Wie leicht lassen sich E-Mails abfangen?

[Pulliuser]

(Dies war ursprünglich eine Antwort auf diesen Thread. Wurde aber eher zum Selbstläufer, danke an mathmos fürs verschieben.)

Bin eben auf den Thread gestossen und da kam mir wieder eine Frage auf die ich schon lange habe und ganz gut zum Thema passt.

Ich höre seit jeher das unverschlüsselte emails unsicher und leicht "abzufangen" seien. Allerdings habe ich noch von keinem Fall gehört wo das wirklich passiert ist. Etliche gespeicherte emails aus irgendwelchen Serverhacks/Datenleaks gehören für mich nicht dazu.

Bestimmt gab es schon tatsächliche Fälle aber in meiner Wahrnehmung scheint das, wenn überhaupt, extrem selten zu sein, ganz im Gegensatz zu der Wahrnehmung wie unsicher es doch wäre und wie leicht das gehen würde.

Und wie hier auch schon erwähnt wurde, auch andere Services oder sonstige Provider versenden zb Login Daten fleißig per email. Wäre das nicht fahrlässig? Probleme habe ich aber selbst noch nicht erlebt und auch von keinen gehört.

Daraus schließe ich das die Theorie vlt stimmt, es aber in der Parxis extrem selten oder gar unrealistisch ist?

Muss sich der Angreifer beim Abruf in meinem Netzwerk befinden? Große Hürde bei standard WLan Verschlüsselung und Passwort, müsste schon ein sehr gezielter Angriff sein. Abfangen dann möglich trotz https Verbindung zum Provider?

Abfangen zwischen Sender und meinem Mailprovider stell ich mir (hoffentlich) noch schwieriger vor.

Überhaupt muss es ein gezielter Angriff sein und breit gestreute Angriffe sind hier kaum erfolgsversprechend, oder?

Ich denke wenn jmd mit echten Skills mich speziell angreift habe ich eh keine große Chance, da gibts sicher noch ganz andere Lücken, auch als recht sicherheitsbewusster Normalanwender.

Welche Vorraussetzungen müssen denn erfüllt sein damit jmd wirklich meine mails lesen kann?

 

[sia]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

auch andere Services oder sonstige Provider versenden zb Login Daten fleißig per email.

Solange es Einmaldaten sind, ist das ja okay. Das Passwort sollte man dann nach Erhalt ändern. Dumm ist natürlich, wenn einem das geänderte, sichere Passwort noch einmal im Klartext zugestellt wird. Das zeige ich zumindest dem entsprechenden Dienst immer an, es gibt aber auch eine extra Liste für solche Idioten: http://plaintextoffenders.com/

Daraus schließe ich das die Theorie vlt stimmt, es aber in der Parxis extrem selten oder gar unrealistisch ist?

In der Theorie ist es auch recht unwahrscheinlich, dass jemand bei dir einbricht, um Zugangsdaten zu klauen. In der Praxis ist es in einer der Firmen, die ich betreue, bereits vorgekommen.

Muss sich der Angreifer beim Abruf in meinem Netzwerk befinden?

Entweder da oder bei der Zustellung. Nicht nur in deinem, sondern in irgendeinem Netzwerk auf dem Weg. Nehmen wir einmal an, ein Nachrichtendienst würde einen Internetknoten abhören (verrückte Vorstellung, oder?), dann könnten sie alle deine Mails mitlesen.

Abfangen dann möglich trotz https Verbindung zum Provider?

Hä? Eben ging es doch um unverschlüsselt transportierte Mails, oder? Falls du die Mailverschlüsselung meinst, sind insbesondere die Administratoren und Betreiber der Rechenzentren, in denen beide Endpunkte stehen, problematisch.

Ich glaube, du verwechselst Transit- mit E2E-Verschlüsselung.

Ich denke wenn jmd mit echten Skills mich speziell angreift habe ich eh keine große Chance, da gibts sicher noch ganz andere Lücken, auch als recht sicherheitsbewusster Normalanwender.

Ja, ich würde zuerst mit deiner Haustür anfangen. Vielleicht nimmst du deinen Hausschlüssel ja nicht mit in die Mittagspause? Schnell zwei Fotos gemacht und schwupps, ohne Einbruchsspuren drin. Dann kann ich dir mit lokalem Zugriff am einfachsten eine Wanze ins Netzwerk hängen. Das dann gekoppelt mit einem WLAN-Keylogger und du bist digital nackt.

