Die Angriffsfläche eines Webmail-Dienstes beschränkt sich nicht nur auf das Anmeldeformular. Bei Akeonet wiegen die Persistenz der Sitzungen, die Wahl des zweiten Authentifizierungsfaktors und die Konfiguration des Client-Rechners ebenso schwer wie die Robustheit des Passworts. Hier erläutern wir die technischen Punkte, die in herkömmlichen Einführungsleitfäden oft übersehen werden.
Sitzungsdiebstahl und persistenter Token: die Schwachstelle nach der Anmeldung bei Akeonet
Eine starke Authentifizierung schützt nicht vor einem bereits ausgegebenen Sitzungstoken. Ein auf dem Rechner installiertes Infostealer-Programm kann das Sitzungscookie des Browsers exfiltrieren, was es einem Angreifer ermöglicht, auf das E-Mail-Konto zuzugreifen, ohne jemals das Passwort eingeben zu müssen. Dieses Szenario ist von mehreren CERT dokumentiert und betrifft alle Webmail-Dienste, einschließlich Akeonet.
Konkret beruht die Abwehr auf drei Hebeln auf der Benutzerebene. Zunächst sollte die Sitzung auf jedem gemeinsam genutzten Gerät systematisch geschlossen werden, anstatt einfach den Tab zu schließen. Außerdem ist es wichtig, den Browser und das Betriebssystem auf dem neuesten Stand zu halten, um die Angriffsvektoren zu begrenzen. Schließlich sollte die Installation von nicht verifizierten Browsererweiterungen vermieden werden, da dies der Hauptkanal für die Einführung von Informationsdiebstahlsoftware ist.
Wir empfehlen auch, regelmäßig die aktiven Sitzungen in der Akeonet-Oberfläche zu überprüfen. Wenn der Dienst eine Historie der Anmeldungen (IP-Adresse, Zeitstempel) bereitstellt, signalisiert ein Zugriff von einem unbekannten Standort einen kompromittierten Token. Die angemessene Reaktion besteht dann darin, alle Sitzungen zu widerrufen und sofort das Passwort zu ändern.
Ein umfassender Leitfaden zur sicheren Webmail-Authentifizierung bei Akeonet beschreibt das Verfahren zur Überprüfung der Sitzungen und die einzustellenden automatischen Abmeldeoptionen.
Wahl des zweiten Faktors: TOTP, FIDO2 oder SMS bei Akeonet
Nicht alle zweiten Authentifizierungsfaktoren sind gleichwertig. Die ANSSI rät davon ab, sich ausschließlich auf SMS für sensible Konten zu verlassen, aufgrund des Risikos des SIM-Swappings (Nummernumleitung durch soziale Ingenieurkunst beim Anbieter). SMS bleibt ein Übergangsmedium, akzeptabel in Ermangelung einer Alternative, jedoch keine geeignete Wahl für ein professionelles E-Mail-Konto.
Wenn Akeonet eine TOTP-Anwendung (lokal generierter temporärer Code) anbietet, sollte diese bevorzugt werden. Der Code wird auf dem Gerät berechnet, ohne über das Telefonnetz zu laufen, was die Abfangung durch SIM-Swap neutralisiert. Ein physischer FIDO2-Schlüssel oder eine Passkey bietet ein höheres Niveau, da das kryptografische Geheimnis das Hardwaregerät niemals verlässt.
Kriterien zur Bewertung des MFA, das von Ihrem Anbieter angeboten wird
- Unterstützt der Dienst TOTP-Anwendungen (FreeOTP, Aegis, Google Authenticator) oder nur SMS?
- Gibt es eine FIDO2/WebAuthn-Schlüsseloption für Benutzer, die mit sensiblen Daten arbeiten?
- Werden Offline-Wiederherstellungscodes bei der Aktivierung des MFA generiert und können sie unabhängig vom Telefon gespeichert werden?
- Wird das MFA vom Domain-Administrator erzwungen oder bleibt es für jedes Konto optional?
Ein optionales MFA entspricht oft einem nicht vorhandenen MFA. Wir beobachten, dass Domains, bei denen der Administrator die Aktivierung erzwingt, die Vorfälle von Konto-Kompromittierungen erheblich reduzieren.
Sichere SMTP-Konfiguration und Auswirkungen auf die Authentifizierungskette
Die Verwendung eines externen E-Mail-Clients (Thunderbird, Outlook, mobile Anwendung) erfordert eine korrekte Konfiguration des SMTP-Servers von Akeonet. Eine verschlüsselte Verbindung über STARTTLS auf dem vom Anbieter empfohlenen Port zu bevorzugen, bleibt die Grundregel. Ein unverschlüsselter Port setzt die Anmeldedaten und den Inhalt der Nachrichten dem Risiko einer unverschlüsselten Abhörung aus.
Ein oft vernachlässigter Punkt betrifft die Interaktion zwischen dem externen Client und dem MFA. Bei den meisten Webmail-Diensten schützt der zweite Faktor nur den Zugriff über den Browser. Der SMTP-Versand basiert auf der Kombination von Benutzername und Passwort, ohne TOTP-Code. Das bedeutet, dass ein kompromittiertes Passwort ausreicht, um E-Mails von einem Drittanbieter-Client zu senden, selbst wenn das MFA den Zugriff auf das Webmail blockiert.
Dieses Risiko bei einem Akeonet-Konto reduzieren
- Verwenden Sie ein dediziertes Passwort für den SMTP-Client (Anwendungspasswort), das sich von dem Hauptpasswort unterscheidet, sofern Akeonet dies zulässt
- Den SMTP-Zugriff auf bekannte IP-Adressen über die Regeln des Kundenbereichs oder des Domain-Administrators einschränken
- Die Versandprotokolle überwachen, um ein ungewöhnliches Volumen oder ungewöhnliche Empfänger zu erkennen, was auf ein Konto hinweist, das für Spam verwendet wird
Datenminimierung und Hygiene des Client-Rechners
Der Schutz personenbezogener Daten, die über den Akeonet-Maildienst übertragen werden, hängt nicht nur vom Server ab. Der Client-Rechner ist das am stärksten exponierte Glied. Ein Browser, der Passwörter automatisch in einem ungesperrten integrierten Passwortmanager speichert, bietet im Falle eines Diebstahls oder unbefugten physischen Zugriffs direkten Zugang zum E-Mail-Konto.
Wir empfehlen, die Akeonet-Anmeldedaten in einem speziellen Passwortmanager zu speichern, der durch ein separates Hauptpasswort geschützt ist. Der Browser sollte das Passwort für das Webmail nicht speichern. Diese Trennung verhindert die automatisierte Extraktion durch einen Infostealer, der auf die in den Browser integrierten Passwortdatenbanken abzielt.
Ein weiterer technischer Reflex besteht darin, die in der Mailbox selbst gespeicherten Daten zu minimieren. Anhänge mit persönlichen Daten (Gehaltsabrechnungen, Ausweisdokumente) sollten heruntergeladen, in einem lokal verschlüsselten Speicher aufbewahrt und dann vom Server gelöscht werden. Dieser Minimierungsansatz reduziert die Auswirkungen einer Konto-Kompromittierung.
Die Sicherung eines Akeonet-Webmails hängt von der Kombination dieser Schichten ab: geeigneter zweiter Faktor, kontrollierte Sitzungen, isolierter SMTP und gehärteter Client-Rechner. Das Vernachlässigen einer dieser Schichten reicht aus, um die anderen nutzlos zu machen.
