E-Mail-Sicherheit in Schweizer Spitälern: SPF, DMARC und DNSSEC

Nein. Alles, was hier gemessen wird, ist öffentlich und wird von jedem Besucher oder Mailserver ohnehin gelesen: die von der Startseite zurückgegebenen Header, DNS-Einträge, die bei jeder eingehenden E-Mail abgefragt werden, und die Datei security.txt, wo sie veröffentlicht ist. Hinzu kommen zwei öffentliche Datenbanken, die abgefragt werden, ohne die Organisation je zu kontaktieren: die in die Browser integrierte HSTS-Preload-Liste und die Routing-Datenbank des RIPE NCC (RIPEstat). Keine Penetrationstests, keine Suche nach Schwachstellen, keine Anmeldeversuche, keine abgeschickten Formulare. Eine einzige Anfrage pro Domain und Durchlauf dient allen Prüfungsfamilien zugleich, und der User-Agent der Sonden verweist auf diese Seite, damit ein Betreiber, der seine Protokolle prüft, weiss, woher der Datenverkehr stammt.

Zu veröffentlichen, dass eine bestimmte Website einen bestimmten Schutz nicht anwendet, kommt einer Liste von Angriffszielen gleich und hilft niemandem bei der Behebung. Diese Seite veröffentlicht daher aggregierte Werte: wie viele Organisationen die bewährten Praktiken anwenden, in welchem Umfang und wie sich die Lage entwickelt. Die Karte zeigt das Gesamturteil jeder Organisation, nie die Liste ihrer Mängel. Die Datei security.txt bildet eine Ausnahme und bleibt öffentlich, denn sie gibt an, wem eine Sicherheitslücke gemeldet werden kann.

Die verantwortliche Person für Informationssicherheit (CISO) der betreffenden Organisation oder des Gemeinwesens, dem sie angehört: Ein kantonaler CISO sieht den Kanton und alle Gemeinden dieses Kantons, ein kommunaler CISO die Gemeinde. Für Organisationen, die mehrere Einrichtungen koordinieren, gibt es branchenweite und nationale Zugänge.

Der Zugang steht den Sicherheitsverantwortlichen der erfassten Organisationen offen, auf Anfrage und nach Prüfung. In seinem Bereich bietet ein genehmigter Zugang das Detail Prüfung für Prüfung, die Liste der noch zu behebenden Punkte, den Verlauf jeder Organisation, ein PDF-Blatt sowie die konsolidierte Auswertung mit ihrem Massnahmenplan. Der Antrag erfolgt auf dieser Seite: Zugang beantragen.

Jede Prüfung hat ein Gewicht und einen Schweregrad. Das Ergebnis einer Prüfungsfamilie wird in drei Stufen bewertet: «Stark» ab 80 % der Punkte, «Teilweise» ab 40 %, «Zu verstärken» darunter. Danach gelten unabhängig von der Summe zwei Obergrenzen: Eine fehlgeschlagene kritische Prüfung führt auf «Zu verstärken» zurück, eine teilweise erfüllte kritische Prüfung oder eine fehlgeschlagene schwerwiegende Prüfung verhindert ein besseres Ergebnis als «Teilweise». Die Gesamtbewertung ist der Durchschnitt der Sonden, die ein Urteil geliefert haben, auf derselben Skala. Was nicht gemessen werden konnte, bleibt «Nicht bewertet» und fliesst nicht in diesen Durchschnitt ein. Mehr dazu: die Gewichte und Schweregrade im Detail, Prüfung für Prüfung.

Messwerte, die bei jeder Analyse erhoben werden, um zu informieren, ohne zu bewerten: IPv6-Erreichbarkeit von Website und Mailsystem, Eintrag in der HSTS-Preload-Liste der Browser, RPKI-Signatur der Route zum Server, im DNS verankertes Zertifikat der Mailserver (DANE), Werbe- oder Analyse-Tracker und Google Fonts, die von der Startseite geladen werden, sowie Betreiber und Registrierungsland der Adressen von Website und Mailsystem. Sie fliessen in kein Ergebnis ein: Diese Praktiken sind noch wenig verbreitet oder hängen vom Hoster ab, und eine Seite, die ohne Ausführung von Skripten gelesen wird, verrät nicht, ob ein Tracker auf die Einwilligung des Besuchers wartet. Das Land ist jenes, unter dem die Adresse registriert ist, in der Regel der Sitz des Betreibers, nicht der Standort des Servers. Die Öffentlichkeit sieht die Anteile pro Bereich; das Detail pro Organisation bleibt deren Sicherheitsverantwortlichen vorbehalten.

Jeder Bereich wird monatlich analysiert. Das genaue Datum der angezeigten Messung steht weiter oben auf dieser Seite am Anfang der Statistiken, und der Verlauf hält sie Monat für Monat fest. Eine Korrektur durch eine Organisation erscheint daher beim nächsten Durchlauf, nicht am selben Tag.

Nicht den Inhalt der Nachrichten, sondern die Möglichkeit für Dritte, im Namen der Domain zu schreiben. Die Prüfungen betreffen öffentliche DNS-Einträge, die jeder Mailserver beim Empfang einer E-Mail ohnehin abfragt. Sie werden in der DNS-Zone veröffentlicht, ohne die Website oder das Mailsystem selbst anzutasten. Sie gelten der Domain, die tatsächlich E-Mails versendet: Verwenden die Adressen einer Organisation nicht die Domain ihrer Website (zum Beispiel Adressen im Namen der Gemeinde für die Website eines Werkbetriebs), wird die Domain der Adressen gemessen. Die acht Standards, häufige Fallstricke und der Weg von p=none zu p=reject: der vollständige Leitfaden zur E-Mail-Sicherheit.

SPF legt fest, welche Server im Namen der Domain E-Mails versenden dürfen. DMARC teilt dem Empfänger mit, was mit Nachrichten geschehen soll, die diese Prüfung nicht bestehen – durchlassen, in Quarantäne verschieben oder ablehnen – und wohin die Berichte gehen: Ein SPF ohne DMARC stellt den Betrug fest, ohne ihn zu blockieren. DNSSEC signiert die DNS-Antworten, damit sie unterwegs nicht gefälscht werden können, und schützt so die beiden ersten – ein perfekter SPF nützt nichts, wenn die Antwort, die ihn transportiert, ersetzt werden kann. Hinzu kommen CAA (welche Zertifizierungsstellen ein Zertifikat für die Domain ausstellen dürfen), MTA-STS und TLS-RPT (Verschlüsselung des SMTP-Transports und Fehlerberichte). Die Rolle jedes Standards im Einzelnen: der Leitfaden zur E-Mail-Sicherheit.

DKIM zählt, und seine Signatur wird übrigens von DMARC verwendet. Es lässt sich jedoch nicht passiv messen: Anders als SPF und DMARC wird ein DKIM-Schlüssel unter einem frei wählbaren Selektor veröffentlicht (default._domainkey, google._domainkey, selector1._domainkey…). Ihn zu prüfen, setzte voraus, diesen Namen zu erraten, also Subdomains aufzuzählen – ausserhalb des passiven Vorgehens der hier durchgeführten Prüfungen. Die Funktionsweise von DKIM und sein Bezug zu DMARC: der Leitfaden zur E-Mail-Sicherheit.