Warum ein gutes Konzept für E-Mail-Adressen mindestens so wichtig ist, wie ein sicherer Passwortmanager

Die E-Mail-Adresse wird vernachlässigt

Ein repräsentatives Beispiel für Online-Ratgeber zum Thema Sicherheit im Internet bietet das Bundesministerium der Justiz und für Verbraucherschutz. In diesem Ratgeber wird sinnvollerweise darauf eingegangen, wie sich durch starke Passwörter, Zwei-Faktor-Authentifizierung und weiteren Sicherheitseinstellungen die Sicherheit im Internet erhöhen lässt. Manchmal, so ist es auch bei dem oben verlinkten Artikel, wird auch noch oberflächlich auf die E-Mail-Adresse eingegangen. Mehr als halbherzige Tipps, welche E-Mail-Provider zu empfehlen sind und welche aufgrund von Datenanalyse nicht genutzt werden sollen, ist es aber meistens nicht. Das ist verschwendetes Potenzial, denn die E-Mail-Adresse ist das wichtigste Identifikationsmerkmal im Internet und sollte auch als solches geschützt werden.

• Sie bildet 50% der Login-Daten, manchmal sogar 100%, wenn Login-Tokens per E-Mail versendet werden
• Passwort-Zurücksetzen-Funktionen nutzen meistens die E-Mail-Adresse
• Wichtigen Informationen (Rechnungen, Sicherheitswarnungen, Austausch von Dokumenten usw.) laufen über die E-Mail-Adresse
• Wenn S/MIME verwendet wird, hängt an der E-Mail sogar eine Signatur, die die Identität des Besitzers bestätigt

Die obige Liste ist keinesfalls erschöpfend, sie zeigt aber bereits mit diesen wenigen Beispielen, wie wichtig ein gutes Konzept für E-Mail-Adressen ist.

Nachfolgend werde ich Schritt für Schritt ein Konzept für E-Mail-Adressen vorstellen. Dabei werde ich immer wieder auf Probleme aufmerksam machen, die durch das Konzept gelöst werden - so werden implizit die Probleme durch die Nutzung einer einzigen kostenlosen E-Mail-Adresse offenbart.

In den nachfolgenden Abschnitten liegt der Fokus nicht auf einer detaillierten technischen Anleitung zur Umsetzung des Konzepts. Vielmehr sollen die Abschnitte durch einfache und verständliche Erklärungen verdeutlichen, warum ein guten Konzept für die eigenen E-Mail-Adressen so wichtig ist.

Niemals kostenlose E-Mail-Adressen nutzen

Die meisten Menschen werde ihre E-Mail-Adresse bestimmt schon seit vielen Jahren oder Jahrzehnten besitzen. Warum genau sie sich für den jeweiligen Anbieter entschieden haben, können wohl die wenigsten beantworten - wahrscheinlich war der Anbieter damals das erste Suchergebnis.

Es gibt viele Anbieter, die Google bei der Suche nach "Kostenlose E-Mail" vorschlägt, beispielsweise gmail.com, yahoo.com und gmx.net. Genau hier wird meistens der erste große Fehler begangen: eine E-Mail-Adresse sollte nicht kostenlos sein, wenn man sie ernsthaft als private E-Mail-Adresse nutzen möchte.

Als Begründung meiner These reicht ein Blick in die Datenschutzerklärung von (hier lediglich repräsentativ) Google, Stand 22. Januar 2019:

Wir erheben auch die Inhalte, die Sie bei der Nutzung unserer Dienste erstellen, hochladen oder von anderen erhalten. Dazu gehören beispielsweise E-Mails, die Sie verfassen und empfangen.

Man muss sich bewusst machen, dass die E-Mails, die versendet und empfangen werden, für den Anbieter frei lesbar auf den Servern liegen. Es ist ziemlich naiv zu glauben, dass der Anbieter dieses Potenzial nicht für sich nutzt.

Die eigene Domain für maximale Flexibilität

Viele Menschen wissen nicht, dass auch Privatpersonen Domains mieten können. Das ist problemlos möglich, dafür muss lediglich ein Vertrag mit einem Domain-Name-Registrar abgeschlossen werden. Bekannte Domain-Name-Registrars sind beispielsweise STRATO und IONOS. Diese Registrars führen anschließend die Registrierung der Domain bei der entsprechenden Registry durch.

