Kann ein Admin alle Mails auf dem Exchange lesen?

hi, kann dir das leider nicht für einen 2007 sagen, aber für den 2003:

normal hat nur der benutzer eines pastfachs auf dieses zugriff. ob die mails nun bei der übermittlung zum und vom postfach auf dem exchange verschlüsselt wurden spielt da ja keine rolle. einzig eine verschlüsselte speicherung, welche mir beim 2003 nicht bekannt ist, könnte da abhilfe schaffen.

grds. kann man also sagen nur der inhaber kann die mails in seinem postfach lesen, aber man kann sich als admin einfach die berechtigung für ein jedes postfach geben, und schon kann man es auch öffnen.

des weiteren ist es möglich einzelne mails aus einer datensicherung wiederherzustellen. auch so wären die mails lesbar.

so viel zu 2003 und ich denke mal ein 2007 wird ähnliche möglichkeiten bieten.


mfg
benny

Sorry, aber wo ist das Problem? Ok, selbst wenn der Admin nicht an die Mails von deinem Exchange rankommt -> dann kann er immernoch einfach deinen Rechner übernehmen und dein Outlook starten...

Ansonsten kann er aber auch einen Zugriff auf fremde Mailkonten nehmen - dabei ist die SSL-Verschlüsselung egal (diese ist nur dafür gedacht das die ÜBERTRAGUNG der Mail verschlüsselt wird!).

Der Umkehrschluss ist aber: Wenn der Admin (normal der mit den höchsten Rechner-Rechten im Netzwerk) die Emails nicht lesen kann - wie soll es denn ein Backup-Programm tun? Du kannst deine Mails natürlich verschlüsseln (wobei es für einen Admin ein leichtes ist an deinen Key zu kommen -> notfalls per Keylogger) - aber wenn dann nen Problem besteht hast du ggf. keine Mails mehr... Und wenn du jetzt kommst "Keylogger ist illegal": Der Zugriff auf fremde Email-Inhalte ist im normalfall auch nicht gestattet -> d.h. wenn ein Admin das macht DANN ist dem auch der Keylogger egal...

[...]

Theoretisch ja. SSL ist nur für den Übertragungsweg und der Weg zum Exchange ist in Bezug auf den Exchangeadmin uninteressant.

Die Mail selber muss verschlüsselt sein. Schau mal z.B. hier http://www.elektronikinfo.de/pc/pgp.htm

Wenn Du dem Exchangeadmin allerdings nicht vertraust oder über den Exchangeadmin lästern willst solltest Du vielleicht einfach auf das Telefon oder den guten alten Brief zurückgreifen

Kinderleicht!

Die Frage stellt sich auch ob dein Admin das einfach nicht kann.

Hallo um deine Frage zu beantworten:

SSL dient zur Verschlüsselung der Übertragung, dass heist das "niemand" die Übertragung plain mitlesen kann.
Ob das nun inbound oder outbound ist is vollig egal.

Wenn der Inhalt der Mails unlesbar gemacht werden sollte musst du schon auf Verschlüsselungsprogramme zurückgreifen oder
einen einfachen Code verwenden ( aus a wird 4 oder son blödsinn )

Also kurz zusammengefasst: SSL ist für die verschlüsselte Übertragung.

[...]

Kureze Nachfrage: Ihr habt Exchange 2007, Du hast Outlook als Client und wo bitte soll da ein Haken für SSL sein?

Von welcher Verbindung reden wir denn hier eigentlich?

Bei deim Verbindungsbeginn von Emailserver zu Emailserver wird ein Extended Halo geschickt um festzustellen was der kleinste Nenner ist. Falls beide Server TSL kommunzieren koennen dann wird das benutzt und der Traffic zwischen beiden ist dann geschluesselt.

Warum vertraust du deinen Administratoren eigentlich nicht? Meinst du nicht das die sich mit der Materie besser auskennen als du?

