iOS: Kritische Sicherheitslücke in Mail-App

[ullistein]

Kann Outlook mit allen Emailanbietern umgehen?

Mail nervt mich mit seiner Schmalspurigkeit ja schon lange.

 

[dr-eisbach]

Ich bekomme vielleicht ein Mal im Jahr eine Mail deren Herkunft ich nicht kenne. Alles andere ist legitim. Was ein Aufwand das jetzt wäre den Mail-Client zu wechseln. Und in einer oder zwei Wochen kommt dann das Update. Also das kann ich mir sparen.

Ich bleibe zunächst mal bei Outlook. Daher ist der Aufwand für mich gerechtfertigt

Ruhe sollte man bewahren. Thema ist, dass die Lücke bzw. Software zu deren Ausnutzung auf dem Markt erhältlich ist, sich allerdings nach dem, was man weiß, in Grenzen hält.

Kombiniert mit der Tatsache, dass die Lücke Jahre existiert und Abhilfe mit dem SW - Update in Sicht ist, kann jetzt jeder eine rationelle Entscheidung treffen,

A. Abzuwarten und nichts zu ändern,
B. Alle Automatismen in Mail abzuschalten, die App nicht zu nutzen und das Update abzuwarten oder
C. Mail zu löschen.

Das die Lücke seit Jahren existiert, ist tatsächlich das größte Problem. Am Ende könnten eh schon alle Daten geklaut worden sein.

Macht das Problem zwar schlimmer, aber die paar Tage bis zum Fix könnte man in der Tat dann auch noch abwarten.

 

[Cohni]

Kann Outlook mit allen Emailanbietern umgehen?

Mail nervt mich mit seiner Schmalspurigkeit ja schon lange.

Eigentlich ja. Ich wüßte jetzt keine Einschränkung. Allerdings darfst Du jetzt auch keine Wunder von der mobilen Outlook-Variante erwarten. Die funktionellen Unterschiede sind je nach Anwendungsprofil bei den Mac-Varianten deutlich größer.

Aber das kommt auf den User an. Für meine Bedürfnisse beschränken sich die Unterschiede bei den iOS-Programmen eher auf optische Dinge und vielleicht dem einen oder anderen Bedienungsweg. Mir gefällt Outlook nicht so richtig, aber das hat ja nichts zu sagen.

Ich bleibe zunächst mal bei Outlook. Daher ist der Aufwand für mich gerechtfertigt

Der Aufwand ist auch gar nicht so groß. Ich hatte es schon mal vor der Lücke aus Neugier probiert.

 

[hotrs]

Was den Datenschutz angeht. Man muss ja nicht den Microsoft-Sync Dienst nutzen wenn eine E-Mailadresse angelegt. Einfach auf "manuell hinzufügen" klicken und ein klassisches IMAP Konto (wie es bei Apple Mail auch ist) anlegen. Denn werden die PW für die Email-Accounts auch nicht bei Microsoft gespeichert.

Das liest sich in den Datenschutzbestimmungen von Microsoft aber etwas anders:

Wenn Sie Outlook ein Konto hinzufügen, werden Ihre E-Mail-Nachrichten, Kalendereinträge, Dateien, Kontakte, Einstellungen und andere Daten des Kontos mit Ihrem Gerät synchronisiert. Bei Verwendung der mobilen Outlook-Anwendungen werden diese Daten ebenfalls mit Microsoft-Servern synchronisiert, um zusätzliche Funktionen zu aktivieren. Dazu gehören schnellere Suchergebnisse, personalisiertes Filtern weniger wichtiger E-Mails und die Möglichkeit, E-Mail-Anlagen von verknüpften Dateispeicheranbietern ohne Verlassen der Outlook-App hinzuzufügen.

Quelle: https://privacy.microsoft.com/de-DE/privacystatement / Abschnitt Outlook

Wie hier bereits geschrieben wurde: sobald man Push anbietet / nutzen will, müssen zumindest die Login-Daten (bzw. ein Token) auf externen Server gespeichert werden.

Gruß

 

[Sequoia]

Was mich an der Sache wundert:


Diese Firma hat diese Lücke schnellstmöglich bekannt machen wollen, um Apple keine Zeit zu geben (normal werden Firmen informiert, ihnen wird Zeit gegeben, usw.).
Nun wurde die Lücke öffentlich gemacht.

Aber: die neue Lücke wurde öffentlich gemacht, als Apple aber schon die Lösung dafür parat hatte (iOS 13.4.5).
Vielleicht sehe ich es noch nicht ganz, aber der zeitliche Ablauf klingt für mich noch nicht so plausibel.