Sie können sich beim Domain-Kauf grundsätzlich zwei Dinge aussuchen:

1. Die Top-Level-Domain (TLD), dies ist die höchste Ebene einer Internetadresse und wird häufig als "Domainendung" bezeichnet. Beispiele hierfür sind de, com und email.
2. Die Second-Level-Domain (SLD), dies ist die zweite Ebene einer Internetadresse und kann im Gegensatz zur TLD komplett frei gewählt werden. Beispiele hierfür sind google, apple und sannewald.

Die TLD und SLD können frei kombiniert werden. Die Domain, auf der dieser Blog läuft, besteht aus der TLD com und SLD sannewald. Aus Komplexitätsgründen gehe ich auf die Third-Level-Domain blog nicht weiter ein.

Sobald die eigene Domain registriert wurde, lassen sich individuelle E-Mail-Adressen erstellen. Zum Beispiel [email protected], [email protected], [email protected] und alle weiteren Permutationen mit den erlaubten Zeichen vor dem At-Zeichen.

Keinen eigenen Mailserver betreiben

Mit einer Domain alleine können aber noch keine E-Mails versendet und empfangen werden. Dafür wird neben der Domain auch mindestens ein Mailserver benötigt, auf den durch MX-Einträge im Domain Name System (DNS) der Domain gezeigt werden kann.

Diese DNS-Records könnten beispielsweise so aussehen (hier lediglich exemplarisch von mailbox.org):

mustermann.de. IN MX 10 mxext1.mailbox.org.
mustermann.de. IN MX 10 mxext2.mailbox.org.
mustermann.de. IN MX 20 mxext3.mailbox.org.

Ein interessierter und motivierter Leser kommt nun womöglich auf die Idee Kosten zu sparen und auf einen Anbieter von Mailservern zu verzichten. Der sichere und korrekte Betrieb von Mailservern ist allerdings nicht trivial. Ich rate aus diesem Grund jedem davon ab, einen eigenen Mailserver zu betreiben, der nicht exakt weiß, was er tut.

Meistens bieten die oben erwähnten Domain-Name-Registrars Mailserver und Domain in einem Kombi-Paket an. Ob das sinnvoll ist, muss jeder individuell entscheiden. Wichtige Kriterien bei der Auswahl des Mail-Anbieters sind beispielsweise:

• Unterstützt der Anbieter proprietäre Protokolle, die wichtig sind? Exemplarisch möchte ich hier auf Apple eingehen. Apple hat sich aufgrund von Nachteilen bei der Batterielaufzeit dazu entschieden, im iOS-Mail-Client den IDLE Mechanismus von IMAP nicht zu unterstützen. Als Alternative dazu hat Apple ein eigenes Push-System entwickelt, das sich aktiviert, wenn der Mailserver über eine entsprechende Erweiterung verfügt. Die Spezifikation dazu wurde leider nie veröffentlicht. Es gibt aber einige Anbieter, die Apple die Spezifikation entlocken konnten und diese Erweiterung serverseitig anbieten.
• Ein gutes Sicherheitskonzept mit App-Passwörtern, Zwei-Faktor-Authentifizierung und Verschlüsselung. Neben diesen offensichtlichen Dingen, sollte auch auf die Unterstützung von SPF, DKIM und DMARC geachtet werden. Wie bereits in der Einleitung dieses Artikels erwähnt, werde ich auf diese Themen aber nicht weiter eingehen.
• Kompromissloser Datenschutz ohne Hintertüren. Wichtig in diesem Zusammenhang sind unter anderem die Server-Standorte, eine DSGVO-Konformität und das Verhalten des Anbieters bei Polizeianfragen. Jeder Anbieter, der die Privatsphäre seiner Kunden ernst nimmt, wird dazu eine Aussage auf seiner Webseite veröffentlichen. Wie bereits in der Einleitung dieses Artikels erwähnt, werde ich auf diese Themen aber nicht weiter eingehen.

Eines muss man sich immer wieder klarmachen: nur wer sich selbst um die Verschlüsselung seiner Daten kümmert, kann sich in Sicherheit wiegen. Jeder Anbieter kann Fehler bei der Implementierung von Verschlüsselung begehen, sich der Justiz beugen oder andere Datenlecks haben. Wer seine E-Mails also nicht lesbar auf den Mailservern des Anbieters liegen haben möchte, muss konsequent verschlüsseln - z.B. mit S/MIME oder PGP.

