail-Server abgefangen werden. Außerdem müssen aktive Inhalte beim Empfänger der E-Mail aktiviert sein, also die Ausführung von HTML-Code und das Nachladen externer Inhalte, z.B. Bilder. Nun fügt der Angreifer der immer noch verschlüsselten E-Mail aktive Inhalte hinzu. Wie genau ein solcher Angriff abläuft, beschreiben die Forscher auf www.efail.de. Wird die so manipulierte E-Mail dann vom Empfänger entschlüsselt, sendet der Empfänger automatisch und ohne sein Wissen den Inhalt der Nachricht im Klartext an den Angreifer.

Sind verschlüsselte E-Mails noch sicher?

Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) können die genannten E-Mail-Verschlüsselungsstandards weiterhin sicher eingesetzt werden, wenn sie korrekt implementiert und sicher konfiguriert werden. Langfristig müssen die OpenPGP- und S/MIMEStandards angepasst werden.

Folgende Sofortmaßnahmen sind für einen weiterhin sicheren Einsatz umzusetzen: Aktive Inhalte im E-Mail-Client deaktivieren: Ausführen von HTML-Code, Nachladen externer Inhalte. E-Mailserver und E-Mailclients müssen gegen unautorisierte Zugriffsversuche abgesichert sein. Installierten Sie Sicherheitsupdates vom Anbieter Ihres E-Mail-Programms sofort.

Ein Kommentar unseres IT-Experten Ottmar Gallwitz zur aktuellen Thematik:

„Da es sich hier um eine „Man in The Middle“-Attacke handelt, sollte hier nicht der Fokus auf die E-Mail-Verschlüsselung gelegt werden. Vielmehr sollte der gesamte Weg der E-Mail betrachtet werden: Welche Verbindungen wird für den Transfer Ihrer E-Mails über das Internet verwendet? Wie sieht es aus mit Ihrer Infrastruktur?
Wenn eine E-Mail-Kommunikation auf dem Transportweg abgegriffen und sogar manipuliert werden kann, stellt sich sofort auch die Frage, wie es mit den anderen Daten aussieht – sind diese noch sicher?“

Unsere IT-Experten von m2guard unterstützen Sie gern beim Aufbau einer sicheren IT in Ihrem Unternehmen – selbstverständlich inklusive korrekter Implementierung und Konfiguration von E-Mail-Server, Firewall und Co.!


Quelle: BSI

Wir sind gerne für Sie da!


Sie möchten mehr über m2solutions und unsere Leistungen erfahren? Dann zögern Sie nicht und nehmen Sie noch heute Kontakt zu uns auf! Das Team vom m2solutions steht Ihnen bei Fragen gerne zur Verfügung. Unsere Leistungen werden Sie überzeugen!

+49 4525 5019 0