Email Client Thunderbird absichern

Im heutigen Beitrag schauen wir uns an, wir unseren Email Client, in diesem Fall Thunderbird, besser schützen und absichern können. In unserer digital vernetzten Welt ist die E-Mail-Kommunikation das Rückgrat des beruflichen und privaten Austausches. Fast jeder nutzt sie täglich, aber nicht alle sind sich der Risiken und Fallstricke bewusst, die mit der Nutzung von E-Mail-Diensten über Webbrowser verbunden sind. In diesem Blogbeitrag werden wir uns damit beschäftigen, warum die Verwendung eines dedizierten E-Mail-Clients nicht nur eine Frage des Komforts, sondern auch eine der Sicherheit und Privatsphäre ist.

Die Wahl des richtigen Mediums für den E-Mail-Verkehr ist entscheidend, um sowohl die persönlichen Informationen als auch die sensiblen Daten deiner Kommunikation zu schützen. Während die meisten E-Mail-Provider eine einfache und bequeme Möglichkeit bieten, E-Mails über ein Webinterface zu verwalten, übersehen viele dabei die potenziellen Sicherheitsrisiken. Von Phishing-Angriffen bis hin zu unerwünschtem Tracking – die Gefahren sind vielfältig und sollten nicht unterschätzt werden.

In diesem Artikel beleuchten wir die Vorteile eines E-Mail-Clients gegenüber der Nutzung von Webmail-Diensten. Besonders wird der Fokus auf Mozilla Thunderbird gelegt, einem E-Mail-Client, der nicht nur in Linux/Unix-Distributionen, sondern auch auf Windows und MacOS verfügbar ist. Wir werden auch darauf eingehen, wie man beim Herunterladen von Thunderbird Telemetrie vermeiden kann – ein Aspekt, der gerade für diejenigen wichtig ist, die Wert auf maximale Privatsphäre und Sicherheit legen.

Warum ist ein Email Client die bessere Wahl

Obwohl E-Mail-Provider das Verwalten von E-Mails über Browser-Webinterfaces ermöglichen, bietet ein spezialisierter E-Mail-Client deutliche Sicherheitsvorteile:

• Browser sind anfälliger für Internetangriffe, da sie für eine breite Palette von Webfunktionalitäten konzipiert sind. Im Gegensatz dazu ist ein E-Mail-Client speziell für die sichere Bearbeitung von E-Mails optimiert.
• Ende-zu-Ende Verschlüsselung, ein Schlüsselaspekt der E-Mail-Sicherheit, ist in Browsern oft nicht vollständig umsetzbar. E-Mail-Clients bieten hier robustere, lokale Verschlüsselungsoptionen.
• Bei der Nutzung von Webinterfaces können einige E-Mail-Provider, wie WEB.de und GMX.de, nicht alle Tracking-Elemente blockieren. E-Mail-Clients ermöglichen hingegen eine privatere Leseerfahrung ohne unerwünschtes Tracking.

Emails Verschlüsseln

Wir haben einen Beitrag geschrieben wie man seine Mails mit OpenPGP auf dem Thunderbird Client und auf K-9 Mail auf dem Android Smartphone beispielsweise komplett verschlüsselt. Dieser Betrag widmet sich eher der Härtung des Email Clients an sich. Schaut bei den Links vorbei, falls Ihr wissen wollt, wie Ihr Eure Emails sicher verschlüsselt.

Erste Schritte und wichtige Einstellungen

Wir schauen uns die wichtigsten Einstellung des Thunderbird Clients an und kümmern uns um Einstellungen im Client selber, müssen aber einige Einstellungen via CLI tätigen da tiefergreifende Änderungen nicht über die Bedienoberfläche möglich sind. Dazu müssen wir die user.js im Profil-Ordner ähnlich wie beim Firefox Browser abhändern. Ihr findet das aktuelle Profil heraus, indem Ihr im Client selber oben rechts auf die 3 Striche klickt, danach auf Hilfe geht und dort Informationen zur Fehlerbehebung auswählt. Dort klickt Ihr dann auf das Feld Ordner öffnen.

Ihr landet dann In Eurem Datein-Explorer im Profil Eures Email Accounts. Dort scrollt Ihr nach unten, und könnt nun die profilspezifische user.js bearbeiten.

