Übungsaufgaben zu E-Mail-Diensten

• Ursache (2 Punkte): Bei POP3 lädt das Mailprogramm die Mails herunter und löscht sie danach in der üblichen Einstellung auf dem Server. Was das Tablet morgens abgeholt hat, ist für den Büro-PC nicht mehr vorhanden. Ordner gibt es bei POP3 nur lokal im jeweiligen Mailprogramm, das Protokoll kennt nur den Posteingang.

• Beurteilung (2 Punkte): Ja. Bei IMAP bleiben die Mails auf dem Server, alle Geräte zeigen denselben Stand. Gelesen-Markierungen, Ordner und Verschiebungen werden über den Server abgeglichen. Mails, die schon auf das Tablet heruntergeladen wurden, muss Bastian einmal in einen IMAP-Ordner verschieben, sonst fehlen sie am PC weiterhin.

• Betrieb (1 Punkt), z. B.: Alle Postfächer liegen dauerhaft auf dem Server. Er braucht deshalb genug Speicher und Größengrenzen je Postfach (Quota), und die Postfächer müssen regelmäßig gesichert werden.

Je vollständig richtiger Zeile 1 Punkt. Port 25 wird nur für die Annahme von Mails anderer Server freigegeben, nicht für die Mailprogramme der Beschäftigten.

ca) STARTTLS: Der Server bietet an, die zunächst unverschlüsselte Verbindung auf Port 143 per Befehl auf TLS umzustellen (1 Punkt). LOGINDISABLED: Solange die Verbindung unverschlüsselt ist, nimmt der Server keine Anmeldung mit Passwort an; erst nach STARTTLS bietet er sie an (1 Punkt). Mit der Verbindungssicherheit „Keine“ kann sich Natalias Mailprogramm deshalb nicht anmelden.

cb)

• „Verschlüsseltes Passwort“ steht für ein Challenge-Response-Verfahren wie CRAM-MD5. Der Server bietet es nicht an. Vor TLS bietet er nur GSSAPI (Kerberos) an, das eine Anmeldung in einer Domäne voraussetzt und in der Buchhaltung nicht funktioniert. Natalias Wahl scheitert also (1 Punkt).

• Sicherer wäre sie auch nicht: CRAM-MD5 gilt als veraltet, und der Server müsste die Passwörter dafür in umkehrbarer Form speichern. Im TLS-Tunnel ist das Passwort auch bei „Passwort, normal“ geschützt (1 Punkt).

• Änderungen (1 Punkt): Verbindungssicherheit STARTTLS mit Port 143 oder SSL/TLS mit Port 993, Authentifizierungsmethode Passwort, normal. Nach dem Aufbau von TLS bietet der Server die Passwort-Anmeldung (AUTH=PLAIN) an.

• Ursache (1 Punkt): Die Empfängeradresse gehört zu einer fremden Domain. Der Mailserver gibt Mails an fremde Domains nur weiter (Relay), wenn sich der Absender angemeldet hat. Natalias Mailprogramm hat sich beim Versand nicht angemeldet, daher „Relay access denied“ mit 554 5.7.1 (dauerhaft abgelehnt aus Richtliniengründen).

• Erwünscht (1 Punkt): Würde der Server ohne Anmeldung an beliebige Domains weiterleiten, wäre er ein offenes Relay. Fremde könnten darüber Spam verschicken, und die IP-Adresse der CSB-Rad GmbH stünde bald auf Sperrlisten.

• Fehlende Einstellung (1 Punkt): Beim Postausgangsserver (Port 587, STARTTLS) die Anmeldung mit Benutzername und Passwort (SMTP-AUTH) einschalten, z. B. mit denselben Zugangsdaten wie beim Posteingangsserver.

Ursache (2 Punkte): Das Ziel des MX-Eintrags steht in der Zonendatei ohne abschließenden Punkt. Ein Name ohne Punkt am Ende gilt als relativ, der Nameserver hängt den $ORIGIN (csb-rad.example.) an. So entsteht mail.csb-rad.example.csb-rad.example.. Zu diesem Namen gibt es keinen A-Eintrag. Fremde Mailserver erhalten über den MX-Eintrag keine IP-Adresse und können nicht zustellen. Interne Mails sind nicht betroffen, weil sie den Mailserver nicht über den MX-Eintrag suchen.

