Ssl-scan Beschädigt Immer Wieder Bestimmte Eingehende E-mails

Nachtrag:

Weshalb das Problem bei den digital signierten E-Mails von DHL erst seit Kurzem besteht, hängt wohl mit den kürzlichen Bitdefender-Updates zu Freak-SSL-Attack zusammen. Beim besagten HTML-Newsletter besteht das Problem aber schon länger.

Nach Recherchen und weiteren Tests komme ich zu folgenden Ergebnissen und Schlussfolgerungen:

Windows Live Mail, und wohl auch Outlook, benutzt die Zertifikate und SSL/TLS-Verschlüsselung von Windows, und die HTML-Renderung von Internet Explorer. Somit würden sich mit Outlook höchstwahrscheinlich die gleichen Probleme ergeben.

Thunderbird benutzt eigene Zertifikate, eine eigene HTML-Renderung-Engine und wohl auch einen eigenen SSL/TLS-Stack. Bei Opera Mail, was ich jetzt auch noch getestet habe, gibt es die Probleme ebenfalls nicht. Allerdings ist das sehr spartanisch und gefällt mir noch weniger als Thunderbird.

Mittlerweile habe ich bei Bitdefender folgende Optionen erfolglos durchprobiert, um die Probleme zu umgehen:

Absender in die Freundesliste des Antispammoduls und in die Webschutz-Whitelist eingetragen (z.B. *ebay.de)

POP3-Server in die Freundesliste des Antispammoduls und in die Webschutz-Whitelist eingetragen (z.B. pop.gmx.net, pop.gmx.net:995)

Traffic-Scan des Antivirusmoduls deaktiviert (eingehende E-Mails und HTTP Traffic)

Erst die Deaktivierung des Antispammoduls hat zumindest das Problem mit den zerstörten HTML-Mails bei eingeschaltetem SSL-Scan gelöst. Die deshalb erscheinende gelbe Warnmeldung lässt sich ja glücklicherweise abschalten. Die oben genannten Lösungsversuche habe ich natürlich auch rückgängig gemacht.

Was bleibt, ist das Problem mit den digital signierten E-Mails. Da ich den SSL-Scan nicht deaktivieren möchte, muss ich diese nach wie vor zu Hotmail weiterleiten lassen, um sie dann von dort intakt empfangen zu können.

Das Problem mit den leeren Endend-E-Mails von Ebay bestand Mitte Februar noch nicht, wie ich bei der Durchsicht alter Mails gesehen habe.

Kaspersky Internet Security 2015 macht selbst mit den aggressivsten Einstellungen (Überwachung aller Ports, SSL-Untersuchung, Antispam-Filter, aggressive Heuristikeinstellung) keinerlei Probleme hinsichtlich Windows Live Mail mit GMX unter Windows 7x64. Die Performance scheint sogar geringfügig besser zu sein.

Allerdings ist KIS 2015 für mich trotzdem nicht nutzbar, weil es leider bei gesandboxtem Browser (Firefox und Internet Explorer) über Sandboxie ständig SSL-Zertifikatswarnungen meldet, welche immer manuell bestätigt werden müssen. Weder im Forum von Sandboxie, noch im Forum von Kaspersky weiß man Rat. Es ist bisher keine Lösung bekannt, außer eben die SSL-Untersuchung abzuschalten. Werden die Browser ohne Sandboxie gestartet, gibt es keinerlei Probleme. Auch die Suite eigene Sandbox ("sicherer Browser"), die den Internet Explorer nutzt, macht keine Schwierigkeiten.

Trend Micro Internet Security arbeitet beim E-Mailempfang ebenfalls völlig problemlos und integriert sich sogar natlos in die Oberfläche von Windows Live Mail. Der Antispamfilter funktioniert einwandfrei. Leider prüft er aber nur das als Standard festgelegte Mailkonto. Ob das ein Fehler ist oder nicht anders machbar war, entzieht sich derzeit meiner Kenntnis. Außerdem habe ich das Gefühl, dass Trend Micro leicht bremst.

Momentanes Fazit: Ich wechsle erst einmal nicht und teste noch die kommende Beta von Bitdefender 2016. Es dürfte für die Bitdefender Software-Ingenieure eigentlich kein Problem sein, diesen SSL-Bug zu beseitigen.

