Das hier beschriebene kann potenziell auch auf andere Virenscanner zutreffen.

Beim einrichten von Thunderbird bei einem Kunden meldete dieser ein Problem mit dem Zertifikat unserer Mailserver.

Von “mail.schnied.net” wird ein Zertifikat verwendet, welches von einer handelsüblichen CA ausgestellt ist und mit allen gängigen Mailclients problemlos funktioniert. In diesem Fall hat sich der auf dem Computer vorinstallierte Virenscanner “avast!” in die Kommunikation dazwischen geschaltet. Das macht er, um den Datenverkehr zwischen Client und Server nach Viren zu scannen. (Hoffen wir mal, dass er nur das macht.) Dazu gibt er sich dem Mailserver gegenüber als Mailclient aus und täuscht dem eigentlichen Mailclient vor, dass er der Mailserver ist und ein gültiges Zertifikat für diesen besitzt – was in diesem Fall in die Hose geht. Wenn man sich die Details ansieht, sieht das so aus:

Rein technisch betrachtet muss der Virenscanner das so machen, um den Emailverkehr scannen zu können, bevor er beim Endbenutzer ankommt. Vom Prinzip her ist das eine klassische Man-in-the-Middle-Attacke, welche genau so auch von bösen Buben praktiziert wird um Unfug zu treiben.

Ob man nun den Virenscan für die Emails abschaltet (was sowieso schon auf dem Mailserver gemacht wird), oder irgendein Programm in seine Mails schauen lässt und bewusst auf die Überprüfung der benutzten Zertifikate verzichtet, muss jeder Endbenutzer für sich entscheiden.

Eine Geschichte aus dem Support:

Ein Kunde konnte zwar seine Emails bei unseren Mailservern abrufen, aber das Versenden resultierte immer in einem Timeout. Da dieses Verhalten mit unterschiedlichen Geräten nur in seinem heimischen WLAN zu beobachten war, blieb als Fehlerquelle nur der DSL Router übrig.

Die Telekom hat in dem Router “Speedport W 724V” eine “Liste sicherer E-Mail-Server”. Wenn die Verwendung dieser Liste aktiviert ist, werden Verbindungen auf Port 25, 465 und 587 nur zu den Servern in dieser Liste erlaubt. Anhand welcher Kriterien Mailserver auf dieser Liste landen, ist unbekannt.

Um E-Mails mit Ihrem bei schnied.net gehosteten Mailaccount senden zu können, müssen Sie “mail.schnied.net” in diese Liste aufnehmen. Alternativ kann auch die Verwendung der Liste deaktiviert werden.