Abo
  • IT-Karriere:

Verschlüsselung: Outlook versendet S/MIME-Mails auch unverschlüsselt

Eine Sicherheitslücke in Outlook hat zur Folge, dass per S/MIME verschlüsselte Mails auch im Klartext mitgesendet werden. Microsoft hat den Fehler am Patchday behoben.

Artikel veröffentlicht am ,
Microsoft hat eine Sicherheitslücke in Outlook geschlossen.
Microsoft hat eine Sicherheitslücke in Outlook geschlossen. (Bild: Martin Wolf/Golem.de)

Microsoft hat eine kritische Sicherheitslücke in der E-Mail-Anwendung Outlook geschlossen. Das Programm hatte zuvor für mindestens sechs Monate bei mit S/MIME verschlüsselten E-Mails in bestimmten Fällen jeweils auch eine unverschlüsselte Kopie mitgesendet. Der Bug wurde von der Sicherheitsfirma SEC Consult entdeckt.

Stellenmarkt
  1. Cegeka Deutschland GmbH, Flughafen Frankfurt
  2. Amprion GmbH, Dortmund

S/MIME ist eine Alternative zur E-Mailverschlüsselung mit PGP und wird vor allem im Kontext von Behörden und Unternehmen eingesetzt. Die eigentlich verschlüsselten Nachrichten können aufgrund des Fehlers mit relativ geringen technischen Kenntnissen mitgelesen werden, etwa wenn per Phishing Zugriff auf ein Outlook-Konto erlangt wird. Als alternativen Angriff nennt SEC Consult einen Man-in-the-Middle-Angriff auf die Verbindung, dazu wären aber deutlich mehr Kenntnisse notwendig.

Der Fehler tritt auf, wenn Nachrichten als Plaintext codiert werden, im HTML-Format versendete Nachrichten sind also nicht betroffen. Der Plaintext wird mitgesendet, wenn Nachrichten über das Microsoft-Exchange-eigene Protokoll versendet und empfangen werden. Werden Nachrichten über Exchange verschickt, aber per IMAP abgerufen, ist dies nicht der Fall. Wenn Nachrichten hingegen über SMTP verschickt und per IMAP abgerufen werden, kann der Inhalt der Nachricht wiederum ausgelesen werden.

  • Der Fehler sorgt dafür, dass eigentlich verschlüsselte Nachrichten mitgelesen werden können (Bild: SEC Consult)
  • Der Fehler sorgt dafür, dass eigentlich verschlüsselte Nachrichten mitgelesen werden können (Bild: SEC Consult)
  • Die Kennzeichnung deutet auf eine verschlüsselte Mail hin (Bild: SEC Consult)
  • Der Klartext ist trotz Verschlüsselung lesbar. (Bild: SEC Consult)
  • Der Klartext ist trotz Verschlüsselung lesbar. (Bild: SEC Consult)
  • Der Klartext ist trotz Verschlüsselung lesbar. (Bild: SEC Consult)
  • Der Klartext ist trotz Verschlüsselung lesbar. (Bild: SEC Consult)
Der Fehler sorgt dafür, dass eigentlich verschlüsselte Nachrichten mitgelesen werden können (Bild: SEC Consult)

Nach Angaben von SEC Consult hebelt die Sicherheitslücke "Das Prinzip der End-to-End-Verschlüsselung komplett aus und führt sie ad absurdum." Markus Robin, General Manager von SEC-Consult, sagte Golem.de: "Hier hat die Qualitätssicherung bei Microsoft leider in vollem Umfang versagt. Das hätte jemandem im Hause Microsoft auffallen müssen." Von dem Problem ist der Text der E-Mails betroffen, Anhänge nicht, wie SEC Consult mitteilt.

Schwachstelle besteht seit 2017

Der Fehler sei nach einem Update von Microsoft im Mai 2017 in die Applikation gekommen. SEC Consult habe diese bei routinemäßigen Überprüfungen der eigenen Software entdeckt. Zunächst habe man an einen Konfigurationsfehler geglaubt, sagte Robin. Ein komplett neu aufgesetztes System sei aber ebenfalls verwundbar gewesen. Daher habe man Microsoft im August über das Problem informiert, das Unternehmen habe die Sicherheitslücke dann bestätigt.

Microsoft hat keinen Workaround vorgestellt, wie alte E-Mails geschützt werden können. Das Unternehmen geht davon aus, dass es "unwahrscheinlich" sei, dass die Sicherheitslücke ausgenutzt wird.

Microsoft bedankt sich bei Simon Hofer und Stefan Viehböck von SEC Consult und Florian Gattermeier und Heinrich Wiederkehr von ERNW für die Hinweise.



Anzeige
Spiele-Angebote
  1. 2,22€
  2. 7,99€
  3. (-71%) 11,50€

Blarks 14. Okt 2017

Niemand nutzt S/Mime oder sonst eine Verschlüsselung. Seit Jahrzehnten versuche ich...

FreiGeistler 11. Okt 2017

Button "QR generieren" klicken, auf dem Phone "QR Scannen" klicken. Den Rest von deinem...


Folgen Sie uns
       


Akku-Recycling bei Duesenfeld

Das Unternehmen Duesenfeld aus Peine hat ein Verfahren für das Recycling von Elektroauto-Akkus entwickelt.

Akku-Recycling bei Duesenfeld Video aufrufen
Watch Dogs Legion angespielt: Eine Seniorin als Ein-Frau-Armee
Watch Dogs Legion angespielt
Eine Seniorin als Ein-Frau-Armee

E3 2019 Elitesoldaten brauchen wir nicht - in Watch Dogs Legion hacken und schießen wir auch als Pensionistin für den Widerstand. Beim Anspielen haben wir sehr über die ebenso klapprige wie kampflustige Oma Gwendoline gelacht.


    Projektmanagement: An der falschen Stelle automatisiert
    Projektmanagement
    An der falschen Stelle automatisiert

    Kommunikationstools und künstliche Intelligenz sollen dabei helfen, dass IT-Projekte besser und schneller fertig werden. Demnächst sollen sie sogar Posten wie den des Projektmanagers überflüssig machen. Doch das wird voraussichtlich nicht passieren.
    Ein Erfahrungsbericht von Marvin Engel


      Wolfenstein Youngblood angespielt: Warum wurden diese dämlichen Mädchen nicht aufgehalten!?
      Wolfenstein Youngblood angespielt
      "Warum wurden diese dämlichen Mädchen nicht aufgehalten!?"

      E3 2019 Der erste Kill ist der schwerste: In Wolfenstein Youngblood kämpfen die beiden Töchter von B.J. Blazkowicz gegen Nazis. Golem.de hat sich mit Jess und Soph durch einen Zeppelin über dem belagerten Paris gekämpft.
      Von Peter Steinlechner


          •  /