Outlook sendet S/MIME-Mails auch unverschlüsselt

Eine Sicherheitsschwachstelle in Outlook bewirkt, dass Mails, die mit S/MIME verschlüsselt wurden, auch im Klartext versendet werden. Microsoft hat den Fehler am Patchday behoben.

Das Softwareunternehmen hat eine kritische Sicherheitslücke in der Outlook nun geschlossen. Der Fehler wurde von der Sicherheitsfirma SEC Consult entdeckt. S/MIME ist eine Alternative zur E-Mail-Verschlüsselung mit PGP und wird vor allem von Behörden und Unternehmen eingesetzt. Aufgrund des Fehlers können die tatsächlich verschlüsselten Nachrichten mit relativ geringen technischen Kenntnissen gelesen werden.

Der Fehler tritt auf, wenn Nachrichten als Klartext verschlüsselt werden. Nachrichten im HTML-Format sind davon nicht betroffen. Der Klartext wird beim Senden und Empfangen von Nachrichten über das Microsoft Exchange-Protokoll gesendet. Werden Nachrichten über Exchange versendet, aber über IMAP abgeholt, ist dies nicht der Fall. Werden Nachrichten über SMTP versendet und über IMAP abgeholt, kann der Inhalt der Nachricht wieder ausgelesen werden.

Fehler besteht seit 2017

Der Fehler kam nach einem Update von Microsoft im Mai 2017 in die Anwendung. SEC Consult hat dies bei Routineprüfungen der eigenen Software entdeckt. Zuerst glaubten man an einen Konfigurationsfehler. Aber auch ein komplett neues System war anfällig. Daher wurde Microsoft im August darüber informiert. Microsoft bestätigte die Sicherheitslücke.