2522274

Thunderbird-Sicherheit: Spam und Phishing abwehren

28.07.2020 | 13:01 Uhr | Hermann Apfelböck

Mails an sich sind nicht gefährlich. Aber sie sollten Mails bleiben, nicht ins Web gehen – und Mailanhänge von Fremden haben auf dem Rechner gar nichts verloren. Wenn Sie dann noch Ihre Zugangsdaten schützen, sind Sie auf der sicheren Seite.

Jüngst hatte ein Windows-Schädling Erfolg, der als Mailanhang in Form einer Word-Datei verschickt wurde. Die Nachricht forderte zum Lesen der Word-Datei auf, mit dem Hinweis, doch bitte beim Öffnen der Datei den Makrovirenschutz von Word zu deaktivieren. Dass viele Anwender dieser Aufforderung gehorcht haben, ist dümmer, als Windows und Word erlauben, beweist aber die Manipulierbarkeit und Naivität der meisten Internetnutzer. Gesundes Misstrauen ist unerlässlich und beginnt mit misstrauischen Softwareeinstellungen.

Die Notwendigkeit des Masterpassworts

Ein „gehacktes“ oder den falschen Personen bekanntes Mailkonto (Benutzername und Kennwort) legt nicht nur die Korrespondenz offen, sondern ermöglicht den Zugriff auf weitere Log-ins: Denn bei den meisten Diensten genügt die Mailadresse, um sich („Kennwort vergessen?“) einfach ein neues Passwort zu beschaffen. Trotzdem werden sich die meisten Nutzer den Komfort erlauben, die Zugangsdaten in der Thunderbird -Konfiguration zu hinterlegen. Thunderbird speichert dann die Daten im Profilordner in der Datei „logins.json“, was die automatische Anmeldung am Mailserver ermöglicht. Dadurch ergeben sich folgende Datenschutzlücken:

  1. Wer auf das laufende System mit Ihrem Benutzerkonto Zugriff hat, kann die Zugangsdaten in Thunderbird unter „Einstellungen –› Sicherheit –› Passwörter –› Gespeicherte Passwörter –› Passwörter anzeigen“ auslesen. Das ist kein großes Problem, sofern Sie in einer Büroumgebung vor Verlassen des Arbeitsplatzes den Desktop sperren.

  2. Kritisch sind verlorene Notebooks oder der Fremdzugriff auf PCs, auf denen Thunderbird die Zugangsdaten verwaltet. Auf den ersten Blick scheint das unproblematisch, denn die Zugangsdaten in der Datei „logins.json“ sind verschlüsselt. Diese Verschlüsselung ist jedoch nicht mehr als Sichtschutz, um die Passwörter nicht im Klartext abzulegen. Es gibt Tools, um diese Zugangsdaten zu entschlüsseln. Noch umfassender ist der schlichte Umzug des Thunderbird-Profils mit Copy & Paste: Wer nach dem Boot mit einem Fremdsystem einfach den Profilordner („/home/[user]/.thunderbird/[xxxxxxxx]“) auf USB-Stick kopiert und dann auf einem anderen Rechner in ein neu angelegtes Thunderbird-Profil einfügt, hat Zugangsdaten, Kennwörter und die komplette Mailkorrespondenz vorliegen.

Angesichts dieser Bedrohung gibt es für Notebooks, Mehrbenutzersysteme und leicht zugängliche Bürorechner nur zwei angemessene Antworten: Entweder man verzichtet auf das Thunderbird-Angebot, die Zugangsdaten zu speichern, oder man benutzt das Masterpasswort. Die Vergabe des Masterpassworts erledigen Sie unter „Bearbeiten –› Einstellungen –› Sicherheit –› Passwörter –› Master-Passwort verwenden“. Dadurch werden die Zugangsdaten individuell verschlüsselt, sodass der Fremdzugriff auf Dateiebene erfolglos ist.

Siehe auch: Knigge für den richtigen Umgang mit E-Mails

HTML-Format und externe Inhalte

Nicht hübsch, aber hübsch sicher: Das Abschalten der HTML-Anzeige entschärft Links auf externe Websites und entzaubert manipulative Tarnoptik.
Vergrößern Nicht hübsch, aber hübsch sicher: Das Abschalten der HTML-Anzeige entschärft Links auf externe Websites und entzaubert manipulative Tarnoptik.

HTML erlaubt hübsche Kommunikation mit Bildern, Links, Farben, Schriften. In Geschäftsmails mit Logos und Signaturen sind solche Formatierungen oft alternativlos. Auf der anderen Seite bietet HTML eine Plattform für Scripts und Tracking aller Art. Standardmäßig blockiert Thunderbird immerhin alle externen Inhalte, die nicht in der Nachricht selbst enthalten sind. Dafür sorgt die deaktivierte Option „Einstellungen –› Datenschutz –› Externe Inhalte in Nachrichten erlauben“. 

Schon das Anzeigen externer Elemente genügt, dem externen Webserver mitzuteilen, erstens dass überhaupt, zweitens wann und wo der Mailempfänger die Mail erhalten und gelesen hat. Das harmloseste Resultat ist daher der Nachweis, dass die Mailadresse existiert und genutzt wird. Beim Klick auf externe Inhalte kann aber darüber hinaus bereits ein Script ausgelöst werden, das Schadsoftware installieren will.

