Category Archives: Security

Preise von Emails

Posted on by

Was einem so alles in die Inbox trudelt 😀 Ich hatte vor fast genau 4 Jahren mal die Preise fĂŒr Facebookfreunde gepostet, jetzt kam eine Wunschvorstellung fĂŒr Emailadressen rein :

Guten Tag,

Ich verkaufe Emails!

Die Datenbank setzt sich wie folgt zusammen:

@gmx.de 9,6 Millionen Emails
@web.de 7,2 Millionen Emails
@t-online.de 8,8 Millionen Emails
@gmx.net 3,2 Millionen Emails
@freenet.de 4,2 Millionen Emails
@bluewin.ch 2,2 Millionen Emails

1 Million Emails kosten 1000 Euro

Ich akzeptiere als Zahlungsmittel nur bitcoin wenn Ihr also keine Bitcoins habt kontaktiert mich auch nicht!

Es kann auch nicht verhandelt werden die Preise sind fix!

Falls ich Ihr Interesse geweckt habe können Sie mich wie folgt auf Jabber kontaktieren.

Meine Jabber-ID manux(at)jabber.ru (at) durch @ ersetzen.

Wenn Sie nicht wissen was Jabber ist dann laden Sie sich erstmal pidgin herunter und erstellen Sie Ihre eigene Jabber-ID

Unser Freund hier will tatsĂ€chlich 1.000 € fĂŒr 1 Million Adressen haben 🙂 Bisschen happig der Preis. Aber gut, natĂŒrlich nur als Bitcoin, soweit ok, weil den kann man ja quasi in beliebig kleine Teile aufteilen, aber der Kontaktweg.. Autsch! Runterladen und installieren.. hmm.. naja.. vielleicht.. Aber eine eigene Jabber-ID erstellen, das wird todsicher fĂŒr die meisten „Kunden“ ein unlösbares Problem werden 😀

Zu was nĂŒtzlicherem als illegal erworbenen Emailadressen

Schauen wir uns doch diese Spambewertung an:

 Pkte Regelname              Beschreibung
 ---- ---------------------- --------------------------------------------------
  1.0 SPF_SOFTFAIL           Senderechner entspricht nicht SPF-Datensatz (softfail)
  0.0 FREEMAIL_FROM          Sender email is commonly abused enduser mail provider
                             (kxhllj[at]outlook.com)
  1.1 MIME_HTML_ONLY         BODY: MIME-Nachricht besteht nur aus HTML
  0.0 HTML_MESSAGE           BODY: Nachricht enthÀlt HTML
  0.1 MISSING_MID            Missing Message-Id: header
  0.6 HTML_MIME_NO_HTML_TAG  Nachricht besteht nur aus HTML, hat aber kein
                             "html"-Element
  0.0 LOTS_OF_MONEY          Huge... sums of money

„LOTS OF MONEY“ Ich finde das Kriterium sollte mehr als nur 0.0 Punkte Scoren. Wie viele bekommen schon echte Emails, in denen es um Millionen geht 😉

„SPF_SOFTFAIL“ sollte auch mehr wiegen, weil die Absende Domain nicht zum Server paßt, von der die Email gesendet wurde. Ein typisches Zeichen fĂŒr Spam, auch wenn Admins so einen SPF Eintrag gelegentlich auch verhunzen können.

Eine fehlende Message ID… soso… eigentlich auch ein sehr gutes Zeichen fĂŒr SPAM. Echte EMails ohne Message ID wĂŒrde man wohl auf die Whitelist setzen, weil man sich die selbst schickt.

Was komplett fehlt: Eine Spmassassin Regel fĂŒr „Zig tausend Freemailadressen im CC:“ 😀 Das nĂ€chste mal dann bitte per BCC eintragen, weil per CC ist das ein Datenverbrechen nach EU DS GVO 😉

Ich denke, die Spamassassin-Regeln sollten mal ĂŒberarbeitet werden, dann flexxen die auch wieder mehr Mails weg.

Wie ĂŒblich, in die digitale Tonne damit!

DS GVO: Email TransportverschlĂŒsselung wird Pflicht sein

Posted on by

Willkommen im Chaos des Datenschutzes. Ich hatte ja schon lange den Verdacht, daß EMails auch nur noch mit TLS ĂŒbertragen werden dĂŒrfen, wenn man zum Datenschutz verpflichtet ist. Dabei habe ich mich aber immer gewundert, wieso das nie in der Presse steht. Jetzt wird sich das hoffentlich hektisch Ă€ndern.