Firefox selber bietet auch eine Einstellungen mit der Ihr die Settings direkt bearbeiten könnt. Dazu geht Ihr in die Einstellungen unten links, danach auf Allgemein und scrollt runter zum Button Konfiguration bearbeiten.

Es öffnet sich ein Fenster, mit allen Konfigurationen zu Eurem aktuellen Profil. Die Werte können direkt angepasst werden. Um alle Werte anzeigen zu lassen, klickt oben in der Mitte alle Konfigurationen anzeigen. Mittels Suchfunktion könnt Ihr auch direkt zu bestimmten Settings springen.

GUI Änderungen

Wir schauen uns die wichtigsten Änderungen an, die wir über die Benutzeroberfläche von Thunderbird selber tätige können.

Hauptpasswort festlegen

Thunderbird speichert E-Mail-Account-Passwörter anfangs unverschlüsselt. Um Missbrauch zu verhindern, sollte man ein Masterpasswort in den Einstellungen unter "Datenschutz & Sicherheit" konfigurieren, das die Passwort-DB verschlüsselt. Es wird empfohlen, dasselbe Masterpasswort für alle lokalen Passwort-Datenbanken zu verwenden, jedoch unterschiedliche Passwörter für Online-Accounts.

Startseite deaktivieren

Beim Start ruft Thunderbird die folgende URL auf und sendet damit die Lokalisierung, die Version, das verwendete Betriebssystem und die Build-Version an Mozilla: https://live.mozillamessaging.com/thunderbird/start?locale=de∓version=52.7.0&os=Linux&buildid=2018052209212 Nach zwei Redirect landet man auf der Daily Info-Seite für Thunderbird, die dann angezeigt wird. Dabei wird auch ein Cookie vom CDN Cloudflare gesetzt: Cookie: __cfduid = db3d6dc0bc91daa40e2a593c3fd645a591527576106 Den Aufruf der Daily Info-Seite bei jedem Start von Thunderbird kann man abschalten:

Adressbuch Autovervollständigung deaktivieren

In dem Adressbuch "Gesammelte Adressen" werden die E-Mail Adressen der Empfänger aus den versendeten E-Mails gesammelt. Diese E-Mail Adressen stehen für die Autocomplete Funktion beim Schreiben einer E-Mail zur Verfügung.

Wenn man die E-Mail Adressen der Empfänger nicht automatisiert speichern möchte, dann kann man das kann man das Feature in der Sektion "Verfassen" abschalten.

HTML spezifische Optimierungen

Die Integration von HTML in E-Mails eröffnet dem Sender eine Vielzahl von Überwachungstechniken: Von HTML-Bugs über Java-Applets und JavaScript bis hin zu Cookies stehen mehrere Methoden zur Nutzerbeobachtung zur Verfügung. Unternehmen wie ReadNotify machen sich diese Techniken zunutze, um E-Mails so zu gestalten, dass das Verhalten der Empfänger verfolgt werden kann (User-Tracking).

Obwohl Thunderbird standardmäßig zahlreiche Tracking-Elemente sowie Spam in HTML-E-Mails blockiert, ist es dennoch ratsam, E-Mails im reinen Textformat (Plain Text) zu lesen. Dies vereinfacht nicht nur die Erkennung von Phishing-Versuchen, sondern schützt auch vor verstecktem Tracking. Diese Einstellung lässt sich unter dem Pfad Mehr → Ansicht → Nachrichteninhalt in der geöffneten E-Mail vornehmen.

Ein gängiges Beispiel für Tracking in HTML-E-Mails ist das Einbetten eines unsichtbaren, 1x1 Pixel großen Bildes, auch "Web-Beacon" genannt. Wenn die E-Mail geöffnet wird, lädt der E-Mail-Client dieses Bild von einem Server herunter. Dieser Download teilt dem Server mit, dass die E-Mail geöffnet wurde, und kann zusätzliche Informationen wie die Zeit des Öffnens, die IP-Adresse des Empfängers und den Typ des E-Mail-Clients übermitteln. Diese Informationen ermöglichen es dem Sender, detaillierte Einblicke in das Verhalten des Empfängers zu erhalten.

