Der deutsche Forscher Frank Rieger fand Mitte Juli heraus, dass der für Blackberry zuständige Konzern Research in Motion (RIM) E-Mail-Adressen und Passwörter unverschlüsselt auf seinen Servern speichert.

Wenn Sie im Blackberry-10-E-Mail-Klienten Ihre Informationen zu Passwörtern und POP- oder IMAP-Servern hinterlegen, werden diese unverschlüsselt an das kanadische Unternehmen gesendet. Dort sind sie für jeden, der auf die Netzwerke von RIM Zugriff hat, einsehbar.

Dies ist ein großes Problem im Bereich der Sicherheit und bedeutet einen tiefen Einschnitt in die Privatsphäre für Nutzer des E-Mail-Klienten. Rieger hatte RIM frühzeitig über dieses Problem informiert. Der Konzern weigerte sich jedoch standhaft, gegen dieses Problem aktiv vorzugehen. In einer offiziellen Aussage von RIM bestreitet ein Sprecher des Konzerns die Existenz einer „Hintertür“. Er behauptet weiterhin, dass der Discovery-Service keine Passwörter für E-Mail-Konten speichert.

Der Dienst werde laut RIM nur angeboten, um das Einrichten eines E-Mail-Kontos zu vereinfachen. Der Service und damit die Bestätigung seiner Nutzungsbedingungen könne auch umgangen werden. Dann müsste allerdings der E-Mail-Dienst manuell eingerichtet werden.

Allerdings kommt die Autorisierung einer Speicherung von Passwörtern in den Nutzungsbedingungen gar nicht vor.

Da er von den Antworten des Konzerns nicht überzeugt werden konnte, ging Frank Rieger nun einen Schritt weiter. Die Sicherheitsfirma Risk Based Security hat seine Kunden über das Problem unterrichtet und auch das FBI und andere öffentliche Stellen eingeschaltet, damit diese weitere Untersuchungen anstellen können.

Das Speichern der Daten ist für den E-Mail-Klienten keine Notwendigkeit. Auch ohne die nicht verschlüsselten Login-Daten ist ein problemloser Abruf der E-Mails möglich. Dies ist zum Beispiel bei dem Open-Source E-Mail App K-9-Mail für Android der Fall.

Es bleibt abzuwarten, welche Konsequenzen die Speicherung von Passwörtern und E-Mail-Daten für den angeschlagenen kanadischen Konzern haben wird.

Artikel von scmagazine.com, 30.07.2013: BlackBerry purportedly sending users‘ email credentials in cleartext