News Thunderbird 31.5 schließt fünf Lücken

[Daaron]

Ob das alles verschlüsselt ist will ich wissen und wenn nein was ich da dann im TB einstellen müsste.

Wie wäre es, wenn du in deine Konten-Einstellungen schaust? Da gibt es groß und breit die Schaltfläche "Verbindungssicherheit"...

Bringt ja nix wenn es unverschlüsselt ginge. Verschlüsselung muss erzwungen werden oder die Verbindung darf nicht zustande kommen.

WENN der Server Verschlüsselung erzwingt, DANN kommt unverschlüsselt auch nichts zustande. Aber nicht jeder Mailserver erzwingt Verschlüsselung.

Außerdem sehe ich gerade dass falls man ein Konto wieder löscht es bei Postausgangsserver SMTP (bei Kontoeinstellungen) noch immer drinnen steht und sich nicht löschen lässt.
Nur die EmailADDY kann man rauslöschen.

Löschen der Adresse bewirkt Löschen der Postausgangs-Einstellungen... so zumindest der Plan. Wenn du Gegenteiliges beweisen kannst...

Und wie sieht es eigentlich mit Usertrennung aus? In der Portablen Version sieht anscheinend jeder User alle Konten.

Dass in der Portablen alle User jedes Konto sehen ist ja auch logisch. Ist ja eine PORTABLE Version, unabhängig vom aktuellen Betriebssystem, User,...
Eine reguläre Installation legt die Konfigurationsdaten inklusive Konto-Einstellungen ins Home-Verzeichnis des aktuellen Users, so wie es sich gehört. Was hast du denn gedacht?

PW sollte man eh nie abspeichern denn sonst kann ja jeder die Mails lesen ohne das PW wissen zu müssen.

...jeder, der PHSYISCHEN ZUGANG zu deinem PC hat, ja.... oder jeder, der es schafft, dir eine Wanze (z.B. einen Trojaner) unterzujubeln.
In beiden Fällen gilt aber: Wenn jemand solcherart Zugang erlangen kann, dann kann er dir auch einen Keylogger installieren (Hard- oder Software) und erhält dann dein jeweiliges Passwort brühwarm, wenn du es eingibts.

Eigentlich sollte das Programm so gestrickt sein dass man sich in TB selbst mit PW einloggen kann falls erwünscht und das wichtigste wäre auch dass die Kontendaten nicht im Klartext in der JS liegen sondern verschlüsselt.

Wechsel auf Linux und verwende eine verschlüsselte Home-Partition. Kein User-Passwort, kein Zugang. Die Einrichtung ist ein No-Brainer.

 

[boarder-winterman]

Wenn ich mal an einen Windows PC komme, ist dort Thunderbird die erste Wahl.
Ansonsten halt Apple Mail. Die Suchfunktion von Thunderbird ist aber leider um Welten schlechter als die von Apple Mail.

 

[Civilizatior]

Thunderbird nutze ich schon seit Ewigkeiten.
Einfach, schnell und verlässlich.

Was will man mehr für seine Privaten Emails?

 

[Kenneth Coldy]

Naja, andres als beim Firefox gibt es recht wenig an neuer Entwicklung was eingebaut werden kann oder wann wurde POP/IMAP das letzte mal überarbeitet?

Richtig. Und vielleicht sind die Nutzerzahlen auch deswegen am steigen weil TB nicht ständig neue, als "Feature" verkaufte halbgare Sicherheitslücken präsentiert.

Was ich mir wünschen würde wäre eine echte Schnittstelle für Spamfilter. Nicht nur das der SF was einkippen kann sondern das ich ihm in markierten Mails explizit mitteilen kann "Ne du, wenn das Ding von dem und dem kommt und diesen Betreff hat dann bitte diese Regel runter pirorisieren".

 

[Cybertronic]

Habe Probleme mit TB und GDATA...wenn Email Prüfung aktiv, dann kann man an Mails nichts aktualisieren in TB

 

[Xanthor1992]

Also Mozilla Thunderbird und Avast funktionieren wunderbar ohne jegliche Probleme zusammen. Da gibt es keine Probleme beim Abrufen der Mails. Ich habe 3 E-Mail-Adressen (GMX, Outlook und Gmail) und da ist es schon besser mit Thunderbird, sonst müsste ich mich ja ständig auf 3 Seiten einloggen.

