--- title: "Statement zur Schwachstelle \"Efail\"" description: Ein Statement von Claudio Sandmeier zu Efail - den schwerwiegenden Schwachstellen in OpenPGP und S/MIME - und wer davon betroffen ist. image: https://www.secnovum.ch/hubfs/blog/placeholder-security-flash.jpg --- [zur Navigation](https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail#navigation) [zum Inhalt](https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail#main-content) [![secnovum Logo Weiss](https://www.secnovum.ch/hubfs/secnovum/secnovum%20Logo%20Weiss.svg "secnovum Logo Weiss")](https://www.secnovum.ch/) Menu - [Blog](https://www.secnovum.ch/blog) - Angebot - [Call4Free - 30 Minuten IT-Sicherheit](https://www.secnovum.ch/security-advisory-call4free) - [Sicherheitshandbuch für die Praxis](https://www.secnovum.ch/sicherheitshandbuch) - [Checkliste IT-Sicherheit](https://www.secnovum.ch/checkliste-it-sicherheit) - [Vergangene Events](https://www.secnovum.ch/sec-and-opinion) - [Über uns](https://www.secnovum.ch/ueber-uns) [Kontakt](https://www.secnovum.ch/kontakt) - [Home](https://www.secnovum.ch/) - [Blog](https://www.secnovum.ch/blog) - Statement zur Schwachstelle "Efail" [Zurück zur Übersicht](https://www.secnovum.ch/blog) # Statement zur Schwachstelle "Efail" 17. Mai 2018 ![Claudio Sandmeier](https://www.secnovum.ch/hubfs/00_Claudio-Sandmeier-firstframe.jpg) [Claudio Sandmeier](https://www.secnovum.ch/blog/author/claudio-sandmeier) Ich arbeite seit 2015 als Senior System Engineer bei der first frame networkers ag. Als Teil des Netzwerk & Security Teams liegen meine Kompetenzen im Bereich der IT-Security. In meiner Freizeit treibe ich Wassersport. Sicherheitsforscher haben am 14.05.2018 schwerwiegende Schwachstellen in den weitverbreiteten E-Mail-Verschlüsselungsstandards OpenPGP und S/MIME veröffentlicht. Angreifer können demnach verschlüsselte E-Mails so manipulieren, dass der Inhalt der Nachricht nach der Entschlüsselung durch den Empfänger im Klartext an sie ausgeleitet wird. Gemäss der Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) können die genannten E-Mail-Verschlüsselungsstandards allerdings weiterhin sicher eingesetzt werden, wenn sie korrekt implementiert und sicher konfiguriert werden. Um die Schwachstelle auszunutzen, muss ein Angreifer Zugriff auf den Transportweg, den Mailserver oder das E-Mail-Postfach des Empfängers haben. Zusätzlich müssen auf Empfängerseite aktive Inhalte erlaubt sein, also etwa die Ausführung von html-Code und insbesondere das Nachladen externer Inhalte. Dies ist derzeit, insbesondere bei mobilen Geräten, in der Regel standardmässig voreingestellt. ## Bin ich betroffen? Auf der Internetseite [www.efail.de](http://www.efail.de) sind betroffene E-Mail-Clients aufgelistet. Nutzer die Aktive Inhalte im E-Mail-Client aktiviert haben - dazu zählt die Ausführung von html-Code und das Nachladen externer Inhalte – sind von dieser Schwachstelle betroffen. ![efail](https://www.secnovum.ch/hs-fs/hubfs/efail.jpg?width=600&name=efail.jpg) ## Wie kann ich mich schützen? Da es sich um ein generelles Problem in den Standards S/MIME und OpenPGP handelt ist eine generelle Lösung – die auch bei falsch konfigurierten Mailclients nicht zum Erfolg führt – nicht trivial. Prinzipiell müssen aber beide Standards angepasst werden, was eine gewisse Zeit in Anspruch nehmen wird. Die Hersteller von E-Mailclients und Verschlüsselungs-Produkten haben zur Eindämmung der Schwachstelle Updates ihrer Produkte angekündigt. Unabhängig von Sicherheitsupdates schützt eine sichere Konfiguration. Um E-Mail-Verschlüsselung weiterhin sicher einsetzen zu können, müssen Anwender folgende Punkte umsetzen: - Kurzfristig: Aktive Inhalte im E-Mail-Client müssen deaktiviert werden. Dazu zählt die Ausführung von html-Code und das Nachladen externer Inhalte - Mittelfristig: Nach und nach werden Sicherheitsupdates erscheinen. Die E-Mail-Clients müssen aktuell gehalten werden. - Langfristig: Die OpenPGP und S/MIME Standards müssen überarbeitet werden. **Links zum Thema** - [Efail-Schwachstellen: E-Mail-Verschlüsselung richtig implementieren](https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/efail-schwachstellen_15052018.html) - [https://efail.de/](https://efail.de/) Beitrag teilen [Teilen auf Facebook](https://www.facebook.com/sharer/sharer.php?u=https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail) [Teilen auf Whatsapp](https://wa.me/?text=https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail) [Teilen auf Twitter](https://twitter.com/intent/tweet?url=https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail&text=) [Teilen auf LinkedIn](https://www.linkedin.com/shareArticle?mini=true&url=https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail) [Teilen per E-Mail](mailto:?subject=Statement%20zur%20Schwachstelle%20"Efail"&body=https://www.secnovum.ch/blog/statement-zur-schwachstelle-efail) ## Ähnliche Artikel #### [![](https://www.secnovum.ch/hs-fs/hubfs/blog/placeholder-security-flash.jpg?length=600&name=placeholder-security-flash.jpg) 18. Oktober 2017 | Jonas Stalder Sicherheits-Lücke im WPA2-Protokoll WPA(2) ist jenes Protokoll, das den über WLAN übertragenen Datenverkehr von Endgerät (Computer, Mobile-Phone) zum...](https://www.secnovum.ch/blog/sicherheits-luecke-im-wpa2-protokoll) #### [![](https://www.secnovum.ch/hs-fs/hubfs/00_Datenschutzgesetz-DSG-ISG.jpg?length=600&name=00_Datenschutzgesetz-DSG-ISG.jpg) 20. Dezember 2023 | Weblaw Auswirkungen neuer Rechtslage (DSG & ISG) auf Datenmanagement-Systeme In der Ära der Digitalisierung ist der Schutz von Informationen und persönlichen Daten von höchster Bedeutung. Die...](https://www.secnovum.ch/blog/auswirkungen-neuer-rechtslage-dsg-isg-auf-datenmanagement-systeme) #### [![Kleiner Stormtrooper schützt Laptop](https://www.secnovum.ch/hs-fs/hubfs/00_Secnovum-Homeoffice-schuetzen-300x175.jpg?length=600&name=00_Secnovum-Homeoffice-schuetzen-300x175.jpg) 17. Dezember 2021 | Stephan Berweger Homeoffice vor Angreifern schützen Das Arbeiten aus dem Homeoffice öffnet Angreifern oft Tür und Tor zu verschiedenen Unternehmen. Ungesicherte oder...](https://www.secnovum.ch/blog/homeoffice) ## Kontakt **©2026 secnovum** Spinnereistrasse 5 6020 Emmenbrücke - [digitalsicher@secnovum.ch](mailto:digitalsicher@secnovum.ch) ## Quicklinks - [Kontakt](https://www.secnovum.ch/kontakt) - [Impressum](https://www.secnovum.ch/impressum) - [Datenschutz](https://www.secnovum.ch/datenschutzerklaerung) ## Social Media - [LinkedIn](https://www.linkedin.com/company/68127305)