Moin,

also: SSL für INCOMING zu verwenden hört sich erstmal suspekt an. Denn: Woher soll mein Mailsystem wissen das du SSL verwendest wenn ich dir ne Mail sende? Du kannst nur das outgoing beeinflußen und dort SSL einsetzen. Dieses wirkt dann aber erst _nach_ dem Exchange-Server - hat also für die "interne" Sicherheit absolut keine Bedeutung. Du kannst auch die Verbindung zwischen dem Exchange und deinem Outlook verschlüsseln lassen -> aber wenn euer Admin so dämlich ist für das einfache Lesen von fremden Mails einen Sniffer zu verwenden dann tut der mir eh leid...

Wenn der Admin auch nur Grundkenntnisse von Windows / Exchange hat dann kann der sich sehr einfach in fremde Mailkonten schalten. Je nach Arbeitsplatz kann das auch nötig sein (z.B. weil der Kollege wiedermal ne Abwesenheit eingetragen hat und sein Mailkonto grad explodiert...) -> das dauert dann ca. 3-5 Minuten... (oder man richtet sich gleich nen Wechsel-User in Outlook an -> nur noch kurz Usernamen ändern, PW eintragen und fertig is das Thema...)

Wenn ihr da schon mehrfach enttäuscht worden seid dann wäre imo. der richtige Weg mal ein Gespräch mit der Geschäftsleitung. Je nach Betriebsvereinbarung auch ruhig mal mit dem Datenschutzbeauftragten eurer Firma über das Telemedien-Gesetz reden....

[...]
[...]

Nun, das sollte kein Hinderniss sein, solange dort kein Interessenkonflikt vorliegt. Und sollte das doch der Fall sein, so sollte sich die Geschäftsführung mal ernsthafte Gedanken machen ob das denn sein darf......

Mal ein kleiner Hinweis: https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Datenschutzbeauftrag ...

Zitat daraus "Daraus ergibt sich, dass die Leitung sowie Beschäftigte der Personal- und EDV-Abteilung nicht gleichzeitig Datenschutzbeauftragte sein können."

Hallo,

hier werden mal wieder heillos Themen vermischt.

- Verbindung Clients zu Server: Hier können diverse Protokolle verwendet werden, die oft auch in einer SSL-gesicherten Variante verfügbar sind. Das gilt auch für SMTP. Zwischen Outlook und Exchange sollte man MAPI nutzen (nur dann stehen alle Exchange-Features zur Verfügung). Die Übertragung erfolgt dann mittels RPC. Das ist afaik unverschlüsselt, aber nicht Human-Readable. Weiterhin kann RPC-over-HTTP genutzt werden (bei Exchange 2k7 "Outlook Anywhere". Da wird das MAPI-RPC in einen HTTP oder HTTPS-Tunnel gepackt. Allerdings nur bis zum CAS (Client Access Server), von da geht es per RCP weiter.

- Verbindung zwischen Mailservern unterschiedlicher Organisationen: die sprechen ausschließlich SMTP miteinander. Wenn hier Verschlüsselung dann meist TLS (Transport Layer Security). Dabei wird erst die Verbindung unverschlüsselt aufgebaut. Dann fragt der Client (Server, der Mails an den anderen abliefert) "Was kannst du denn so?". Wenn der sagt "Ja, ich kann (u.a.) TLS" kann der Client sagen "Na, dann las doch mal TLS machen". Es wird dann in der vorhandenen Verbindung ein gesicherter Transportkanal aufgebaut. Will heißen: die Mails fließen über das Internet geschützt. Aber der Kanal endet jeweils bei den beiden Mailservern. Sprich: In der Mailbox liegt die Mail unverschlüsselt.
Alternativ kann man SMTP auch über SSL tunneln, dann ist die Verbindung von Anfang an verschlüsselt. Dazu benötigt man einen eigenen Port. Und da das absendende System den nicht kennt wird er zwischen Servern auch selten genutzt.

