Löcher in Microsoft Mail, Outlook & Sidebar
Windows wird immer löchriger: Jetzt warnt das BSI via Bürger-CERT vor Microsoft Outlook bis einschließlich Outlook 2003), Microsoft Outlook Express, Microsoft Windows Mail, Microsoft Windows Live Mail, dem Microsoft Hilfesystem und der Microsoft Sidebar. *grusel*
von Andreas am 20. Jan 2010
twittern
facebooken
Das Bundesamt für Sicherheit in der Informationstechnik warnt in dieser Meldung vom 19.1. nun nicht mehr nur vor dem Internet Explorer, sondern auch vor zahlreichen anderen Microsoft-Anwendungen. Der Grund: Alle diese Anwendungen greifen auf die HTML-Bibliothek mshtml.dll zu, und die ist es, die sich exploiten lässt.
Gegenmaßnahmen:
Hilfe-Dateien (Dateiendung CHM) meiden
Da auch das Microsoft Hilfesystem betreffen ist, sollten keine Hilfedateien mit der (meist, aber nicht nur) Dateiendung ".chm" aus unsicheren Quellen geöffnet werden. Die eingebaute Hilfe in Windows ist okay, aber eben kein Doppelklick auf Hilfe-Dateien aus dem Web.
Microsoft-Mail-Programme meiden
ScareWare.de empfiehlt den Umstieg auf alternative Mail-Programme, zum Beispiel
- Thunderbird
mozillamessaging.com/de/thunderbird/ - Opera Mail (ist Teil des Opera-Browsers)
opera.com/mail/ - Eudora (war einst top, es gibt ne neue Beta für Experimentierfreudige)
eudora.com/betas/ - Pegasus Mail (war einst top, ist immer noch passabel)
pmail.com - The Bat! ($$$-kommerziell, aber toll)
ritlabs.com
Es gilt die ScareWare.de-Regel: Je exotischer, desto sicherer.
Webmail statt Microsoft Mail
Wer seine Microsoft-Mail-Programme mit Freemail-Accounts verknüpft hat, tut gut daran, diese ausschliesslich via Web-Mail zu nutzen, bis bekannt ist, dass ein Patch den Exploit behoben hat.
Eingeschränkte Zone statt Internet-Zone
Das BSI empfiehlt bei Microsoft Outlook, Outlook Express, Windows Mail, Windows Live Mail die Nutzung der "Eingeschränkten Zone" (anstelle der "Internet-Zone") zur Anzeige von E-Mails, weil in der eingeschränkten Zone die Ausführung von Active Scripting per Vorgabe unterbunden ist (das sollte man checken, obs noch so ist). Zusätzlich sollte die Anzeige von HTML-E-Mails deaktiviert werden.
In Windows Live Mail drücken Sie [Alt m], wählen im Menü "Sicherheitsoptionen...", wechseln ins Register "Sicherheit" und wählen dort die "Zone für eingeschränkte Sites" aus.
Weniger zweckmäßig, aber sicherer: eingeschränkte Zone
Microsoft Sidebar abschalten
Laut BSI sind Angriffe über die Sidebar schwieriger durchführbar. Wer dieses Risiko trotzdem vermeiden möchte, sollte bis zur Bereitstellung eines Patches auf die Sidebar verzichten.
- Sidebar in Vista abschalten: Klicken Sie im Systray rechts unten mit der rechten Maustaste auf das Sidebar-Icon und wählen Sie im Kontextmenü „Eigenschaften“. Deaktivieren Sie die Option „Sidebar beim Start von Windows starten“. Dann „OK“. Wer das Ding später wieder anschalten will: Es geht über die Systemsteuerung. Einfach im Suchfeld suchen.
- Sidebar in Windows 7 abschalten: In Windows 7 ist die Sidebar per Vorgabe nicht aktiv.
Einen Aus-Schalter hat Microsoft vergessen (GNA!).
Es geht manuell: [Windows R] drücken, regedit.exe eingeben, Schlüssel HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run öffnen, Eintrag "Sidebar" löschen.
