Zimbra 66 ist der kollaborative E-Mail-Client, der vom Départementrat der Pyrénées-Orientales (CD 66) für alle seine Mitarbeiter bereitgestellt wird. Neben dem Senden und Empfangen von E-Mails zentralisiert die Plattform gemeinsame Kalender, Adressbücher und Aufgabenmanagement. Die Frage, die sich für jede Abteilung und jeden Dienst stellt: Welche Einstellungen und Praktiken ermöglichen es wirklich, dieses Tool zu nutzen, und welche Risiken bleiben noch unentdeckt?
Sicherheit von Zimbra 66: dokumentierte Schwachstellen und zu beachtende Patches
Die meisten Leitfäden zu Zimbra in den Kommunen konzentrieren sich auf die Verbindung und die Anpassung der Benutzeroberfläche. Der Sicherheitsaspekt bleibt jedoch der kritischste Punkt für eine Verwaltung, die persönliche Daten von Tausenden von Nutzern verarbeitet.
Mehrere aktuelle Schwachstellen haben den klassischen Web-Client von Zimbra betroffen, darunter Passwortwiederherstellung, das WebDAV-Protokoll und die Integration von OnlyOffice. Einige dieser Schwachstellen wurden im Katalog der ausgenutzten Schwachstellen der CISA (US-amerikanische Cybersecurity-Agentur) aufgeführt, was auf eine aktive Ausnutzung durch Angreifer hinweist.
Für eine Abteilung für Informationssysteme bedeutet dies ein formalisiertes Verfahren: Verfolgung der von Zimbra veröffentlichten Hinweise, Tests in einer Pre-Production-Umgebung und dann schnelle Anwendung der Patches auf den Produktionsservern. Eine einfache Erinnerung an die Mitarbeiter, “ein sicheres Passwort zu wählen”, deckt dieses Risiko nicht ab.
Mitarbeiter, die den funktionalen Umfang dieser E-Mail besser verstehen möchten, können Zimbra 66 mit Le Off als Ausgangspunkt nutzen, bevor sie die hier beschriebenen technischen Aspekte vertiefen.
| Zimbra-Komponente | Gemeldeter Schwachstellentyp | Empfohlene Maßnahme |
|---|---|---|
| Klassischer Web-Client | XSS-Schwachstelle | Client-Update, Eingaben filtern |
| Passwortwiederherstellung | Umgehung der Authentifizierung | Überprüfung der Rücksetzströme |
| WebDAV | Umgehung von MFA | Deaktivierung des Protokolls, wenn nicht verwendet |
| OnlyOffice-Integration | Remote-Code-Ausführung | Priorisierter Patch des Anbieters |
| ICS-Anhänge (Kalender) | Persistente XSS über Einladung | Filtern von Kalenderanhängen |
Multifaktor-Authentifizierung: Warum Webmail nicht ausreicht
Die Aktivierung der Multifaktor-Authentifizierung (MFA) auf der Weboberfläche von Zimbra 66 ist ein erster Schritt. Allerdings muss die MFA alle Zugangsprotokolle abdecken, nicht nur den Browser.
Aktuelle Informationen berichten von einer Umgehung der MFA über WebDAV in bestimmten betroffenen Versionen. Ein Mitarbeiter, der seine E-Mails über ActiveSync auf einem Smartphone synchronisiert oder einen Desktop-Client (Thunderbird, Outlook) verwendet, kann somit auf sein Postfach zugreifen, ohne die doppelte Überprüfung durchzuführen, wenn diese Protokolle nicht abgedeckt sind.