Den Keylogger muss ich übrigens nicht sichtbar anbringen. Wenn ich in dein Fenster gucke und dein Tastaturmodell herausfinde, kann ich den auch direkt auf die Platine auflöten und einfach die Tastaturen austauschen.

Ist aber irgendwie fernab vom Thema gerade, meinst du nicht?

 

[virtus]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Ich höre seit jeher das unverschlüsselte emails unsicher und leicht "abzufangen" seien. Allerdings habe ich noch von keinem Fall gehört wo das wirklich passiert ist.

Das ist richtig, allerdings ist es auch schwer einen Nachweis dazu zu erbringen. Du kannst schlicht nicht feststellen, ob sich jemand an das Kabel gehängt hat.

Und wie hier auch schon erwähnt wurde, auch andere Services oder sonstige Provider versenden zb Login Daten fleißig per email. Wäre das nicht fahrlässig?

Das wäre nicht nur fahrlässig, es IST fahrlässig. Deshalb sollten per Mail versendete Passwörter prinzipiell möglichst zeitnah geändert werden.

Daraus schließe ich das die Theorie vlt stimmt, es aber in der Parxis extrem selten oder gar unrealistisch ist?

Die NSA und andere Geheimdienste betreiben diese Art der Spionage im großen Stil.

Muss sich der Angreifer beim Abruf in meinem Netzwerk befinden?

Nein. Geheimdienste hängen sich gewöhnlich direkt an Internetleitungen und lauschen mit. Andere Angreifer kommen in der Regel nicht so einfach an Internetleitungen, die müssen häufig gezielt (Mail-)Server angreifen. Aber es hängt natürlich immer von den individuellen Möglichkeiten des Angreifers ab.

Große Hürde bei standard WLan Verschlüsselung und Passwort, müsste schon ein sehr gezielter Angriff sein. Abfangen dann möglich trotz https Verbindung zum Provider?

Eine SSL-verschlüsselte Verbindung zwischen den Mailservern war bei großen Providern bis vor einigen Jahren (Pre-Snowden-Zeit) absolut unüblich und WLAN wirst du auf Langstrecken-Übertragungen nicht finden.

Abfangen zwischen Sender und meinem Mailprovider stell ich mir (hoffentlich) noch schwieriger vor.

Die Mail geht über mindestens 3 Knoten: [Sender] -- [Mailserver] -- [Empfänger]
In der Regel sind es deutlich mehr Knoten: [Sender] -- [Mailserver des Senders] -- [Mailserver des Empfängers] -- [Empfänger]
Bei größeren Unternehmen liegt in der Regel nicht nur ein Mailserver, sondern es liegen gleich 3-4 Mailserver vor.

Überhaupt muss es ein gezielter Angriff sein und breit gestreute Angriffe sind hier kaum erfolgsversprechend, oder?

Geheimdienste hören auf diese Weise breitgefächert alles mit, was sie in die Finger bekommen können. In anderen Fällen kann es sich aber auch um ganz gezielte Angriffe handeln. Es gibt

Welche Vorraussetzungen müssen denn erfüllt sein damit jmd wirklich meine mails lesen kann?

Eine dieser Voraussetzungen reicht aus:

1. Zugriff auf Sender/ Empfängersystem
2. Zugriff auf Mailserver, die zwischen Sender und Empfänger liegen
3. Zugriff auf beliebige Netzwerkknoten (Router/ Switches) + unverschlüsselte Übertragung auf dem Streckenabschnitt
4. Zugriff auf Netzwerkkabel + unverschlüsselte Übertragung zwischen Sender und Mailserver des Senders
5. Zugriff auf Netzwerkkabel + unverschlüsselte Übertragung zwischen unterschiedlichen Mailservern
6. Zugriff auf Netzwerkkabel + unverschlüsselte Übertragung zwischen Mailserver des Empfängers und Empfänger

 

[Pulliuser]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Danke phre4k und virtus für eure sehr ausführlichen Antworten! Auch der Link bzgl. dem BND und dem Internetknoten war sehr interessant und leider auch erschreckend zugleich.