Das Testheft der Stiftung Warentest habe ich jetzt leider verpasst. Bitdefender ist aber auf Platz 12 gelandet.

Eset macht ebenfalls keinerlei Probleme beim Mailempfang über die verschlüsselte POP3-Verbindung (POP3S) auf Port 995.

Bei der Untersuchung von verschlüsseltem HTTP-Verkehr (HTTPS) arbeitet allerdings auch Eset nicht mit Sandboxie zusammen. Innerhalb von Sandboxie ist es überhaupt nicht möglich Verbindungen zu HTTPS-Seiten herzustellen, ohne funktioniert es natürlich einwandfrei.

Noch ein Wort zu SSL-Freak-Attack:

Ich habe es nur bei Bitdefender und Bullguard überprüft, und hier hat Bitdefender das Problem am besten behoben. Die Testseite zeigt über die bei Bitdefender eingeschaltete SSL-Untersuchung genau so viele schwächere Verschlüsselungen an, wie bei ausgeschalteter SSL-Untersuchung. Bei Bullguard werden vier schwächere Verschlüsselungen mehr angezeigt, wenn dessen SSL-Untersuchung aktiviert ist.

Ok, fast alles ist gelöst. Das mit der LogJam Attacke auf Euren hauseigenen Internetbrowser "Safepay" (Klick), ist noch nicht gelöst, aber das kommt auch noch. Da bin ich ganz zuversichtlich. :-)

Leider ist das Problem doch nicht gelöst. Ich hatte gerade bemerkt, dass ich die ganze Zeit noch den SSL-Scan deaktiviert hatte. Mit aktivem SSL-Scan ist eine danach eingetroffene Endend-E-Mail von Ebay wieder leer.

Dies liegt ausschließlich am SSL-Scan und nicht am Antispamfilter. Ich musste deshalb den Scan eingehender E-Mails in den Schutzeinstellungen wieder deaktivieren.

Das Problem besteht nach wie vor – auch mit der Bitdefender Internet Security/Total Security 2016.

Sind der SSL-Scan und die Untersuchung des eingehenden Mailverkehrs aktiviert, und die POP3 Verbindung läuft über SSL (Port 995), wird bei bestimmten HTML-Mails der Mail-Body zerstört und die Mail ist nicht mehr lesbar. Über den Vergleich der Quelltextanzeigen beider Mails (auf dem Server und im Mailprogramm) sieht man, dass eine Menge des Quelltextes komplett fehlt, nachdem sie beim Empfang von Bitdefender gescannt wurde. Außerdem gibt der GMX-Mailserver nach dem Empfang eine Fehlermeldung im Verbindungsfenster vom "Windows Live Mail 2012" aus.

Es ist schon erstaunlich, dass ausschließlich Bitdefender dieses Problem hat und alle anderen von mir getesteten Security Suiten (siehe oben) nicht das geringste Problem mit dem POP3-SSL-Empfang und der SSL-Untersuchung haben!

Das Problem mit den korrupten HTML-Mails besteht auch unter Windows 10 Pro x64 und Outlook 2016! Es sind also alle Mailclients (getestet mit WLM 2011, WLM 2012, Outlook 2003 und Outlook 2016) von Microsoft, sowie deren beide aktuellen Desktop-Betriebssysteme (getestet mit Windows 7 ultimate x64 und Windows 10 pro x64) betroffen.

Die Fehlermeldung der Mailclients lautet dann immer 0x800420CD. Sucht man im Internet nach der Fehlermeldung, findet man bei Microsoft den Hinweis auf Antivirenprogramme, wobei in meinen Tests das Problem ausschließlich mit Bitdefender auftritt. Im Feld Serverantwort steht übrigens immer ein Teil des Inhalts der entsprechenden HTML-Mail.

Die entsprechende HTML-Mail hatte auf dem Server 54,44 KB, in WLM dann noch 9 KB. Dass die nach dem Empfang im Mailclient nicht mehr lesbar war, versteht sich von selbst.