Zu Alternativen:
War nicht im letzten Jahr raus gekommen, dass Apps wie Spark, Airmail, usw. Mails abgreifen und scannen?

 

[Salud]

Wie lange soll die Lücke denn nun bei Apple bestehen?

 

[Sequoia]

Seit iOS 6...

 

[Salud]

Seit iOS 6...

Ach das geht doch noch, lese gerade seit 2012, sind erst 8 Jahre, wenn man überlegt wie lange die Dinos schon nicht mehr da sind dann sind 8 Jahre ja wirklich nicht der Rede wert.

 

[Mitglied 115348]

Und jetzt mal schnell alle überlegen, wann man die letzte (oder erste) „This Message has no content“-Mail bekommen hat

 

[Mr.Smith]

wenn ich die mail app lösche und eine andere installiere?
was passiert dann wenn ich auf einen emailnamen klicke?

Und jetzt mal schnell alle überlegen, wann man die letzte (oder erste) „This Message has no content“-Mail bekommen hat

 

[Salud]

Man schrieb es sei nur auf dem iPhone und dem iPad gefährlich, warum auf den Mac nicht ?

 

[Plumpsklo]

Frage an die Outlook Nutzer - gibt es Outlook auch für den Mac? Faktisch befindet sich natürlich eine Outlook App im App Store, allerdings frage ich mich, ob diese gebunden ist an das Office365 (oder jüngst Microsoft 365) Abo?

Oder handelt es sich hier um ein Standalone Programm? Ich hätte gerne überall den gleichen Mail Client, daher ist das Voraussetzung für einen Wechsel.

Momentan teste ich Spark auf dem iPhone, ich weiß aber nicht, was ich davon halten soll - die Darstellung der Mails (insb. wenn mehrere Konversationen) ist auf jeden Fall besser.

 

[Mitglied 231919]

Ich stelle mir gerade die Frage wie effektiv vorgelagerte Sicherheitsmechanismen gegen diese Sicherheitslücke sind: Ich nutze die Mail App z.B. nur für unsere Exchange-Konten. Wir haben einen lokalen Exchange-Server, der hinter einer Hardware-Firewall sitzt, zzgl. einer Enterprise-AV-Software auf dem Server und den gängigen Windows-Sicherheitsmechanismen. Würde eine Mail mit Schadcode für iOS von solchen vorgelagerten Mechanismen erkannt und gefiltert?

 

[Cohni]

@Plumpsklo
Meines Wissens nach kannst Du Outlook für den Mac auch als Standalone-Anwendung kaufen.

Den Wunsch nach Gleichheit der Clients habe ich übrigens auch. Ich bin bloß noch ein bisschen unsicher, ob ich dies überhaupt machen mag. Versuche gerade noch, diese Sache für mich selber einzuschätzen. Die ganzen Umstände der Meldung, diese Firma...ist mir alles noch zu wenig Information.

 

[Salud]

@Plumpsklo
Meines Wissens nach kannst Du Outlook für den Mac auch als Standalone-Anwendung kaufen.

Den Wunsch nach Gleichheit der Clients habe ich übrigens auch. Ich bin bloß noch ein bisschen unsicher, ob ich dies überhaupt machen mag. Versuche gerade noch, diese Sache für mich selber einzuschätzen. Die ganzen Umstände der Meldung, diese Firma...ist mir alles noch zu wenig Information.

Ich habe aktuell das Problem wenn ich auf dem iPad Outlook öffne dann wird das iPhone abgemeldet und umgekehrt. Mac und ein iOS Gerät kaufen parallel, das klappt.

Muss später mal schauen wie das alles klappt. Da ich alles über 365 mache außer halt Mail bisher ist das vielleicht der Weg die Dinge jetzt komplett bei Microsoft zu nutzen.

Pages, Keynote und Numbers sind ja ganz nett, sind aber weiterhin nicht auf Augenhöhe und auf den Spagat habe ich schon lange keine Lust mehr. Mal am Wochenende tiefer in Outlook schauen und dann ein Resümee ziehen wenn der Patch von Apple da ist ob es weiterhin oder wieder Mail sein wird oder halt Outlook bleibt.

Wichtig ist halt dass es auf allen Geräten parallel läuft. Wenn das Problem mit dem parallelen Abruf auf iPhone und iPad nicht zu beheben ist dann wird Outlook bei mir keine Dauerlösung sein können.

 

[Cohni]

Ich will es auch mal ausführlich testen. Wäre jetzt vielleicht ein guter Anlass.

