Outlook Android App überträgt Passwort im Klartext aus der Cloud

Möglicherweise ein alter Hut und den Admins bestens bekannt. Sozusagen 'aus gegebenem Anlass' kippe ich es aber mal einfach hier ein - hat am Wochenende etwas Wellen bei mir im Blog geschlagen.

Bei der Nutzerschaft ist ja die Outlook App (gibt es für Android und iOS) ganz beliebt. Ganz cool ist dann, über diese App auf einen On-Premises Exchange Server zuzugreifen, um Mails abzuholen.

Wer etwas länger dabei ist, erinnert sich, dass die IT des EU-Parlaments die Outlook App aus Sicherheitsgründen gebannt hat (die haben seinerzeit die Anmeldedaten etc. auf einen Accompli-Server übertragen). Dachte, das Thema sei nach Überarbeitung der Outlook-App für Android vom Tisch.

Anfang Januar 2021 ist mir ein Info-Splitter in einem Forum untergekommen und letzte Woche hat mich ein Admin kontaktiert. Die Outlook Android-App verwendet eine Basis-Authentifizierung und überträgt das Kennwort zur On-Premises Exchange-Anmeldung im Klarttext aus der 'Microsoft Cloud'. Hintergrund ist wohl ein Workaround, damit die App mit On-Premises Exchange kommunizieren kann.

Stimmungsbild: Einige Admins bannen die Outlook-App daher für On-Premises- Lösungen. Aber einer Reihe Admins war das Verhalten gänzlich unbekannt. Die Information ist nun da - jetzt kann jeder dann handeln wie er meint.

Outlook App speichert Passwörter in der Cloud und analysiert Mails