Alternativ kann könnte man in den erweiterten Einstellungen folgende Werte per Standard für alle Emails setzen:

mailnews.display.prefer_plaintext = true
mailnews.display.html_as = 1

Es empfiehlt sich, die Funktion „Anhänge eingebunden anzeigen“ zu deaktivieren. Dadurch verhindert man, dass potenziell gefährliche Dateianhänge automatisch beim Öffnen einer E-Mail geladen werden, was das Risiko einer Virusinfektion reduziert. Um diese Sicherheitsmaßnahme zu aktivieren, kann in den erweiterten Einstellungen von Thunderbird der Parameter mail.inline_attachments = false gesetzt werden.

Das Lesen von E-Mails im reinen Textformat ist nicht immer eine Option oder direkt ersichtlich. Viele Newsletter, Benachrichtigungen von Plattformen wie eBay und ähnliche Kommunikationen werden ausschließlich im HTML-Format versendet. Diese HTML-only E-Mails enthalten oft mehrere Trackingelemente, was die Privatsphäre des Nutzers beeinträchtigen kann. In solchen Fällen ist besondere Vorsicht geboten, da der Wechsel zu einem reinen Textformat nicht immer möglich ist.

• Um solche E-Mails dennoch lesen zu können, wenn auch nicht in ihrer vollen optischen Ausgestaltung, kann die Option "Vereinfachtes HTML" gewählt werden. Wichtig ist dabei, die Anzeigeoption anschließend wieder auf "Reinen Text" umzustellen.
• Das Add-on "Allow-HTML-Temp" fügt in der Funktionsleiste von Thunderbird einen Button hinzu, der es ermöglicht, vorübergehend in die HTML-Ansicht einer E-Mail zu wechseln. Nachdem man zur nächsten E-Mail navigiert, stellt sich die Ansicht automatisch auf den Standardmodus zurück. Zusätzlich kann eine Tastenkombination festgelegt werden, um schnell zwischen den Ansichten zu wechseln.
• Des Weiteren besteht die Möglichkeit, bestimmte Funktionen in den "Erweiterten Einstellungen" von Thunderbird zu deaktivieren. Diese sind hauptsächlich für die Anzeige von "Original HTML" in E-Mails oder RSS-Feeds von Bedeutung oder betreffen andere Komponenten, die den HTML-Viewer verwenden. Dazugehörige Parameter Werte:

beacon.enabled --> false
layout.css.visited_links_enabled --> false
media.hardware-video-decoding.enabled --> false
gfx.downloadable_fonts.enabled --> false
gfx.downloadable_fonts.enabled --> false
network.cookie.cookieBehavior2 network.IDN_show_punycode --> true
network.http.sendRefererHeader --> 0
network.http.referer.XOriginPolicy --> 2
security.family_safety.mode --> 0

Erweiterte Änderungen in der Konfiguration von Thunderbird

Wir schauen uns hier nun weitere spezifischere Änderungen bzgl. der Erweiterten Konfiguration von Thunderbird an.

Privacy optimierte Settings

Es ist nützlich, im E-Mail-Kopf zusätzliche Informationen anzeigen zu lassen, wie die vollständige E-Mail-Adresse des Absenders anstatt nur den Namen des Absenders (aktiviert durch mail.showCondensedAddresses = false) und beide Absenderinformationen, falls FROM und SENDER Header Informationen vorhanden sind (mailnews.headers.showSender = true). Die Anzeige des vom Absender verwendeten E-Mail-Programms kann durch mailnews.headers.showUserAgent = true aktiviert werden. In Thunderbird 115+ kann das Senden der User-Agent-Kennung mit mailnews.headers.sendUserAgent = false deaktiviert werden. Damit sehen Eure Kontakte nicht, welchen Email Client Ihr verwendet.

Alternativ könnte man eine minimale User-Agent Kennung aktivieren, die nur "Thunderbird" enthält aber nicht die Version und Betriebssystem: mailnews.headers.useMinimalUserAgent = true

Das Laden externer Bilder in HTML-Mails sollte blockiert werden, um Tracking zu verhindern (permissions.default.image = 2). Links in HTML-Mails, die über Trackingservices laufen, sollten vermieden werden. Javascript wird in E-Mails generell nicht ausgeführt, aber für einige Funktionen wie OAuth 2.0 Authentifizierung benötigt. Sicherheitsoptionen für Javascript können durch javascript.options.baselinejit = false, javascript.options.ion = false und javascript.options.native_regexp = false verbessert werden.

