Verbindungen

Nachdem Sie auf der Seite Vertrauenswürdigkeit von Mails den grundlegenden Aufbau einer Mail nachlesen konnten, widmet sich diese Seite den verschiedenen Kommunikationsbeziehungen und Verbindungen.

Die einzelnen Komponenten

Dazu betrachten wir die verschiedenen Szenarien, bei der eine gute und eine gefälschte Mail übertragen werden kann. Zuerst eine kleine Legende der verwendeten Symbole:

Objekt

Bedeutung

Objekt

Bedeutung

Objekt

Bedeutung

Objekt

Bedeutung

Interner Mitarbeiter 1 und Mitarbeiter 2 der Firma

Mailserver für firma.de

Vertrauenswürdiger interner PC


firma.de

Angreifer, der eine "firma.de"-Adresse vorgibt

Mitarbeiter beim ihrem Kunden, Lieferanten oder andere vertrauenswürdige Person

Externer Webserver, der für "firma.de" Mails versendet, z.B. ein E-Commerce-System, Newsletter-Server, Webserver etc.

NICHT vertrauenswürdiger interner PC, z.B. ein Angreifer oder ein PC mit einem Trojaner


kunde.de

Angreifer, der eine "kunde.de"-Adresse vorgibt

Nachrichtenwege

Hier sehen Sie eine typische Konstellation bestehend aus einer Firma mit eigenem Mailserver M und entsprechend internen Postfächern. Zudem gibt es einen Kunden K, mit dem natürlich zuverlässig Nachrichten ausgetauscht werden. Zudem gib es einen externen Dienstleister, welcher für den Kunden z.B.: eine Webseite betreibt, die natürlich auch Mails "im Namen des Kunden" versendet.

Rot eingefärbt sind die "bösen" Systeme, die sich als Kunde oder Firma ausgeben, den externen Server oder auch von innen Unfug treiben.

Risiken und Schutzmechanismen

Im Folgenden betrachten wir die einzelnen Verbindungen. Jede Verbindung hat individuelle Anforderungen und Möglichkeiten der Sicherung. Die Absicherung kann über Signierung und Verschlüsselung erfolgen aber ein Großteil ist auch einfach durch korrekt konfigurierte Spamfilter und Authentifizierungsverfahren zu erreichen.

Von

An

 

Beschreibung

 

Interne Zustellungen sind durch Exchange gut nachzuvollziehen. Hier kann es sein, dass jemand das Kennwort des Benutzers errät oder als Stellvertreter eine Mail einstellt. Ein "böser Admin" ist auch nicht auszuschließen

 

Ein vertrauenswürdiges System sendet per SMTP eine Mail, z.B.: ein Scanner oder ein automatischer Prozess. Die Adresse des Systems wird im Header sichtbar. Der Administrator sollte nur ausgewählte IP-Adresse zulassen oder eine SMTP Authentifizierung erfordern.

 

Die Kommunikation zwischen ihnen und ihrem Kunden ist sicherlich erwünscht und sollte nicht über Gebühr gestört oder erschwert werden.

 

Auch der Rückweg von ihrem Kunden sollte möglichst reibungslos laufen.


firma.de

 

Ein externer Sender täuscht eine interne Adresse vor. Unvorsichtige Anwender könnte glauben, dass die Mail von einem vertrauten internen Anwender kommen. Solche Nachrichten können blockiert werden, indem keine externe Mails eine interne SMTP-Domäne tragen dürfen. Ausnahmen müssen hierbei beachtet werden (z.B. E nach A1). Ausnahmen sind aber z.B. auch Mitarbeiter, die von außen per SMTP senden. Solche Mitarbeiter sollten sich entweder anmelden oder ein VPN verwenden, damit der Firmenserver die Person kennt und andere Schutzmechanismen gegen den Missbrauch der eigenen Adresse nicht unterlaufen werden.