Die korrekte Konfiguration des Mailservers / DNS testen

Bei Fragen zum Thema Mailserver-Konfiguration und DNS-Einträgen verweise ich immer wieder gerne auf die Webseite Mail-Tester.com. Die Verwendung dieses Dienstes ist extrem simpel:

1. Eine E-Mail an die von Mail-Tester vorgegebene E-Mail-Adresse senden
2. Einige Sekunden warten, während Mail-Tester das Postfach durchsucht
3. Das Ergebnis ansehen und verstehen. Sollten Fehler gefunden worden sein, müssen diese in der eigenen Konfiguration verbessert werden. Das Ziel ist es, die Bewertung 10/10 zu erreichen. Bei einer solchen Bewertung kann von einer korrekten Konfiguration ausgegangen werden und Probleme beim Versand von E-Mails sind nahezu ausgeschlossen.

Selbst bei E-Mail-Accounts großer Anbieter wie Google oder Yahoo wird eine solche Bewertung in der Regel nicht erreicht. Die individuellen Konfigurationsmöglichkeiten sind dort einfach nicht gegeben.

E-Mail-Aliase als zusätzliche Sicherheitsebene

In diesem Abschnitt werden die massiven Vorteile der eigenen Domain in Verbindung mit einem guten Mail-Anbieter deutlich. Alle hier beschriebenen Ansätze lassen sich mit einer einzelnen kostenlosen E-Mail-Adresse so nicht bzw. nicht sinnvoll umsetzen.

Nehmen wir an, Max Mustermann hat das Konzept bis hierhin befolgt und besitzt nun die E-Mail-Adresse [email protected]. Er möchte sich nun einen Account bei einem Online-Dienst erstellen. Wie bei fast allen Online-Diensten wird zur Account-Registrierung die Kombination aus E-Mail-Adresse und Passwort benötigt. Aus Komplexitätsgründen gehe ich davon aus, dass Max bereits einen sicheren Passwortmanager nutzt. Die Wahl des Passwortes ist also nicht mehr relevant - dies übernimmt der Passwortmanager. Max könnte jetzt auf die Idee kommen, seine E-Mail-Adresse [email protected] zu verwenden. Das ist aus zwei primären Gründen nicht sinnvoll:

• Sollte der Online-Dienst in Zukunft einmal kompromittiert werden, besteht die Gefahr, dass Max' E-Mail-Adresse an die Öffentlichkeit gelangt. Angreifer, die den Schaden der Kunden als Ziel haben, könnten diese E-Mail-Adresse auf Spam-Listen setzen und das Postfach damit bedingt unbrauchbar machen.
• In einem anderen Fall könnten Angreifer die gezielte Übernahme von Max' anderen Online-Konten im Visier haben. Sollte Max bei allen Online-Konten die gleiche E-Mail-Adresse verwendet haben, können die Angreifer also ganz einfach die E-Mail-Adresse bei den anderen Online-Diensten ausprobieren. Man muss sich klarmachen, dass die Angreifer zu diesem Zeitpunkt bereits 50% der Anmeldedaten besitzen. Leider gibt es auch heute noch genug Online-Dienste, die dem Benutzer Feedback geben, ob ein Benutzerkonto für die entsprechende E-Mail-Adresse existiert. Das ist für ein solches Szenario natürlich fatal. Es ist erübrigt sich eigentlich, an dieser Stelle auf das Passwort einzugehen. Sollte Max neben der E-Mail-Adresse auch überall das gleiche Passwort (oder ein leicht verändertes Passwort) verwenden, reicht bereits ein kompromittierter Dienst aus, um alle anderen Konten zu übernehmen.

Anstelle der echten E-Mail-Adresse [email protected] sollte Max einen E-Mail-Alias verwenden. E-Mail-Aliase leiten alle an sie gesendeten E-Mails weiter, beispielsweise an [email protected]. So kann sich Max für jeden Online-Dienst einen eigenen E-Mail-Alias erstellen. Dabei ist immer ein komplexer Aufbau sinnvoll, beispielsweise [name-des-online-dienstes].[5–15-stellige-alphanumerische-zeichenfolge]@mustermann.de. Beispiele für solche E-Mail-Aliase sind: [email protected], [email protected]. Dieser Aufbau hat zwei große Vorteile:

