Microsoft Office 365: Nicht dokumentierte Funktion ermöglicht Nutzer-Überwachung
- "Geschrieben von Matthias Pufke"
Microsofts Online-Office-Suite erlaubt es Admins, die Aktivitäten von Mail-Nutzern sekundengenau auszulesen - diese Funktion wurde bis jetzt geheim gehalten!
Unter IT-Sicherheitsexperten hält sich seit längerem das Gerücht, dass es mit Hilfe einer geheimen API möglich ist, ein Aktivitätsprotokoll von E-Mail-Nutzern in Office 365 auszulesen. Demnach nutzen dies Sicherheitsorganisationen, um nach einem Einbruch in Mail-Konten einer Firma herauszufinden, wie der Hack möglich wurde. Über dieses Interface können Office 365 Administratoren, die mit entsprechenden Rechten ausgestattet sind, genau sehen, welche Aktionen ein bestimmter Nutzer wann in seinem Mail-Konto ausgeführt hat – Inhalte von Nachrichten sind dabei nicht sichtbar. Wie sich jetzt herausstellt, existiert dieses API tatsächlich.
Bei dieser versteckten Schnittstelle handelt es sich nicht um eine Sicherheitslücke, denn sie lässt sich nur von Administratoren nutzen, die sich über Office-365-Funktionen entsprechende Rechte für die Ziel-Mail-Konten eingeholt haben.
Die API (= Schnittstelle) liefert ähnliche Informationen, wie sie ein Mail-Admin sowieso zur Verfügung hätte, wenn die Organisation ihren eigenen In-House-Mailserver betreiben würde. Es ist zu sehen, welche Mails der Nutzer wann gelesen hat, welche Attachments er geöffnet hat und woher die Nachricht kam. Außerdem ist erkennbar, wann ein Nutzer auf eine Mail geantwortet hat, sie weiterleitete oder löschte. Da es sich um eine Web-App handelt, zeigt das Log auch, wenn der Nutzer bestimmte Interaktionen in seinem Mail-Client ausführt – solch genaue Informationen sind übrigens in normalen Mailserver-Logs nicht enthalten.