Sicherheitsleck im 1&1 Webmailer 2.0

Autovervollständigung enthüllt E-Mail-Adressen für Unbefugte

Im 1&1 Webmailer 2.0 wurde eine Sicherheitslücke entdeckt, die Unbefugten den Zugriff auf E-Mail-Adressen erlaubt. Dabei können Nutzer alle E-Mail-Adressen erreichen, die einem 1&1-Server zugeordnet sind und die eigentlich nur für den Serververwalter einsehbar sein sollten.

Golem.de-Leser Ralf Schambier hat die Sicherheitslücke im 1&1 Webmailer 2.0 entdeckt und der Redaktion gemeldet. Seine Erfahrungen hat er in einem Blog veröffentlicht. Ein Leser des Blogs hat den beschriebenen Fehler ebenfalls bestätigt. Schambier ist per Zufall auf das Sicherheitsleck gestoßen, als er über den 1&1 Webmailer 2.0 eine E-Mail schreiben wollte.

Der Webmailer bietet eine Autovervollständigung beim Tippen einer E-Mail-Adresse. Dabei werden immer alle E-Mail-Konten berücksichtigt, die über einen 1&1-Server verwaltet werden. Dadurch kann jeder der Kunden des Serververwalters einsehen, welche E-Mail-Adressen der Serverbesitzer verwaltet.

Schambier hat 1&1 nach eigenen Aussagen auf den Fehler hingewiesen, bisher aber keine Antwort erhalten.