Thunderbird sendet im SMTP-Dialog die lokale IP-Adresse, die in den Erweiterten Einstellungen durch mail.smtpserver.default.hello_argument = [127.0.0.1] gefälscht werden kann. Beim Start ruft Thunderbird eine URL auf, die Lokalisierung und Systemdaten an Mozilla sendet. Dies kann durch mailnews.start_page.enabled = false deaktiviert werden. Die "Gesammelten Adressen" im Adressbuch können automatisch gespeichert werden, dies kann jedoch abgeschaltet werden (mail.collect_email_address_outgoing = false).

Thunderbird's Extension Blocklist, die Mozilla zur Deaktivierung bösartiger Add-ons nutzen kann, sowie die tägliche Kontaktaufnahme mit dem AMO-Server von Mozilla zur Statusüberprüfung installierter Add-ons, können in den "Erweiterten Einstellungen" deaktiviert werden (extensions.blocklist.enabled = false, extensions.getAddons.cache.enabled = false). Die Übertragung von Telemetriedaten an Mozilla lässt sich mit datareporting.policy.dataSubmissionEnabled = false und datareporting.healthreport.uploadEnabled = false unterbinden.

Die Safebrowsing-Funktion, die in Thunderbird ähnlich wie in Firefox ESR genutzt wird, kann deaktiviert werden, um vollständigen Schutz gegen Phishing und Malware durch regelmäßige Systemupdates zu gewährleisten. Verschiedene Safebrowsing-Optionen können durch entsprechende Variablen abgeschaltet werden. Safebrowsing geschieht in erster Linie durch den Nutzer, dazu benötigt man in der Regel kein Werkzeug der das für Euch erledigt. Indem Ihr sensibilisiert seid, und sicher surft, seid Ihr am besten geschützt. Dazugehörige Parameter wären:

browser.safebrowsing.phishing.enabled = false
browser.safebrowsing.malware.enabled = false
browser.safebrowsing.blockedURIs.enabled = false
browser.safebrowsing.downloads.enabled = false
browser.safebrowsing.downloads.remote.enabled = false
browser.safebrowsing.downloads.remote.block_dangerous = false
browser.safebrowsing.downloads.remote.block_dangerous_host = false
browser.safebrowsing.downloads.remote.block_potentially_unwanted = false
browser.safebrowsing.downloads.remote.block_uncommon = false

Thunderbird kontaktiert bei jedem Start den Remote Settings Server von Mozilla, was durch Setzen der Serveradresse auf eine ungültige URL verhindert werden kann (services.settings.server = https://hier-kann-irgendwas-stehen/v1).

Alle Übertragungen von Telemetriedaten, Healthreport usw. an Mozilla unterbindet man ab Thunderbird 45 mit folgendem globalen Kill-Switch: datareporting.policy.dataSubmissionEnabled = false
datareporting.healthreport.uploadEnabled = false

Außerdem können einige Telemtrie-Funktionen zusätzlich deaktiviert werden:

toolkit.telemetry.archive.enabled = false
toolkit.telemetry.bhrPing.enabled = false
toolkit.telemetry.updatePing.enabled = false
toolkit.telemetry.unified = false

Auf Sicherheit optimierte Settings

Die Transportverschlüsselung (TLS) schützt die Kommunikation zwischen E-Mail-Clients und Mailservern vor Lauschangriffen. Seit der Anfangszeit des Internets wird TLS kontinuierlich weiterentwickelt, um mit den neuesten Erkenntnissen in der Kryptographie Schritt zu halten. Allerdings werden oft ältere, weniger sichere Versionen aus Kompatibilitätsgründen beibehalten.

TLS1.3 Max Security Einstellungen

Aktuell wird nur TLS 1.3 als vollständig sicher angesehen. In TLS 1.3 wurde ein Zero-Round-Trip Handshake eingeführt, um die Verbindungsaufbauzeit zu verkürzen. Dieses Feature wird jedoch von Sicherheitsexperten kritisch gesehen und kann in Thunderbird deaktiviert werden. TLS 1.2 hat Sicherheitseinschränkungen, da nicht alle Cipher-Suiten als sicher gelten. Laut IETF RFC 7525 und BSI TR-03116-4 sind nur bestimmte Ciphersuiten sicher, einschließlich TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 und TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256.

