Flo's Weblog | Apple News and more... Alles über Apple und Gadgets

Die Mail-App HEY (kostenlos im AppStore) hat im vergangenen Jahr eine Menge Aufmerksamkeit bekommen, da Apple die App zwischenzeitlich wegen angeblicher Verstöße gegen die Regeln aus dem AppStore entfernte und anschließend eine öffentliche Auseinandersetzung mit den Entwicklern begann. Im Endeffekt einigte man sich und HEY steht inzwischen wieder zum Download bereit. Darin enthalten ist eine durchaus interessante Sicherheitsfunktion, auf die die meisten anderen Mail-Apps verzichten. Dazu gehört beispielsweise auch Apples Mail-App. Und das obwohl man sich in Cupertino ja stets mit seinen hohen DAtenschutzansprüchen rühmt. So enthält HEY eine Funktion, durch die sogenannte "Spy Pixel" in E-Mails nicht nur blockiert werden, sondern auch die betroffene Mail mit einem Badge versehen wird, das dies deutlich anzeigt.

"Spy Pixel" sind laut HEY inzwischen in zwei Drittel aller E-Mails enthalten. Prinzipiell handelt es sich dabei um unsichtbare, 1x1 Pixel große GIFs, die für den Empfänger unsichtbar in die Mails eingefügt sind. Wird die Mail geöffnet, werden diese Pixel von einem entfernten Server geladen. Durch die dabei zustandekommende Verbindung wird dem Betreiber dieses Servers nicht nur angezeigt, dass die Mail empfangen und geöffnet wurde, er erlangt auch Zugriff auf die IP-Adresse des Empfängers und somit auch auf dessen Standort. Der Blogger-Kollege John Gruber hat dieses Thema erst kürzlich wieder aufgegriffen und in einem Follow-Up Post auch Apple dafür kritisiert, dass die in iOS und macOS vorinstallierte Mail-App nichts gegen diese Praxis unternimmt.

Zwar ist es so, dass Apples Mail-App, wie auch die meisten anderen Mail-Clients, eine Möglichkeit bietet, das Laden von externen Inhalten zu unterbinden. Dies führt allerdings oftmals dazu, dass die heutigen, auf HTML-Code basierenden Mails kaum noch lesbar sind. Entscheidet sich der Nutzer dann per Mausklick doch dafür, die externen Inhalte zu laden, werden dabei dann auch die "Spy Pixel" mit heruntergeladen. Es gibt hier also nur die beiden Möglichkeiten ganz oder gar nicht. Man schüttet also quasi die Wanne mitsamt des Babys aus, wenn man auf den Herunterladen-Button klickt. Problematisch dabei ist zudem, dass zwar technisch versierte und interessante Nutzer wissen, dass man den Download von externen Inhalten unterbinden kann, die allermeisten Nutzer hierüber jedoch nicht Bescheid wissen und somit mit vielen erhaltenen Mails die "Spy Pixel" herunterladen und die Absender unbemerkt mit persönlichen Informationen versorgen.

In der HEY-App verfolgt man hingegen einen anderen als den Alles-oder-Nichts-Ansatz der meisten Mail-Apps und erklärt diesen auch auf einer eigenen Webseite. Demzufolge werden Mails automatisch auf Grafiken überprüft, die die typischen "Spy Pixel"-Muster aufweisen. Werden diese entdeckt, werden die entsprechenden Grafiken direkt entfernt. Zudem wird auch nach den angesprochenen 1x1 Pixel GIFs gesucht und auch diese entfernt. Auf diese Weise kann man nach Aussage der Entwickler bereits 98% der "Spy Pixel" und sonstige Tracking-Grafiken aufspüren und entfernen. In einem letzten Schritt wird die Mail dann auch noch über einen Anonymisierungs-Proxyserver geleitet, wodurch dem Absender keine Informationen des Empfängers mehr zugänglich gemacht werden, sollten es doch noch Spionage- und Tracking-Grafiken durch HEYs vorgeschaltete Filter geschafft haben. Die letztgenannte Barriere kann man sich also quasi wie eine Art VPN für E-Mails vorstellen.

Heutige Mail-Clients sind im Prinzip nichts anderes als Webbrowser, die auf die Anzeige von E-Mails spezialisiert sind. Die meisten dieser Mails werden wie gesagt heutzutage im HTML-Format versendet, also demselben Quellcode, auf dem auch Webseiten basieren. Dies ermöglicht die verschiedensten Formatierungen und eben auch die Einbindung von Grafiken und sonstigen Multimedia-Inhalten. Allerdings weisen die meisten Mail-Clients nicht annähernd die Sicherheitsfunktionen gegen schädlichen Code und Tracking-Technologien auf, wie die modernen Webbrowser.

Ich stimme Gruber voll und ganz zu, dass es sich hierbei um einen wirklich sinnvollen Ansatz handelt. E-Mails machen nach wie vor einen Großteil der heutigen Kommunikation aus und dennoch sind die dabei verwendeten Protokolle sicherheitstechnisch eigentlich eine Farce. Ein sicherheits- und datenschutzbewusstes Unternehmen wie Apple sollte seine Apple dringend mit einer ähnlichen Technologie ausstatten, wie HEY sie verwendet, zumal man wo wenn nicht in Cupertino sicherlich die Ressourcen hierfür haben dürfte. Speziell vor dem Hintergrund der ohnehin aktuell verschärften Maßnahmen gegen das sogenannte Cross-Site-Tracking wäre dies der nächste logische Schritt.