Korrektur (1 Punkt): @ IN MX 10 mail.csb-rad.example. (mit Punkt am Ende) oder relativ @ IN MX 10 mail. Danach die Seriennummer im SOA-Eintrag erhöhen, damit die sekundären Nameserver die geänderte Zone übernehmen.

fa) Der empfangende Server hat per DNS den SPF-Eintrag der Absenderdomain csb-rad.example abgefragt und geprüft, ob die IP-Adresse des einliefernden Servers darin als berechtigt aufgeführt ist (1 Punkt). Erlaubt sind nur die MX-Server (mail.csb-rad.example, 203.0.113.150) und die Server des Newsletter-Dienstleisters. Der Shop-Server 203.0.113.140 fehlt; wegen -all gilt er als nicht berechtigt (SPF fail), und die Mail wird abgelehnt. Eine DKIM-Signatur, die Vertrauen schaffen könnte, erzeugt der Shop-Server auch nicht (2 Punkte).

fb) Korrigierter Eintrag, z. B. (2 Punkte):

@  IN  TXT  "v=spf1 mx a:shop.csb-rad.example include:mail.versand.example -all"

Gleichwertig ist ip4:203.0.113.140 statt a:shop.csb-rad.example. Es darf nur einen SPF-Eintrag geben; ein zweiter TXT-Eintrag mit v=spf1 würde SPF ungültig machen. Alternativ verschickt der Shop seine Mails über den Mailserver (Submission mit Anmeldung); dann genügt der bisherige Eintrag.

Bewertung von +all (1 Punkt): Damit dürfte jeder Server der Welt im Namen von csb-rad.example senden. SPF wäre wirkungslos, gefälschte Absender würden nicht mehr erkannt, und manche Empfänger werten +all selbst als Spam-Merkmal. Der Vorschlag ist abzulehnen.

ga) Aus d=csb-rad.example und s=s2026 ergibt sich die Abfrage des TXT-Eintrags s2026._domainkey.csb-rad.example, der den öffentlichen Schlüssel enthält (1 Punkt). bh= enthält den Hashwert (hier SHA-256, Base64-codiert) des Mailinhalts zum Zeitpunkt des Signierens. Die eigentliche Signatur in b= sichert die in h= genannten Kopfzeilen und diesen Hashwert (1 Punkt).

gb) Der Mailserver hat den Hashwert über den Inhalt (bh=) gebildet und signiert, bevor das Gateway den Haftungshinweis angehängt hat. Beim Empfänger passt der neu berechnete Hash des veränderten Inhalts nicht mehr zum signierten Wert; die Integrität gilt als verletzt (2 Punkte). Lösung (1 Punkt): Den Haftungshinweis anhängen, bevor signiert wird, bzw. die DKIM-Signatur erst auf dem Gateway als letzter Station vor dem Internet erzeugen.

Eintrag für die Einführungsphase (2 Punkte):

_dmarc.csb-rad.example.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@csb-rad.example"

Mit p=none werden Mails, die die Prüfung nicht bestehen, weiterhin zugestellt; die Empfänger schicken aber Sammelberichte an die Adresse in rua. Daraus ist erkennbar, welche Server im Namen von csb-rad.example senden und ob sie SPF oder DKIM passend zur Absenderdomain bestehen.

Schrittweise Verschärfung (2 Punkte): Fehlende Absender (z. B. Shop, Newsletter-Dienst, Buchhaltungssoftware) in SPF aufnehmen bzw. mit DKIM signieren lassen, bis die Berichte keine berechtigten Fehlschläge mehr zeigen. Dann auf p=quarantine (verdächtige Mails in den Spamordner) und schließlich auf p=reject (ablehnen) umstellen.

Klare Position (1 Punkt): Die Aussage stimmt nur zum Teil; für diese Formulare reicht die Transportverschlüsselung nicht.

Je passendem, mit dem Text oder dem Fall begründetem Aspekt 1 Punkt, höchstens 6, z. B.:

Je richtig belegter Zeile 1 Punkt (4 Punkte).

Empfehlung (2 Punkte), z. B.: S/MIME für das Funktionspostfach der Schule, weil ein Zertifikat einer anerkannten CA den Eltern zeigt, dass der Schlüssel wirklich zur Schule gehört, und die Schul-IT Zertifikate zentral verwalten und erneuern kann. Zu bedenken ist: Eltern haben selten eigene Zertifikate oder Schlüssel. Verschlüsseln können sie mit dem öffentlichen Schlüssel der Schule auch ohne eigenes Zertifikat, viele werden es aber nicht schaffen. Eine Upload-Seite mit TLS in der App oder auf der Schulwebsite wäre deshalb eine einfachere Alternative. Andere begründete Empfehlungen sind ebenfalls richtig.

