Microsoft Outlook für Android und iOS schleust Daten über Fremd-Server

Nachdem Microsoft Anfang Januar seine Office-Apps für Android (Word, Excel und PowerPoint) als Preview-Versionen veröffentlicht hat, hat der Softwareriese am 29. Januar nachgelegt und Microsoft Outlook für Android und iOS freigegeben.

Microsoft Outlook für iOS
Microsoft Outlook für Android

Die neue Outlook-App ist im Grunde aber nur eine leicht veränderte Version von der App Acompli. Microsoft hatte die Firma Anfang Dezember 2014 übernommen. So weit so gut. Einen Tag später wurde aber bekannt, dass die Outlook-App alle Daten über fremde Server in den USA schleust. Dabei handelt es sich nicht einmal um Microsoft-Server, denn die App wurde mit Hilfe von Amazon Web Services aufgesetzt. Entsprechende Berichte finden sich z.B. bei Golem, Heise und Günter Born.

Demnach werden E-Mail-Konten nicht direkt abgefragt, sondern alle eingehenden und versendeten Mails werden über fremde Server geleitet. Durch diese Umleitung sollen bestimmte Funktionen ermöglicht werden, wie beispielsweise Push-Benachrichtigungen. Darüber hinaus werden aber auch Kalendereinträge, Kontaktdaten, Anhänge und sogar Zugangsdaten mitsamt des Passwortes auf den Fremd-Servern zwischengespeichert. Weitere Details hat René Winkelmeyer in seinem Blog beschrieben.

Besonders kritisch ist dieses Verhalten aber im Firmenumfeld, wenn Mitarbeiter die App installieren und auf ihren Exchange-Account zugreifen. Hier werden die Zugangsdaten (Benutzername und Passwort) ebenso auf fremden Servern gespeichert. Des Weiteren reicht ein Löschen der App nicht aus, um die Daten auf den Fremd-Servern zu löschen. Hier muss in den Kontoeinstellungen explizit die Option “Konto vom Handy und Remote-Gerät entfernen” ausgewählt werden.

Aus diesen Gründen sollten Administratoren in Unternehmen die Nutzung der Outlook-App unterbinden. Wie dies genau funktioniert, beschreibe ich in meinem Artikel “Microsoft Outlook für Android und iOS via Exchange Server blockieren“.