UC-Integration und -Sicherheit: Die Quadratur des Kreises?, Teil 3

Anbieter zum Thema

Absicherung der E-Mail-Kommunikation einer TK-Applikation

Der Austausch von E-Mails zwischen TK-Applikation und E-Mail-Clients oder anderen Diensten unterliegt den gängigen Gefährdungen der E-Mail-Kommunikation. Im Bereich der TK-Applikationen sind vor allem Unified Messaging Server betroffen. Abhängig davon, ob es sich um ein True Unified Messaging (TUM) System mit vereinheitlichtem Posteingang auf dem E-Mail-Server handelt oder nicht, sind unterschiedliche Schnittstellen zu schützen:

Im Falle von TUM ist die Verbindung zwischen E-Mail- und UM-Server zu schützen, welche zum Nachrichtenaustausch benötigt wird und in der Regel auf SMTP oder MAPI-RPC basiert. Bei einer direkten Verbindung der beiden Systeme, etwa über ein einzelnes Netzwerkkabel, ist diese Verbindung meist nicht schutzbedürftig.

Anders stellt sich die Situation bei räumlicher Entfernung dar, eventuell sogar über die Grenzen des Standortnetzwerks hinaus, oder erhöhtem Schutzbedarf. Bei der Kommunikation per SMTP kann auf SSL oder TLS zur Authentisierung und Verschlüsselung zurückgegriffen werden. Bei MAPI-RPC muss man sich auf proprietäre Mechanismen zur Absicherung verlassen.

UM- und E-Mail-Server

Im Falle, dass Unified-Messaging-Server und E-Mail-Server dem Anwender separate Postfächer zur Verfügung stellen, muss der E-Mail-Client Verbindungen zu beiden Servern aufbauen. Wie die Verbindung zwischen Client und E-Mail-Server wird auch für die Verbindung von Client und UM-Server auf gängige Mail-Protokolle zurückgegriffen.

Das sind in der Hauptsache POP3 und SMTP sowie IMAP. Diese Protokolle sehen ursprünglich nur eine Übertragung der Authentisierungsdaten im Klartext vor. Im Falle von POP3 wurde nachträglich die Authentisierung mittels eines Hash-Verfahren spezifiziert, welches aber praktisch keine Relevanz hat.

Effektiver ist die Absicherung der kompletten Datenübertragung mittels SSL oder TLS. Dieses Verfahren ist für alle drei Protokolle spezifiziert.

Die Absicherung von E-Mail-Kommunikation ist bereits in den IT-Grundschutz-Katalogen des BSI umfassend beschrieben. Diese Maßnahmen sind nicht nur auf UM-Systeme sondern auch auf andere TK-Applikationen mit E-Mail-Schnittstelle anzuwenden.