Das NSA & co im großen Stil abhören ist mir schon irgendwie bewusst. Das es wie in dem verlinkten Fall sogar so "offiziell" und bisher geduldet passiert war mir aber doch neu. Heftig.

Als ich die Frage stellte hatte ich allerdings eher die Schublade Cyber-Kriminelle im Kopf, welche z.B. mit breit gestreuten Angriffen schauen was zurück kommt und das ausnutzen. Aber letztlich ging es mir schon auch um meine generelle Sicherheit und Privatsphäre und da spielen natürlich Regierungen, oder auch Konzerne, eine große Rolle. Da ich aktuell noch ein Gmail Konto habe, bzw. noch schlimmer, die meisten mails noch von einer ganz alten GMX Adresse an Gmail weitergeleitet werden, werden von diesen Services meine mails natürlich auch fleißig "gelesen". Und wie virtus ausführte hängen dadurch natürlich noch mehr Knoten dazwischen die abgehört werden können.

Hatte einfach den direkten und sehr fühlbaren Schaden durch Kriminelle im Kopf. Dabei wird durch die Massenüberwachung aber letztlich noch viel mehr Schaden angerichtet, je nachdem was daraus gemacht wird.

Und ja, https hab ich auch durcheinander gebracht. Dabei dachte ich an den Fall wenn ich mich bei Gmail einlogge um meine mails zu lesen ist das ja via https verschlüsselt, aber letztlich wird dabei ja gar keine mail mehr versendet (wobei ich den Text natürlich auch runterlade). Diese Verbindung ist ja dann wenigstens ausreichend gesichert? Bringt natürlich nichts wenn an anderen Stellen die mails abgefangen werden können.

Ich nehme daraus mal mit das es für den 0815 Bösewicht nicht ganz so einfach ist meine mails zu lesen? Lässt sich aber wohl nicht so einfach verallgemeinern da es auf zu viele Faktoren ankommt.

Ich habe schon länger vor mir ein privates Email Konto bei mailbox.org oder Posteo anzulegen, dadurch hätte ich zumindest mal die Konzerne denen ich im Moment all meine Intimitäten+Belanglosigkeiten in den Rachen werfe ausgeschlossen, oder?
Solange ich dort meine mails nicht verschlüsselt versende und empfange ist mir klar das deshalb weiterhin Bösewichte die Chance haben abzuhören und die Geheimdienste es bereits tun.

Da ist dann wieder die Hürde, wie bringt man andere dazu ebenfalls Verschlüsselung zu nutzen? Im Grunde ja auch das Problem des Thread Starters.
Wenn die ganzen Email Provider standardmäßig Verschlüsselung nutzen würden wäre das wahrs der einzige Weg auch für unerfahrene oder "ist-mir-egal" Nutzer. Aber wie mir scheint sind wir davon immer noch weit entfernt.

Was mir noch einfällt bzgl einmal Passwörter per email: Im Grunde vertraut man in dem Fall ja auch darauf das der Nutzer die mail liest und das Passwort ändert bevor es ein Abhörer tut. Finde ich jetzt auch nicht unbedingt sicher, aber in der Praxis scheint das wohl noch ganz gut zu funktionieren?!

 

[alter_Bekannter]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Naja man könnte schon feststellen ob sich jemand ans Kabel gehängt hat. Zumindest wenn jemand phyikalisch dazwischen geht. Die Frage ist dann vielleicht eher:
Kann man alles mitlesen indem man reins passiv vorgeht. Also nur das Magnetfeld direktum das Kabel herum auswertet. Oder kommt dafür nicht genug raus ohne das man die Übertragungsqualität messbar stört?

Also Isolierung entfernt, die Aderpaare voneinander trennt etc.

Alles was man tatsächlich dazwischen hängt könnte man ja über Latenzmessungen feststellen. Allerdings natürlich nur der Betrieber des Netzes selbst, nicht der Nutzer. Das scheitert schon an so simplen Sachen wie das man nicht mal weiss wie lang die Kabel denn überhaupt sein sollen.

 

[sia]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Ich habe schon länger vor mir ein privates Email Konto bei mailbox.org oder Posteo anzulegen, dadurch hätte ich zumindest mal die Konzerne denen ich im Moment all meine Intimitäten+Belanglosigkeiten in den Rachen werfe ausgeschlossen, oder?

