Um die Sicherheitsmechanismen von S/MIME und OpenPGP auszuhebeln müssen Angreifer in den Besitz einer verschlüsselten E-Mail kommen. Gelingt dies, müssen die Angreifer zusätzlich die verschlüsselte Nachricht in eine E-Mail mit HTML-Schadcode einbetten und diese wiederum an den Empfänger der zuvor verschlüsselten E-Mail kommen, erklärt Bitkom. Der Digitalverband betont, dass es keine akute Gefahr gebe für Nutzer, die ihre Mails verschlüsseln.

Vielmehr: "Eine unverschlüsselte E-Mail ist in jedem Fall sicherer vor ungewollten Blicken, als nicht-geschützte E-Mails", sagt Nabil Alsabah, Bitkom-Experte für IT-Sicherheit. Nicht alle Hackerszenarien, die unter Laborbedingungen stattfänden, seien auch in der Praxis leicht umsetzbar. Allerdings deuten die Ergebnisse des Forschungsteams, das die Sicherheitslecks veröffentlicht hatte, darauf hin, dass die beiden Standards mittelfristig zu aktualisieren seien.

Der Digitalverband gibt zudem Tipps, wie sich Mails richtig verschlüsseln lassen:

• Schlüssel geheim halten: Gängige E-Mail-Verschlüsselung basiert auf dem Prinzip der asymmetrischen Kryptographie. Es gibt einen Schlüssel zum Kodieren und einen zum Dekodieren von Nachrichten. Mit dem privaten Schlüssel lassen sich so geschützte Nachrichten entziffern. Dieser soll anders als der öffentliche Schlüssel privat und geheim aufbewahrt werden. S/MIME und PGP arbeiten nach ähnlichen Prinzipien: Bei Ersterem werden die Schlüssel von einer vertrauenswürdigen Zertifikats-Autorität ausgestellt, PGP kommt ohne eine solche aus. Für beide Standards gibtes kostenlose, quellcodeoffene, aber auch kommerzielle Lösungen – als Softwarepaket oder auch als Online-Dienst.
   
• Kein automatisches Laden von aktiven Inhalten: Vor allem im HTML-Format sind aktive Inhalte beliebt: Mit formatierten Texten und eingebetteten Bildern lässt sich ein lebendigeres Erscheinungsbild generieren als bloßer Text. Allerdings kann hier Schadcode versteckt werden. Besonders bei unbekannten Absendern sollten aktive Inhalte in E-Mails nicht ausgeführt werden, warnt Bitkom. In der Regel lässt sich über das E-Mail-Programm einstellen, wann und ob HTML-Inhalte dargestellt werden.
   
• Auf sichere Verbindung zum Mailserver achten: Wer seine E-Mails über eine Weboberfläche abruft, sollte auf eine sichere Verbindung zum Mailserver achten. Dies erkenne man an den Anfangsbuchstaben "https". Eine solche Verbindung sorge dafür, dass die Kommunikation zwischen dem Rechner des Nutzers und dem E-Mailserver verschlüsselt wird.
   
• Sicherheitsupdates installieren: Update-Hinweise für Betriebssystem, Browser, Add-Ons und anderen Programmen sollte man ernst nehmen, so Bitkom. Gleiches gelte für Virenscanner. Hier sollte die Virensoftware stets aktuell gehalten werden. (sg)