Sichere Verschlüsselung zwischen Mailservern mittels MTA-STS ist ein Muss

Bei der E-Mail-Verschlüsselung bewegt sich etwas: Die IETF hat mit MTA-STS einen neuen Standard zur Absicherung von Verbindungen zwischen Mailservern per TLS und Zertifikaten geschaffen. [...]

Christian Heutger, Geschäftsführer der PSW GROUP
Christian Heutger, Geschäftsführer der PSW GROUP (c) PSW Group

„Damit wird ein aktiver Schutz vor Man-in-the-Middle-Angriffen gewährleistet. Und das ist längst überfällig. Denn die E-Mail hinkt – verglichen mit anderen Kommunikationskanälen – schon lange in Sachen Verschlüsselung hinterher“, begrüßt Christian Heutger, Geschäftsführer der PSW Group, die Entscheidung. Der IT-Sicherheitsexperte begründet: „Zwar ist eine End-to-end-Verschlüsselung seit Jahren möglich, jedoch wird sie leider kaum genutzt. MTA-STS soll nun eine praktikable Möglichkeit bieten, auch den Transportweg zwischen Mailservern zu sichern.“

Bislang werden Verbindungen zwischen Mailservern mit STARTTLS verschlüsselt. Auf diese Weise wird zwar das Mitlesen von Nachrichten verhindert, jedoch keine Man-in-the-Middle-Angriffe. So findet die Kommunikation zwischen zwei Usern zwar über TLS-gesicherte Varianten von POP3, IMAP sowie SMTP oder aber über HTTPS-Interfaces statt. Die Verbindungen zwischen den Servern sind dabei jedoch weitgehend ungeschützt. Damit haben sich zum Auslesen von E-Mails für Cyberkriminelle drei Angriffsmethoden bewährt: die Unterdrückung von STARTTLS, die Nutzung eines falschen Zertifikats sowie DNS-Spoofing, bei dem Angreifer die DNS-Antworten des Absender-Servers so verändern können, dass Nutzer nicht ans richtige Ziel gelangen. Sie sprechen dann mit einem anderen Server und die E-Mails werden dort abgelegt.

Mit dem neuen Standard zur Absicherung von Mailservern soll mit derartigen Angriffen Schluss sein: Ein Mailserver signalisiert künftig mit MTA-STS, dass TLS-gesicherte Verbindungen unterstützt werden. Der anfragende Mailserver wird angewiesen, ausschließlich verschlüsselte Verbindungen zu akzeptieren.

Wie das in der Praxis aussehen wird, erklärt Christian Heutger: „Mailserver-Betreiber definieren eine Policy, die via HTTPS publiziert wird. Dazu legt der Betreiber im DNSServer einen TXT-Record an. Dieser signalisiert, dass eine Policy vorhanden ist. Unter der Subdomain „mta-sts“ wird die Policy dann über HTTPS publiziert. So ist gewährleistet, dass diese Policy von einem Inhaber eines gültigen Zertifikats publiziert wurde“, erklärt Heutger. Analog zum DNS-Record wird anschließend eine Version angegeben sowie ein Modus aktiviert: „enforce“, um vor Angriffen und unberechtigten Verbindungen geschützt zu sein, oder „testing“, um ein Fehlerreporting zu realisieren. „Die testing- Funktion ist optional und es bleibt abzuwarten, ob dieser Modus in der Praxis überhaupt implementiert wird“, ergänzt Heutger.

Die abschließende Angabe „mx“ erlaubt die Eintragung aller gültigen Mailserver. Die Angaben stimmen idealerweise mit den MX-Records im DNSServer überein. Mit dem Befehl „max_age“ wird zu guter Letzt in Sekunden genau angegeben, wie lange die Policy gilt. Dabei gilt: Je länger die Gültigkeit, umso sicherer ist das Verfahren.

Weitere Informationen gibt es bei der PSW Group unter www.psw-group.de/blog/mta-sts-sichere-verschluesselung-zwischen-mailservern/6471.


Mehr Artikel

Unternehmen legen ihren Fokus auf Investitionen zur Performancesteigerung durch Künstliche Intelligenz. (c) Pexels
News

GenAI: Vom Experiment zum strategischen Werkzeug

KI hat sich von einem Hype zu einem strategischen Gamechanger entwickelt. Laut einer Studie von NTT DATA ist die Experimentierphase für generative KI (GenAI) endgültig vorbei. Stattdessen stehen nun konkrete Pläne zur langfristigen Nutzung im Vordergrund – mit dem Ziel, Performance, Arbeitsplatzkultur, Compliance, Sicherheit und Nachhaltigkeit zu optimieren. […]

News

Internationale Konferenz zeigt den Weg zur datengetriebenen Zukunft

Am 13. November 2024 fand im Bundesministerium für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie (BMK) die Global Data Spaces Connect 2024 (GDSC24) statt, eine internationale Plattform, die Akteur:innen aus Wirtschaft, Wissenschaft und öffentlicher Verwaltung zu einem Austausch über den aktuellen Stand und die Zukunft der Datenräume (Data Spaces) zusammenbrachte. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*