 

Ist dies nicht der Fall, dann kann quasi jedes interne System eine Mail an den Mailserver zustellen ohne dass der Absender geprüft wird. Dann ist nur die IP-Adresse sichtbar, die ein Angreifer aber temporär problemlos ändern kann. Der Mailserver sollte daher nur Verbindungen von "vertrauenswürdigen" Systemen annehmen oder eine Anmeldung erfordern.


kunde.de

 

Ein Angreifer kann den Mitarbeiter verwirren, indem er sich als Kunde ausgibt und z.B.: um Informationen an eine andere Mailadresse, per FAX oder anderweitig vertraut. Es ist nur schwer möglich, diesen Missbrauch zu verhindern. Ihre Mitarbeiter sollten immer vorsichtig sein, wenn ein angeblicher Kunde Informationen an eine andere Zieladresse möchte oder per Mail z.B. eine sehr umfangreiche Bestellung aufgibt.


firma.de

 

Hierbei gibt sich eine fremde Person als Mitarbeiter ihrer Firma aus. Der Kunde kann dies ohne besondere Vorsicht nicht auf Anhieb erkennen. Sie können zwar ihre Mailserver mittels SPF/CallerID bekannt machen oder ihre Mails digital signieren, aber solange der Kunde dies nicht prüft, wird er nichts bemerken. Sie können hier nichts tun, außer bei einem solchen Vorfall mit Gefühl den Kunden auf seinen Fehler hinweisen.

 

Bei vielen Firmen werden Dienstleistungen extern erbracht. So kann es sein, dass ein Server bei einem Provider eine Mail als "firma.de" an einen Kunden versendet. Dies muss berücksichtigt werden, wenn Sie z.B. mit Signaturen oder SPF/CallerID arbeiten. Machen Sie es ihrem Kunden nicht schwerer als es eh schon ist, sich gegen gefälschte Absenderadressen zu schützen.

 

Der gleiche Server könnte ebenfalls eine Mail an die Firma selbst senden, z.B. Bestätigungen, Auswertungen etc. Wenn auch hier "firma.de" als Absender verwendet wird, muss dies bei einer Filterregel beachtet werden, die Mails von extern mit internen Adressen blockieren soll.


firma.de

 

Speziell Webserver sind potentielle Kandidaten für Angriffe. Wenn Sie als Service anbieten, dass ihnen jemand per Formular eine Mail sendet, dann sollten Sie das Formular gegen automatisches Ausfüllen schützen. Ansonsten kann ein Angreifer über diesen Weg Sie selbst ärgern. Besonders, wenn im Formular eine Absenderadresse eingetragen werden kann und ihre Server an diese Adresse eine Bestätigungsmail sendet. Dann kann ein Angreifer ihre potentiellen Kunden gezielt ärgern.

Letztlich werden Sie anhand der zwei kritischen Verbindungen feststellen können, dass dieser Missbrauch faktisch noch nicht verhindert werden kann. Zwar können Sie mit Verfahren wie SPF/CallerID versuchen, das Fälschen von Absenderadressen zu erschweren, aber es ist eine Illusion zu glauben, dass in absehbarer Zeit alle Nutzer diese Verfahren umsetzen. Das macht es übrigens auch für Spammer so einfach, ihre Wahre Identität zu "verbergen". Bis dahin bleibt nur:

  • Misstrauen
    Vertrauen Sie keiner Mail und keinen Inhalt. Sie kann gefälscht sein. Sind sie vor allem dann skeptisch, wenn ausführbare Anlagen angehängt sind. Absenderadressen sind Schall und Rauch. Sie sind sehr einfach zu fälschen.
  • Nachfragen
    Halten Sie im Zweifel Rücksprache mit dem Absender, wenn es sich um wichtige Entscheidungen, Bestellungen, Lieferungen, Verträge etc. handelt
  • Verschlüsselung und digitale Signaturen
    Dies kann eine Lösung sein, erfordern jedoch eine entsprechende Sensibilisierung der Nutzer.
  • Kennzeichnung
    Kennzeichnen Sie externe Mails gesondert. Die aktuellen Versionen von Exchange lösen z.B.: die SMTP-Adresse bei externen Nachrichten nicht mehr auf. Denkbar wäre auch ein Skript, welches extern eingelieferte Mails im Betreff oder anderweitig klar kennzeichnet.

Weitere Links