Welche Folgen veraltete Verschlüsselungsverfahren haben können, erfahren Sie jetzt:
Die E-Mail-Kommunikation ist im geschäftlichen Kontext mittlerweile absoluter Standard und nicht mehr wegzudenken. Doch per Mail werden nicht nur unkritische Daten ausgetauscht. Häufig sind personenbezogene Daten von Kunden oder Geschäftspartnern, interne Besprechungsprotokolle oder Firmengeheimnisse, Inhalte einer Mail.
Wie oft machen Sie sich Gedanken darüber „Was passiert, wenn diese Mail von der falschen Person gelesen wird“ oder „Gehe ich ein Risiko ein, wenn ich diese Informationen per Mail versende?“.
Wahrscheinlich geht es Ihnen wie mir und Sie denken nicht groß darüber nach.
Damit die oben angesprochenen Daten sicher an den von Ihnen vorgesehenen Kontakt geschickt werden gibt es Verschlüsselungsverfahren. Diese Sorgen dafür, dass die Inhalte der Mails nicht von Dritten mitgelesen werden können.
Der Unterschied zwischen einer verschlüsselten und unverschlüsselten Mail ist leicht zu erklären.
Wenn ich die Mail verschlüsselt verschicke, dann schicke ich bildlich gesprochen einen zugeklebten Brief los. Dieser wird erst bei dem entsprechenden Empfänger geöffnet.
Schicke ich die Mail unverschlüsselt los, ist es so, als wenn ich eine Postkarte mit allen Informationen verschicke. Auf dem Transportweg kann nun jeder, der meine Mail /Postkarte sieht, die Daten darauf mitlesen.
Verschlüsselungen für den Mailverkehr gibt es schon seit 1994. Gestartet damals mit der Version SSL 1.0 (SSL steht hier für „Secure Sockets Layer“), über die Versionen SSL 2.0 (1995), SSL 3.0 (1996), dann abgelöst durch sogenannte TLS (Transport Layer Security), beginnend mit der Version TLS 1.0 (1999), TLS 1.1 (2006), TLS 1.2 (2008) und neuerdings der Version TLS 1.3 (2018).
Wenn ich nun eine Mail an einen meiner Kontakte losschicke, dann kommunizieren die beiden betroffenen Mail-Server miteinander und fragen sich „Hey, welche Verschlüsselung unterstützt du?“. Beide einigen sich dann auf die neuste Verschlüsselung, welche beide Server unterstützen und tauschen die Mail aus.
Soweit so gut. Die meisten Unternehmen unterstützen auch die neusten Verschlüsselungs-technologien. Der Knackpunkt ist hier das Wort „auch“. Denn wir sehen mit cysmo (Cyberrisk-Rating-Tool) in der Praxis, dass ein Großteil der Unternehmen auch veraltete und sehr unsichere Verschlüsselungen, wie z. B. SSL3 oder das seit dem 30.06.18 auch unsichere TLS 1.0 verwenden.
Der aufmerksame Leser denkt sich jetzt „Gut, ist ja kein Problem, solange ich die aktuellsten Versionen unterstütze, werden meine Mails und meine Kommunikation im Internet ja auch verschlüsselt übermittelt“. Für die meisten Übertragungen stimmt diese Aussage auch, dennoch gibt es ein großes Problem. Und das Problem heißt „Man in the Middle“.
Bei einem Man in the Middle (MitM) Angriff setzt sich ein Angreifer zwischen die Kommunikation zweier Parteien und täuscht diese, indem er den Datenaustausch zwischen beiden Parteien mitliest und verändert.
Dann kann der Angreifer mit Hilfe der sogenannten „POODLE Attack“ (Padding Oracle On Downgraded Legacy Encryption), verschlüsselte Datenübertragungen teilweise entschlüsseln und dadurch angreifen.
Die Attacke funktioniert so: Der Cyberkriminelle zwingt den anzugreifenden Server indem er mit der Aussage „Ich kann nur SSL3 Verschlüsselungen“ so tut, als ob das Zielsystem keine bessere Verschlüsselung anbietet dazu, dass dieser auf die veraltete Verschlüsselung SSL3 zurückgreift und erhält so die Möglichkeit eine Poodle-Attacke durchzuführen. Diese ermöglicht ihm Teile der Kommunikation zu Manipulieren und zu entschlüsseln.
Ziel solcher Angriffe ist es meist die Sitzung des Opfers zu übernehmen. So kann der Angreifer beispielsweise auch Zugriff auf Online-Banking Sitzungen o.Ä. erhalten. Die Auswirkungen können Sie sich sicher vorstellen. Unternehmen arbeiten vermehrt mit Webanwendungen und sind damit auch Ziel solcher Angriffe.
Um dieser Gefahr entgegenzuwirken empfehlen wir ausdrücklich nur die neusten Verschlüsselungs-technologieren TLS 1.3 und TLS 1.2 zu unterstützen. So gehen Sie sicher, dass man nicht Opfer einer Poodle-Attacke wird und der Mail-Verkehr sicher bleibt.
Bis zum nächsten Mal
Jonas Schwade
