Eine an der ETH Zürich entstandene Masterarbeit hat mehrere Schwachstellen im SEPPmail Secure E-Mail Gateway untersucht. Betroffen waren Funktionen, die für verschlüsselte E-Mail-Kommunikation besonders wichtig sind: Signaturen, Entschlüsselung, Webmail-Zugänge und die Verarbeitung von Anhängen. SEPPmail hat nach eigenen Angaben kritische Befunde im Rahmen des Responsible-Disclosure-Prozesses behoben. Für Unternehmen bleibt die wichtigste Konsequenz: sicherheitsrelevante Systeme müssen rasch aktualisiert und betrieblich überprüft werden.

ETH-Arbeit statt klassische Produktmeldung

Die öffentlich nachvollziehbare Grundlage ist die Masterarbeit «Breaking SEPPmail: A Case Study of Email Encryption in the Wild» von Andris Suter-Dörig an der Applied Cryptography Group der ETH Zürich. Die Arbeit ist auf der ETH-Seite zu abgeschlossenen Masterarbeiten aufgeführt. Ein öffentlich herunterladbarer Bericht ist dort derzeit nicht ersichtlich, weshalb sich die konkrete Einordnung vor allem auf Herstellerangaben, Release Notes und veröffentlichte CVE-Einträge stützt.

Was untersucht wurde

Im Kern ging es um ein Produkt, das E-Mails verschlüsseln, entschlüsseln, signieren und für externe Empfängerinnen und Empfänger über Webmail-Funktionen bereitstellen kann. Genau solche Systeme stehen an einer empfindlichen Stelle: Sie verarbeiten vertrauliche Nachrichten, Anhänge, Zertifikate und Identitäten. Wenn dort Signaturen falsch interpretiert, Inhalte ungenügend geprüft oder Anhänge unsauber verarbeitet werden, kann dies Vertrauen, Vertraulichkeit und Nachvollziehbarkeit der Kommunikation beeinträchtigen.

Befunde in mehreren Funktionsbereichen

SEPPmail schreibt in einer Stellungnahme zur Sicherheitsforschung, Grundlage der Berichterstattung sei eine einjährige Masterarbeit der ETH Zürich gewesen, die das Unternehmen im November 2025 im Responsible-Disclosure-Prozess erhalten habe. Die veröffentlichten Hinweise zeigen Schwachstellen unter anderem bei S/MIME- und PGP-Verarbeitung, bei Webmail- beziehungsweise GINA-Funktionen sowie beim Umgang mit Dateien und Anhängen. Eine besonders kritische Kategorie betraf die Möglichkeit, unter bestimmten Umständen Befehle auf Systemebene auszuführen.

Warum das für KMU relevant ist

Für Klein- und Mittelunternehmen KMU ist die technische Detailtiefe weniger entscheidend als die betriebliche Bedeutung. SEPPmail wird typischerweise dort eingesetzt, wo vertrauliche Kommunikation geschützt werden soll, etwa mit Kundinnen und Kunden, Behörden, Kanzleien, Treuhändern, Gesundheitsorganisationen oder Geschäftspartnern. Schwachstellen in einem solchen Gateway betreffen deshalb nicht irgendeine Randfunktion, sondern einen Teil der digitalen Vertrauenskette.

Hersteller, BACS und weitere Analysen

SEPPmail gibt an, alle als kritisch eingestuften Befunde mit dem Appliance Release 15.0.1 vom 6. Januar 2026 geschlossen zu haben. Das Bundesamt für Cybersicherheit BACS führt in seiner CVE-Übersicht mehrere SEPPmail-Schwachstellen mit Publikationsdaten im März, April und Mai 2026. Die SEPPmail-Release-History nennt zudem weitere Korrekturen in späteren Versionen. InfoGuard schreibt in einer eigenen technischen Analyse, dass die ETH-Hinweise Anlass für zusätzliche Untersuchungen waren.

Konsequenz für Betreiberinnen und Betreiber

Unternehmen sollten SEPPmail-Installationen nicht nur formal als «gepatcht» betrachten, sondern prüfen, ob die aktuelle Version eingespielt, die relevanten Funktionen aktiv genutzt und auffällige System- oder Webmail-Aktivitäten kontrolliert wurden. Dazu gehören insbesondere GINA-Webmail, grosse Dateiübertragungen, PGP, S/MIME, PDF-Verschlüsselung und Anhänge. SEPPmail schreibt selbst, dass ihr keine Fälle bekannt seien, in denen die beschriebenen Schwachstellen ausgenutzt oder Kundendaten kompromittiert worden wären; eine kundenspezifische forensische Prüfung ersetzt diese Aussage jedoch nicht.

META10 hat Patch zeitnah umgesetzt

META10 hat den entsprechenden Patch für die betroffenen SEPPmail-Systeme umgehend eingespielt. Für Kundinnen und Kunden ist das ein Beispiel dafür, weshalb gemanagte IT-Umgebungen nicht nur aus Betrieb und Support bestehen, sondern auch aus laufender Pflege sicherheitsrelevanter Komponenten. Gerade bei verschlüsselter E-Mail-Kommunikation zählt nicht allein die eingesetzte Technologie, sondern auch die Fähigkeit, neue Risiken rasch einzuordnen, Updates kontrolliert umzusetzen und betriebliche Auswirkungen im Blick zu behalten.