 

[retho]

Mozillas E-Mail-Client erhält schon länger kaum noch neue Funktionen, ...
... Veröffentlichungen begnügen sich seitdem meist mit dem Beheben von Fehlern und dem Schließen von Lücken

und das ist auch gut so. Bin sehr froh darüber, dass die Entwickler die Software nicht auch so verhunzen wie den Firefox!

Ich liebe den Thunderbird und benutze ihn schon seit Jahren. Für mich gibt es nichts besseres. Macht was er soll ohne überflüssige Gimmicks oder sonstige Klicki-Bunti-UI.

 

[MountWalker]

Thunderbird ist meiner ganz persönlichen Meinung auch wirklich (vorerst) "fertig" entwickelt - also was den Funktionsumfang angeht. Weiterentwicklungsvorschläge wie ActiveDirectory gehören meiner Meinung nicht in diesen E-Mail-Client - wer professional Microsoft Office nutzt, soll eben auch dieses nutzen. Ich wüsste jetzt aus dem Stehgreif nichtmal, ob man einen Active-Directory-Client überhaupt einfach so, ohne Lizenzkosten zu zahlen, freigeben darf - das ist ja proprietäre Technik von Microsoft.

Thunderbird kann alles, was ein Zu-Hause-Anwender-E-Mail-Programm können muss - und das teils besser, als KMail oder Evolution, weil, um nochmal etwas zur Verbindungssicherheit zu sagen, die Verbindungssicherheitseinstellungen hier für die meisten Mail-Provider automatisch richtig eingestellt werden. Das können KMail und Evolution zwar eigentlich auch, letztere vertun sich aber mitunter und man wundert sich, warum eine gesendete Mail nicht vom SMTP-Server verarbeitet wird. Wer kommt beispielsweise auf die Idee, dass Web.de für SMTP eine andere Verschlüsselungsmethode wählt, als für IMAP (das eine davon ist TLS, das andere SSE3)

Wenn Windows Mail (nicht Office Outlook, sondern das, was man ohne MS-Office auf Windows vorinstalliert hat) oder das Apple-Pendant irgendwann einmal mehr können sollten, als Thunderbird, dann kann man auch wieder über Funktionserweiterungen nachdenken.

Aber ganz allgemein ist doch Freie Software sowieso nicht zur Mitnahmementalitätbefriedigung da, sondern dafür, dass jemand, der professionell eine Funktion braucht, jemanden bereitstellen darf und kann, der diese Funktionserweiterung schreibt - dafür braucht die Software nicht ein eigenes Unternehmen haben, das als abgeschlossener Monolith alle Programmierer beherbergt. Thunderbird ist noch nicht hinter KMail und Evolution zurückgefallen und der eigentliche Vorteil von Thunderbird war schon immer der, dass es der freie E-Mail-Client ist, der auch auf Windows läuft. Ich finde die Community-Entwicklung hier sinnvoll.

 

[Daaron]

Es ist ja weniger Active Directory, sondern vielmehr Exchange ActiveSync. Hier haben Microsoft zwar ein echt nettes Protokoll geschaffen, dass durchaus in der Lage wäre, IMAP komplett zu ersetzen, haben in ihrer Gier aber mal wieder den PROPRIETARY! - Stempel drauf geknallt. Also ja, TBird wird kein EAS erhalten können.

Ein Glück, dass man TBird trotzdem zu einer anständigen Groupware umbauen kann, indem man eben einen Kolab-Server drunter packt.

 

[Klassikfan]

Wer mit Lightning auf den Kalender zugreifen möchte, braucht gar kein Addon, denn Lightning bringt bereits CalDAV mit und Google stellt ne API dafür bereit. Die URL ist https://apidata.googleusercontent.com/caldav/v2/calid/events.

Hier ist es detailiert beschrieben:

https://www.thunderbird-mail.de/wiki/Lightning_-_FAQ#Einrichten_eines_Google-Kalenders

Inklusive der Abweichungen, wenn man mehr als einen Google-Kalender einbinden möchte. Klappt einwandfrei, und bewahrt einen vor einem Kalender-Blackout, wenn Google mal wieder was ändert, und die Programmierer des "Google Provider" nicht hinterherkommen.

