Der Gmail-Skandal, der keiner ist

Daniel Weuthen, Director of EngineeringIn den vergangenen Tagen machte ein Thema in den Medien die Runde, welches sich wie der nächste große Datenskandal liest. Überschriften wie „Google gibt externen Firmen Zugriff auf Gmail-Konten von Nutzern“  oder „Gmail: Viele Entwickler haben Zugriff auf Ihre E-Mails!“ suggerieren, dass Google es mit dem Schutz von Gmail-Postfächern nicht so ernst nimmt. Aber stimmt das wirklich? Und wie ist es um andere Anbieter wie Yahoo! oder Microsoft gestellt?

Was war passiert?

Das Wall Street Journal schrieb am 2. Juli in seinem Artikel „Tech’s ‘Dirty Secret’: The App Developers Sifting Through Your Gmail“:

„[…] der Internetgigant erlaubt es hunderten externen Entwicklerfirmen, die Inboxen von Millionen von Gmail-Nutzern zu scannen, die sich für E-Mail-basierte Dienstleistungen wie Onlineshopping-Preisvergleiche, automatisierte Reiseplaner und andere Tools angemeldet haben. Google tut wenig, um deren Vorgehen zu kontrollieren.“

Bei genauer, beispielhafter Betrachtung des im Artikel genannten Online-Tools Earny, fällt auf, dass dieses neben Google, nicht nur Yahoo! und Microsoft Postfächer unterstützt, sondern man über den Link „Other Provider“ auch Zugriff auf Postfächer bei beliebigen anderen Anbietern gewähren kann. Anders als bei Google, Yahoo! oder Microsoft, welche das moderne OAuth-Anmeldeverfahren unterstützen, bittet Earny um die Eingabe der Zugangsdaten um auf das entsprechende Postfach zuzugreifen.

Volle Kontrolle dank OAuth

Der wesentliche Unterschied zwischen der Weitergabe von Zugangsdaten und der Autorisierung von Anwendungen oder Online-Diensten mittels OAuth, liegt in der Möglichkeit für jede Anwendung oder jeden Online-Dienst einzeln den genauen Umfang des Zugriffes zu kontrollieren und diesen ggf. wieder zu entziehen.

Berechtigt man z.B. erstmalig eine Anwendung zum Zugriff auf das eigene Google-, Yahoo-, oder Microsoft-Konto, wird dem Benutzer in einem sogenannten Consent-Dialog angezeigt wer worauf zugreifen möchte. Oft informiert im Anschluss eine E-Mail den Kontoinhaber zusätzlich über diese Aktivität.

Gmail-Zugriff von MailStore Server mittels OAuth
Consent Dialog zur Berechtigung von MailStore Server zum Zugriff auf ein Gmail-Postfach

Früher war gar nichts besser

Allzu oft wurden in der Vergangenheit ganze Nutzerkonten aufgrund von schwachen oder gestohlenen Kennwörtern übernommen und die Daten missbraucht, um z.B. Spam oder Viren zu verschicken oder sensible Daten wie Kreditkarteninformationen abzugreifen.

Google, Yahoo! und Microsoft haben daher in den vergangenen Jahren vieles unternommen, um derartigen Missbrauch zu unterbinden und den Kontozugriff sicherer zu gestalten. Zu den Maßnahmen gehört z.B. das Einführen von Zwei-Faktor-Authentifizierung, Autorisierung von Anwendungen oder Online-Diensten mittels OAuth und das Blockieren von „unsicheren Anwendungen“. Mit letzteren sind Anwendungen gemeint, welche Kenntnis über den Benutzernamen und das Kennwort erlangen müssen um auf das entsprechende Konto zuzugreifen. Somit erteilt man jedoch zwangsläufig einen uneingeschränkten Zugriff auf das gesamte Konto, also auch Kontakte, Kalender oder sonstige hinterlegten Daten, die für den eigentlichen Zweck der Anwendung evtl. gar nicht benötigt werden.

Übrigens, seit Version 9.7 von MailStore Server und MailStore Home wird zum Archivieren aus Gmail-Postfächern das sichere OAuth-Anmeldeverfahren unterstützt, wodurch unsere Produkte aus Sicht von Google als sichere Anwendung gelten.

Eine Frage des Vertrauens

Verbleiben bei klassischen Anwendungen wie MailStore Server oder MailStore Home sowohl die OAuth-Anmeldeinformationen als auch die Nutzdaten auf dem eigenen Computer, sieht dies bei Online-Diensten in der Regel anders aus. Dort werden die Anmelde und ggf. Nutzdaten auf den Servern der Dienstanbieter gespeichert und verarbeitet. Das bei einigen Online-Diensten, wo es primär darum geht die Inhalte von Emails korrekt zu verstehen und automatisierte Handlungen auszuführen, auch Entwickler mit den Daten in Kontakt kommen um die angebotenen Dienste kontinuierlich zu verbessert, ist dabei letztlich wohl kaum vermeidbar.

Schlussendlich stellt sich die Frage, ob Unternehmen wie Google, Yahoo! oder Microsoft die Verantwortung dafür tragen, was Drittanbieter-Anwendungen oder Online-Dienste mit den Daten der Nutzer tun. Zur Nutzung von OAuth ist es notwendig, dass die jeweiligen Entwickler zuvor Ihre Anwendung bei Google, Yahoo! oder Microsoft registriert und damit auch die notwendigen Berechtigungen hinterlegt haben. Erst dies ermöglicht es dem Benutzer die oben beschriebene Kontrollmöglichkeit auszuüben und ihm somit maximale Transparenz zu gewährleisten.

Am Ende ist es jedoch immer der mündige Nutzer, der einer Anwendung oder einem Online-Dienst sein Vertrauen schenkt und ihm Zugriff auf das eigene Postfach gewährt – mit oder ohne den Möglichkeiten die OAuth bietet.

Grundsätzlich sollten sich Nutzer bei Online-Diensten oder Anwendungen immer fragen:

  • Was ist das Geschäftsmodell hinter dem Dienst/der Anwendung?
  • Wie vertrauenswürdig ist das Unternehmen, welches den Dienst/die Anwendung anbietet?
  • Welche Zugriffsrechte benötigt der Dienst/die App und machen diese Rechte im Kontext der App Sinn?

Kein Zugriff auf archivierte Emails durch MailStore-Mitarbeiter

Auch wir bei MailStore erhalten hin und wieder Anfragen von Nutzern, ob wir Zugriff auf die archivierten E-Mails unserer Kunde haben. Diese Frage lässt sich mit gutem Gewissen verneinen, da unsere Produkte von Kunden selber in den eigenen Umgebungen installiert und betrieben werden.

Daniel Weuthen ist Director of Engineering bei der MailStore Software GmbH.



Ihre Antwort