Neuere CHACHA20-POLY1305 Ciphersuiten sind ebenfalls sicher. Bei DHE-Ciphersuiten ist Vorsicht geboten, insbesondere bei der Verwendung von 1024 Bit DH-Parametern, die als unsicher gelten. TLS 1.0 und TLS 1.1 sind unsicher und werden in Thunderbird nicht mehr genutzt.

Für eine TLS 1.3-only Konfiguration in Thunderbird kann man security.tls.version.min = 4 setzen und den Zero-Round-Trip Handshake mit security.tls.enable_0rtt_data = false deaktivieren. Diese Einstellung funktioniert mit sicherheitsorientierten E-Mail-Providern, kann aber bei anderen zu Problemen führen.

Der Mozilla-Server unterstützt kein TLS 1.3, was bei Thunderbird-Updates zu Schwierigkeiten führen kann. Alternativ kann Thunderbird manuell heruntergeladen bzw. geupdated werden, oder eine TLS 1.2-gesicherte Konfiguration verwendet werden. Auch beim Abrufen einiger RSS-Feeds kann es zu Problemen kommen, wenn der bereitstellende Webserver kein TLS 1.3 unterstützt.

TLS1.2 gesicherte Einstellungen (Compatibility)

Standardmäßig erlaubt Thunderbird die Nutzung von TLS 1.2 und TLS 1.3 zusammen. Wenn TLS 1.2 weiterhin benötigt wird, sollten schwache Cipher-Suiten deaktiviert werden. Empfohlene Einstellungen beinhalten das Deaktivieren verschiedener security.ssl3-Optionen:

security.tls.version.fallback-limit 3
security.tls.version.max 4
security.tls.version.min 4

security.ssl3.ecdhe_ecdsa_aes_128_sha = false
security.ssl3.ecdhe_ecdsa_aes_256_sha = false
security.ssl3.ecdhe_rsa_aes_128_sha = false
security.ssl3.ecdhe_rsa_aes_256_sha = false
security.ssl3.rsa_aes_128_sha = false
security.ssl3.rsa_aes_256_sha = false
security.ssl3.rsa_des_ede3_sha = false

Zusätzliche Sicherheitseinstellungen

Zusätzliche Sicherheitseinstellungen umfassen das Verbieten unsicherer Renegotiation, um Credential-Diebstahl zu verhindern, und das Erzwingen strengen Zertifikate-Pinnings. Für RSS-Feeds und Webseitenansichten in Feeds kann der HTTPS-only Modus aktiviert werden, um das Laden unverschlüsselten Inhalts zu verhindern:

security.ssl.require_safe_negotiation = true
security.ssl.treat_unsafe_negotiation_as_broken = true
security.cert_pinning.enforcement_level = 2
dom.security.https_only_mode = true
security.mixed_content.upgrade_display_content = true
security.mixed_content.block_object_subrequest = true

Sollten ungewöhnliche Fehlermeldungen beim Abrufen oder Senden von E-Mails auftreten, deutet dies auf Probleme bei der sicheren Verbindung hin, und ein Wechsel des E-Mail-Providers könnte sinnvoll sein.

Fertige user.js Konfigurationen

Für Thunderbird stehen zwei "user.js" Konfiguration zum Download auf dem privacy.handbuch bereit. Sehr nützlich um nicht alle Einstellungen per Hand tätigen zu müssen. Die "user.js" Datei ist im Profilverzeichnis von Thunderbird zu speichern. Sie wird beim Start von Thunderbird eingelesen und überschreibt die Einstellungen die Ihr in der Benutzeroberfläche von Thunderbird getätigt habt. Mit moderat habt Ihr eine etwas weniger einschränkendes Setup, welches die Usability in den Vordergrund setzt.