Auch Mailbox.org und Posteo können deine Mails lesen.

 

[BurnerR]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Naja man könnte schon feststellen ob sich jemand ans Kabel gehängt hat. Zumindest wenn jemand phyikalisch dazwischen geht. Die Frage ist dann vielleicht eher:
Kann man alles mitlesen indem man reins passiv vorgeht. Also nur das Magnetfeld direktum das Kabel herum auswertet. Oder kommt dafür nicht genug raus ohne das man die Übertragungsqualität messbar stört?

Da wirds ja idR um Glasfaser gehen. Die lassen sich durch biegen und messen der abstrahlenden Lichtwellen abhören. Ob sich der erhöhte Austritt aus der Faser derart identifizieren lässt weiß ich nicht. Aber offenbar gibt es auch 'non-touching' Methoden, die prinzipiell nicht erkennbar sind.

 

[alter_Bekannter]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Vielleicht in den 2%(Zahl direkt aus meinem Arsch) die schon ftth haben aber die meisten hängen dann doch noch am Kupfer. Sogar an mehr als einem KM Kupfer(das entspricht aber durchaus den Fakten).

 

[sia]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Vielleicht in den 2%(Zahl direkt aus meinem Arsch) die schon ftth haben

Oder die 100% der Internetknoten, die via Glasfaser angebunden sind.

 

[alter_Bekannter]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Man greift die Kette aber am schwächsten, nicht am stärksten Glied an.

Oder legst du eine 5cm Stahlkugel vor deine Tür und fühlst dich dann Bombensicher?
Um durch 5cm Stahl zu kommen braucht man schon ordentlich rumms. Die Kugel dürfte sogar einen Atombombe überstehen.

 

[virtus]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

@alter_Bekannter: ISPs, Rechenzentren und Tier 1 Provider usw. spielen in der Regel mit, wenn Geheimdienste mithören wollen.
Ein, egal ob bewusst durch den Provider oder durch einen Angriff auf durch Hacker manipuliert, konfigurierter Switch kann auch Signale klonen:

Stell dir vor, der Absender [IP=1.2.3.4] hängt an Port 1, der Empfänger [IP=2.3.4.5] an Port 27 und die NSA an Port 34.
Immer wenn ein Signal von 1.2.3.4 an 2.3.4.5 gesendet wird, wird das Signal sowohl an Port 27, als auch an Port 34 ausgegeben und umgekehrt, wenn ein Signal von 2.3.4.5 an 1.2.3.4 gehen soll, wird es wohl an Port 1, als auch an Port 34 ausgegeben.
Bei guten Switches - und ich meine nicht dem Spielzeug, das die meisten Endanwender daheim haben! - sind den Vorstellungen quasi keine Grenzen gesetzt. Filter für IP, Port, MAC oder beliebige andere Attribute sind möglich.

Das NSA & co im großen Stil abhören ist mir schon irgendwie bewusst. Das es wie in dem verlinkten Fall sogar so "offiziell" und bisher geduldet passiert war mir aber doch neu.

Häufig werden "Opfer" dieser Maßnahmen auch zur Verschwiegenheit verpflichtet. Daher können und dürfen sie in der Regel auch nicht über solche Vorfälle berichten.

Hatte einfach den direkten und sehr fühlbaren Schaden durch Kriminelle im Kopf. Dabei wird durch die Massenüberwachung aber letztlich noch viel mehr Schaden angerichtet, je nachdem was daraus gemacht wird.

Tja, den genauen Schaden abzusehen ist schwer. Stell dir vor, ein Hacker überwacht und analysiert im großen Stil Emails von GMX Kunden, weil er irgendeine Sicherheitslücke auf deren Servern hat ausnutzen können. Jetzt stell dir vor er verkauft die Informationen an deinen Versicherer. Dieser kann jetzt die Preise den Risiken deines Lebensstils anpassen. Rechtlich ist das natürlich nicht erlaubt und für dich entsteht ein ernster finanzieller Schaden, aber da weder der Versicherer noch der Hacker öffentlich machen wird, dass die Versicherungsprämien an unrechtmäßig erworbene Daten angepasst wurden, kannst du natürlich keinen Schaden geltend machen.

Ich nehme daraus mal mit das es für den 0815 Bösewicht nicht ganz so einfach ist meine mails zu lesen? Lässt sich aber wohl nicht so einfach verallgemeinern da es auf zu viele Faktoren ankommt.

