- Anzeigen -


Mailbox.org im Test: Wer mitdenkt, chattet sicher


Aufgrund der Vor- und Nachteile von OTR und XMPP ist die Messenger-Lösung von mailbox.org eher für versierte Anwender geeignet
Vom Login bis zum Versand einer Nachricht läuft bei mailbox.org alles verschlüsselt ab

(17.09.15) - Der Messenger-Dienst Mailbox.org gehört zu den neuen Sternen am Messenger-Himmel. Grund genug für die Verschlüsselungsexperten der PSW Group, den Messenger des Freemails-Anbieters hinsichtlich Usability und Sicherheit genauer unter die Lupe zu nehmen. "Mailbox.org ist kein Messenger im eigentlichen Sinne: Das Berliner Unternehmen hat einen Server aufgesetzt, mit dem User über das XMPP-Protokoll chatten können. Das erlaubt es, auch mit den Nutzern anderer Jabber-Server zu kommunizieren und das mailbox.org-Feature auf jedem internetfähigen Gerät zu verwenden. Die Anwender sind also komplett plattformunabhängig", informiert Christian Heutger, Geschäftsführer der PSW Group.

Er verweist jedoch darauf, dass dennoch eine Abhängigkeit zu einem gängigen mailbox.org-Account besteht: "Um den Server verwenden zu können, müssen Anwender sich mit ihren Zugangsdaten des E-Mail-Dienstes einloggen. Das führt dazu, dass die Nutzung nicht kostenfrei geschehen kann, sondern mit einer Gebühr von mindestens 12 Euro pro Jahr", sagt Heutger.

Wenngleich Jabber in den vergangenen Jahren eher auf dem Rückzug war, setzen insbesondere Datenschutz-bewusste Anwender gern auf das XMPP-Protokoll. Dabei kann Jabber mehr als nur Textnachrichten übermitteln. Auch der Dateiaustausch ist möglich – ähnlich dem Prinzip von Skype oder ICQ. Im Jabber-Client sehen User eine Liste ihrer Kommunikationspartner, können Benutzer eintragen oder die Freigabe ihres Gesprächspartners erhalten. Sie können sehen, ob dieser gerade online ist oder seine Ruhe haben möchte. Jabber-Nachrichten werden, wie eine E-Mail, an die unterschiedlichen Jabber-Server zugestellt, jedoch in Echtzeit, um live chatten zu können.

Schwieriger ist die Nutzung von XMPP auf Mobilgeräten, da das Protokoll für Desktop-Messenger entwickelt wurde. "XMPP kommt beispielsweise nur schwer mit dem Energiesparmodus von Smartphones zurecht. Die speziell für Smartphones konzipierten Anwendungen erhalten in der Regel die Berechtigung, ein Smartphone aus dem Ruhezustand zu erwecken, um umgehend über neue Nachrichten zu informieren. Diese Eigenschaft fehlt dem Protokoll XMPP. Anwender erhalten die Information über eine neue Nachricht erst in dem Moment, in dem sie das Smartphone wieder zur Hand nehmen und das Display entsperren", informiert Christian Heutger über den Nachteil von XMPP.

Sicherheit bei mailbox.org
Vom Login bis zum Versand einer Nachricht läuft bei mailbox.org alles verschlüsselt ab. Die Server-Zertifikate von mailbox.org sind via DANE/DNSSEC gesichert. Allerdings prüfen bislang keine verbreiteten Jabber-Clients Zertifikate über DANE. Zwar bewirbt mailbox.org seine Ende-zu-Ende-Verschlüsselung im Chat. Jedoch ist dies ausschließlich Sache des Clients, den der User verwendet. Welchen Jabber-Server der User nutzt, ist für die Ende-zu-Ende-Verschlüsselung via OTR-Protokoll vollkommen unerheblich. "Das OTR-Protokoll gilt als sicher und setzt auf Perfect Forward Secrecy. Der Session-Key wird nach einer Sitzung unwiederbringlich vernichtet. Damit kann die Kommunikation selbst bei im Nachhinein kompromittierten Schlüsseln nicht mehr gelesen werden", erklärt Christian Heutger.