 

[Sparta8]

Die Veröffentlichungen begnügen sich seitdem meist mit dem Beheben von Fehlern und dem Schließen von Lücken.

Umso erstaunlicher ist die ständig zunehmende Beliebtheit des freien E-Mail-Clients, ...

Was ist daran erstaunlich? Das Programm hat alle notwendigen Funktionen, ist mittels AddOns erweiterbar und die Developer konzentrieren sich auch Stabilität und Sicherheit.

Erstaunlich?

 

[St3ppenWoLF]

"Mozillas E-Mail-Client Thunderbird nimmt ständig an Beliebtheit zu."

Und das, obwohl er eigentlich nicht mehr weiterentwickelt wird (nur Sicherheits- und Stabilitätsupdates).
Das freut mich aber zu hören, nutze selbst seit Jahren den Thunderbird und will praktisch nichts mehr anderes

Er funktioniert und seine Arbeit macht er zuverlässig


Gruß,
Der Doc.

 

[Miuwa]

Überrascht mich eigentlich nicht wirklich. Outlook und Thunderbird sind die einzigen mir bekannten (es gibt sicher noch mehr) ernstzunehmenden Email-Clients unter Windows und da es Outlook ja nurnoch in den teureren Office Paketen gibt weichen immer mehr Leute auf Thunderbird aus.
Der Aussage, dass Thunderbird nichtmehr weiterentwickelt wird, weil es nichtsmehr zu tun gibt stehe ich etwas skeptisch gegenüber.
Das Problem ist glaube ich eher, dass sich mit Thunderbird kein Geld verdienen lässt (da keine Schnittstelle für Werbung oder Web-Suchanbieter) und dass die Software primäre die Schnittmenge aus zwei stagnierenden oder sogar schrumpfenden Märkten bedient: Klassische Heim PCs und Private Emails.
Für den Privatgebrauch steigen immer mehr Leute auf Handys und Tablets um und ein Großteil der privaten Kommunikation erfolgt erst garnicht mehr via Email sondern eher über WA, Facebook, usw. Somit würde eine weiterentwicklung bedeuten, dass man viel Geld und Zeit in ein Produkt steckt, dass langfristig immer weniger genutzt wird (die Anzahl der Installationen sagt ja nichts über den Nutzungsgrad aus).

 

[Computerfuchs]

Die Veröffentlichungen begnügen sich seitdem meist mit dem Beheben von Fehlern und dem Schließen von Lücken.

Umso erstaunlicher ist die ständig zunehmende Beliebtheit des freien E-Mail-Clients

LOL
In dem Satz steckt mal wieder die, leider allzu häufige, verquere Ansicht von Softwarentwicklern: "Für möglichst große Beliebtheit braucht es ständig neue Features."
So ist es eben gerade nicht!

Ich verwende Thunderbird nun schon seit Version 1.5 und ich muss sagen, dass ich heilfroh bin, dass sie endlich mal aufgehört haben, ständig grundlegend was daran zu verändern. Bugfixes sind gut und wichtig, und gelegentlich hier und da mal eine Kleinigkeit ergänzen / verbessern, ist ok. Aber der ständige Versuch, grundlegend alles umzukrempeln, ist für mich als Anwender nur eines: Extrem lästig!

Inzwischen installiere ich auch wieder regelmäßig Updates.
Noch vor einem Jahr habe ich mir das aufgrund schlechter Erfahrungen mit den vorherigen Updates nicht mehr getraut. Wenn man gerade keine Zeit hat, sich mit dem Beheben technischer Probleme und/oder der Einarbeitung in eine neue Benutzeroberfläche zu beschäftigen, sondern einfach möglichst schnell produktiv arbeiten möchte, ist es ein absolutes no-go, wenn da ein Update kommt, das ohne Vorwarnung (!) die komplette Benutzeroberfläche umkrempelt und obendrein hinterher vermeldet, 3 Add-Ons (wohlgemerkt natürlich auch solche, deren Funktionalität man vor dem Update täglich genutzt hat) seien nicht mehr kompatibel.


