1&1, GMX und Web.de Sicherheitslücke bedrohte E-Mail-Postfächer

Mit manipulierten Mails konnten sich Kriminelle Zugang zu Postfächern verschaffen, meldet "Wired". Das Sicherheitsproblem hatte mit Cookies zu tun.

E-Mail (Symbolbild): Möglicher Angriff mit manipulierten Links
DPA

E-Mail (Symbolbild): Möglicher Angriff mit manipulierten Links


Kunden der drei zu United Internet gehörenden Anbieter Web.de, GMX und 1&1 wurden bis vor Kurzem von einer Sicherheitslücke bedroht, meldet das Onlinemagazin "Wired". Demnach hätten sich Fremde mithilfe manipulierter Links Zugang zu den E-Mail-Postfächern von Nutzern der Anbieter verschaffen können. Der Nutzername oder ein Passwort wären dafür nicht nötig gewesen.

Stattdessen hätte es ausgereicht, wenn das potenzielle Opfer seine E-Mail im Webbrowser abruft und dabei auf einen entsprechenden Link in einer E-Mail klickt. Ein Täter hätte auf diese Weise vollen Zugriff auf alle Inhalte des Postfachs bekommen, hätte Nachrichten lesen und weitere verseuchte E-Mails an die Kontakte des Opfers senden können.

"Wired" schreibt: "Unbefugte hätten in E-Mails enthaltene Passwörter, Kreditkartennummern und Login-Informationen entwenden und mit den Informationen aus dem Postfach sogar ganze Online-Identitäten stehlen können."

Tatsächlich gibt es allerdings keinen Hinweis, dass das geschehen ist. Auf Anfrage von SPIEGEL ONLINE erklärte ein Sprecher des Unternehmens, dass keiner der rund 30 Millionen Kunden von Web.de, GMX und 1&1 einen solchen Vorfall gemeldet habe.

Lieber Cookies einschalten

Aufgefallen sei das Sicherheitsproblem, "weil in der Software, mit der 'Wired' den Traffic auf seiner Website erfasst, ein verdächtiger Link auftauchte". Dieser habe darauf schließen lassen, dass er den Zugang zu einem E-Mail-Account ermögliche. Unklar ist, wie ein solcher Link, der eigentlich nur in einer E-Mail an ein potenzielles Opfer sinnvoll ist, in den Webtraffic von "Wired" gelangt ist.

Betroffen waren von dem Fehler nur Anwender, die auf ihrem Smartphone oder Tablet Cookies deaktiviert hatten und über das Web-Interface auf den jeweiligen Dienst zugriffen. Nachdem "Wired" United Internet am 11. August über das Problem informiert hatte, war die Lücke am 14. August bereits geschlossen. Ein Sprecher des Unternehmens bestätigte, dass das Sicherheitsproblem nicht mehr bestehe.

Seither werden Anwender, die versuchen, mit deaktivierten Cookies via Webbrowser auf ihre E-Mails zuzugreifen, mit dem Hinweis abgewiesen, dass sie Cookies in ihrem Browser zulassen müssen, um den Dienst nutzen zu können. Am sichersten ist es aber, statt des Webbrowsers eine der von den jeweiligen Anbietern bereitgestellten E-Mail-Apps oder einfach ein universelles E-Mail-Programm zu verwenden, die für die von "Wired" geschilderte Schwachstelle nicht anfällig sind.

Anmerkung der Redaktion: Mittlerweile hat United Internet nachgerechnet und kommt auf eine ganz andere Einschätzung der Bedrohungslage als "Wired".

Demanch waren nur Nutzer gefährdet, die mit deaktivierten Cookies über einen mobilen Browser auf ihre E-Mails zugreifen, PC-User dagegen nicht. Laut United Internet sind das aktuell maximal 20.000 Nutzer. Von denen hätten aber nur maximal 15 Prozent die fraglichen Spam-E-Mails bekommen, wenn der Spamfilter versagt hätte.

Von den verbleibenden 3000 Nutzern würde für gewöhnlich ein Prozent tatsächlich die Spam-Mail öffnen, woraufhin wiederum nur ein Prozent den angebotenen Link anklicken würde. Bis hierhin bleiben nur 0,3 Nutzer übrig. Da sich zudem 60 Prozent der Nutzer nach der E-Mail-Abfrage wieder ausloggen und damit die Session beenden würden, wären nur 0,15 Nutzer betroffen - also alles ganz harmlos, will United Internet mit dieser kleinen Zahlenspielerei beweisen.

mak

Mehr zum Thema


© SPIEGEL ONLINE 2015
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


TOP
Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.