TIPPS & BEST PRACTICE   25. OKT 2022

Zertificons Z1 SecureMail Gateway ergänzt Microsoft 365 zum Austausch vertraulicher E‑Mails und verhindert ECB Exploits

Lesezeit:  2 Min

Sicherheitsforscher von WithSecure haben im Oktober 2022 eine Microsoft-Sicherheitsschwäche in der nativen Microsoft 365 E-Mail-Verschlüsselung bekannt gemacht. Microsoft plant nicht, diese Schwäche zu beheben. Für M365-Kunden stellt sich nun auch die Sicherheitsfrage – zusätzlich zu den bekannten Usability-Einschränkungen:

• ausschließlich S/MIME-Verschlüsselung am Client mit hoher Verantwortung beim Endanwender. Viel Aufwand, hohe Risiken für Fehlbedienung oder ausbleibende Verschlüsselung.
• unzureichende Nutzerführung bei Verschlüsselung mit Kontakten, die über kein Microsoft-Konto verfügen

Microsoft 365 nutzt zur E-Mail-Verschlüsselung Electronic Codebook (ECB), einen veralteten Modus der Blockverschlüsselung, der gleiche Inhalte in gleicher Art verschlüsselt. Je mehr E-Mails vorhanden sind, desto einfacher wird es, die Verschlüsselung zu knacken. Das US-amerikanische National Institute of Standards and Technology (NIST) führte bereits im März 2022 aus, dass der Einsatz von ECB zur Verschlüsselung vertraulicher Informationen ungeeignet sei und eine schwerwiegende Sicherheitslücke darstellt. Mit der Verwendung von ECB zur E-Mail-Verschlüsselung ist der nach der EU DS-GVO geforderte Stand der Technik und damit die Sicherheit und Compliance zum Schutz personenbezogener Daten nicht erfüllt.

Microsoft möchte unsicheren Modus weiter nutzen

M365 verwendet den ECB-Modus nach Auskunft von Microsoft aus Kompatibilitätsgründen. Eine Gefahr sieht Microsoft nur beim Angriff auf die Kundeninfrastruktur und empfiehlt Kunden Security Best Practices, um Zugriffe auf die eigene Infrastruktur zu verhindern.

Die Bedrohungslage für Unternehmen ist auf einem Allzeithoch

Diese Einschätzung passt nicht zu den tatsächlichen Bedrohungen für E-Mails im Internet. Ungeschützte sowie schlecht geschützte Nachrichten können in Massen abgefangen, ausgewertet und manipuliert werden. Damit ist sowohl Spionage als auch Sabotage Tür und Tor geöffnet. Die Risiken sind in der gegenwärtigen politischen Lage enorm hoch einzuschätzen. Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) wurden Unternehmen mehrfach angemahnt, ihre IT-Sicherheitshausaufgaben zu machen. Mit M365 sind diese Hausaufgaben mangelhaft gelöst.

Z1 SecureMail Gateway integriert mit M365 und löst Sicherheit- und Usabilty-Probleme

Unternehmen brauchen nicht auf den Einsatz von M365 zu verzichten. Alle Vorteile der Lösung lassen sich auch ohne Sicherheitskompromisse bei der Verschlüsselung und digitalen Signatur von E-Mails nutzen. Z1 SecureMail Gateway ergänzt die M365-Infrastruktur um diese Funktionen und setzt Sicherheit automatisch im Hintergrund um. Sie nutzen auch bereits M365 oder planen eine Migration dahin? Dann lesen Sie die Case Study zur Einbindung von Z1 SecureMail Gateway mit M365 bei binder pharma services GmbH. Erfahren Sie, wie Sie M365 Sicherheits- und Usabilty-Themen auch in Ihrem Unternehmen mit Z1 SecureMail Gateway einfach auflösen.

---

M365Secure Email GatewayVerschlüsselung mit EndkundenVerschlüsselungs-Gateway