TechReport: E-Mail Security

Zusätzlich ist der Anwender selbst gefordert. Durch ein paar kleine Änderungen an seinem E-Mail-Client kann er dafür sorgen, dass er selbst und andere besser vor gefährlicher E-Mail geschützt sind. Im ersten Schritt sollte daher auf die zwar optisch ansprechende, aber eben auch gefährliche Option verzichtet werden, E-Mails im HTML-Format anzeigen zu lassen. Damit lässt sich oft verhindern, dass in der Nachricht integrierter Code in Form von Java-Applets oder ActiveX-Elementen zur Ausführung kommt. Oft deshalb, weil einige E-Mail-Programme auch zur Darstellung des reinen Textformats im Hintergrund Browser-Funktionen verwenden und somit die gefährlichen Skripte gegebenenfalls doch ausführen.

Noch besser ist es, die in vielen Mailprogrammen vorhandene Vorschau-Option erst gar nicht zu verwenden. Das verhindert effektiv, dass die Software versucht, den Inhalt von Nachrichten überhaupt darzustellen und gibt dem Anwender so die Gelegenheit, unerwünschte Nachrichten zu löschen, ohne dass diese Code ausführen oder externe Rechner kontaktieren.

Selbstdisziplin ist gefragt, wenn es um den Umgang mit der elektronischen Post geht. Nachrichten unbekannter Absender sollten mit größtem Misstrauen behandelt werden – selbst wenn die Neugier auf den Inhalt noch so groß ist. Dies gilt ganz besonders, wenn die Mail Anhänge enthält. So verlockend es auch sein mag: Attachments sollte nie sofort geöffnet, sondern immer zuerst auf der Festplatte gespeichert werden. Speziell für Outlook und Outlook Express gilt: Neu im Speichern-Dialog dieser E-Mail-Clients sind eventuell vorhandenen CLSID-Erweiterungen der Dateinamen sichtbar.

Eine weitere wichtige Einstellung im Client ist es, das automatische Versenden von Nachrichten zu deaktivieren. Hat ein bösartiges Programm alle Sicherheitsmechanismen überwunden und versucht, sich weiter zu verbreiten, fällt das dann wenigstens an einem überbordenden Postausgang auf. Im schlimmsten Fall hat man dann zwar selbst nichts mehr davon, verhindert aber eine weitere Infektionen bei anderen Anwendern.

Wer ganz besonders sicher gehen will, sollte ein Tool zum Filtern von Informationen aus dem Header der Nachrichten verwenden. Beispiele für passende Windows-Programme sind der SMTP-Filter (www.lab1.de) oder X-Ray (www.xrayapp.com).

Den Mann in der Mitte überlisten
Worauf Sie ebenfalls achten sollten ist, dass der E-Mail-Client Ihrer Wahl Unterstützung für Public-Key-Produkte wie PGP oder GnuPG besitzt. Denn nur mit Hilfe von starker Verschlüsselung und Signatur lässt sich der Gefahr manipulierter oder mitgelesener Nachrichten entgehen. Das bedeutet nun nicht, dass jede ausgehende Nachricht mit einer Signatur zu versehen oder gar zu verschlüsseln ist. Aber zumindest wichtige Nachrichten an Geschäftspartner sollten Sie signieren, vertrauliche Inhalte gegebenenfalls auch verschlüsseln. Dabei ist zu bedenken, dass Verschlüsselung und Signatur immer nur den eigentlichen Nachrichtentext, nicht aber die Anhänge umfasst. Wer also Anhänge versendet ist gut beraten, für diese eigene Prüfsummen zu erstellen und diese in einer eigenen, für größtmögliche Sicherheit wieder verschlüsselten Nachricht an den Empfänger zu übermitteln. Nur so kann dieser sicher sein, auch wirklich die Inhalte erhalten zu haben, die Sie auf die Reise geschickt hatten.

Auf dem Stand der Technik bleiben
Für alle Sicherheitsmaßnahmen gilt: Nur wer stets aktuelle Software verwendet – egal ob Virenscanner, MIME-Inspektor oder E-Mail-Client – kann einigermaßen sicher sein. Darum würde es sich für Administratoren lohnen, gelegentlich die auf den Rechnern der Anwender installierte Software auf Aktualität zu prüfen und gegebenenfalls ein Update durchzuführen.