- Anzeigen -


Sicherheitsparameter stimmen


Mailbox.org überzeugt im Test mit aktuellen Verschlüsselungstechnologien und Sicherheitsparametern
Weder Checkboxen noch Aktivitätentracking oder Berechtigungen stören die Nutzung des Service



Beim kostenpflichtigen E-Mail Dienst der Heinlein Support GmbH steht Privatsphäre ganz oben und Datenschutz ist das Steckenpferd des Service. Grund genug für die IT-Sicherheitsexperten der PSW Group, mailbox.org in einem Test unter die Lupe zu nehmen. "Die Verschlüsselung – und damit die Sicherheit – ist vom Login bis zum Backend ausgezeichnet. mailbox.org-Kunden greifen ausschließlich verschlüsselt auf den gesamten Service zu. Für die Verschlüsselung werden zudem nur aktuelle Technologien eingesetzt: Seit Januar 2017 ist das TLS in der Version 1.2; die Versionen 1.0 und 1.1 werden von mailbox.org nicht mehr verwendet. TLS 1.2 gibt es nur mit PFS, jedoch keinesfalls mit SHA-1 als Hash-Algorithmus", lobt Christian Heutger, Geschäftsführer der PSW Group.

Weder Checkboxen noch Aktivitätentracking oder Berechtigungen stören die Nutzung des Service. Zudem werden dem User kaum Registrier-Daten abverlangt: Lediglich den gewünschten Usernamen, der gleichzeitig der künftigen E-Mail-Adresse entspricht, sowie ein Passwort möchte mailbox.org wissen. Ein Manko taucht dann ausgerechnet bei der Passwortprüfung auf: Zwar lässt mailbox.org Klassiker wie "12345678" oder "Passwort" nicht zu und informiert zudem gut über die Verwendung und Bildung sicherer Passwörter. "Leider geht "Mayerin83" als Bestandteil unserer Test-E-Mail-Adresse "mayerin83@mailbox.org" aber durch. Das ist enttäuschend, hier sollte mailbox.org nachholen!", macht Heutger aufmerksam.

Ansonsten stimmen die Sicherheitsparameter: mailbox.org arbeitet mit den Funktionen HTTP Strict Transport Security, DANE/TLSA sowie DNSSEC, setzt auf erweitert validierte SSL/TLS-Zertifikate – also auf EV-Zertifikate mit grüner Adressleiste – und etliche weitere Security-Features. Welche das unter anderem sind, und was sie bedeuten, erklärt Christian Heutger: "mailbox.org verwendet beispielsweise ECDHE in Verbindung mit PFS, so dass auch eine nachträgliche Entschlüsselung der E-Mail-Kommunikation nicht möglich ist. Passwörter werden nie im Klartext, sondern immer gehashed, gespeichert. Damit kennt auch mailbox.org die Passwörter seiner Kunden nicht. Darüber hinaus möchte mailbox.org das anonyme Nutzen unterstützen und seine Kunden auch gegen Vorratsdatenspeicherung (VDS) schützen. Deshalb setzt der Anbieter im Rechenzentrum auf ein eigenes Netzwerk zur Anonymisierung von Verbindungsdaten – im Fachjargon als Tor Exit Node bezeichnet. Und selbstverständlich schützt mailbox.org die Passwörter seiner Kunden mit einer 2-Faktor-Authentifizierung auf zwei verschiedenen Wegen – und zwar mit YubiKey oder OTP Token-Generatoren. Das ist insbesondere dann wichtig, wenn man von Fremdrechnern auf seine E-Mails zugreifen, dort aber nicht sein Passwort hinterlassen möchte."

Mailbox.org bietet zwei Varianten, nach denen Anwender E-Mails verschlüsselt versenden können: Entweder nutzen sie den mailbox.org-Guard oder sie arbeiten mit dem Mailvelope-Plugin im Browser. "Der Anbieter erklärt sowohl Vorteile als auch Nachteile der beiden Funktionen. In unserem Test nutzten wir die "mailbox.org Guard"-Funktion, mit deren Hilfe wie sehr einfach und zügig unsere Server-seitig verschlüsselte Test-E-Mail versenden konnten", informiert Heutger und ergänzt: "Wir präferieren diese Alternative. Denn obwohl hier der private Schlüssel auf den mailbox.org-Servern gespeichert wird, besteht die Gefahr bei Mailvelope darin, dass etwaige Sicherheitslücken den im Browser gespeicherten privaten Schlüssel zutage fördern könnten".