Die bisher genannten Verfahren beziehen sich nur auf gesicherte Datenübertragungskanäle. In der Mailbox landen die Mails wieder unverschlüsselt. Aber man kann auch eine End-To-End-Verschlüsselung etwa mittels S/MIME oder PGP machen. Hierzu wird den Inhalt der Mail in deinem Mail-Client verschlüsselt und erst dann an deinen Mailserver übertragen. Den Schlüssel zum Entschlüsseln hat auch nur der Empfänger (gegenbenenfalls wird die Mail zusätzlich mit dem Schlüssel des Absender verschlüsselt, also kann auch dieser sie lesen). Eine solche Mail kann auf dem Transportweg abfangen wer will - er kann sie nicht lesen solange er den Schlüssel hat.

Der Admin darf unter Windows nicht alles. So darf er per default auch keine Mails anderer lesen. Aber: er kann sich alle rechte selber geben. Auch die, anderer Leute Mails zu lesen. Ein sicherer Übertragungskanal nutzt da herzlich wenig, er kann einfach in das Postfach schauen. Ist die Mail End-to-End verschlüsselt, dann sieht er allerdings nur Müll. Aber: wenn der Schlüssel nicht vernünftig geschützt ist kann er sich auch den besorgen und dann entschlüsseln.

Gruß

Filipp

Du behältst aber schon im Auge, dass es einen Unterschied macht, ob der Admin die Mails lesen kann oder ob er sie lesen darf.

Hallo thedot,
mir scheint Dein eigentliches Problem, ist weniger technisch, als Du glaubst.

Seit Exchange 2000 ist der Exchange Server so konfiguriert, daß es standardmäßig keine vollen Zugriffsrechte
(und auch keine Leserechte) für den Admin auf den einzelnen Postfächern mehr gibt.

D.h. ohne die Konfiguration zu ändern, erhält der Admin keine Rechte auf Dein Postfach.

Das hinterläßt aber Spuren und jeder halbwegs rechtschaffene Admin wird sich auf keinen Fall auf dieses Glatteis begeben.
Insofern wäre die Aussage nicht falsch, daß sie die Mails (in der derzeitigen Kofiguration) nicht lesen können.

Ich verstehe, daß Du wütend über die mangelnde Benachrichtigung über die Reduzierung Deines Serverspeichers bist.
Möglicherweise war diese aber aus Sicht des anderen Admins kurzfristig nötig
und die Benachrichtigung an Dich wurde in der Hektik des Betriebes vergessen?

Die mangelnde Kommunikation der anderen Admins änderst Du nur, wenn Du die Sache mit denen besprichst,
in dem Du Ihnen Deine Situation schilderst: Welche Probleme dadurch für Dich entstanden sind, mit der dringenden Bitte,
Dich doch in Zukunft über anstehende Maßnahmen, die Deine Server betreffen zu informieren.

Dadurch kommt vielleicht ein Austausch zustande, in dem jeder von dem anderen Lernen kann: Nobody is perfekt....

Hallo

...also jeder Admin könnte Emails mitschneiden vom ganzem Mailverkehr oder sich den Store öffnen und alles anschauen...ob Kalender oder Mails ob verschlüsselt oder nicht!!!...
Aber halt nicht per Default wie oben schon beschrieben.
Ein Admin sollte wie ein Vertrauensarzt sein.
Gruß

Es hinterlaesst natuerlich Spuren, aber der Admin hat wahrscheinlich auch Zugriff auf die Logfiles .

Also: Vergiss die Spuren. Wenn die Admins nicht wollen das jemand was merkt werden einfach die Snapshots oder Sicherungen genutzt. Spuren hinterlässt nur der der dumm genug ist.
Was die Besprechungen anbelangt: Ja und? Dann erstell halt ein Protokoll und schick das nachher zur Kenntnissnahme an alle Beteiligten. Fertig.