Die moderaten user.js Konfiguration setzt folgende Einstellungen

• Schutzorientierte Konfiguration für E-Mail- und RSS-Feed-Lektüre: Optimierung der Einstellungen, um Sicherheit beim Lesen von E-Mails und RSS-Feeds zu gewährleisten.
• Datenschutzorientierte Browsereinstellungen für HTML-Ansichten: Anpassen der Browseroptionen in Thunderbird für eine privacy-fokussierte Ansicht von HTML-Inhalten.
• Verfassen von E-Mails im reinen Textformat: Empfehlung, E-Mails standardmäßig als Textmails statt in HTML zu schreiben, um Sicherheit zu erhöhen.
• Sichere Konfiguration für den Kontoeinrichtungsassistenten: Nutzung von TLS-only Einstellungen im Account-Wizard zur Gewährleistung einer sicheren Verbindung.
• Abschaltung von Thunderbirds Telemetriediensten: Deaktivieren der Funktionen in Thunderbird, die Nutzungsdaten sammeln und senden.
• Verzicht auf die farbenfrohe HTML-Startseite aus externen Quellen: Entfernen der standardmäßigen, von externen Servern geladenen HTML-Startseite in Thunderbird.
• Blockierung der Verbindung zum Remote-Einstellungsserver von Mozilla: Unterbindung jeglicher Kommunikation von Thunderbird mit Mozillas Remote-Einstellungsserver.
• Aktualisierung auf die neuesten TLS-Sicherheitseinstellungen: Implementierung der modernsten und sichersten TLS-Konfigurationen entsprechend den aktuellen technischen Standards.
• Vermeidung des Durchsickerns interner IP-Adressen beim E-Mail-Versand: Gewährleistung, dass beim Senden von E-Mails keine internen IP-Adressen preisgegeben werden.
• Empfehlungen für sicherheitsorientierte Add-ons und Deaktivierung des Add-on-Cache: Auswahl und Empfehlung sicherer Erweiterungen für Thunderbird sowie Deaktivierung der Add-on-Cache-Funktion.
• Nutzung externer GnuPG-Software für die Verwaltung privater OpenPGP-Schlüssel: Verwaltung der privaten OpenPGP-Schlüssel außerhalb von Thunderbird mit der externen GnuPG-Software.

In der strengen user.js Konfiguration werden außerdem folgende Features deaktiviert:

• Keine Speicherung von Empfänger-E-Mail-Adressen im Adressbuch: Beim Versenden von E-Mails werden die Adressen der Empfänger nicht automatisch im Adressbuch von Thunderbird gespeichert.
• Exklusive Nutzung von TLS 1.3 für die Verschlüsselung: Thunderbird wird so konfiguriert, dass ausschließlich die TLS-Version 1.3 für die Verschlüsselung eingesetzt wird, während TLS 1.2 deaktiviert bleibt.
• Abschaltung von Safebrowsing und der Add-on-Blockierliste: Die Safebrowsing-Funktion sowie die Liste zur Blockierung von Add-ons in Thunderbird werden deaktiviert, um Datenschutz und Autonomie zu erhöhen.

Zusammenfassung der moderaten Einstellungen für Thunderbird:

In der strengen user.js sind weitere sicherheits- und privacyrelevante Einstellungen aktiviert:

Nun sind wir auch schon fertig mit den wichtigsten Einstellungen für den Normalgebrauch. Wer noch tiefer gehen will, kann auf https://privacy-handbuch.de noch einige weitere Punkte optimieren, wie zusätzliche Plugins, Tipps beim versenden von grossen Dateien oder Dane Einstellungen festlegen die wichtig sind, den Absender als valide zu identifzieren.

Abschluss

Abschließend lässt sich sagen, dass die Konfiguration von Thunderbird für maximale Sicherheit und Datenschutz eine wesentliche Rolle spielt. Durch das Deaktivieren von Funktionen wie der automatischen Speicherung von E-Mail-Adressen, der Nutzung ausschließlich von TLS 1.3 für die Verschlüsselung und dem Ausschalten von Safebrowsing und der Add-on-Blockliste, stärken wir nicht nur die Sicherheit unserer Kommunikation, sondern auch den Schutz unserer Privatsphäre. Diese Einstellungen tragen dazu bei, Thunderbird zu einem noch vertrauenswürdigeren und sichereren Werkzeug in unserem digitalen Alltag zu machen. Denkt daran, dass in der Welt der Technologie und Sicherheit ständige Wachsamkeit und Anpassungsfähigkeit gefragt sind, um Schritt mit den sich ständig ändernden Bedrohungen und Möglichkeiten zu halten.