1. Die E-Mail-Adresse (Achtung, eigentlich ist sie ein E-Mail-Alias, das ist am Namen nicht erkennbar) dient als zweites Passwort. Mit einem Passwortmanager ist es kein Problem, neben dem Passwort auch die E-Mail-Adresse kryptisch zu halten und so die Sicherheit auf eine nächste Ebene zu heben. Bei einem Bruteforce-Angriff muss neben dem Passwort also auch noch die korrekte E-Mail-Adresse erraten werden, die in sich 5–15 zufällige alphanumerische Zeichen enthält. Das ist mit heutigen Mitteln nicht in berechenbarer Zeit zu knacken. Auch der oben angesprochene Fall eines Angreifers, der Max' E-Mail-Adresse bei anderen Online-Diensten ausprobieren wird, hat so keinen Erfolg. Denn schließlich ist die E-Mail-Adresse bei jedem Online-Dienst unterschiedlich.
2. Sollte einmal der Fall eintreten, dass Spam an Max' echte E-Mail-Adresse [email protected] weitergeleitet wird, kann sofort identifiziert werden, woher der Spam kommt. Sollte die Weiterleitung des Spams beispielsweise immer über den E-Mail-Alias [email protected] erfolgen, ist klar, dass der Spam seinen Ursprung bei Amazon hat (das ist lediglich ein exemplarisches Beispiel). In diesem Fall kann Max einfach den E-Mail-Alias [email protected] entfernen und einen neuen E-Mail-Alias [email protected] erstellen. Der Spam hört unverzüglich auf und das Postfach von Max bleibt sauber.
   
   Ich nutze dieses System bereits seit einigen Jahren und habe damit einige Erfahrungen sammeln können. Bei einem Online-Dienst ist der oben beschriebene Fall eingetreten. Aufgrund meiner E-Mail-Architektur war der Spam kein Problem, allerdings wollte ich vom Online-Dienst wissen, wie es zu so etwas kommen konnte. Leider habe ich trotz mehrmaliger Nachfrage darauf bis heute keine Antwort bekommen. Den Namen des Online-Dienstes nenne ich an dieser Stelle bewusst nicht.

Dieses Konzept ist aber nicht nur für Registrierungen/Logins sinnvoll. Max kann sich beispielsweise einen E-Mail-Alias für Newsletter erstellen und einen als "Wegwermail", z.B. wenn er sich irgendwo anmelden muss, nur um eine bestimmte Funktion nutzen zu können. Insbesondere die "Wegwerfmail" ist auch im nicht-virtuellen Alltag relevant. Drei repräsentative Beispiele sind:

• An der Kasse bekommt Max 15% Rabatt, wenn er seine E-Mail-Adresse hinterlässt
• Bei der Paketabgabe von UPS gibt es keine Quittung mehr, die Bestätigung bekommt Max nur noch via E-Mail
• Zu Beginn von Corona musste Max für die Kontaktverfolgung eine E-Mail-Adresse im Restaurant hinterlassen

Die Verwaltung dieser vielen E-Mail-Aliase kann je nach Anzahl durchaus komplex werden. In der Regel bieten normale Mail-Anbieter dafür keine professionellen Funktionalitäten an. Es lohnt sich also durchaus der Blick auf Anbieter, die sich auf solche Szenarien spezialisiert haben. Exemplarisch möchte ich an dieser Stelle den Anbieter TrashMail.com nennen, für den ich im Rahmen meines Praxissemesters eine iOS-App für das bestehende Backend implementieren durfte. Darüber ist eine komfortable Verwaltung der E-Mail-Aliase möglich:

An dieser Stelle sollte sich auch das Titelbild dieses Artikels erklären: mit einer einzigen E-Mail-Adresse kommt man heute nicht mehr weit. Wem Sicherheit, Privatsphäre und Professionalität wichtig ist, sollte ein durchdachtes E-Mail-Konzept umsetzen und konsequent anwenden. Leider ist die erste Reaktion auf ein solches Konzept aber bei vielen Menschen gleich: "Dafür zahlen? Im Leben nicht!". Die Frage ist letztlich, ob einem die oben genannten Aspekte ein paar Euro im Monat wert sind oder ob man einen "kostenlosen" Dienst mit all seinen Nachteilen bevorzugt, der sich am Ende über die Daten seiner Kunden refinanziert.

Ich kann diese Frage für mich klar beantworten: ich zahle dafür gerne 5€ im Monat.