Thunderbird-Sicherheit: Spam und Phishing abwehren

Jüngst hatte ein Windows-Schädling Erfolg, der als Mailanhang in Form einer Word-Datei verschickt wurde. Die Nachricht forderte zum Lesen der Word-Datei auf, mit dem Hinweis, doch bitte beim Öffnen der Datei den Makrovirenschutz von Word zu deaktivieren. Dass viele Anwender dieser Aufforderung gehorcht haben, ist dümmer, als Windows und Word erlauben, beweist aber die Manipulierbarkeit und Naivität der meisten Internetnutzer. Gesundes Misstrauen ist unerlässlich und beginnt mit misstrauischen Softwareeinstellungen.

Die Notwendigkeit des Masterpassworts

Ein „gehacktes“ oder den falschen Personen bekanntes Mailkonto (Benutzername und Kennwort) legt nicht nur die Korrespondenz offen, sondern ermöglicht den Zugriff auf weitere Log-ins: Denn bei den meisten Diensten genügt die Mailadresse, um sich („Kennwort vergessen?“) einfach ein neues Passwort zu beschaffen. Trotzdem werden sich die meisten Nutzer den Komfort erlauben, die Zugangsdaten in der Thunderbird -Konfiguration zu hinterlegen. Thunderbird speichert dann die Daten im Profilordner in der Datei „logins.json“, was die automatische Anmeldung am Mailserver ermöglicht. Dadurch ergeben sich folgende Datenschutzlücken:

1. Wer auf das laufende System mit Ihrem Benutzerkonto Zugriff hat, kann die Zugangsdaten in Thunderbird unter „Einstellungen –› Sicherheit –› Passwörter –› Gespeicherte Passwörter –› Passwörter anzeigen“ auslesen. Das ist kein großes Problem, sofern Sie in einer Büroumgebung vor Verlassen des Arbeitsplatzes den Desktop sperren.
2. Kritisch sind verlorene Notebooks oder der Fremdzugriff auf PCs, auf denen Thunderbird die Zugangsdaten verwaltet. Auf den ersten Blick scheint das unproblematisch, denn die Zugangsdaten in der Datei „logins.json“ sind verschlüsselt. Diese Verschlüsselung ist jedoch nicht mehr als Sichtschutz, um die Passwörter nicht im Klartext abzulegen. Es gibt Tools, um diese Zugangsdaten zu entschlüsseln. Noch umfassender ist der schlichte Umzug des Thunderbird-Profils mit Copy & Paste: Wer nach dem Boot mit einem Fremdsystem einfach den Profilordner („/home/[user]/.thunderbird/[xxxxxxxx]“) auf USB-Stick kopiert und dann auf einem anderen Rechner in ein neu angelegtes Thunderbird-Profil einfügt, hat Zugangsdaten, Kennwörter und die komplette Mailkorrespondenz vorliegen.

Angesichts dieser Bedrohung gibt es für Notebooks, Mehrbenutzersysteme und leicht zugängliche Bürorechner nur zwei angemessene Antworten: Entweder man verzichtet auf das Thunderbird-Angebot, die Zugangsdaten zu speichern, oder man benutzt das Masterpasswort. Die Vergabe des Masterpassworts erledigen Sie unter „Bearbeiten –› Einstellungen –› Sicherheit –› Passwörter –› Master-Passwort verwenden“. Dadurch werden die Zugangsdaten individuell verschlüsselt, sodass der Fremdzugriff auf Dateiebene erfolglos ist.

Siehe auch: Knigge für den richtigen Umgang mit E-Mails

HTML-Format und externe Inhalte

HTML erlaubt hübsche Kommunikation mit Bildern, Links, Farben, Schriften. In Geschäftsmails mit Logos und Signaturen sind solche Formatierungen oft alternativlos. Auf der anderen Seite bietet HTML eine Plattform für Scripts und Tracking aller Art. Standardmäßig blockiert Thunderbird immerhin alle externen Inhalte, die nicht in der Nachricht selbst enthalten sind. Dafür sorgt die deaktivierte Option „Einstellungen –› Datenschutz –› Externe Inhalte in Nachrichten erlauben“. 

Schon das Anzeigen externer Elemente genügt, dem externen Webserver mitzuteilen, erstens dass überhaupt, zweitens wann und wo der Mailempfänger die Mail erhalten und gelesen hat. Das harmloseste Resultat ist daher der Nachweis, dass die Mailadresse existiert und genutzt wird. Beim Klick auf externe Inhalte kann aber darüber hinaus bereits ein Script ausgelöst werden, das Schadsoftware installieren will.

Externe Inhalte sollten deaktiviert bleiben. Man kann aber noch einen Schritt weitergehen und alle Nachrichten als reinen Text öffnen: Dazu genügt die globale Einstellung „Ansicht –› Nachrichteninhalt –› Reiner Text“. Ein ästhetischer Kompromiss, der zumindest aktives Scripting aushebelt, ist die Einstellung „Vereinfachtes HTML“. Ergänzend zu dieser Option sollte der Punkt „Ansicht –› Anhänge eingebunden anzeigen“ abgeschaltet werden. Dies unterbindet die Gefahr, dass ein Anhang schon beim Öffnen der Nachricht ein Script aktiviert.

Wer auf Formatierung und Bilder keinen Wert legt, kann seine eigenen Nachrichten als Reintext verschicken. Dies lässt sich unter „Einstellungen –› Konten-Einstellungen“ für jedes Konto mit „Verfassen & Adressieren“ einzeln festlegen, indem Sie die Option „Nachrichten im HTML-Format verfassen“ deaktivieren.

Maßnahmen gegen Phishing und Spam 

Thunderbird kann betrügerisches Phishing und lästiges Spam („Junk“) erkennen. Ob der Anti-Phishing-Filter aktiv ist (Standard), kontrollieren Sie unter „Einstellungen –› Sicherheit –› Betrugsversuche“. Die Thunderbird-Regeln, gefälschte Nachrichten zu erkennen, sind hart codiert und nicht zu beeinflussen. Fundamentale Mechanismen erkennen falsche Web-URLs, die auf andere als die angezeigten Seiten führen, ferner gefälschte Bildverweise, die anders lauten als die URL der tatsächlichen Bildquelle. In solchen Fällen warnt Thunderbird: „Diese Nachricht könnte ein Betrugsversuch (Phishing) sein“.

Beachten Sie, dass Sie der Gefahr, per unbedachten Klick auf eine gefälschte URL zu gelangen, kategorisch aus dem Weg gehen, wenn Sie Mails als „Reiner Text“ anzeigen (siehe oben). Anderen Aufforderungen von Phishingbetrügern kann aber keine Technik, sondern nur der Verstand widerstehen: Die Abfrage von Bank- oder Kreditkartendaten macht kein Kreditinstitut per Mail und das Laden eines Anhangs unbekannter Absender verbietet sich von selbst.

Spam („Junk“) ist in der Regel nur lästig, kann aber auch Stufe 1 zur Verifizierung des Mailkontos sein, dem dann Schlimmeres nachfolgt.

In den Einstellungen unter „Sicherheit –› Junk“ können Sie global bestimmen, ob Junknachrichten in den Junkordner verschoben werden sollen. Die Option, Spam automatisch zu löschen, ist meistens zu radikal, da Thunderbird wie jede Software gelegentlich irrt.

Anders als den Phishingfilter können Sie Thunderbird bei Spam individuell trainieren. Dazu markieren Sie jede Nachricht als Junk, die Sie als solche einstufen. 

Relevant: Phishing-Mails erkennen – Tipps zur Schadenbegrenzung