Dass sich die Absenderadresse einer E-Mail mit minimalen Kenntnissen des SMTP-Protokolls (Simple Mail Transfer Protocol) mühelos fälschen lässt, ist allgemein bekannt. Aber auch die Empfängeradresse ist nicht immer die, die sie zu sein scheint.
Mailadressen haben üblicherweise die Form "Hans Meier ", wobei "hans@meier.com" die eigentliche Adresse ist. Der volle Name wird meistens mit übertragen und hat keinen Einfluss auf die Mailzustellung. Eine Nachricht an "Heinz Müller " landet somit ebenfalls in Herrn Meiers Mailbox.
"Das Problem ist folgendes", erklärt Markus Förster, Leiter des Entwicklungsteams für die "Security Service Appliance" bei der Ismaninger Activis GmbH: "Der E-Mail-Client ´Outlook´ von Microsoft zeigt im Gegensatz zu den meisten anderen Mailprogrammen zu vermeintlich lokalen Adressen nur den vollen Namen ´Hans Meier´ oder ´Heinz Müller´ an." Antwortet man auf eine Botschaft, erscheint der Absender der Originalnachricht in gleicher Weise als Empfänger. In Wirklichkeit bestimmt aber ein anderes Feld des Briefs, wo die Antwort landet: Ein "Reply-To" im unsichtbaren Nachrichtenkopf hat Vorrang vor den Absenderangaben.
Die Gefahr, mahnt Förster: "Ein Angreifer kann nicht nur unter Verwendung eines falschen Absenders Verwirrung stiften, sondern auch unbemerkt die Antworten abfangen und sich auf diese Weise wichtige Informationen beschaffen." Er benötigt dazu weder besondere Software noch einen Zugang zum Netzwerk. Ein anonymer Mail-Account genügt.
Tipp Nr. 3/2002
Ermitteln Sie den tatsächlichen, im Reply-To-Feld notierten Empfänger beziehungsweise die volle Mailadresse des Absenders, falls das Reply-To-Feld leer ist. Dazu markieren Sie die Adresse im "An"-Feld, klicken Sie auf die rechte Maustaste und wählen Sie mit einem Linksklick aus dem Kontextmenü den Eintrag "Eigenschaften". Es erscheint ein Fenster, in dem unter anderem Angaben zur Empfängeradresse stehen.
Wenn Sie auf eine E-Mail antworten und einigermaßen sichergehen möchten, dass sie an der richtigen Stelle landet, sollten Sie sich diesen Extraschritt vor dem Absenden angewöhnen. Wer nicht auf Outlook angewiesen ist, findet im Internet eine Fülle von teilweise kostenlosen Alternativen, die vor solchen und anderen unangenehmen Überraschungen schützen.
Wirklich vertrauliche Informationen sollten Sie allerdings immer verschlüsseln und signieren, denn auch eine korrekt adressierte E-Mail erreicht nicht immer den richtigen Empfänger. In jedem Fall gibt es genügend Möglichkeiten, eine Übertragung im Klartext abzuhören. (kpl)
www.networkworld.de/secucheck