Wenn Sie das CardDAV Adressbuch mit Thunderbird und dem SOGo Connector benutzen, bekommen Sie u.U. bei jedem Start von Thunderbird diese Anmeldemaske:

Hier müssen Sie sich mit Ihrer E-Mail-Adresse und dem zugehörigen Passwort authentifizieren. (Die Anmeldemaske kommt unter bestimmten Umständen nicht, wenn Sie z.B. zusätzlich den CalDAV Kalender auch in Thunderbird nutzen und das Passwort gespeichert haben.)

Das Verhalten ist einem Bug im SOGo Connector geschuldet und lässt sich mit dem Thunderbird Addon “Saved Password Editor” beheben. Laden Sie sich dieses Addon herunter und installieren es in Thunderbird. Danach rufen Sie die Thunderbird Einstellungen auf und wählen unter “Sicherheit” den Reiter Passwörter aus. (Alternativ im Menü unter “Extras” -> “Gespeicherte Passwörter”) Bei den gespeicherten Passwörtern legen Sie einen neuen Eintrag nach diesem Muster an:

Typ: Anmerkung
Host: https://oc.schnied.net
Anmerkung: ownCloud
Benutzername: (Bitte mit Ihrer Mailadresse ersetzen)
Passwort: Ihr Passwort zu dem o.g. Mailaccount

Nun sollte nach dem Öffnen von Thunderbird keine Abfrage des Passwortes mehr kommen.

Das hier beschriebene kann potenziell auch auf andere Virenscanner zutreffen.

Beim einrichten von Thunderbird bei einem Kunden meldete dieser ein Problem mit dem Zertifikat unserer Mailserver.

Von “mail.schnied.net” wird ein Zertifikat verwendet, welches von einer handelsüblichen CA ausgestellt ist und mit allen gängigen Mailclients problemlos funktioniert. In diesem Fall hat sich der auf dem Computer vorinstallierte Virenscanner “avast!” in die Kommunikation dazwischen geschaltet. Das macht er, um den Datenverkehr zwischen Client und Server nach Viren zu scannen. (Hoffen wir mal, dass er nur das macht.) Dazu gibt er sich dem Mailserver gegenüber als Mailclient aus und täuscht dem eigentlichen Mailclient vor, dass er der Mailserver ist und ein gültiges Zertifikat für diesen besitzt – was in diesem Fall in die Hose geht. Wenn man sich die Details ansieht, sieht das so aus:

Rein technisch betrachtet muss der Virenscanner das so machen, um den Emailverkehr scannen zu können, bevor er beim Endbenutzer ankommt. Vom Prinzip her ist das eine klassische Man-in-the-Middle-Attacke, welche genau so auch von bösen Buben praktiziert wird um Unfug zu treiben.

Ob man nun den Virenscan für die Emails abschaltet (was sowieso schon auf dem Mailserver gemacht wird), oder irgendein Programm in seine Mails schauen lässt und bewusst auf die Überprüfung der benutzten Zertifikate verzichtet, muss jeder Endbenutzer für sich entscheiden.