Die frühere Updatepolitik von Mozilla war für mich mehrfach Anlass, mich nach Alternativen umzusehnen. Beim Browser hat mich genau das weg von Firefox und hin zu Chrome geführt, mit dem ich nun sehr zufrieden bin. Beim E-Mail-Programm hat mich lediglich der Mangel an Alternativen bis heute bei Thunderbird gehalten. Mit der nun eingekehrten, neuen Sichtweise der Mozilla-Entwickler bin ich aber tatsächlich zuversichtlich, dass ich Thunderbird nun auch noch länger treu bleiben werde.

 

[cbtestarossa]

WENN der Server Verschlüsselung erzwingt, DANN kommt unverschlüsselt auch nichts zustande. Aber nicht jeder Mailserver erzwingt Verschlüsselung.

Das sollte aber optional im TB einzustellen sein und nicht vom Server abhängig sein.
Wenn ich will dass nur verschlüsselte Verbindungen genutzt werden können werde ich schon meinen Grund haben.

Löschen der Adresse bewirkt Löschen der Postausgangs-Einstellungen... so zumindest der Plan. Wenn du Gegenteiliges beweisen kannst...

Hab ich doch oben geschrieben dass Reste in der JS verbleiben

Dass in der Portablen alle User jedes Konto sehen ist ja auch logisch. Ist ja eine PORTABLE Version, unabhängig vom aktuellen Betriebssystem, User,...
Eine reguläre Installation legt die Konfigurationsdaten inklusive Konto-Einstellungen ins Home-Verzeichnis des aktuellen Users, so wie es sich gehört. Was hast du denn gedacht?

...jeder, der PHSYISCHEN ZUGANG zu deinem PC hat, ja.... oder jeder, der es schafft, dir eine Wanze (z.B. einen Trojaner) unterzujubeln.
In beiden Fällen gilt aber: Wenn jemand solcherart Zugang erlangen kann, dann kann er dir auch einen Keylogger installieren (Hard- oder Software) und erhält dann dein jeweiliges Passwort brühwarm, wenn du es eingibts.

Wechsel auf Linux und verwende eine verschlüsselte Home-Partition. Kein User-Passwort, kein Zugang. Die Einrichtung ist ein No-Brainer.

Du weißt genau was ich sagen wollte, aber man kann natürlich für alles ne halbgare Lösung finden wenn ein Programm etwas nicht unterstützt.

Wenn man TB installiert ist es wahrscheinlich auch so dass die Profile im User-Verzeichnis abgelegt werden.
Trotzdem wahrscheinlich nicht verschlüsselt. Müsstest DU nachschauen denn ich habe es nur in der portablen Version getestet, und wenn du das kontrollieren möchtest dann schau auch gleich ob da etwas verschlüsselt wird, denn das bezweifle ich.

Usertrennung vom Programm aus wäre die beste Lösung (natürlich verschlüsselt). Du logst dich dann quasi zusätzlich in den TB mit einem Usernamen ein und siehst nur deine Konten. Unabhängig von deinem OS.
Natürlich nur falls erwünscht und optional, aber Konten und email-addys im Klartext einzutragen ist ja mal Schwachfug.

 

[Daaron]

Das sollte aber optional im TB einzustellen sein und nicht vom Server abhängig sein.

Das wäre kontraproduktiv für Umgebungen, in denen Verschlüsselung entweder unnötig oder gar unmöglich ist. Wenn du z.B. über ein gesichertes Firmennetzwerk, oder gar über einen SSL Tunnel, auf den Mailserver zugreifst, wozu noch die Mailverbindung verschlüsseln?

Usertrennung vom Programm aus wäre die beste Lösung (natürlich verschlüsselt). Du logst dich dann quasi zusätzlich in den TB mit einem Usernamen ein und siehst nur deine Konten. Unabhängig von deinem OS.

Das ist Bullshit. Usability = 0. Wozu gibt es denn bei besseren Betriebssystemen eine strikte Nutzertrennung? RICHTIG gute Systeme haben sogar noch Keyrings, die verschlüsselt gespeichert werden und entweder beim Login entschlüsselt werden, oder erst nach Eingabe eines zusätzlichen Passwortes.
Dass Windows kein richtig gutes System ist, spielt hier keine Rolle.

