Apples iCloud verschickt und empfängt Mail im Klartext

Auf Grund von Leseranfragen nach unserem E-Mail-Test in c't 4/2013 hat heise Security jetzt auch Apples Mail-Dienst iCloud nachgetestet. Dabei stellte sich heraus, dass E-Mails von und zu iCloud-Konten im Klartext übers Internet transportiert werden. Deren Meta-Daten – und falls der Anwender nicht selbst verschlüsselt auch die Inhalte – dürften sich also ziemlich komplett in den Datenbanken der NSA finden.

Apples iCloud Mail-Server liefern E-Mails offenbar grundsätzlich unverschlüsselt bei den jeweiligen Empfängern an; selbst wenn die empfangenden Mail-Server Verschlüsselung via starttls anboten, haben die Apple-Server diese Option bei unseren Tests nicht genutzt. Die für Adressen mit den charakteristischen Endungen @mac.com, @me.com und @icloud.com zuständigen Mail-Eingangs-Server (MX) bieten gar kein starttls an; ein Server, der eine Mail an eine solche Adresse loswerden will, muss die notgedrungen ebenfalls im Klartext abliefern. Wer E-Mail-Verkehr auf den Internet-Backbones einsammelt, hat bei Apples iCloud-Kunden also leichtes Spiel. Anders ist das übrigens bei Mails von Apple selbst; die gehen zumindest teilweise über den Ausgang-Server mail-out.apple.com raus, der die Übertragung an externe Server verschlüsselt.

Die für die konkrete iCloud-Mail-Nutzung vorgesehenen IMAP- und SMTP-Server verschlüsseln zwar, bieten dabei aber keine Forward Secrecy, nutzen das problematische RC4 und können nur TLS 1.0. Das bleibt weit hinter dem Stand der Technik zurück. Das Webmail-Frontend www.icloud.com kann zwar TLS 1.2 und sogar HSTS, verweigert aber Forward Secrecy, die verhindert, dass verschlüsselt gespeicherte Daten zu einem späteren Zeitpunkt dechiffriert werden können.

Alles in allem haben sich im c't-Test nur Microsofts Outlook.com und der Mini-Provider aikQ im c't-Test ähnlich gravierende Patzer geleistet. Alle anderen Mail-Anbieter nutzten die Option zum Verschlüsseln von E-Mails auf dem Transportweg. Auf das gestern erfolgte Angebot, diesen Sachverhalt zu kommentieren, antwortete die Pressestelle gar nicht und das Security-Team nur mit einem lapidaren "Danke, für die Vorschläge zur Verbesserung der Sicherheit". Die Frage, ob Apple an einer Verbesserung der Situation arbeitet, blieb unbeantwortet. (ju)