BSI zu Efail: E-Mail-Verschlüsselung weiterhin sicher einsetzen

Nach dem ein Forscherteam der FH Münster, der Ruhr-Universität Bochum und der KU Leuven Schwachstellen in den standardisierten E-Mail-Verschlüsselungsverfahren Open Pretty Good Privacy (OpenPGP) und S/MIME entdeckt hat, veröffentlicht das BSI Informationen, um sowohl die Verunsicherung der Nutzer zu beseitigen als auch Hinweise zu geben, wie die Mail-Verschlüsselung implementiert werden muss,  damit sie sicher eingesetzt werden kann.

Nach Angaben des BSI sind die beiden betroffenen Verschlüsselungstechniken die am häufigsten für eine Ende-zu-Ende-Verschlüsselung von E-Mails eingesetzten Verfahren. Während S/MIME bei den meisten E-Mail-Programmen bereits direkt genutzt werden kann, kommt bei OpenPGP meist ein weiteres Programm, wie GPG4Win (Windows), GPG Suite (macOS) oder ein Plug-in für das genutzte E-Mail-Progamm (z. B. Enigmail für Mozilla Thunderbird) zum Einsatz. Die genannten E-Mail-Verschlüsselungsstandards können nach Einschätzung des BSI allerdings weiterhin sicher eingesetzt werden, wenn sie korrekt implementiert und sicher konfiguriert werden. Mittelfristig ist allerdings die Anpassung der beiden Standards und deren Implementierung in den jeweiligen Anwendungen erforderlich, damit die Efail- oder vergleichbare Angriffe auf die E-Mail-Verschlüsselung mit OpenPGP und S/MIME nicht mehr möglich sind.

Nachdem ein Angreifer Zugriff auf verschlüsselte E-Mails eines Opfers erhalten hat, beispielsweise indem eine E-Mail während des Transports oder auf einem E-Mail-Server abgefangen wurde oder Zugriff auf ein E-Mail-Backup bestand, kann dieser die Efail-Schwachstellen ausnutzen. Um die E-Mail-Inhalte im Klartext einsehen zu können, wird eine verschlüsselte E-Mail durch den Angreifer mit aktiven Inhalten manipuliert. Nach der Entschlüsselung durch den Empfänger werden die aktiven Inhalte ausgeführt und der Klartext der E-Mail an einen Server des Angreifers übertragen. Das genaue Angriffsszenario wird von den Forschern auf der Webseite www.efail.de beschrieben.

Manche Anbieter von E-Mail-Programmen werden jetzt und in den kommenden Wochen Sicherheitsupdates veröffentlichen, die gegen Angriffe über die Efail-Schwachstellen schützen sollen. Wer verschlüsselte E-Mails nutzt, sollte daher alle Sicherheitsupdates für das entsprechende E-Mail-Programm direkt installieren. Unabhängig von der Bereitstellung von Sicherheitsupdates für E-Mail-Clients sind die folgenden Konfigurationsempfehlungen zu beachten.

Das BSI empfiehlt grundsätzlich für mehr Sicherheit bei der E-Mail-Kommunikation auf die Darstellung und Erzeugung von E-Mails im HTML-Format zu verzichten. Insbesondere sollte die Ausführung aktiver Inhalte, also das Anzeigen von E-Mails im HTML-Format sowie das Nachladen externer Inhalte ausgeschaltet werden. So können Nutzerinnen und Nutzer ein Ausspähen des E-Mail-Klartexts über die Efail-Schwachstellen verhindern. Sofern ein E-Mail-Provider über die Einstellungen seiner Webmail-Anwendung dazu die Möglichkeit bietet, sollten auch hier entsprechende Maßnahmen umgesetzt werden.

Um E-Mailverschlüsselung weiterhin sicher einsetzen zu können, müssen Anwender folgende Punkte umsetzen:

  •    Aktive Inhalte im E-Mailclient müssen deaktiviert werden. Dazu zählt die Ausführung von html-Code und das Nachladen externer Inhalte,
    die oftmals aus Design-Aspekten erlaubt sind.
  •    E-Mailserver und E-Mailclients müssen gegen unauthorisierte Zugriffsversuche abgesichert

Bundesamt für Sicherheit in der Informationstechnik

Letztes Update:22.06.18

  • Telematik: DSK positioniert sich zu Personenkennzeichen und Verantwortlichkeit

    Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat sich gestern mit der Nutzung von einheitlichen, verwaltungsübergreifenden Personenkennzeichen zur direkten Identifizierung von Bürgerinnen und Bürgern befasst. Was die Bundesregierung derzeit verfolgt, lehnt die DSK hingegen ab. DSK gegen verwaltungsübergreifende Personenkennzeichen In ihrer diesbezüglichen Entschließung weist die DSK darauf hin, dass die Schaffung einer

    Mehr erfahren
  • Leitlinien Videoaufnahmen

    EDSA veröffentlicht Entwurf für Richtlinien bzgl. Videoaufnahmen

    Der Europäische Datenschutzausschuss (EDSA) hat kürzlich seine Leitlinien im Hinblick auf die Verarbeitung personenbezogener Daten durch Videoaufnahmen zur Konsultation veröffentlicht. Obwohl die Leitlinien Beispiele für die Datenverarbeitung durch Videoaufnahmen enthalten, erhebt der EDSA keinen Anspruch auf Vollständigkeit der Beispiele. Die Leitlinien sollen vielmehr Orientierung für die Anwendung der DS-GVO in allen Bereichen bieten, in denen

    Mehr erfahren
  • Haftung bei der AV

    Gesamtschuldnerische Haftung bei einer Auftragsverarbeitung

    Frage des GDD-Erfa-Kreises Würzburg:Nach der DS-GVO besteht nun in bestimmten Fällen eine gesamtschuldnerische Haftung von Auftraggeber und Auftragnehmer (Art. 82 DS-GVO). Kann hieraus abgeleitet werden, dass nun auch der Auftragnehmer für den Abschluss des ADV haftet, d.h. er hier in die Haftung genommen werden kann, wenn er sich weigert einen ADV zu unterzeichnen? Wenn der

    Mehr erfahren