Natürlich nur falls erwünscht und optional, aber Konten und email-addys im Klartext einzutragen ist ja mal Schwachfug.

Du solltest mal darüber nachdenken, welcher Programmteil welche Information wann benötigt. Dann wird dir einiges in der Beziehung dämmern. NATÜRLICH muss der Kram, früher oder später, im Klartext vorliegen.


Also nochmal: Wenn du Datenschutz-Panik schiebst, dann verwende Linux mit verschlüsselter Home-Partition. Aber auch DAS schützt dich nciht davor, dass dir jemand einen Trojaner oder eine Hardware-Wanze unter schiebt und TROTZDEM deine Passwörter mit liest. Eine Speicherung im Klartext oder leicht zu entschlüsselndem Crypto ist KEIN Problem, solange der Zugriff auf das Speichermedium korrekt reglementiert ist. Mit anderen Worten: Solange ich keine Viren im System habe und niemand an meiner Festplatte herum frickeln kann, kann ich sonstwas an Daten unverschlüsselt lagern. WENN jemand hingegen an der HArdware herum spielen oder mir Viren unterschieben kann, hilft keine Verschlüsselung mehr.

 

[MountWalker]

...
Trotzdem wahrscheinlich nicht verschlüsselt. ...

Der entscheidende Punkt fehlt: Verschlüsselung der einzelnen Benutzerkonten mit unterschiedlichen Passwörtern ist dann wichtig, wenn jemand Zugriff auf eine Live-System-Nutzung des Rechners (CD-Boot ist möglich) hat, also physisch vor Ort Zugriff auf den Rechner hat, der keine Möglichkeit haben soll, die Mails zu lesen.

Im Büro kann ich mir das vorstellen, zu Hause möchte ich aber nicht einen Tresor kaufen müssen, um mein Tagebuch reinzulegen.

 

[freacore]

Wenn man bei Verbindungssicherheit SSL/TLS einstellt, wird auch nur verschlüsselt übertragen oder gar nicht.

 

[cbtestarossa]

WENN jemand hingegen an der HArdware herum spielen oder mir Viren unterschieben kann, hilft keine Verschlüsselung mehr.

Und genau darum geht es. Programme die im Hintergrund mitlesen etc. Da hilft dir auch kein eigenes Benutzerkonto des OS. Und ich will mal bezweifeln dass es bei Linux besser wäre.
Bei neugierigen Admins zB. auch nicht oder wie schon angesprochen falls sich wer von außen physikalischen Zugriff verschafft.

Klar muss alles mal unverschlüsselt vorliegen, spätestens im RAM.
Und nicht mal da bin ich sicher ob man das nicht auch anders per HASH oder sonstiger Methoden lösen kann.
Aber die Zeitspanne wo das geschieht kann man programmtechnisch so kurz als möglich gestalten, zumindest las ich das mal im Zusammenhang mit OpenSSL.

Machbar ist alles, man muss nur wollen und Lösungen finden die dann nicht wirklich hinderlich sind.
Denk doch einfach mal weiter wer alles Begehrlichkeiten hat dich abzuschnorcheln.
Wenn niemand etwas in diese Richtung macht bleibt alles beim alten und man sieht ja wie sicher die IT ist. Jeder Tag ein neuer Hack, spionierende Hard+Software etc.

Eventuell würde es ja auch schon mal helfen Online Programme in ne Sandbox zu sperren aber was hilft das wenn dann irgendwo alles im Klartext gespeichert wird. Ausserdem sollte man das schon vom OS aus erledigen können und keine Zusatzprogramme dazu kaufen müssen. Sicherheit ist anscheinend nicht gewollt, hauptsache an der GUI herumbasteln und sonstigen Spionage-Müll einbauen.

Was wir aber sowieso benötigen ist eine Ablöse der Email. Standardisiert und sicher. Und einfach zu bedienen. Email funktioniert halt nicht wie ein Messenger.

 

[Marco^^]

Hier ist eine Tabelle zu den Anewendungen 2014, die die meisten Sicherheitslücken hatten ...

http://www.gfi.com/blog/most-vulnerable-operating-systems-and-applications-in-2014/

VideoURL in neuen TAB öffnen ...
https://www.youtube.com/watch?v=_oqTg1-O3aI&hd=1&t=1h31m10s