Ich bin schon vor Monaten auf ESET Smart Security 9 umgestiegen (siehe Signatur) und höchst zufrieden damit. Es gibt keinerlei Probleme. Auch das Supportforum von ESET ist um Welten besser. Dort kümmern sich Mitarbeiter deutlich besser und häufiger um Probleme. Bitdefender bekommt seine Probleme nicht in den Griff. Einige sind ihnen offenbar völlig egal und bei anderen scheinen sie schlichtweg völlig überfordert zu sein.

Nach dem Wechsel ist mir aufgefallen, wie sehr Bitdefender das System gebremst hat (alleine schon das Öffnen eines Explorerfensters war deutlich verzögert). Mit ESET habe ich keine Verzögerungen mehr und auch sonst gibt es keine Probleme. Mails über POP3S Verbindungen werden auf Spam gescannt (im Mail-Header protokolliert) und kommen genau so an, als wären sie gar nicht gescannt worden – da ist nichts kaputt! Außerdem erkennt ESET unerwünschte Zusatzprogramme (Adware) in Installationsroutinen, wenn man diese Erkennung einschaltet, was ich gemacht habe. Eine tolle Funktion.

Die Erkennungsraten haben bei Bitdefender wohl auch nachgelassen, wenn man sich die Tests der jüngeren Vergangenheit so ansieht.

Auf der Desinfec't-CD 2016 des c't Magazins wurde Bitdefender durch ESET ersetzt.

Ich nutze Firefox nicht mehr. Als Browser dienen mir Pale Moon x86 (Firefox Fork, basierend auf FF 24) und der Internet Explorer. Beide in einer Sandbox. Siehe Signatur.

Das Problem mit Deinem aktuellen(?) Firefox kommt wahrscheinlich von Firefox und Bitdefender. FF akzeptiert das Rootzertifikat von Bitdefender wohl generell nicht mehr. Geht es denn mit dem Internet Explorer? Wenn ja, ist es so wie ich geschrieben habe. Leider weiß ich nicht, ob es mit Eset ginge. Wenn aber im FF nur bestimmte HTTPS-Seiten betroffen sind, ginge es wahrscheinlich mit Eset, da es bestimmte Seiten automatisch vom SSL-Scan ausnimmt. Das funktioniert bei mir tadellos und ich musste bisher noch nicht mit einer Ausnahmeregel eingreifen. Man kann den SSL-Scan bei Eset aber auch anders konfigurieren (interaktiv, nach Regeln, nur von bestimmten Anwendungen, oder eben gar nicht scannen).

Das Problem mit Bitdefender und dem SSL-Scanning des POP3S-Ports besteht nur mit den Mail Clients von Microsoft (Live Mail und leider auch Outlook!). Mit Thunderbird gab es zwar kein Problem, aber es hat für mich andere Nachteile, sodass dies keine Option war.

Für das SSL-Scanning von Webseiten musste ich mit Eset für Palemoon allerdings auch einen Trick anwenden. Pale Moon wird nicht unterstützt und das Rootzertifikat deshalb nicht in Pale Moon importiert. Ich habe es aus meiner alten Firefox-Installation exportiert und in Pale Moon importiert. Zusätzlich habe ich die palemoon.exe kopiert und diese Kopie in firefox.exe umbenannt. Mit dieser starte ich den Pale Moon und Eset denkt es wäre ein Firefox. So funktioniert es wunderbar. :-)

Apropos Sandboxie: Bitdefender scannte HTTPS-Seiten überhaupt nicht, wenn der Browser in Sandboxie lief. Mit Eset funktioniert auch das tadellos.

Zur Erkennung von Ransomware kann ich aus eigener Erfahrung sagen, dass Mailanhänge mit Ransomware von Bitdefender quasi nie erkannt wurden, von Eset hingegen fast immer. Ein Bekannter der Kaspersky nutzt und bei dem diese Anhänge auch nur selten erkannt wurden, schickte mir diese immer zum Testen mit Eset. :-) Aber auch ich hatte schon zweimal Bekanntschaft mit Erpressungsversuchen über den Browser gemacht. Nach dem Leeren der Sandbox war das Problem aber behoben. Das waren aber sicher nur einfachere Varianten, welche lediglich den Browser kaperten und nur vorgaben den Rechner verschlüsselt zu haben.

