IT-Sicherheitsforscher haben eine Lücke bei der Verschlüsselung von E-Mails entdeckt. Potenziell verwundbar sind alle E-Mail-Anwendungen, wie zum Beispiel browserbasierte Webmail-Anwendungen oder separate E-Mail-Programme, die eine E-Mail-Verschlüsselung mit OpenPGP oder S/MIME und die Darstellung aktiver Inhalte bzw. das Nachladen von externen Inhalten zulassen. Die reelle Gefahr für HTW-Angehörige ist jedoch recht gering.

Der Angriff hat zwei Teile.  Der Erste versucht, PGP dazu zu bewegen, eine vom Angreifer manipulierte E-Mail zu entschlüsseln. Der Zweite lädt eine Website (z.B. HTML-Bilderlink) in diese entschlüsselte E-Mail nach. Dadurch können Teile des Schlüssels erkannt werden, der bei der Entschlüsselung verwendet wurde.

1. GnuPG und OpenPGP haben gegen den ersten Teil des Angriffs eine Abwehrmethode entwickelt (Stichwort: Authenticated Encryption oder MDC - Modification Detection Code). GnuPG implementiert MDC seit dem Jahr 2001. Nur wenn das Mailprogramm GnuPG falsch verwendet, kann der erste Teil des Angriffes erfolgen. S/MIME kennt aktuell keine Authenticated Encryption. PGP-Implementierungen wie GnuPG sind daher S/MIME vorzuziehen.
2. Es empfiehlt sich generell, das Laden externer Inhalte/Bilder (die über HTML geladen werden) in E-Mails abzustellen, da diese auch ohne Verschlüsselung für das Nachladen von Viren oder für das Nachverfolgen, wann eine E-Mail gelesen wurde, verwendet werden können. Letzteres wird gerne von Werbe- oder Massenemails verwendet, da die Absender dadurch sogar sehen können, welcher der vielen Empfänger der E-Mail diese wann und auf welchem Gerät geöffnet hat. Um den HTML-Angriff zu verhindern, kann man im E-Mail-Programm einstellen, dass externe Inhalte (wie Bilder) nicht nachgeladen werden.  Dies ist häufig standardmäßig bereits deaktiviert. Wer weitergehen möchte, kann HTML in einer E-Mail vollständig deaktivieren, dann könnten jedoch Formatierungen in E-Mails "kaputt gehen".

Der Webmailer und OX sind mangels der Fähigkeit, via PGP und S/MIME verschlüsselte E-Mails zu entschlüsseln von der aktuellen Sicherheitslücke nicht betroffen. Allerdings gibt es Browser-Plugins, die diese Funktion nachrüsten (z.B. Mailvelope) - hier kann es unter Umständen zur Ausnutzung der Lücke kommen. Die aktuelle Version des Mozilla Thunderbird 52.7.0 (32-Bit) ist bereits seit einigen Tagen ausgerollt. Diese Version hat schon den Großteil der Lücken geschlossen. Die HTW-Thunderbirdinstallationen stellen zwar HTML dar, laden jedoch keine externen HTML-Inhalte nach.