Berufsbedingt muss ich ohnehin auf MS-Office zurückgreifen, das Söhnchen geht in eine Mac-feindliche Schule (), sodass ich alle Programme zur Verfügung habe, auch Outlook.

Soll ich wirklich? Microsoft auf meinem Rechner und mobilen Geräten? Eine Welt gerät aus den Fugen...

 

[ImpCaligula]

Man schrieb es sei nur auf dem iPhone und dem iPad gefährlich, warum auf den Mac nicht ?

Weil die Software eine Andere ist? Die Mail App unter iOS ist ein anderes Programm als die Mail App unter macOS...

Und wenn die Entwickler in der iOS Mail App einen Sicherheitsbug haben - bedeutet das ja nicht - dass der Bug unter macOS in der anderen App auch vorhanden ist...

Beide Apps heißen gleich - sind aber zwei unterschiedlich programmierte Anwendungen...

 

[Sequoia]

Ich bleibe bei Mail, da es für mich alle Bedürfnisse erfüllt (nutze E-Mail so oder so nur noch sekundär). Mit meiner HTML Signatur, und nur iCloud als Mail-Anbieter sehe ich dem gelassen gegenüber, da:

1) gibt es die Lücke schon seit mehr als 8 Jahren, da kommt es jetzt auf die 1-2 Wochen, bis 13.4.5 da ist, nicht mehr an, zumal ich mich da auch nicht als Zielgruppe sehe, da Mails kaum genutzt werden, und ich mich nicht erinnern kann, mal eine Mail ohne Inhalt bekommen zu haben.

2) der Patch eben bald da ist.

 

[_macminimal]

Was mich an der Sache wundert:


Diese Firma hat diese Lücke schnellstmöglich bekannt machen wollen, um Apple keine Zeit zu geben (normal werden Firmen informiert, ihnen wird Zeit gegeben, usw.).
Nun wurde die Lücke öffentlich gemacht.

Aber: die neue Lücke wurde öffentlich gemacht, als Apple aber schon die Lösung dafür parat hatte (iOS 13.4.5).
Vielleicht sehe ich es noch nicht ganz, aber der zeitliche Ablauf klingt für mich noch nicht so plausibel.

Zu Alternativen:
War nicht im letzten Jahr raus gekommen, dass Apps wie Spark, Airmail, usw. Mails abgreifen und scannen?

Nun, da Apple offenbar schon Bescheid wusste, waren sie wohl nicht bereit einen entsprechenden Betrag an diese Firma zu überweisen. Dadurch sahen die sich natürlich „gezwungen„ die Lücke zu veröffentlichen.

was die „Alternativen„ zu Mail angeht müsste man mal checken in wie weit die wirklich „sicherer“ sind.

 

[Berry2k]

Ich wurde letztens auch auf dem jeweils anderen Gerät ( iPhone zu iPad ) bei Outlook von einigen Accounts ( nicht allen ) automatisch abgemeldet. Hatte dieses Problem noch nie.
Ich habe einfach alle Accounts aus Outlook rausgeschmissen und neu eingefügt ( also auf allen Geräten ) und siehe da. Es läuft alles stabil. Vielleicht war da ein Bug auf vorherigen App-Versionen und der ist mittlerweile behoben und ein neu einfügen der Accounts beseitigt das Problem. Ähnlich wie das bei Apple-Mail und den Accounts in iOS ja auch vor einiger Zeit zu Akku-Problemen und Push-Benachrichtigungs-Problemen geführt hat und ein löschen und neu einfügen der Accounts das Problem behoben hat.
Probiert das mal aus
Aktuelle App-Version natürlich vorausgesetzt!

Um auf das Thema Apple Mail nochmal zurückzukommen. Die beheben jetzt den Fehler in einer neuen iOS Version ( 13.4.5, soll laut heise ja am 28. April kommen ), worin leider auch schon diese bescheuerte Integration von dieser Tracking API enthalten sein soll, was bei "Corona-Warn-Apps" ja die Runde macht.
Da ich so ne scheiße nicht in meinem Betriebssystem haben will, wird erstmal lange Zeit kein update auf irgendwelchen Geräten gemacht. Also bekomme ich den Fix für Apple Mail auch nicht...hm...wird dann wohl mal Zeit, gänzlich auf Microsoft Outlook umzusteigen^^
Auch irgendwie komisch, dass plötzlich diese Sicherheitslücke publik gemacht wird ( und das merkwürdigerweise schon sehr panisch ), wo bei iOS doch demnächst, bzw. im nächsten Update, diese Tracking-Funktion implementiert werden soll. Ein Schelm wer böses dabei denkt