Externe Inhalte sollten deaktiviert bleiben. Man kann aber noch einen Schritt weitergehen und alle Nachrichten als reinen Text öffnen: Dazu genügt die globale Einstellung „Ansicht –› Nachrichteninhalt –› Reiner Text“. Ein ästhetischer Kompromiss, der zumindest aktives Scripting aushebelt, ist die Einstellung „Vereinfachtes HTML“. Ergänzend zu dieser Option sollte der Punkt „Ansicht –› Anhänge eingebunden anzeigen“ abgeschaltet werden. Dies unterbindet die Gefahr, dass ein Anhang schon beim Öffnen der Nachricht ein Script aktiviert.

Wer auf Formatierung und Bilder keinen Wert legt, kann seine eigenen Nachrichten als Reintext verschicken. Dies lässt sich unter „Einstellungen –› Konten-Einstellungen“ für jedes Konto mit „Verfassen & Adressieren“ einzeln festlegen, indem Sie die Option „Nachrichten im HTML-Format verfassen“ deaktivieren.

Maßnahmen gegen Phishing und Spam 

Thunderbird kann betrügerisches Phishing und lästiges Spam („Junk“) erkennen. Ob der Anti-Phishing-Filter aktiv ist (Standard), kontrollieren Sie unter „Einstellungen –› Sicherheit –› Betrugsversuche“. Die Thunderbird-Regeln, gefälschte Nachrichten zu erkennen, sind hart codiert und nicht zu beeinflussen. Fundamentale Mechanismen erkennen falsche Web-URLs, die auf andere als die angezeigten Seiten führen, ferner gefälschte Bildverweise, die anders lauten als die URL der tatsächlichen Bildquelle. In solchen Fällen warnt Thunderbird: „Diese Nachricht könnte ein Betrugsversuch (Phishing) sein“.

Beachten Sie, dass Sie der Gefahr, per unbedachten Klick auf eine gefälschte URL zu gelangen, kategorisch aus dem Weg gehen, wenn Sie Mails als „Reiner Text“ anzeigen (siehe oben). Anderen Aufforderungen von Phishingbetrügern kann aber keine Technik, sondern nur der Verstand widerstehen: Die Abfrage von Bank- oder Kreditkartendaten macht kein Kreditinstitut per Mail und das Laden eines Anhangs unbekannter Absender verbietet sich von selbst.

Spam („Junk“) ist in der Regel nur lästig, kann aber auch Stufe 1 zur Verifizierung des Mailkontos sein, dem dann Schlimmeres nachfolgt.

In den Einstellungen unter „Sicherheit –› Junk“ können Sie global bestimmen, ob Junknachrichten in den Junkordner verschoben werden sollen. Die Option, Spam automatisch zu löschen, ist meistens zu radikal, da Thunderbird wie jede Software gelegentlich irrt.

Anders als den Phishingfilter können Sie Thunderbird bei Spam individuell trainieren. Dazu markieren Sie jede Nachricht als Junk, die Sie als solche einstufen. 

Relevant: Phishing-Mails erkennen - Tipps zur Schadenbegrenzung

Der Thunderbird-Check

  • „Ansicht –› Nachrichteninhalt –› Reiner Text“: Diese Einstellung ist nicht schön, denn sie unterbindet die Anzeige von HTML-Format, damit aber auch trügerische Tarnoptik und fatale Klicks auf Weblinks.

  • „Einstellungen –› Sicherheit –› Betrugsversuche“: Die einzige Option an dieser Stelle muss aktiviert sein, damit der Phishingfilter arbeitet.

  • „Einstellungen –› Sicherheit –› Passwörter“: Hier vergeben Sie das Masterpasswort. Wo und warum sich ein Masterpasswort empfiehlt, erklärt der Haupttext. Unter „Einstellungen –› Sicherheit –› Passwörter –› Gespeicherte Passwörter“ zeigt Thunderbird alle hinterlegten Zugangsdaten.

  • „Einstellungen –› Datenschutz“: Folgende Option sollte aktiviert sein: „Websites mitteilen, meine Aktivitäten nicht zu verfolgen“.

  • „Einstellungen –› Datenschutz“: Folgende Option sollte auf keinen Fall aktiviert sein: „Externe Inhalte in Nachrichten erlauben“.

  • „Einstellungen –› Erweitert –› Allgemein –› Konfiguration bearbeiten“: Die Low- Level-Konfiguration zeigt Expertenoptionen, die über die Einstellungen der grafischen Oberfläche hinausreichen. Die meisten Direktiven sind allerdings nicht oder unzureichend dokumentiert. Das nicht risikolose Javascript können Sie durch Doppelklick beim Eintrag javascript.enabled auf „false“ setzen und damit ausschalten.

OnePlus bringt mit dem OnePlus Nord endlich wieder ein günstiges Smartphone auf den Markt - Die Geräte hatten sich ja in letzter Zeit vom einstigen Flaggschiff-Killer zu normal-preisigen Flaggschiffen entwickelt. Jetzt besinnt sich OnePlus auf seine Wurzeln - das OnePlus Nord kostet 399 bzw. 499 Euro, bringt aber dennoch Highend-Komponenten und ein schickes Design mit. Was im OnePlus Nord steckt und wie es aussieht, erfahrt Ihr in diesem Video.

► OnePlus Nord vorbestellen (ab 17 Uhr):
bit.ly/2ZKYdFe

► Alle ausführlichen Infos zum nachlesen:
www.pcwelt.de/2521339

PC-WELT Marktplatz

2522274