Sicherheitslücken bei Web.de

Nach Angaben von Sicherheit-Online.org stellt die Redirect-Funktion von Web.de ein Problem dar, das allerdings auch bei anderen E-Mail-Anbieter und auch bei Facebook zu finden ist. Web-Adressen in E-Mails werden bei Web.de grundsätzlich in Redirect-URLs umgeschrieben. Die eigentliche Ziel-Adresse ist nicht zu erkennen, wenn der Empfänger mit der Maus über den Link fährt. Der Nutzer hat daher keine Möglichkeit zu entscheiden, ob die Links möglicherweise auf gefährliche Seiten führt und er sie besser nicht anklicken sollte. Nach Erkenntnissen von Heiko Frenzel, Experte bei Sicherheit-Online.org, können Kriminelle die Redirekt-Funktion manipulieren und so die Nutzer auf andere Webseiten locken und Malware verbreiten.

Sicherheit-Online.org hat noch eine zweite Sicherheitslücke bei Web.de entdeckt. Über die Suchfunktion lässt sich mit zusätzlichen Parametern die Ausgabe der Webseite verändern. Schadcode und gefährliche Links lassen sich so direkt einschleusen. Weitere Details verrät Heiko Frenzel nicht, damit die Web.de-Nutzer nicht gefährdet werden.

Weitere Analysen haben ergeben, dass die gleichen Schwachstellen auch bei GMX zu finden sind. Web.de und GMX gehören beide zu 1&1 und basieren auf der gleichen Software.

Update 26.01.2012: Inzwischen hat Web.de regiert und die problematischen Funktionen bei der Umleitung abgeschaltet. An der Sicherheitslücke bei der Suchfunktion wird noch gearbeitet.

Update 27.01.2012: Nach Angaben der 1&1 Internet AG sind inzwischen alle genannten Schwachstellen bei Web.de und GMX behoben.