Die Meinungen zur TLS VerschlĂŒsselung von Emails

Wie uns Rechtsanwalt Schwartmann auf seiner Webseite wissen lĂ€ĂŸt, ist ab Freitag aufgrund der Datenschutz Grundverordnung wahrscheinlich eine TLS VerschlĂŒsselung fĂŒr eingehende und ausgehende Emails Pflicht, sofern man ein Unternehmen betreibt oder aus anderen GrĂŒnden zum Datenschutz verpflichtet ist.

„Nach Ansicht des Landesbeauftragten fĂŒr Datenschutz und Informationsfreiheit Nordrhein-Westfalen ist eine TransportverschlĂŒsselung auf jeden Fall erforderlich:
BezĂŒglich der sicheren Implementierung der Transportebene hat das Bundesamt fĂŒr Sicherheit in der Informationstechnologie die Technische Richtlinie „BSI TR-03108-1: Secure E-Mail Transport“ herausgegeben.
Unter datenschutzrechtlichen Gesichtspunkten ist diese Richtlinie als Stand der Technik zu betrachten, so dass ihre Umsetzung eine notwendige Voraussetzung fĂŒr die datenschutzkonforme E-Mail-Kommunikation ist.

Quelle: https://www.rechtsanwalt-schwartmann.de/verschluesselungspflicht/
„(Ende Zitat)

Die Bundesbeauftragte fĂŒr den Datenschutz und die Informationsfreiheit hat uns heute morgen endlich wissen lassen, daß nur der Einsatz von TLS 1.2 in Frage kommt:

„Inwieweit ein Provider, der die Infrastruktur zur VerfĂŒgung stellt, eine Option anbieten muss, die ausschließlich den Empfang von TLS 1.2 transportverschlĂŒsselten E-Mails zulĂ€sst, beurteilt sich nach dem gegenwĂ€rtigen Stand der Technik.„

Der gegenwĂ€rtige Stand der Technik ist, daß TLS 1.2 seit 2008 das Maß der Dinge ist. Der Nachfolger TLS 1.3 wird aber bald kommen, da die Planung des Standards kĂŒrzlich beendet wurde. Das hĂ€lt aber gerade den BUND, wo die Information her ist, nicht davon ab, auch heute noch mit TLS 1.0 zu senden 😀 (Böser Dienstleister vom Bundmailserver 😉 )

IMHO

Ich schließe mich dieser Meinung an, da auch ich die DS GVO so interpretiere, daß alle KommunikationskanĂ€le verschlĂŒsselt sein mĂŒssen. Wie einfach das gehen kann, zeigt folgende Anleitung :

ZunĂ€chst mal wĂ€hlen wir im Account unter „Mailserver“ die „EMail-Options“ aus:

Nun aktivieren wir die beiden obersten Punkte:

„Verbindung zum Server benötigt VerschlĂŒsselung“ und „Empfangener Mailserver muß TLS benutzen“

Das war es dann auch schon, jetzt kommen nur noch TLS gesicherte EMails an den Mailserver ran. Damit entspricht das Mailserververhalten dem geltenden Datenschutzrecht.

Wer es ganz genau nehmen will, der mĂŒĂŸte auch noch DANE implementieren, da dies in einer BSI Richtlinie zum Thema gefordert wird. Da DANE aber AFAIK noch nicht 100% ausgereift ist, könnte der Teil schwierig werden, was nicht heißt, das einige Provider dies nicht schon implementiert hĂ€tten.

Bei Exim ist grade eine passende Diskussion gestartet worden.

Quellenlinks:

https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Technische-Anforderungen-an-technische-und-organisatorische-Massnahmen-beim-E-Mail-Versand/Technische-Anforderungen-an-technische-und-organisatorische-Massnahmen-beim-E-Mail-Versand.html

https://www.rechtsanwalt-schwartmann.de/verschluesselungspflicht/

https://www.bsi.bund.de/DE/Publikationen/TechnischeRichtlinien/tr03108/index_htm.html

Was passiert eigentlich, wenn …

Posted on by

… man ein Laptop mit einer verstĂ€rkenden WLAN Antenne in einem Cafe aufbaut, einen nicht geschĂŒtzten Hotspot startet und dann einen Störsender einsetzt, um alle anderen KanĂ€le zu blockieren? Die Polizei kommt deswegen jedenfalls nicht, das ist schon mal klar 😀

Man muß die anderen KanĂ€le nicht mal „stören“, das brutal starke extra aufgemotzte eigene Signal sollte eigentlich schon reichen, wenn es so ĂŒber die KanĂ€le streicht. Alle Handies in Reichweite sollten sich dann eigentlich sofort ins eigene Netz verbinden, weil es das stĂ€rkste ist und „das andere“ ( z.b. vom Hotspot des Cafes ) ĂŒberlagert.

Wird bestimmt spannend, wenn das mal jemand durchzieht.