Zum Entschlüsseln wird der private Schlüssel gebraucht, der zum Zertifikat gehört, mit dessen öffentlichem Schlüssel verschlüsselt wurde. Er ist nur auf dem Büro-PC installiert, nicht auf dem Diensthandy (bzw. die Mail-App unterstützt S/MIME nicht). Lösung: Zertifikat mit privatem Schlüssel (z. B. als passwortgeschützte PKCS#12-Datei) über die Geräteverwaltung sicher auf das Handy übertragen und S/MIME in der App aktivieren (je Aspekt 1 Punkt).

Je Mail 1 Punkt (0,5 für den Umgang, 0,5 für das Merkmal):

1. Spam: unerwünschte Werbung, der Absender gibt sich nicht als jemand anderes aus. Als Spam markieren bzw. löschen.

2. Phishing: Die Mail gibt sich als Schul-IT aus, die Domain ist gefälscht (schul-it-0wl mit Null statt „o“), sie baut Zeitdruck auf und will über einen Link das Passwort erschleichen. Nicht klicken, sondern der Schul-IT melden, damit sie die Mail für alle sperren kann.

3. Schadsoftware: Die doppelte Endung .pdf.exe verrät ein ausführbares Programm, das sich als PDF tarnt. Den Anhang nicht öffnen, die Mail der Schul-IT melden und bei Familie Hartwig auf einem bekannten Weg (z. B. Telefon) nachfragen, ob die Mail wirklich von ihr stammt.

Je beschriebener Maßnahme 2 Punkte, z. B.:

Technisch:

• Eingehende Mails mit SPF, DKIM und DMARC prüfen; Mails, die sich als rrb.example oder schul-it-owl.example ausgeben, aber die Prüfung nicht bestehen, ablehnen oder in Quarantäne verschieben.

• Links in Mails umschreiben und beim Anklicken gegen Listen bekannter Phishing-Seiten prüfen; Anhänge in einer Sandbox prüfen und gefährliche Dateitypen sperren.

• Externe Mails im Betreff kennzeichnen („[EXTERN]“), damit gefälschte „interne“ Mails auffallen; Mails als Text statt HTML anzeigen.

• Mehr-Faktor-Anmeldung für die Postfächer, damit ein erbeutetes Passwort allein nicht reicht.

Organisatorisch:

• Regelmäßige Schulung der Beschäftigten im Sekretariat, z. B. mit Beispielmails, und eine klare Regel: Die Schul-IT fragt nie per Mail nach Passwörtern.

• Ein Meldeweg (Meldeknopf, Adresse der Schul-IT), über den verdächtige Mails schnell gemeldet und für alle gesperrt werden.

Ursache (1 Punkt): Der Mailserver der Schule prüft einliefernde Server gegen die Sperrliste dnsbl.example.org. Die IP-Adresse 198.51.100.77, über die die Mail des Vaters eingeliefert wurde (Server seines Mailanbieters), steht dort, z. B. weil von ihr Spam verschickt wurde. Der Code 554 5.7.1 bedeutet: dauerhaft abgelehnt aus Sicherheitsgründen.

Lösung (2 Punkte): Der Mailanbieter des Vaters muss die Ursache beseitigen und die Löschung von der Sperrliste beantragen. Kurzfristig kann der Vater eine andere Adresse nutzen oder das Formular im Sekretariat abgeben. Die Schul-IT kann die Adresse bzw. den Absender in ihrem Filter ausnahmsweise freigeben, sollte das aber nur nach Prüfung tun.

Erklärung (2 Punkte): Der lokale Teil der Absenderadresse (vor dem @) enthält Umlaute. Solche Adressen dürfen per SMTP nur übertragen werden, wenn beide Server die Erweiterung SMTPUTF8 unterstützen. Der Mailserver der Partnerschule bietet sie nicht an, deshalb kann der Mailserver der Schule die Mail nicht übergeben und schickt sie zurück. Der Domainteil ist weniger kritisch: Er wird als Punycode übertragen (xn--ratz-und-rbe-mlb.example), muss aber in SPF, DKIM und Zertifikaten in dieser Form eingerichtet werden.

Begründung (1 Punkt), z. B.: Nein. Die Lehrkräfte müssen auch Stellen erreichen, deren Server SMTPUTF8 nicht beherrschen; jede solche Mail käme zurück. Als Hauptadresse sollten Adressen ohne Umlaute dienen (guenther.schaefer@rrb.example), eine Umlaut-Adresse höchstens zusätzlich als Weiterleitung für eingehende Mails. Andere begründete Entscheidungen sind ebenfalls richtig.