Hinzu kommt die OTR-Eigenschaft Plausible Deniability, die Abstreitbarkeit. Im Nachhinein kann nicht mehr nachgewiesen werden, ob ein bestimmter User eine gewisse Nachricht versendet hat. Dass der Kommunikationspartner für den verschlüsselten Nachrichtenaustausch online sein muss, ist jedoch ein Nachteil von OTR. Wird eine Nachricht an einen Offline-Gesprächspartner versendet, wird diese nicht verschlüsselt. Das führt unter anderem dazu, dass sämtliche verschlüsselten Nachrichten nach einer Sitzung verschwinden. "Das bringt zwar ein sehr hohes Maß an Privatsphäre mit sich. Jedoch bleiben Nachrichten, die unverschlüsselt an Offline-Chatpartner versendet wurden, auch bei mailbox.org erhalten. Dass lediglich Nachrichten an Gesprächspartner, die online sind, verschlüsselt werden, hat ausschließlich technische Gründe und liegt insbesondere am Implementieren von PFS", erläutert der Experte.

Sein Fazit: "Aufgrund der Vor- und Nachteile, die OTR und XMPP mit sich bringen, eignet sich die Messenger-Lösung von mailbox.org eher für versierte Anwender. Es ist notwendig, die Technik dahinter zu verstehen, um wirkliche Sicherheit zu erreichen. Denn zu glauben, jede versendete Nachricht wird verschlüsselt übermittelt, könnte fatale Auswirkungen haben. Wer auf Jabber und mailbox.org setzt, muss sich bewusst sein, dass die Sicherheit mit davon abhängt, ob der Chatpartner aktuell online ist". (mailbox.org: ra)

mailbox.org: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tests

  • Unbedingt auf die Gerätesicherheit achten

    Bankgeschäfte vom Smartphone oder Tablet immer und von überall aus zu tätigen ist reizvoll. Doch wie halten es die Applikationen mit Sicherheit und Komfort? Die Sicherheitsexperten der PSW Group haben drei Apps genauer unter die Lupe genommen: Die multibankfähigen Apps finanzblick und Banking4 sowie die mobile App der Consorsbank. "Unser Fokus lag auf dem Sicherheitsaspekt, aber natürlich flossen auch Funktionsvielfalt und Bedienkomfort in unsere Bewertung ein. Finanzblick konnte uns dabei am meisten überzeugen. Etwas enttäuscht sind wir von Consorsbank, denn die App greift auf relativ viele Berechtigungen zu, die nicht immer Sinn ergeben, und auch über Umfang und Ort der Datenspeicherung schweigt sich die Bank aus", fasst Christian Heutger, Geschäftsführer der PSW Group, zusammen.

