Unter dem Titel „Uncle Sam liest unsere Mails mit” hat Arno Maierbrugger vom Wirtschaftsblatt die pte Geschichte „US-Geheimdienst stöbert in ausländischen E-Mails” aufgegriffen, die auf der Aussendung „NSA liest ausländische Mails unkontrolliert mit” des E-Mail Dienstleisters Retarus basiert.

Fr. List (Blog derzeit nicht aktiv) hat mich auf diese Geschichte aufmerksam gemacht, zu der ich ein paar Sachen anzumerken habe.

Konkret bedeutet das, dass jedes E-Mail, das von Europa in die USA geschickt wird (und auch jedes Telefonat), von der NSA unter die Lupe genommen bzw. abgehört werden kann.

Die Zeiten, als Mails noch über mehrere MTAs (von denen einer meistens in den USA beheimatet war) an ihr Ziel transportiert wurden, sind schon LANGE vorbei. Heutzutage baut ein Mailserver zumeist eine direkte SMTP-Verbindung zum Empfänger auf – Mails, die nicht in die USA geschickt werden, können daher von der NSA nur abgehört werden, wenn diese Zugang zu den europäischen IXPen hätten.

Tatsache ist allerdings, dass ein Großteil des E-Mail Verkehrs immer noch unverschlüsselt abgewickelt wird, da die dafür wichtigen Protokolle SMTP, IMAP4 und POP3 prinzipiell unverschlüsselt abgewickelt werden. Vielen Chefs, CxOs und Managern ist immer noch nicht klar, dass sie Ihre Geschäftskommunikation quasi wie eine Postkarte verschicken und damit nicht nur der NSA das Mitlauschen erleichtern, wenn sie eine Mail in die USA schicken, sondern auch den Wirtschaftsspionen im eigenen Land die Arbeit sehr leicht machen. Hat dieser Zugriff auf den Netzwerkverkehr an einem IXP, kann er die Geschäftskommunikation vieler Unternehmen einfach mithören.

Dabei entstehen dann so perverse Situationen, dass der Manager eine VPN-Verbdindung in seine Firma aufbauen muss, um E-Mails zu verschicken. Auf dieser sicheren Leitung werden die Mails dann verschlüsselt an den Mailserver im Unternehmen geschickt und der MBA besitzende Manager hat das Gefühl, dass alles super sicher ist und sein supergeheimer Übernahmevorschlag ausreichend sicher an seinen Geschäftspartner geschickt wird. Was er nicht bedenkt ist die Tatsache, dass die Mail vom Unternehmensserver aus IM KLARTEXT zu seinem Geschäftspartner geschickt wird. Wer immer im Netzwerk dazwischen hängt, könnte diesen Text mitlesen.

Selbiges gilt natürlich auch für den mobilen Zugriff auf E-Mails mit dem Handy. Da wird RIM angefeindet, dass sie ev. Geheimdiensten das Mitlesen der Mails ermöglichen, da werden Unsummen dafür ausgegeben, dass der Zugriff vom Handy aus „sicher” ist, aber dass 96% (Hausnummer) aller Unternehmen freiwillig ihre E-Mails im Klartext über das Internet schicken, daran kann/will keiner denken. Anscheinend auch die Kollegen der schreibenden Zunft.

Was ist zu tun? Als CTO, … würde ich mich mal mit meinen wichtigsten Geschäftspartnern zusammensetzen und ausmachen, dass man ab dem Tag X die Kommunikation untereinander nur noch per GnuPG bzw. S/MIME Verschlüsselung abwickelt. Firmenintern muss man mit den Mail-Admins reden, dass zumindest die Ausgehenden E-Mails verschlüsselt werden. Hat man IBM Lotus Domino, so hätte man die S/MIME Infrastruktur quasi schon fertig am Laufen, aber auch eine Gateway-Lösung wie etwa GPGrelay

Aber es ist immer einfacher, mal auf die böse NSA zu schimpfen, als mal drüber nachzudenken, ob man selber schon genug getan hat, um seine Kommunikation adäquat abzusichern.

Ach, ja. Meinem neuen Hobby kann man auf der Homepage des Wirtschaftsblattes auch frönen. Die ist nämlich auch schön rosa:

Tagged as: e-mail, it, rant, security | Author: Martin Leyrer
[Sonntag, 20070923, 19:38 | permanent link | 2 Kommentar(e)