Out-of-Office-Replys öffnen Sicherheitslücken für Angreifer Abwesenheits-Nachrichten als Risiko für die E-Mail-Sicherheit

Automatisch generierte Abwesenheits-Nachrichten („out-of-office replys“), wie es sie bei Exchange, Notes und Co gibt, sind zwar praktisch für die tägliche Kommunikation mit Geschäftspartnern, stellen allerdings trotzdem bei genauerer Untersuchung eine mögliche Sicherheitsgefahr dar.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

So praktisch es ist, dass Ihre Geschäftspartner wissen, wann Sie nicht im Unternehmen zu erreichen sind, so gefährlich kann diese Information auch werden, wenn sie in die falschen Hände gelangt. Im ersten Moment mag es absurd wirken, aber es gibt eine Anzahl von ziemlich legitimen Gründen, warum out-of-office Nachrichten eine Gefahr für das Unternehmen darstellen könnten:

Sprit für Wörterbuchangriffe

Wenn ein Spammer versucht, Wörterbuch-Angriffe (zufällig generierte E-Mail-Namen) auf eine Organisation zu starten, ist eine Abwesenheits-Antwort ein Beweis, dass eine gegebene Adresse gut ist. So kann der Spammer diese Adresse zu einer Liste von gültigen Adressen für zukünftige Spamming-Läufe hinzufügen.

Bekanntgabe physischer Abwesenheit

Wenn Sie ein Kleinunternehmen oder Home-Office betreiben, kann dies jemanden möglicherweise darüber informieren, dass Sie außer Haus sind. Es mag paranoid klingen, aber eine bessere Gelegenheit für einen Einbruch in Ihr Büro (oder sogar Ihr Haus), als wenn sie nicht zu Hause sind gibt es kaum. Größere Unternehmen stört diese Problematik wahrscheinlich nicht besonders, es sei denn, ihre vorhandenen Sicherheitsinstallationen sind nicht up-to-date. Es gibt aber durchaus Berichte über Fälle, in denen Personen in der Lage waren, sich Zugang zu Büros von Personen zu verschaffen, die nicht im Haus waren.

Social-Engineering-Angriffe

Abwesenheits-Nachrichten mit zu viel Details können Außenstehenden viele Informationen über den Absender geben und ermöglichen so Angriffe auf seine Zugangsdaten oder erlauben es anderen Mitarbeitern des Unternehmens interne Kenntnisse vorzugaukeln. Weist beispielsweise der Admin in seiner Abwesenheitsnotiz darauf hin, dass er Urlaub in der Karibik macht kann ein Angreifer dies nutzen indem er am Telefon vorgibt die Vertretung des glücklichen Admin zu sein, der sich gerade in der Karibik sonnt und nun dringend die Zugangsdaten des Benutzers benötigt.

Sendeschleifen

Ein optimal verwaltetes E-Mail-System sollte im Allgemeinen keine Probleme mit Nachrichtenschleifen haben, da Microsoft Outlook nur eine Abwesenheitsnachricht pro empfangener Mail versendet. Jedoch können die Interaktionen Ihres Exchange-Servers mit anderen E-Mail-Systemen oder einige Fax-Clients eine Schleife verursachen. Dies kommt zwar selten vor, passiert aber gelegentlich und legt dann innerhalb kürzester Zeit nicht nur ein, sondern sogar zwei Mail-Systeme lahm.

Einige Organisationen verbieten seit einiger Zeit auf administrativer Ebene die Verwendung von automatischen Abwesenheits-Nachrichten aus den oben genannten Gründen. Dies kann auf eine Vielzahl von Methoden vorgenommen werden; die bekannteste und einfachste Methode ist normalerweise, automatische Antwort und automatische Weiterleitung zum Internet (über den Internet-Mail-Connector) administrativ zu unterbinden, aber auch Arbeitsanweisungen, die den Einsatz der Out-of-Office-Replys verbieten, können funktionieren.

(ID:2000693)