Sicherheit bei HTML Mails [erl.]

Hallo,
willkommen im Thunderbird-Forum!

Zitat von "Cascal"

ich hätte eine Frage zur HTML-Ansicht in Thunderbird.
Sollte man diese grundsätzlich immer deaktivieren

Aus Sicherheitsgründen - ja!

Zitat

Dubiose Anhänge oder Links werden natürlich ohnehin nicht aufgerufen bzw geöffnet.

Anhänge - egal von wem - sollten grundsätzlich zunächst in einem eigenen Ordner abgespeichert und von einer Antivirensoftware gescannt werden.

Hallo Julian,

Zitat

Inwieweit ist HTML im Mail-Programm denn gefährlicher als beispw. auf einer Webseite?

Eigentlich überhaupt nicht ... . Normalerweise ... .
Wenn du einen Browser und einen Mailclient mit gleicher Aktualität benutzt, solltest du davon ausgehen können, dass in beiden Programmen bekannt gewordene Sicherheitslücken auch annähernd zeitgleich geschlossen werden. Und da der Thunderbird von Hause aus bewusst nicht scriptfähig (*) ist, würde ich ihn sogar in dieser Beziehung als "sicherer" betrachten als ein Browser, wo JavaScript ja heutzutage fast "Pflicht" ist, um bestimmte Seiten anzeigen zu können.
(* Unverständlicherweise gibt es immer wieder User, diese diese Scriptfähigkeit nachrüsten wollen, um zum Bsp. in E-Mails eingebettete Sounddateien beim Empfänger abdudeln zu lassen ... .)

Ich sehe die Verwendung von Klickibunti aus zwei anderen Gründen als sehr kritisch:
1.) Es ist üblich, dass die Werbeindustrie und auch andere Neugierige in html-Mails sogenannte "Zählpixel" oder andere nachladbare Inhalte einbetten. Sinn dahinter - sie sehen auf ihren eigenen speziell dafür installierten Servern sofort, ob, wann und von wem ihre Mail geöffnet wurde. Ergebnis: Tracking des Users und höherer Gewinn beim Verkauf einer als aktiv bestätigten Adresse. Das kann auf diese Art mit einer Reintextmail nicht passieren => Datenschutz!

2.) In vielen Firmen und Behörden wird mit organisatorischen und/oder technischen Mitteln verhindert, dass Klickibuntimails direkt angezeigt werden. Und eine schlecht gemachte html-Mail sieht in solchen Fällen beim Empfänger echt besch***** aus.

Meine Empfehlung:
E-Mails grundsätzlich im Reintextformat senden und auch so anzeigen lassen. ("Grundsätzlich" lässt ja Ausnahmen zu ...)
Das sehr gute Add-on "Allow HTML Temp" installieren. Damit kannst du mit einem einzigen Klick jede gerade angezeigte E-Mail (bei vertrauenswürdigem Anbieter) im html-Format betrachten.

MfG Peter

In einer in HTML-Nachricht benötigt man noch nicht einmal Javasript, um Dir die übelsten Dinge unterzuschieben. Mir ist vor sehr vielen Jahren folgendes passiert:

Ich öffne im Büro eine E-Mail, die mir vom Betreff her plausibel erschien. Ehe ich auch nur Piep sagen konnte, wurde ich irgendwohin umgeleitet und mir wurde Pornographie übelster Art angeboten. Ich habe seinerzeit unseren Administrator informiert und die Polizei.

Des Rätsels Lösung war folgender Befehl in den Kopfdaten der HTML-Nachricht:
<meta http-equiv="refresh" content="0; URL=http://.../">

Damit wurde beim Öffnen der HTML-Mail sofort der Browser aufgerufen und die nach URL=http:// genannte Seite aufgerufen. Nach heutiger Rechtsprechung hätte ich mich möglicherweise allein durch das Öffnen der Nachricht strafbar gemacht, aufgrund der dargestellten Personen.

Laß bloß die Finger von HTML in E-Mail-Nachrichten. Du weißt nie, was Dich beim Öffnen einer solchen Nachrichten erwartet.

Klaas

Win 8.1, TB 24.3.0, diverse Provider mit POP und mit IMAP-Konten