Protokolle, die in die MFA-Politik integriert werden sollten
- Webmail-Zugriff (Browseroberfläche): standardmäßig in den meisten Konfigurationen abgedeckt, sollte jedoch nach jedem Update überprüft werden
- Mobile Synchronisation (ActiveSync, CalDAV, CardDAV): oft vergessen, während professionelle Telefone die Zugangspunkte vervielfachen
- Desktop-Clients IMAP/SMTP: Wenn Mitarbeiter Thunderbird oder einen anderen Client verwenden, muss der IMAP-Stream denselben Anforderungen genügen
- Zimbra-Administrationsoberfläche: Ein kompromittierter Zugang zur Administrationskonsole gibt vollständige Kontrolle über alle Postfächer
Die direkteste Empfehlung für die DSI des CD 66: Deaktivierung nicht verwendeter Protokolle in der Serverkonfiguration. Weniger offene Türen, weniger Angriffsfläche.
Geteilte Kalender Zimbra 66: Angriffsfläche und bewährte Praktiken
Geteilte Kalender werden oft als einfaches Koordinationswerkzeug zwischen den Diensten dargestellt. In Zimbra stellen sie jedoch auch eine spezifische Angriffsfläche dar.
Eine persistente XSS-Schwachstelle wurde dokumentiert: Sie konnte durch einen speziell gestalteten ICS-Anhang ausgelöst werden, der als Kalendereinladung gesendet wurde. Durch das Öffnen dieser Einladung führte ein Mitarbeiter unbeabsichtigt schadhafter Code in seinem Browser aus.
Zwei konkrete Maßnahmen reduzieren dieses Risiko:
Die DSI sollte den Zimbra-Server so konfigurieren, dass ICS-Anhänge von externen Domains gefiltert oder in Quarantäne gestellt werden. Die Mitarbeiter sollten zudem niemals automatisch eine Kalendereinladung von einem unbekannten Absender akzeptieren. Diese Einstellung befindet sich in den Zimbra-Kalenderpräferenzen, Abschnitt “Einladungen empfangen”.
Zimbra 66 und DSGVO-Konformität: Verpflichtungen im Falle eines Vorfalls
Die Nutzung von Zimbra in einer Departementsverwaltung erfolgt im Rahmen strenger rechtlicher Vorgaben. Jede Datenpanne über die E-Mail stellt einen DSGVO-Vorfall dar, der innerhalb einer festgelegten Frist der CNIL gemeldet werden muss.
Die häufigsten Szenarien sind keine ausgeklügelten Cyberangriffe. Eine E-Mail, die an den falschen Empfänger gesendet wird, ein freigegebenes Postfach, dessen Zugriffsrechte nach einem Weggang nicht überprüft wurden, oder ein Konto, das durch Phishing kompromittiert wurde, reichen aus, um die Meldepflicht auszulösen.
Verfahren, die in jeder Abteilung formalisiert werden sollten
Die DPO-Einheit des Departements muss über einen klaren Meldeweg verfügen. Der Mitarbeiter, der den Versand einer E-Mail mit persönlichen Daten an einen falschen Empfänger feststellt, muss wissen, wen er benachrichtigen muss, innerhalb welcher Frist und mit welchen Informationen. Dieser Meldeweg sollte mindestens einmal jährlich getestet und nicht nur in einer IT-Charta dokumentiert werden, die niemand liest.
Zimbra 66 bietet Protokollierungsfunktionen (Logs), die es ermöglichen, die Chronologie eines Vorfalls nachzuvollziehen. Diese Logs müssen aufbewahrt und der DPO-Einheit zugänglich gemacht werden, um den Anforderungen der CNIL an die Nachvollziehbarkeit zu genügen.
Das schwächste Glied bei der Optimierung von Zimbra 66 innerhalb des CD 66 ist nicht die Benutzeroberfläche oder die Ergonomie. Es ist die Diskrepanz zwischen den technischen Möglichkeiten der Plattform und den tatsächlich von den Abteilungen angewandten Verfahren, sei es bei der Verfolgung von Sicherheits-Patches, dem Umfang der MFA oder dem Management von DSGVO-Vorfällen. Diese Diskrepanz zu verringern erfordert weniger Budget als organisatorische Strenge.