Also ich habe einen Ex 2007 seit kurzem und der wurde mit einem "Archiv" Benutzer versehen, mit dem Benutzer sehe ich alle Mails Ein,- und Ausgang wenn ich will. Habe gar keine Zeit um die Mails anderer zu lesen Aber ist das nun legitim??? Ich bin der Meinung die Mails müssen 180 Tage aufbewahrt werden und sind auch somit lesbar wenn das mal ein Staatsanwalt braucht. Mache ich was falsch??? Jetzt habt ihr mich aber verunsichert! Ich habe mal sowas in eine Telekominikationsgesetz gelesen.

Moin,

woher kommen die 180 Tage? Denn je nach Email kann das auch bis zu 10 Jahre sein (Buchhaltungsdinge usw.).

Ansonsten: Nein, Strafbar machst du dich nicht weil du in fremde Emails gucken KÖNNTEST -> dann wäre hier keiner am schreiben, jeder Admin wäre bereits im Knast ;). Du machst dich auch nicht zwingend strafbar wenn du in die Mails guckst (z.B. bei begründeten Verdacht auf Mißbrauch u.ä. - wobei ich dann immer den Betriebsrat und ggf. den Datenschutz-Typen dazuholen würde). Ebenfalls darfst du natürlich in die Mails gucken wenn der User dich darum bittet - dies passiert ja z.B. indirekt wenn du per Remote-Steuerung den PC übernehmen willst/musst und hier grad das Email-Programm offen ist. Wichtig ist dabei nur: Wenn der private Charakter einer Mail deutlich wird musst du in jedem Fall aufhören - hier darfst du dann nur den User überzeugen das er dir entweder nachweist das die Mail eben keine vertraulichen Daten enthielt ODER das er eben direkt ne Abmahnung / Kündigung bekommt. Allerdings ist das aufhören m.E. so oder so selbstverständlich -> ich WILL gar nicht wissen was die Leute alles so privat schreiben... Man überlege sich mal den übelsten Kollegen der dann seiner Perle schreibt wie toll die letzte Nacht war - so groß kann der Eimer gar nicht werden wie ich den dann bräuchte ;). Und ich hätte auch nicht wirklich die Zeit um die ganzen Mails der User hier durchzulesen - dafür bräuchte ich dann nochmal 2-3 Personen ;)

@maretz: wg. Strafbar - Es kommt auch sehr darauf an, welche Vereinbarungen mit den Mitarbeitern / Betriebsrat und GL es in der Firma hierzu gibt. Ist eine private Nutzung des E-Mail Accounts erlaubt, wenn ja welche Einschränkungen wurden hierzu vereinbart etc.

@ Ahoi-Brause: Ob Du Dich strafbar machst, kann man pauschal nicht sagen, das hängt auch sehr von der Art des E-Mailverkehrs und den betrieblichen Vereinbarungen ab.
(Ist es ein Exchangeserver für externe oder interne "Kunden", für reinen Geschäftsemailverkehr oder/und privaten E-Mailverkehr ?)

Für den angelegten Archiv-Benutzer solltest Du Dir auf jeden Fall die Rückendeckung von dem Datenschutzbeauftragten und der GL holen. Sonst kann das ins Auge gehen.
(Ggf. müssen betriebliche Vereinbarungen über die Nutzung von Telekomunikationsdienste zwischen Mitarbeitern / Betriebsrat und GL diesbzgl. ergänzt werden.)

Es genügt ja schon ein genervter Mitarbeiter, der dahinter kommt, und dich "anschwärzt".

Wg. Aufbewahrungspflicht solltest Du auch mal Eure Rechtsabteilung und Buchhaltung fragen. Werden z.B. Rechnungen verschickt, trifft die Aussage von maretz zu,
daß diese Mails im Normalfall "Belegfunktion" haben und eigentlich 10 Jahre aufbewahrt werden müssen.
Normaler Geschäftsemailverkehr sollte 6 Jahre aufbewahrt werden (für Rechtabteilung/Inkasso)