Exchange verhindert firmeninterne E-Mail-Verschlüsselung

Anhänge werden zwischen Outlook und Exchange immer unverschlüsselt übertragen

Wie heise.de berichtet, werden Dateianhänge in E-Mails in einem firmeninternen Netzwerk zwischen Outlook-Clients und Exchange-Servern unverschlüsselt übertragen, auch wenn ein verwendetes Verschlüsselungs-Plug-In anderes suggeriert. Dadurch kann also ein Teil des firmeninternen E-Mail-Verkehrs ohne großen Aufwand von Unbefugten eingesehen werden.

Artikel veröffentlicht am 26. Februar 2002, 16:42 Uhr, Ingo Pakalski

Nach den Erkenntnissen von heise.de werden Verschlüsselungen von Dateianhängen in Firmennetzen ignoriert, wenn das Gespann Exchange/Outlook in den Versionen 9x/200x verwendet wird und keine Kommunikation über POP3 oder IMAP4 stattfindet. Dann werden Dateianhänge immer unverschlüsselt zwischen Client und Server übertragen, ganz gleich, wie ein installiertes Verschlüsselungs-Plug-In konfiguriert ist.

Als Grund dafür nennt heise.de, dass der Datei-Anhang über das RPC-Protokoll (Remote Procedure Call) sofort zum Server gesendet wird, wenn eine Datei an eine E-Mail gehangen wird. Das bedeutet, dass ein Verschlüsselungs-Plug-In die E-Mail und den Anhang zwar verschlüsselt, aber vorher bereits den Anhang unverschlüsselt übertragen hat. Hier bleibt nur der schwache Trost, die RPC-Standardverschlüsselung zu verwenden, die mit 40 Bit aber nicht als sicher gilt.

Dieses Verhalten hat Microsoft gegenüber heise.de bestätigt, betrachtet es aber nicht als Sicherheitslücke, dass die Leitung vom Client zum Server im Grunde unverschlüsselt ist. Die unverschlüsselte Übertragung von E-Mail-Daten nehme Outlook gemäß Microsoft "aus Performance-Gründen im Bereich eines geschützten Netzwerkes standardmäßig vor". Experten vermuten, dass alle marktgängigen Verschlüsselungs-Plug-Ins von diesem Problem betroffen seien.