Es ist schwierig, aber nicht unmöglich.

 

[alter_Bekannter]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Wenn dein Provider mitmacht ist das Thema sowieso erledigt.

Jetzt wirds allbern.

Um 2 Uhr morgens gibt es einen 30 Minütigen Aufall wegen eines Hardwarewechsels, wir bitten um Entschuldigung.

Und niemand bekkommt jemals was davon mit das der Gesamte Traffic kopiert werden könnte. Das ist mir auch klar, ich bin nicht komplett technikfremd, ich arbeite lediglich nicht beruflich mit Elektrotechnik. Daher stammen meine Infos aus dem Bereich zum Teil aus einer Zeit indem es noch kein GBit LAN gab und sind damit derart veraltet das ich weiss das sie unter Umständen komplett obsolet sind. Zusätzlich dazu das ich wie gesagt eh nicht mit Elektrotechnik arbeite und daher da auch nie so wirklich aufgepasst habe.

 

[BurnerR]

Re: Passwörter versenden, ohne die Sicherheit zu kompromittieren

Ich habe auch noch nicht davon gehört, dass kriminelle E-Mails im Internet Backbone oder in ISP Infrastruktur abhören.
Ein wahrscheinlicheres Szenario ist eine Kompromittierung des E-Mail Accounts, wenn dann Passwörter wieder verwendet werden oder sich klartext Passwörter dort befinden kann das bis zum Identitätsdiebstahl ausgeweitet werden

Ich frage mich allerdings, inwiefern KVZ gegen Manipulation abgesichert sind, ein KVZ scheint ja mehrere hundert Kunden zu versorgen. Sicherlich gibt es eine hohe technische Einstiegshürde, aber kriminell könnte sich das durchaus lohnen sich an ein paar KVZ dran zu hängen.

 

[Pulliuser]

Auch Mailbox.org und Posteo können deine Mails lesen.

Das ist mir klar, jedoch haben sie es geschafft mich davon zu überzeugen das sie kein Interesse an meinen Daten haben sondern sie im Gegenteil eher schützen wollen. Z.B. wollte Posteo, wie ich zuletzt gesehen habe, nicht mal einen Namen bei der Registrierung haben und bei Mailbox kann man das Feld wohl auch leer lassen. Datensparsamkeit, finde ich ein gutes Konzept. Man kann seine mails angeblich auch komplett verschlüsselt speichern lassen, etc.

Ich habe auch noch nicht davon gehört, dass kriminelle E-Mails im Internet Backbone oder in ISP Infrastruktur abhören.
Ein wahrscheinlicheres Szenario ist eine Kompromittierung des E-Mail Accounts, wenn dann Passwörter wieder verwendet werden oder sich klartext Passwörter dort befinden kann das bis zum Identitätsdiebstahl ausgeweitet werden

Danke BurneR, darum gings mir im Grunde. Szenarios die in der Praxis auch wahrscheinlicher sind und womit man eben ggf. rechnen muss.

Trotzdem sind die theoretischen Machbarkeiten auch interessant, danke dafür auch an die anderen.

Eine Versicherung die geklaute mails kauft um die Versicherungsprämie meinem vermeintlich tatsächlichen Lebensstil anzupassen (mit welcher offiziellen Begründung?) finde ich da allerdings schon sehr weit hergeholt Wäre ja fast noch löblich das sie so sehr darauf erpicht wären die Preise an meinen echten Lebensstil anzupassen, eigentlich nur fair. In der Realität werden sie wohl einfach grundsätzlich die Preise oben halten solange sie damit noch wettbewerbsfähig sind... warum weniger Geld einkassieren?

Ich frage mich allerdings, inwiefern KVZ gegen Manipulation abgesichert sind, ein KVZ scheint ja mehrere hundert Kunden zu versorgen. Sicherlich gibt es eine hohe technische Einstiegshürde, aber kriminell könnte sich das durchaus lohnen sich an ein paar KVZ dran zu hängen.

Da musste ich KVZ erst googlen (Kabelverzweiger, der graue Kasten an der Straße ), aber solche Methoden erinnern mich dann schon eher an schwarz/weiß Hollywood Streifen Aber natürlich auch eine theoretische Möglichkeit.