Lesbar auf jedem Server
Eine normale E-Mail ist nicht Ende-zu-Ende-verschlüsselt. Auf jedem Server, über den sie läuft und auf dem sie gespeichert wird, liegt sie im Klartext vor.
Warum klassische E-Mail ein Risiko ist
E-Mail stammt aus einer Zeit, in der das Internet ein Netz weniger, einander bekannter Rechner war. Ihre Grundprotokolle wurden ohne Verschlüsselung und ohne Prüfung des Absenders entworfen. Vieles davon wurde später nur nachgerüstet – und ist bis heute optional.
Transportschutz nur optional
Die Verschlüsselung zwischen Mailservern (STARTTLS) wird nur ausgehandelt, wenn beide Seiten mitspielen. Kann sie unterdrückt werden, geht die Nachricht oft ungeschützt weiter.
Absender lassen sich fälschen
Das Mailprotokoll SMTP prüft nicht, ob ein Absender echt ist. Schutzmechanismen wie SPF, DKIM und DMARC helfen – aber nur, wenn alle Beteiligten sie korrekt einsetzen.
Metadaten bleiben offen
Selbst mit Zusatzverschlüsselung wie PGP oder S/MIME sind Absender, Empfänger und Zeitpunkt – meist auch der Betreff – für jeden Server sichtbar.
Ihre Nachrichten liegen nicht nur bei Ihnen
Jede E-Mail wird auf ihrem Weg mehrfach zwischengespeichert: beim Absender, bei dessen Anbieter, beim Anbieter des Empfängers – oft zusätzlich in Spam-Filtern und Sicherungskopien. Wer Zugriff auf eines dieser Systeme erhält, kann mitlesen.
Deshalb gilt: Was nicht in einer Postkarte stehen dürfte, gehört auch nicht in eine unverschlüsselte E-Mail. Das betrifft Passwörter, Zugangscodes, Gesundheits- und Finanzdaten ebenso wie vertrauliche Verträge.
Phishing
Eine Anmeldeseite im Browser ist ein Einfallstor
Gefälschte Login-Seiten sind von echten kaum zu unterscheiden. Ein einziger Klick auf einen präparierten Link genügt, und das Passwort landet bei Kriminellen. Darum gibt es an dieser Adresse keine Passwort-Anmeldung mehr.
Sollten Sie irgendwo eine Seite sehen, die Sie zur Anmeldung bei diesem Dienst auffordert: Geben Sie nichts ein.
Was Sie jetzt tun sollten
-
Nicht anmelden
Verwenden Sie diesen Zugang nicht mehr und speichern Sie keine Lesezeichen darauf. Löschen Sie gespeicherte Passwörter für diese Adresse aus Ihrem Browser.
-
Vertrauliches anders übermitteln
Für sensible Inhalte eignen sich Ende-zu-Ende-verschlüsselte Kanäle, ein verschlüsselter Dateiaustausch – oder ein persönliches Gespräch.
-
Im Zweifel nachfragen
Erhalten Sie eine Nachricht, die angeblich von hier stammt und Sie zu einer Eingabe auffordert, fragen Sie bei Ihrer bekannten Ansprechperson über einen anderen Weg nach.
Autorisierte Geräte erreichen den Dienst ausschließlich über einen separaten Zugang mit persönlichem Geräte-Zertifikat. Ein Passwort wird dafür nicht verwendet.
English summary
Please stop using this e-mail access. The web mail login at this address has been shut down for security reasons; there is no login here any more. Ordinary e-mail is not end-to-end encrypted, its sender can be forged, and browser login pages are a prime target for phishing. Never enter credentials for this service anywhere, and send confidential information through end-to-end encrypted channels instead.