Sicherheitsforscher haben heute Details über Sicherheitslücken in den für E‑Mail gängigen Verschlüsselungsstandards OpenPGP und S/MIME veröffentlicht. Unter bestimmten Bedingungen lassen sich dadurch aktuelle und jahrealte Mails, die im Postfach liegen, nachträglich entschlüsseln und an Angreifer ausleiten. Die Funktionsweise der Lücke sowie das zugehörige Paper (PDF) der Forscher der Fachhochschule Münster, der Ruhr-Universität Bochum sowie der Universität Leuven (Belgien) lassen sich unter EFAIL.de abrufen.
Bevor man jedoch zu Holzhammermethoden wie der kompletten Deinstallation von OpenPGP greift, sollten einige wenige Schritte reichen, um sich zumindest kurzfristig zu schützen. Das Bundesamt für Sicherheit in der Informationstechnik schreibt:
Um E‑Mailverschlüsselung weiterhin sicher einsetzen zu können, müssen Anwender folgende Punkte umsetzen:
Aktive Inhalte im E‑Mailclient müssen deaktiviert werden. Dazu zählt die Ausführung von html-Code und das Nachladen externer Inhalte, die oftmals aus Design-Aspekten erlaubt sind.
E‑Mailserver und E‑Mailclients müssen gegen unauthorisierte Zugriffsversuche abgesichert sein.
Auf Seite 11 im dazugehörigen Paper (PDF) findet sich eine Übersicht für gängige Mailclients, die betroffen oder nicht betroffen sind.
Prinzipiell gilt: Nutzer sollten einerseits das Nachladen von HTML-Inhalten abstellen, was ohnehin grundsätzlich empfehlenswert ist – und die hoffentlich bald kommenden Sicherheitsupdates von Plug-ins wie Enigmail oder GPGTools so bald wie möglich installieren. Andererseits sollten sicherheitshalber alle Rückkanäle für das Nachladen weiterer Inhalte (auch das automatische Laden von OpenPGP-Schlüsseln) deaktiviert werden.