Sicherheit E-Mail zw. Smarthost und Exchange

[tsc 10]

Hallo Forum,

 

Ich habe mir gerade folegende Frage bzgl. der Übermittlung von Mails gestellt:

 

Ist es möglich, Mails die vom Exchange zu einem Smarthost weitergeleitet werden zwischenzeitlich abzufangen und diese zu lesen, oder sind diese std.-mäßig verschlüsselt?

Weiterhin würd mich auch interessieren, ob Mails die dann vom Smarthost ins I-Net gesendet werden irgendwie gesichert sind, oder ob jeder theoretisch die Mails abfangen und lesen kann?

 

Vielen Dank und Gruß

[LukasB 10]

Ist es möglich, Mails die vom Exchange zu einem Smarthost weitergeleitet werden zwischenzeitlich abzufangen und diese zu lesen, oder sind diese std.-mäßig verschlüsselt?

 

Exchange versendet Mails standardmässig per TLS verschlüsselt, falls der Empfänger dies anbietet. Beim Versand ins Internet zu anderen Mailservern wird jedoch das Zertifikat nicht überprüft, ein MITM Angriff wäre also ein Kinderspiel.

 

Weiterhin würd mich auch interessieren, ob Mails die dann vom Smarthost ins I-Net gesendet werden irgendwie gesichert sind, oder ob jeder theoretisch die Mails abfangen und lesen kann?

 

Grundsätzlich unverschlüsselt, auch wenn einige MTAs standardmässig per SSL verschlüsseln. Aber dies bringt nicht wirklich viel, da die Zertifikate nicht geprüft werden.

 

Wenn du deine E-Mails absichern willst musst du mit einer End-to-End Verschlüsselungslösung wie z.B. S/MIME.

[tsc 10]

Hallo Lukas,

 

vielen Dank für deine Antwort.

Ich habe mich mittelerweile über s/mine weiter erkundigt.

Nun habe ich noch folgende Frage bzw. folgendes Szenario:

 

Person A mailt mit Person B (IT-Abteilung) mittels S/Mine-Unterstüzung. Somit muss Person B (wenn ich es richtig verstanden habe) das Zertifikat zum entschlüsseln der Mails haben. Nun versendet Person A eine vertrauliche Mail an Person C (externe Mailadresse). Person B aus der IT hat ja generell die Möglichkeit (ob sie es dürfen oder auch nicht) Mails abzufangen. Ist es nun Person B möglich die an Person C gerichtete mit S/MINE verschlüsselte Mail auch zu lesen? Person B hat ja auf Grund des vorherigen Mailverkehrs das S/Mine-Zertifikat von Person A.

 

Vielen Dank für eure Hilfe.

[LukasB 10]

Person B hat grundsätzlich nur das öffentliche Zertifikat, nicht aber den Private Key von Person A.

 

Selbstverständlich ist es einem IT-Mitarbeiter mit vollen Admin-Rechten auf allen Rechnern aber immer möglich sämtlichen Mailverkehr abzufangen - im Falle von S/MIME wäre hier ein Keylogger auf dem Rechner von Person A erforderlich - was natürlich alleine schon kriminell ist.

 

Aus diesem Grund ist gerade in kleineren Betrieben ohne Rechtesegmentierung eine IT-Position eine Vertrauensposition, wie Buchhaltung oder Geschäftsleiter.

[tsc 10]

Hallo,

ja das stimmt. Person B hat den öffentlichen Schlüssel von Person A.

Nun kann doch aber Person B jede Mail entschlüsseln die Person A an andere Personen versendet. Der öffentliche Schlüssel den Person B und C haben sind doch die selben oder nicht?

Das Person B über Admin-Rechte alles lesen kann ist mir prinzipell schon klar.

Die Situation ist aber ein wenig anders. Person B ist als IT-ler nur berechtigt den Mailserver der als SmartHost verwendet wird zu betreuen. Die weitere IT wird von einer anderen Abteilung betreut. Somit ist generell ausgeschlossen das diese Person auf den PC oder aber den eigentlichen Mailserver zugreifen kann.

Ich möchte gerne verhindern, das IT-ler die einen Router oder Smarthost betreiben (der für die Mailzustellung verwendet wird) mails generell mitlesen können.

 

PC-PersonA->ExchangeServer->Smarthost(PersonB)->Router(Internet)->Mailserver->PC-PersonC

 

Gruß und Danke

[LukasB 10]

ja das stimmt. Person B hat den öffentlichen Schlüssel von Person A.

Nun kann doch aber Person B jede Mail entschlüsseln die Person A an andere Personen versendet.

 

Nein.

 

Der öffentliche Schlüssel den Person B und C haben sind doch die selben oder nicht?

 

Ja. Lies dich doch bitte erstmal in das Thema Public-Key Kryptographie ein. Der Public-Key ist _PUBLIC_.

 

Die Situation ist aber ein wenig anders. Person B ist als IT-ler nur berechtigt den Mailserver der als SmartHost verwendet wird zu betreuen. Die weitere IT wird von einer anderen Abteilung betreut.

 

In diesem Fall ist S/MIME die richtige Wahl. Person B wäre nicht in der Lage die Mails zu lesen.

[nerd 28]

Hallo,

PC-PersonA->ExchangeServer->Smarthost(PersonB)->Router(Internet)->Mailserver->PC-PersonC

 

Wie Lukas schon geschrieben hat ist dann eine End2End Verschlüsselung genau das richtige. Eine Möglichkeit ist dabei die schon erwähnte S/MIME Verschlüsselung. Eine weitere Möglichkeit bietet PGP. Beide Varianten setzen jedoch voraus, dass die jeweiligen Mailempfänger im Besitz von entsprechenden Zertifikaten / Schlüsseln sind. Leider ist das noch nicht flächendeckend gegeben :cry: