Nach Angaben des Facebug Blog ist man nach dem Login bei GMX Mail nicht geschützt bzw. die Session wird nach dem Login nicht mehr mit SSL verschlüsselt.
Außerdem fand Facebug heraus, dass dies ebenfalls Auswirkungen auf die Kommunikation zwischen ADserver und GMX Plattform hat. Denn diese tauschen möglicherweise unverschlüsselt persönliche Daten aus.
Die Vorwürfe wurden von einem Unternehmenssprecher bestätigt, so golem.de.
Gründe für dieses Vorgehen sind, laut GMX-Sprecher, drastische Performance-Rückgänge, wenn nach dem Login verschlüsselt kommuniziert werden würde. Im gleichen Atemzug sagt der Unternehmenssprecher allerdings, dass diese Performance-Rückgänge beim kostenpflichtigen GMX-Account, bei dem nach dem Login verschlüsselte Kommunikation stattfindet, nicht vorzufinden sind. Komisch!?!
Auch die unverschlüsselte Kommunikation zwischen ADserver und Webmailer wurde seitens GMX bestätigt (siehe golem.de). Allerdings beteuert der Sprecher, dass diese Daten nicht an Werbetreibende weitergegeben werden und bisher noch kein Fall von Datendiebstahl vorliegt.
Solche Sicherheitslücken sind sicherlich auch bei anderen E-Mail Anbietern zu finden. Allerdings sind GMX und web.de wohlmöglich die meist genutzten E-Mail Anbieter in Deutschland. Daher sehe ich diese Vorgehensweise schon als sehr fahrlässig an.
