E-Mail-Kennwort absichern

Vermutlich kaum ein Anwender ist sich bewusst, was im Hintergrund beim E-Mail-Versand abläuft. Der verbreiteste Fehler ist das permanente Senden des Kennworts, um z. B. alle 5 Minuten die E-Mails abzurufen.

Grundsätzlich ist das kein Problem, jedoch wird das Kennwort in der Regel unverschlüsselt über das Netz geschickt. D. h., wenn Sie alle 5 Minuten Ihre E-Mails abrufen, geben Sie bei einem 8-h-Tag einem Angreifer 96 mal die Gelegenheit mit einfachen Mitteln an Ihr Kennwort zu gelangen. Bei einem 1-Minuten-Takt erhöht sich das auf rechnerische 480 Versuche.

Wenn Sie alleine zu Hause in einem geschützten Netz arbeiten, ist die Gefahr vermutlich nicht sehr hoch, dass Sie dadurch einen Schaden erleiden. Gefährdet sind jedoch Anwender, die entweder viel in fremden oder sogar öffentlichen Netzen arbeiten (z. B. sich in Hotspots einwählen), oder die Informationen verarbeiten, die für andere interessant sein können.

Jeder, der technisch in der Lage ist, Ihren Internetverkehr mitzulesen, erhält Ihr Kennwort im Klartext und hat so vollen Zugriff auf Ihr Postfach.

Bitte bedenken Sie aber grundsätzlich: Der Benutzername ist bei den meisten Providern identisch mit der E-Mail-Adresse des Postfaches. Die Konfigurationsdaten Ihres E-Mail-Servers sind ohnehin öffentlich verfügbar. D. h., jeder, der Ihre E-Mail-Adresse kennt oder errät (was oft einfach ist) hat die Möglichkeit sich in Ihr Postfach zu hacken, sofern Sie kein sicheres Kennwort verwenden (siehe unten). Der Schutz Ihres Postfachs hängt damit in der Regel zu 100% einzig und allein an Ihrem Kennwort.

Off-Topic: Dabei fällt mir ein: Wussten Sie schon, dass es mit einem gewissen Aufwand möglich ist, aus bis zu 200 Metern Entfernung (durch Wände hindurch!) mit Hilfe von Spezialantennen das zu lesen, was Sie gerade auf dem Bildschirm sehen? Wenn Sie also an einer Erfindung arbeiten oder sonst schützenswerte Informationen verarbeiten, sollten Sie Ihre Geräte von einem Spezialisten gegen diese Technik abschirmen lassen. Mehr Informationen zu diesem Thema finden Sie unter dem Stichwort Tempest.

Aber zurück zu dem Kennwort-Problem, das eigentlich kein Problem ist, da man es mit einer einfachen Option so einstellen kann, dass es verschlüsselt übertragen wird. Damit kann dann auch ein eventueller Angreifer nichts mehr anfangen. Sie finden diese Einstellung in den "Weiteren Kontoeinstellungen" in dem Register "Erweitert". Für Outlook® 2010 anbei eine Beispielabbildung:

Zu dieser Einstellung gibt es folgendes zu sagen:

Der Provider muss dazu ein SSL-Zertifikat installiert haben (das hat er in der Regel auch, ansonsten sollten Sie den Provider wechseln) und dieses Zertifikat muss noch gültig sein. Ist das nicht der Fall, so erscheint bei jedem Abruf Ihrer E-Mails von Outlook® die Abfrage, ob Sie das abgelaufene Zertifikat trotzdem nutzen möchten oder nicht.

Microsoft® bewirkt mit diesem Vorgehen leider genau das Gegenteil, was mit einem Zertifikat erreicht werden soll. Der Anwender hat kurzfristig keinen Einfluss darauf, dass das Zertifikat erneuert wird und kann daher die Verschlüsselung nur wieder deaktivieren, obwohl auch ein abgelaufenes Zertifikat nach wie vor funktionsfähig ist und Passwörter verschlüsselt übertragen kann.

Bei der Verwendung der Verschlüsselung muss ein bestimmter Port (=Serveranschlussnummer in der Abbildung oben) angegeben werden, auf den Outlook® zugreifen soll, um die E-Mails abzurufen bzw. zu versenden. Für Pop-3-Server ist das in der Regel 995, für SMTP 465, aber sie können auch anders lauten. Dazu müssen Sie gegebenenfalls auf den Service-Seiten Ihres Providers nachsehen.

Bitte beachten Sie, dass mit dieser Einstellung nur Ihr Kennwort verschlüsselt wird, nicht die E-Mail selbst.

E-Mail-Verschlüsselung ist leider umständlich und Anwenderunfreundlich, so dass es an dieser Stelle keine Konfigurationsanleitung dafür gibt. Ich möchte Ihnen jedoch ins Bewusstsein rufen, dass Ihre E-Mails im Klartext über verschiedene Server um die Welt geschickt werden, und (weit wichtiger) Ihre E-Mails in der Regel X Tage (bei vielen so lange, bis das Postfach überläuft) lesbar auf dem Server Ihres Providers liegen.

Bei Ihrem Provider arbeiten Menschen, die Sie nicht kennen und zu denen Sie damit auch kein Vertrauensverhältnis aufgebaut haben. D. h. Sie vertrauen alle E-Mails wild fremden Menschen an und hoffen, dass diese damit korrekt umgehen. Bei alltäglichen Geschäfts-E-Mails (Bestellungen, Rechnungen, etc.) ist das normalerweise kein Problem. Wenn Sie aber (wie oben angesprochen) sensible Informationen verschicken und empfangen, so sollten diese verschlüsselt werden. Dazu gibt es zu der erwähnten in Outlook® implementierten, aber umständlichen Verschlüsselung auch eine einfache Alternative:

Schreiben Sie zunächst Ihre E-Mail in einem Textverarbeitungsprogramm, erstellen Sie dann ein PDF daraus und packen Sie anschließend dieses PDF in ein kennwortgeschütztes Zip-Archiv. Das Kennwort teilen Sie dem Empfänger per Telefon oder SMS mit. Wichtig ist nur, dass ein anderer Kommunikationskanal verwendet wird und dass Sie ein sicheres Kennwort verwenden.

Hier ein paar kurze Merkmale eines sicheren Kennwortes:

• Wenigstens 8 Zeichen lang (je länger, desto sicherer)
• Keine Eigennamen, Geburtsdaten, Autokennzeichen etc. verwenden
• Keine Wörter verwenden, die in irgendeinem Wörterbuch oder in einem besonders bekannten Buch stehen (z. B. in der Bibel)

Verwenden Sie nach Möglichkeit die Anfangsbuchstaben eines Satzes, den Sie sich gut merken können und kombinieren Sie diesen mit Sonderzeichen und Zahlen.

Wie gesagt, sollten Sie diesen Aufwand nur für sensible Daten betreiben. Wenn Sie häufig mit den gleichen Empfängern z. B. an einem geheimen Projekt arbeiten, sollten Sie sich die Mühe machen, die in Outlook® integrierte Verschlüsselung zu verwenden, da dies auf Dauer einfacher ist.