Home    Aktuelles    Kalender    Katalog    Anmeldung  
News u. Notiz
 Suche 

Home
News u. Notiz
Kalender
Info
Anmeldung
Kontakt

 Newsletter 
E-Mail-Info mit aktuellen News und Veranstaltungen
Zur Newsletter
Um-, Ab- u. Anmeldung

 Events 

 PDF, Audio, Video 

 LogIn 
UserName: 
Kennwort:  

Kennwort vergessen?
Neu Anmeldung

 Anmelden 


 News u. Notiz 
 

« zurück
Sicherheitsprobleme bei GMX  (Archiv) 
Archiviert:
Sicherheitsprobleme im IMAP-Betrieb bei GMX

GMX-Kunde Mario Jung staunte, als er plötzlich fremde Mails in seinem Posteingang vorfand: "Ich hatte meinen Account gerade von POP auf IMAP umgestellt, da fand ich auf einmal etwa ein Dutzend Nachrichten, die an einen anderen GMX-Kunden adressiert waren", berichtete er heise online. "Es handelte sich nicht um Spam oder ähnliche Massen-Mails, sondern um persönliche Mitteilungen". Nach der nächsten Synchronisation sei die fremde Post dann aber wieder verschwunden.


Am vergangenen Freitag konnten wir ein ähnliches Phänomen live miterleben. Als wir mit einem Pocket-PC über das IMAP-Protokoll auf ein GMX-Konto zugriffen, fanden sich plötzlich 64 Nachrichten in der Inbox, die allesamt an einen Jürgen W. adressiert waren -- eine vollkommen fremde Person. Auch die Ordnerstruktur hatte sich merkwürdig verändert. Eine kurze Testmail, abgesandt über einen anonymen Webmailer, bestätigte: Wir hatten nicht nur Zugriff auf ein fremdes Nachrichten-Archiv, wir konnten auch sämtliche eingehenden Nachrichten einsehen. Auch das Löschen der Testmail war problemlos möglich.

Zwischen Newslettern und Werbemails fanden sich in dem Postfach auch durchaus kritische Nachrichten, beispielsweise die Anmeldebestätigung für das Online-Rechnungsverfahren bei einem großen Telekommunikationskonzern -- inklusive Usernamen und Passwort. Ein Missbrauch dieser Daten hätte wohl eine Menge Ärger für ihren Inhaber verursacht.

Wir riefen bei Jürgen W. an und informierten ihn darüber, dass wir IMAP-Zugriff auf sein Mail-Konto hatten. Herr W. fiel erklärlicherweise aus allen Wolken. Sicherheitshalber empfahlen wir ihm, vorerst keine Nachrichten mehr auf dem Server zu belassen. Auch drei Stunden nach unserer ersten Meldung beim GMX-Support war das Problem noch nicht behoben. Etwa eine Stunde nach diesem zweiten Anruf sahen wir schließlich nur noch die eigenen Nachrichten in unserem Posteingang.

GMX-Kunde Stefan Schmidt berichtete uns von einem Vorfall, der mit diesem Defekt in Zusammenhang stehen könnte: "Ich erhielt eine Mail von eBay, in der man sich für die Verifizierung meiner E-Mail-Adresse bedankte", erklärte Schmidt. Diese Bestätigungs-Mails versendet das Online-Auktionshaus eigentlich nur, nachdem ein Nutzer zuvor aktiv auf einen Link in einer vorangegangenen Mail geklickt hat. Diese erste Nachricht hat Schmidt jedoch nie gesehen. Seine Befürchtung: Ein Unbekannter habe zwischenzeitlich die Herrschaft über sein E-Mail-Konto gehabt.

Noch ein weiterer GMX-Kunde, dessen Name der Redaktion bekannt ist, berichtete von merkwürdigen Erlebnissen: Er bekam die Nachricht eines Internet-Forums, in der darum gebeten wurde, durch eine entsprechende Reaktion seine Daten zu bestätigen. Solche Mails können natürlich das Resultat von Vertippern oder Buchstabendrehern sein. Aber: "Dummerweise fand ich noch eine zweite Mail, in der ich dazu beglückwünscht wurde, dass der Account nach erfolgreicher Registrierung nun freigeschaltet ist", berichtet der Kunde. Nach eigenen Angaben arbeitet er selbst in der IT-Branche und verwendet ausschließlich sichere Passwörter. All diese Fälle traten beim Promail-Tarif auf, einer kostenpflichtigen Variante des GMX-E-Mail-Diensts.

Anfang dieser Woche erläuterten wir der GMX-Geschäftsführung unsere Erkenntnisse und baten um eine Stellungnahme. Nicole Braun, Sprecherin der GMX-Mutter United Internet, teilte uns mit, dass "ein vergleichbarer Fehler bisher nicht dokumentiert wurde". Auch sei es nicht gelungen, den Fehler zu reproduzieren. Einen Angriff auf die GMX-Infrastruktur vermutet sie nicht: "Aufgrund der durchgeführten Tests schließt die GMX-Technik aus, dass der Fehler zu Zwecken des Missbrauchs absichtlich herbeigeführt und ausgenutzt werden kann." Trotzdem habe man nun aus Sicherheitsgründen "einen weiteren Plausibilitätscheck" eingeführt.

Eines hielt man in Hause GMX aber offenbar für verzichtbar: Bis zum gestrigen Mittwochabend hatte sich niemand bei Jürgen W. gemeldet und ihn über die kurzfristige Störung informiert oder sich gar bei ihm entschuldigt. "Eine Warnung, dass etwas nicht in Ordnung ist, hätte ich mir schon gewünscht", sagt W. "Das ist ja schließlich kein Kostenlos-Konto." (Mario Sixtus)

dfd,

Thema: k.D.

Bitte vergeben Sie für diesen Artikel eine Note
zwischen +3 (lesenswert) und -3 (nicht lesenswert)

Artikel bewerten:
+3 +2 +1 0 -1 -2 -3

  Aktuelle Auswertung:
Gesamtbewertung (Alle Punkte): 0

Plus: , Neutral: , Minus: 0
  0 = neutral (Artikel zur Kenntnis genommen)


Leser-Beiträge
Hinterlassen Sie hier Ihre Informationen oder Anmerkungen, für andere Leser.
Jetzt ohne Anmeldung!

 neuen Eintrag erstellen 

Home | News | Kalender | Katalog | Anmeldung
Newsletter | Info | Impressum | Kontakt

diagramm.net - Alle Inhalte dienen der persönlichen Information.







Pub-Info