Bei privymail.eu bekommt jedes Mailprogramm ein eigenes Passwort: vom Dienst erzeugt, für genau ein Gerät gedacht und einzeln widerrufbar. Ihr Hauptpasswort steht in keinem Mailprogramm.
Mailprotokolle verlangen ein Geheimnis. Es muss nicht Ihr wichtigstes sein.
Thunderbird, Apple Mail und die Mail-App auf Ihrem Telefon holen und versenden Mail über IMAP und SMTP; Kalender und Kontakte laufen über CalDAV und CardDAV. Bei all diesen Protokollen schickt das Programm zur Anmeldung ein Geheimnis an den Server, geschützt durch TLS, die Verschlüsselung der Verbindung. Das hat zwei Folgen: Das Programm muss das Geheimnis auf dem Gerät aufbewahren, damit es ohne Ihr Zutun nach neuer Mail sehen kann. Und der Server bekommt es bei jeder Anmeldung zu sehen.
Für Ihr Hauptpasswort wäre beides zu viel. An ihm hängt mehr als der Zugang: Es schützt auch den Schlüssel, mit dem Ihre Mails verschlüsselt gespeichert sind. Für die Anmeldung im Browser gilt deshalb ein Verfahren, bei dem das Hauptpasswort Ihr Gerät nicht verlässt; der Beitrag Ein Passwort, das Ihr Gerät nicht verlässt erklärt es. Mailprotokolle können das nicht. Mailprogramme bekommen deshalb ein anderes Geheimnis.
Ein Passwort je Gerät. Jedes einzeln widerrufbar.
Ein App-Passwort ist ein langes, zufälliges Passwort, das nicht Sie sich ausdenken, sondern der Dienst erzeugt. Sein Weg hat vier Schritte:
- Anlegen. Ein App-Passwort entsteht in den Kontoeinstellungen, und nur, wenn Sie kurz zuvor Ihr Hauptpasswort nachgewiesen haben und, falls eingerichtet, Ihren zweiten Faktor, den zusätzlichen Nachweis neben dem Passwort. Es trägt eine Bezeichnung, etwa „Telefon“.
- Einmal sehen. Der Dienst zeigt das App-Passwort genau einmal und speichert es nie im Klartext. Sie tragen es im Mailprogramm ein.
- Benutzen. Das Mailprogramm meldet sich damit bei IMAP, POP3 und SMTP an, den Protokollen zum Abrufen und Versenden. Ihr Hauptpasswort kennt es nicht.
- Widerrufen. Geht das Gerät verloren, löschen Sie genau diesen Eintrag. Dafür genügt die normale Anmeldung, ohne erneute Bestätigung: Zugriff wegzunehmen darf nicht an einer Hürde scheitern.
Dahinter steht mehr als eine zweite Passwortliste. Im Standardmodus Compatible speichert privymail.eu Ihre Mails verschlüsselt, mit einem eigenen Schlüssel je Konto. Zu jedem App-Passwort legt der Kontodienst eine eigene Kopie des Geheimnisses ab, das diesen Schlüssel öffnet, verschlossen mit dem App-Passwort selbst. Meldet sich ein Mailprogramm an, öffnet sein App-Passwort genau diese Kopie. Ein Widerruf löscht sie. Die übrigen Kopien bleiben unberührt: Deshalb arbeitet der Laptop weiter, wenn Sie das Telefon sperren, und deshalb gelten App-Passwörter weiter, wenn Sie Ihr Hauptpasswort ändern.
| Hauptpasswort | App-Passwort | |
|---|---|---|
| Wer es festlegt | Sie | der Dienst, zufällig |
| Wo es steht | nur bei Ihnen | in einem Mailprogramm auf einem Gerät |
| Sieht unser Server es? | nein | ja, bei jeder Anmeldung des Mailprogramms |
| Wofür es gilt | Anmeldung im Browser und Kontoeinstellungen | IMAP, POP3 und SMTP, dazu Kalender und Kontakte über CalDAV und CardDAV |
| Zweiter Faktor | wird zusätzlich verlangt, wenn eingerichtet | nein |
Was es kostet
- Ein Eintrag je Gerät. Jedes Mailprogramm braucht sein eigenes App-Passwort, und die Liste will aufgeräumt werden, wenn ein Gerät geht.
- Kein zweiter Blick. Was der Dienst nur einmal zeigt, kann er nicht erneut zeigen. Ist ein App-Passwort verlegt, hilft nur: widerrufen und ein neues anlegen.
- Eine Hürde beim Anlegen. Die bloße Anmeldung genügt nicht. Wer nur den Sitzungs-Cookie stiehlt, das Merkzeichen Ihrer Anmeldung im Browser, kann damit kein App-Passwort erzeugen.
Was es nicht löst
- Es umgeht den zweiten Faktor. Mailprotokolle kennen keinen zweiten Schritt. Wer ein App-Passwort hat, kann das Postfach lesen und in Ihrem Namen senden, ohne Einmalcode. Der Schutz besteht aus dem langen Zufallswert, dem Einzelwiderruf und der Hürde beim Anlegen.
- Es bleibt, bis es widerrufen wird. Ein App-Passwort gilt weiter, wenn Sie Ihr Hauptpasswort ändern. Wer Passwort und zweiten Faktor abfischt und damit ein App-Passwort anlegt, behält den Zugriff auf das Postfach, bis jemand den Eintrag löscht. Ein unbekannter Eintrag in der Liste ist ein Warnzeichen.
- Es holt nichts zurück. Mails, die ein verlorenes Gerät schon geladen hat, liegen dort weiter. Der Widerruf sperrt nur den weiteren Zugriff.
- Es verbirgt nichts vor dem Server. Das App-Passwort geht bei jeder Anmeldung des Mailprogramms an den Server. Im Modus Compatible verarbeitet der Server dabei zeitweise auch Klartext, etwa solange das Programm angemeldet ist.
Der Zugang mit Mailprogrammen über IMAP und SMTP gehört zu allen bezahlten Tarifen.
Weiterlesen
- Mailprogramme und offene Standards: die Protokolle und die Anmeldung aus dem Mailprogramm.
- Anmeldung: die Anmeldung im Überblick.
- Warum es bei uns keine SMS-Codes gibt: der zweite Faktor und was er nicht schützt.
- Sicherheit: Verschlüsselung und ihre Grenzen.
- Roadmap: die Bausteine und ihre Reihenfolge.