Automatischer Logout mailbox Guard

Liebe mailbox Kundinnen und Kunden,

wir möchten Sie über einen sicherheitsrelevanten Aspekt bei der Nutzung des mailbox Guards informieren.

Aktuell greift der automatische Logout aus dem mailbox Guard nicht, wenn Sie sich aus dem mailbox Webclient abmelden, sofern unter

„Alle Einstellungen…“ → „mailbox Guard“ → „mailbox Guard-Standardeinstellungen“ → „Passwort-Standardeinstellung merken“

die Option „Session“ ausgewählt ist.

In diesem Fall ist es möglich, nach einem erneuten Login in den mailbox Webclient wieder auf den Guard zuzugreifen, ohne das Guard-Passwort erneut eingeben zu müssen. Entsprechend können E-Mails weiterhin verschlüsselt und signiert versendet werden, ohne dass eine erneute Passwortabfrage erfolgt.

Dieses Verhalten entspricht nicht den vorgesehenen Sicherheitsanforderungen. Wir stehen hierzu bereits im Austausch mit Open-Xchange, um die Ursache zu klären und eine zeitnahe Behebung zu erreichen.

Wir möchten darauf hinweisen, dass dies nur dann relevant ist, wenn der Login von demselben Gerät erfolgt, auf dem der Guard zuvor entschlüsselt wurde. Die Guard-Sitzung ist ausschließlich auf diesem Gerät aktiv.

Ein Angreifer, der sich von einem anderen Gerät aus Zugriff auf ein Konto verschafft, hätte daher keinen Zugriff auf den Guard.

Als temporären Workaround empfehlen wir, unter

„Alle Einstellungen…“ → „mailbox Guard“ → „mailbox Guard-Standardeinstellungen“ → „Passwort-Standardeinstellung merken“

die Option „Immer fragen“ zu wählen. In diesem Modus wird das Guard-Passwort bei jedem Zugriff abgefragt und der Guard bleibt nicht über die mailbox-Session hinaus entsperrt. Dies entspricht nicht unseren Sicherheitsanforderungen. Daher arbeiten wir an einer Verbesserung.

Über weitere Entwicklungen halten wir Sie an dieser Stelle auf dem Laufenden.

Mit herzlichen Grüßen

Ihr mailbox Support