United Internet bestätigt Sicherheitslücke
Bei den E-Mail-Anbietern Web.de, Gmx und 1&1 bestand bis zum 14. August eine Sicherheitslücke. Das hat Wired Germany recherchiert. Danach konnten Accounts unter bestimmten Voraussetzungen von Dritten geöffnet und übernommen werden. Potentiell sollen bis zu 1,7 Millionen Postfächer betroffen gewesen sein.
Die drei Portale werden von United Internet betrieben. Ein Sprecher des Unternehmens bestätigt, dass eine Sicherheitslücke bestanden hat. Diese sei mittlerweile geschlossen worden. Er betont, dass das Problem ein "sehr theoretisches" sei und dem Unternehmen "kein einziger Fall" vorliege, in dem die Sicherheitslücke ausgenutzt wurde.
Theoretisch bis zu 1,7 Millionen Nutzer gefährdet
Um einen Account zu übernehmen, waren Wired zufolge weder Benutzername noch Passwort nötig. Gefährdet war nur, wer die mobilen Mail-Portale von Web.de, Gmx oder 1&1 genutzt und Cookies im Browser des Smartphones oder Tablets deaktiviert hatte. Zudem mussten Nutzer per Mail einen Https-Link zugeschickt bekommen und diesen öffnen, damit ihre Daten ausgelesen werden konnten.
Die drei Mail-Portale haben laut Angaben von United Internet rund 33,5 Millionen Nutzer. Etwa fünf Prozent aller Internetnutzer surfen mit deaktivierten Cookies. Danach könnten von der Sicherheitslücke theoretisch bis zu 1,7 Millionen Nutzer betroffen gewesen sein, rechnet Wired vor, sofern diese vom mobilen Browser aus ihre Mails abgefragt haben. Einem Sprecher von United Internet zufolge nutzt der Großteil der Kunden jedoch die Mail-Apps von Web.de und Gmx oder die Desktop-Webseiten, bei denen das Problem nicht bestanden hat. Ab sofort müssen Nutzer ihre Cookies aktiviert haben, um auf die Mail-Portale im mobilen Browser zugreifen zu können.
Sicherheit für das E-Mail-Postfach
Um generell sicher auf Mails zugreifen zu können, sollten Nutzer darauf achten, dass sie im Browser immer über eine verschlüsselte Https-Adresse auf ihr Konto zugreifen. Die Mail-Apps der Anbieter sind in der Regel sicher, jedoch muss bei der Installation darauf geachtet werden, dass als Herausgeber tatsächlich das gewünschte Unternehmen aufgeführt ist. Bei E-Mails von einem unbekannten Absender sollten Datei-Anhänge und Links nicht geöffnet werden. Nutzer sollten für den Dienst ein anderes Passwort wählen, das mindestens 12 Zeichen lang ist, aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen besteht, und für Dritte nicht leicht zu erraten ist.