mailbox.org offeriert zudem den Service "@secure.mailbox.org". Neben einer normalen E-Mail-Adresse können Nutzer des Dienstes sich auch eine secure-Adresse einrichten. Beim Versand von dieser Adresse wird eine sichere Datenübertragung fest vorgeschrieben und ein unverschlüsselter Versand bzw. Empfang erfolgt unter keinen Umständen. Dazu erklärt Christian Heutger: "Vielfach – auch in Behörden und anderen öffentlichen Stellen – werden E-Mails nicht verschlüsselt. Wenn ein Gesprächspartner bzw. dessen Provider nicht in der Lage ist, E-Mails zu verschlüsseln, so scheitert der Empfang dieser Mail, wenn er an die @secure.mailbox.org-Adresse geht. Der Absender erhält diese E-Mail dann mit dem Hinweis "unzustellbar" zurück."

Ein wesentlicher Unterschied von mailbox.org im Vergleich zu den meisten Wettbewerbern ist die komplette Werbefreiheit: "Die bekommen Kunden zwar nur gegen Gebühr. Ich empfinde ein Jahresentgelt von 12 Euro aber deutlich günstiger, als den Verkauf der eigenen persönlichen Daten in völlig unbekannte Hände, wie es von vielen Freemail-Diensten praktiziert wird", so Christian Heutger. Mit Funktionen, die weit über die Standardfunktion "Empfang und Versand von E-Mails" hinausgehen, rundet mailbox.org auch in Sachen Usability den sehr guten Eindruck ab: Die Funktionen können locker mit denen von Freemail-Anbietern mithalten. Mailbox.org eignet sich nämlich nicht nur zum Mailen, sondern darüber hinaus zur Organisation und als Office-Möglichkeit mit Text- und Tabellendokumenten sowie Cloud-Speicher.

Überzeugen konnten auch die Rechtstexte: Die sind nicht nur leicht auffindbar, denn Nutzer können die AGB und Widerrufsbelehrung jederzeit über den Footer der mailbox.org-Website einsehen. "Der Anbieter kommt gänzlich ohne Fachchinesisch aus und Rechte sowie Pflichten sind deutlich erläutert", ist Heutger begeistert und sagt unter Bezugnahme auf die Datenschutzbestimmungen des Anbieters: "Server in Deutschland, auf denen kaum etwas gespeichert wird, nehmen sogar der Vorratsdatenspeicherung ihren Schrecken. Denn wo keine Daten sind, können auch keine gespeichert werden." (PSW Group: ra)

eingetragen: 10.03.17
Home & Newsletterlauf: 15.03.17

PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.



Meldungen: Tests

  • Unbedingt auf die Gerätesicherheit achten

    Bankgeschäfte vom Smartphone oder Tablet immer und von überall aus zu tätigen ist reizvoll. Doch wie halten es die Applikationen mit Sicherheit und Komfort? Die Sicherheitsexperten der PSW Group haben drei Apps genauer unter die Lupe genommen: Die multibankfähigen Apps finanzblick und Banking4 sowie die mobile App der Consorsbank. "Unser Fokus lag auf dem Sicherheitsaspekt, aber natürlich flossen auch Funktionsvielfalt und Bedienkomfort in unsere Bewertung ein. Finanzblick konnte uns dabei am meisten überzeugen. Etwas enttäuscht sind wir von Consorsbank, denn die App greift auf relativ viele Berechtigungen zu, die nicht immer Sinn ergeben, und auch über Umfang und Ort der Datenspeicherung schweigt sich die Bank aus", fasst Christian Heutger, Geschäftsführer der PSW Group, zusammen.

