Einschränkungen bei der Verwendung von Sammelpostfächern in FTAPI SecuMails

Einleitung

Die Nutzung von E-Mail-Sammelaccounts (auch als Funktionspostfächer oder Shared Mailboxes bekannt) ist eine gängige Anforderung in vielen Organisationen. Auch mit FTAPI SecuMails und dem zugehörigen Outlook Add-In ist die Einrichtung solcher Sammelpostfächer grundsätzlich möglich, unterliegt jedoch gewissen technischen und sicherheitsbedingten Einschränkungen. Dieser Artikel erläutert die Herausforderungen und beschreibt die empfohlene Konfiguration.

Technische Einschränkungen bei Sammelpostfächern

Bei der Integration von Sammelpostfächern, insbesondere in Kombination mit einer SAML-basierten Authentifizierung, müssen folgende Punkte beachtet werden:

Notwendigkeit der gemeinsamen Nutzung von Zugangsdaten

Damit mehrere Benutzer über das FTAPI Outlook Add-In auf ein Sammelpostfach zugreifen können, müssen alle zugreifenden Benutzer das Kennwort dieses Accounts kennen, wie es auf dem FTAPI-Server hinterlegt ist. Wird für das Postfach die Ende-zu-Ende-Verschlüsselung genutzt, muss zusätzlich der SecuPass-Key des Sammelaccounts allen beteiligten Benutzern bekannt sein.

Diese Notwendigkeit ergibt sich daraus, dass der FTAPI-Server bei SAML-Benutzern die Kennwörter nicht kennt oder verwaltet, da die Authentifizierung direkt über den externen Identity Provider (IdP) des Kunden erfolgt.

Beschränkung auf einen SAML-Account im Outlook Add-In

Das FTAPI Outlook Add-In kann pro Instanz nur mit einem einzigen SAML-Account gleichzeitig authentifiziert sein. Das führt zu einer entscheidenden Einschränkung:

• Wenn der persönliche Account eines Benutzers bereits über SAML angebunden ist, kann ein zusätzlich eingebundenes Sammelpostfach nicht ebenfalls ein SAML-Account sein.

Seit FTAPI Version 4.17.0 wird ein Datenbank-Benutzer bei der ersten erfolgreichen Anmeldung via SAML zudem dauerhaft zu einem SAML-Account umgewandelt, was diese Trennung zusätzlich verfestigt.

Empfohlene Konfiguration für Sammelpostfächer

Um die genannten Einschränkungen zu umgehen, wird folgende Konfiguration empfohlen:

1. Legen Sie das Sammelpostfach als regulären Datenbank-Benutzer an (Nicht-SAML-Account) auf Ihrem FTAPI-Server. Vergeben Sie hierfür ein sicheres, eigenes Kennwort.
2. Teilen Sie dieses Kennwort (und falls notwendig den SecuPass-Key) sicher an alle Benutzer, die auf das Postfach zugreifen sollen.
3. Die Benutzer können diesen Nicht-SAML-Account dann zusätzlich zu ihrem persönlichen (SAML- oder Nicht-SAML-) Account im FTAPI Outlook Add-In hinzufügen.

Auf diese Weise können Benutzer nahtlos zwischen ihrem persönlichen Postfach und dem Sammelpostfach wechseln, ohne die SAML-Beschränkung zu verletzen.

Wichtiger Sicherheitshinweis

Das Teilen von Zugangsdaten wie Kennwörtern und SecuPass-Keys stellt ein Sicherheitsrisiko dar. Stellen Sie sicher, dass diese Praxis mit Ihren internen IT-Sicherheitsrichtlinien konform ist. Ändern Sie die Zugangsdaten des Sammelpostfachs umgehend, wenn ein Mitarbeiter, der Zugriff hatte, das Team oder das Unternehmen verlässt.