  • Bitdefenders AV-Lösung im Test

    Die PSW Group testete die Lösung von "Bitdefender: Total Security Multi-Device 2017". "Insgesamt zeigt sich Bitdefender recht ähnlich wie seine beiden vergleichbaren Wettbewerber Eset und Kaspersky. Zwar erweist sich Bitdefender als teuerste Lösung, gleicht dies jedoch mit einem Feature-Plus wieder aus. Bitdefender punktet mit guten Laufzeiten der Usability und beim Support. Lobenswert ist der konsequente Einsatz von ASLR und DEP, das gültige Signieren aller Programmdateien und die Software-Verteilung via sicherem HTTPS. Einzig die Deinstallation von Bitdefenders Total Security Multi-Device 2017 ist etwas aufwendiger. Hierfür muss der User erst das Bitdefender Uninstall Tool auf seinen Rechner laden. Im Übrigen lässt auch Bitdefender leider keinen Rundum-Schutz für wirklich alle Geräte zu: iOS wird ausgeschlossen und lediglich die Plattformen Windows, macOS und Android geschützt", fasst Christian Heutger, Geschäftsführer der PSW Group, zusammen. Bitdefender unterscheidet nicht nach Zahl der User, sondern nach Zahl der Geräte. Die Auswahl ist denkbar gering: Anwender haben die Wahl, die Suite für fünf oder zehn Geräte zu ordern. "Das ist schade für jene, die lediglich drei Geräte schützen wollen. Eine Zwischenlösung für zwei oder drei Geräte wäre wünschenswert", meint Heutger. Mit der Wahl der Laufzeiten von einem, zwei oder drei Jahren punktet Bitdefender dann aber wieder. "Zusätzlich können User entscheiden, ob sie selbst die Software installieren möchten oder ob Bitdefender das übernehmen soll. Das ist eine Option, die uns bei Bitdefender erstmals begegnet und absolut positiv ist", lobt Christian Heutger.

  • Familie vor Online-Bedrohungen schützen

    "Hacker würden mit oder ohne Security-Lösungen Wege ins System finden" bemerkte Brian Dye, seines Zeichens Executive Vice President bei McAfee, schon vor einigen Jahren. Nun setzte Cybersecurity-Experte John McAfee mit seiner Aussage, jeder Router, der in den USA zum Einsatz kommt, sei kompromittiert, noch einen oben drauf. Seiner Meinung nach gelänge es Hackern, WLAN-Verbindungen der Geräte zu verwenden, um ihre Besitzer auszuspionieren. Diese Bemerkung veranlasste die IT-Sicherheitsexperten der PSW Group dazu, sich das Sicherheitspaket "Total Protection 2017" des Herstellers genauer anzusehen. Ob McAfees AV-Suite es schafft, die ganze Familie vor Online-Bedrohungen zu schützen und jedes Gerät gegen Angriffe abzusichern?

  • Guter Selbstschutz der AV-Lösung

    Wenn es um Virenschutz geht, ist Kaspersky Lab einer der Marktführer in Europa. Mit ihrer Antiviren-Suite "Kaspersky Total Security 2017" verspricht der Entwickler die Privatsphäre, alle persönlichen Daten sowie Finanzen der ganzen Familie auf jeder Plattform zu schützen. Nun haben sich die IT-Sicherheitsexperten der PSW Group die Antiviren-Lösung in einem Test genauer angesehen - und kommen zu gemischten Ergebnissen. "Kaspersky wartet mit guten und umfangreichen Features auf, dennoch gibt es eine wesentliche Einschränkung: Nicht jedes Feature existiert für alle Systeme; vielfach greifen Schutzfunktionen lediglich auf Mac und PC. Damit erweist sich die Lösung leider nicht als echte Multiplattform-Suite, wie es der Hersteller verspricht. Auf 64-Bit-Systemen gibt es sogar noch einige weitere Funktionseinschränkungen, auf die Kaspersky aber immerhin auf seinen Produktseiten hinweist", sagt Christian Heutger, Geschäftsführer der PSW Group.

  • Lob auch für die Botnet-Erkennung

    "Antivirus ist keinesfalls tot, jedoch müssen die Hersteller von AV-Suiten umdenken", ist Christian Heutger, Geschäftsführer der PSW Group, überzeugt. Er bezieht sich damit auf die Meinung von Brian Dye, Executive Vice President bei McAfee, dass kommerzielle Antiviren-Lösungen tot seien. Um seine Überzeugung zu untermauern, hat Christian Heutger gemeinsam mit seinem Team einige Virenscanner, darunter das Multi-Device Security Pack vom Hersteller Eset einem Test unterzogen. Immerhin verspricht der Entwickler idealen Rundum-Schutz für alle Geräte.

Effizientere Verschlüsselung wünschenswert Sicherheitstest mit Fitness-Armbändern