Meinem Bekannten gefällt Eset aber von der Oberfläche her nicht, weshalb er bei Kaspersky bleibt. Gleichzeitig klagt er aber auch über die ständig nervenden Zertifikatswarnungen durch KIS, die man immer wieder neu bestätigen muss. Ausnahmen lassen sich da nicht anlegen. Außerdem hat er damit bei Echtzeitdatendiensten nach einer gewissen Zeit immer Probleme die Daten zu empfangen, weshalb er auf diesen Rechnern jetzt Norton hat, womit es keine Probleme mehr gibt.

Leider muss man mit allen Sicherheitsprogrammen irgendwelche Kompromisse eingehen. Ich habe für mich den richtigen gefunden, aber mit Sandboxie zu arbeiten ist Mehrarbeit und mit der muss man sich anfreunden können, da hast Du recht. Sandboxie schützt meiner Meinung nach am besten vor Ransomware über den Browser. Das können die klassischen Sicherheitsprogramme alle nicht leisten. Bei Mails sehe ich für mich da gar kein Problem, auch wenn ich den Mail-Clienten nicht mit Sandboxie nutze, sondern direkt. Spam lasse ich schon auf dem Mailserver aussortieren. Da kommt ans Mailprogramm eigentlich gar nichts mehr durch. Unbekannte Mailanhänge von bekannten Absendern öffne ich in Sandboxie. Links in E-Mails werden automatisch mit dem Internet Explorer in Sandboxie geöffnet, falls ich mal einen anklicke.

Ich hoffe Du findest eine für Dich annehmbare Lösung. :-)

Der Trick mit Pale Moon funktioniert auch mit Bitdefender? Das ist ja interessant. Das liegt daran, dass die nur nach dem Prozessnamen schauen. Sandboxie reagiert auch nur auf Prozessnamen. Die Pfade werden nicht beachtet. Das hat Vor- und Nachteile. Sandboxie startet die iexplore.exe immer in der Sandbox, weil ich eingestellt habe, dass der IE automatisch in Sandboxie laufen soll, wenn er gestartet wird (z. B. wegen Links in E-Mails). Da ist es egal, ob der 32-bit oder 64-bit IE gestartet wird. Beide haben ja den gleichen Prozessnamen, liegen aber in unterschiedlichen Pfaden (C:\Program Files\Internet Explorer bzw. C:\Program Files(x86)\Internet Explorer). Hier ist das also von Vorteil. Aber eine "gefakte" firefox.exe aus irgendeinem Pfad als ganz normalen Firefox anzusehen könnte von Nachteil sein. Allerdings wird sie ja auf Schädlinge geprüft. Wenn da aber einer drin wäre, der nicht erkannt wurde... hm.

Die Zertifikatwarnungen kommen bei KIS nur in der eigenen Sandbox von Kaspersky, also dem "geschützen Brower"? Das klingt plausibel. Da müsste ich meinen Bekannten mal anschreiben. Ob das mit dem Umbenennen der palemoon.exe bei Kaspersky auch funktioniert, weiß ich nicht und mein bekannter verwendet nur den Google-Chrome, Firefox und Vivaldi. Experimente macht er nicht. Da kann ich ihn zu nichts überreden. :-)

Ich habe mir gestern mal die aktuellen Tests von av-test und av-comparatives angesehen. Da schneidet Bitdefender tatsächlich wieder am besten ab. Bei der Stiftung Warentest und irgendeinem Magazin sah der letzte Test ganz anders aus und deckte sich mit meinen Erfahrungen! Ich hatte Bitdefender mal einen Ransomware-Mailanhang zugesandt, der von Eset erkannt wurde. Bei Bitdefender tat sich auch nach 2 Monaten noch nichts und ich habe dann aufgegeben. Auf Eset bin ich gekommen, weil der bei Virustotal immer bei den ersten Erkennern dabei war. Kaspersky hing da auch ganz schön nach. Von daher betrachte ich die Tests der beiden Testinstitute mittlerweile ziemlich skeptisch. Wegen Sandboxie bräuchte ich eigentlich gar keinen Scanner, aber die Banken verlangen im Falle eines Falles einen Nachweis darüber, dass man einen klassischen Schutz installiert hatte.