  • Bitdefenders AV-Lösung im Test

    Die PSW Group testete die Lösung von "Bitdefender: Total Security Multi-Device 2017". "Insgesamt zeigt sich Bitdefender recht ähnlich wie seine beiden vergleichbaren Wettbewerber Eset und Kaspersky. Zwar erweist sich Bitdefender als teuerste Lösung, gleicht dies jedoch mit einem Feature-Plus wieder aus. Bitdefender punktet mit guten Laufzeiten der Usability und beim Support. Lobenswert ist der konsequente Einsatz von ASLR und DEP, das gültige Signieren aller Programmdateien und die Software-Verteilung via sicherem HTTPS. Einzig die Deinstallation von Bitdefenders Total Security Multi-Device 2017 ist etwas aufwendiger. Hierfür muss der User erst das Bitdefender Uninstall Tool auf seinen Rechner laden. Im Übrigen lässt auch Bitdefender leider keinen Rundum-Schutz für wirklich alle Geräte zu: iOS wird ausgeschlossen und lediglich die Plattformen Windows, macOS und Android geschützt", fasst Christian Heutger, Geschäftsführer der PSW Group, zusammen. Bitdefender unterscheidet nicht nach Zahl der User, sondern nach Zahl der Geräte. Die Auswahl ist denkbar gering: Anwender haben die Wahl, die Suite für fünf oder zehn Geräte zu ordern. "Das ist schade für jene, die lediglich drei Geräte schützen wollen. Eine Zwischenlösung für zwei oder drei Geräte wäre wünschenswert", meint Heutger. Mit der Wahl der Laufzeiten von einem, zwei oder drei Jahren punktet Bitdefender dann aber wieder. "Zusätzlich können User entscheiden, ob sie selbst die Software installieren möchten oder ob Bitdefender das übernehmen soll. Das ist eine Option, die uns bei Bitdefender erstmals begegnet und absolut positiv ist", lobt Christian Heutger.

  • Familie vor Online-Bedrohungen schützen

    "Hacker würden mit oder ohne Security-Lösungen Wege ins System finden" bemerkte Brian Dye, seines Zeichens Executive Vice President bei McAfee, schon vor einigen Jahren. Nun setzte Cybersecurity-Experte John McAfee mit seiner Aussage, jeder Router, der in den USA zum Einsatz kommt, sei kompromittiert, noch einen oben drauf. Seiner Meinung nach gelänge es Hackern, WLAN-Verbindungen der Geräte zu verwenden, um ihre Besitzer auszuspionieren. Diese Bemerkung veranlasste die IT-Sicherheitsexperten der PSW Group dazu, sich das Sicherheitspaket "Total Protection 2017" des Herstellers genauer anzusehen. Ob McAfees AV-Suite es schafft, die ganze Familie vor Online-Bedrohungen zu schützen und jedes Gerät gegen Angriffe abzusichern?

  • Guter Selbstschutz der AV-Lösung

    Wenn es um Virenschutz geht, ist Kaspersky Lab einer der Marktführer in Europa. Mit ihrer Antiviren-Suite "Kaspersky Total Security 2017" verspricht der Entwickler die Privatsphäre, alle persönlichen Daten sowie Finanzen der ganzen Familie auf jeder Plattform zu schützen. Nun haben sich die IT-Sicherheitsexperten der PSW Group die Antiviren-Lösung in einem Test genauer angesehen - und kommen zu gemischten Ergebnissen. "Kaspersky wartet mit guten und umfangreichen Features auf, dennoch gibt es eine wesentliche Einschränkung: Nicht jedes Feature existiert für alle Systeme; vielfach greifen Schutzfunktionen lediglich auf Mac und PC. Damit erweist sich die Lösung leider nicht als echte Multiplattform-Suite, wie es der Hersteller verspricht. Auf 64-Bit-Systemen gibt es sogar noch einige weitere Funktionseinschränkungen, auf die Kaspersky aber immerhin auf seinen Produktseiten hinweist", sagt Christian Heutger, Geschäftsführer der PSW Group.

  • Lob auch für die Botnet-Erkennung

    "Antivirus ist keinesfalls tot, jedoch müssen die Hersteller von AV-Suiten umdenken", ist Christian Heutger, Geschäftsführer der PSW Group, überzeugt. Er bezieht sich damit auf die Meinung von Brian Dye, Executive Vice President bei McAfee, dass kommerzielle Antiviren-Lösungen tot seien. Um seine Überzeugung zu untermauern, hat Christian Heutger gemeinsam mit seinem Team einige Virenscanner, darunter das Multi-Device Security Pack vom Hersteller Eset einem Test unterzogen. Immerhin verspricht der Entwickler idealen Rundum-Schutz für alle Geräte.

Lob auch für die Botnet-Erkennung Großer Umfang an Registrierungsdaten