Zimbra ist der Webmail-Client, der am CHU von Reims für das gesamte Krankenhauspersonal bereitgestellt wird. Der Zugriff auf diese Mailbox von einem Arbeitsplatz außerhalb des internen Netzwerks der Einrichtung erfordert die Einhaltung mehrerer technischer und sicherheitstechnischer Anforderungen, insbesondere seit die Zwei-Faktor-Authentifizierung in französischen öffentlichen Gesundheitseinrichtungen verbreitet wird.
Aktuelle Zimbra-Schwachstellen und Konsequenzen für den Fernzugriff
Bevor man überhaupt über die Konfiguration spricht, verdient ein Punkt die Aufmerksamkeit jedes Mitarbeiters, der sich von zu Hause aus einloggt: Die Angriffsfläche von Zimbra wurde in den letzten Monaten aktiv ausgenutzt. Im November 2025 wurden Patches für die Versionen 10.1.13 und 10.0.18 veröffentlicht, und ein Upgrade auf Version 10.1.20 oder höher wurde empfohlen, um eine Schwachstelle für die Ausführung von Code aus der Ferne im Zusammenhang mit dem Paket zimbra-snmp zu beheben.
Die NSA hat ebenfalls eine von einem staatlichen Akteur unterstützte Phishing-Kampagne gemeldet, die seit Juli 2025 speziell auf Zimbra-Nutzer abzielt. Für einen Mitarbeiter des CHU bedeutet dies, dass jede ungesicherte externe Verbindung ein tatsächliches, kein theoretisches Risiko darstellt.
Diese Warnungen erklären, warum die Krankenhauseinrichtungen ihre Bedingungen für den Fernzugriff verschärfen. Ein Leitfaden, der den Zugriff auf Zimbra des CHU von Reims von außen beschreibt, ermöglicht es, zu überprüfen, ob das befolgte Verfahren den aktuellen Empfehlungen entspricht.
Zwei-Faktor-Authentifizierung für die Krankenhausmail: Was sich ändert
Mehrere französische öffentliche Einrichtungen, darunter die AP-HP und die HCL, haben einen zweiten Authentifizierungsfaktor für den Zugriff auf die Mailbox von außerhalb des Netzwerks zur Pflicht gemacht. Dieser Trend, der zwischen 2025 und 2026 bestätigt wurde, geht über die einfache Kombination aus Benutzername und Passwort hinaus, die in den meisten online verfügbaren Tutorials noch beschrieben wird.
Das Prinzip beruht auf einem temporären Code (OTP), der von einer Authentifizierungsanwendung generiert wird, die auf dem Smartphone des Mitarbeiters installiert ist. Nachdem der Benutzer seinen Benutzernamen und sein Passwort auf der Zimbra-Anmeldeseite eingegeben hat, muss er diesen Einmal-Code eingeben, bevor er auf sein Postfach zugreifen kann.
Die CNIL wird ausdrücklich als regulatorische Referenz zitiert, um diese Zwei-Faktor-Authentifizierung im Kontext der Telearbeit im Krankenhaus zu rechtfertigen. Ein Mitarbeiter, der versuchen würde, diesen Mechanismus zu umgehen (zum Beispiel durch die Verwendung eines alten direkten Anmelde-Links), würde auf eine systematische Blockierung stoßen.
Smartphone für den zweiten Faktor vorbereiten
Die Authentifizierungsanwendung muss installiert und konfiguriert werden, bevor der erste Versuch eines Fernzugriffs unternommen wird. Zu warten, bis man am Sonntagabend zu Hause ist, um diesen Schritt zu entdecken, garantiert unnötige Frustration.
- Eine kompatible Anwendung (der IT-Service des CHU gibt an, welche) auf einem persönlichen oder beruflichen Telefon installieren
- Den QR-Code scannen, der bei der Registrierung bereitgestellt wird, die in der Regel vor Ort im IT-Service erfolgt
- Überprüfen, dass die Uhr des Telefons automatisch synchronisiert ist, da eine Abweichung von wenigen Minuten die OTP-Codes ungültig macht
- Die während der Aktivierung ausgegebenen Backup-Codes an einem anderen Ort als dem Telefon selbst aufbewahren
IMAP- und ActiveSync-Konfiguration auf einem persönlichen Gerät
Das über den Browser zugängliche Zimbra-Webmail deckt die meisten Anwendungen ab. Für diejenigen, die einen nativen Mail-Client (Outlook, Thunderbird, die Mail-App von iOS) bevorzugen, kommen zwei Protokolle zum Einsatz: IMAP und ActiveSync.
IMAP synchronisiert die Mails zwischen dem Server und dem Client. ActiveSync geht noch weiter und synchronisiert auch den Kalender, die Kontakte und die Aufgaben. Die Wahl hängt vom Bedarf ab: Ein Mitarbeiter, der nur seine Mails abruft, kann sich mit IMAP begnügen. Wer seinen Dienstplan über sein Telefon verwaltet, sollte ActiveSync konfigurieren.
Servereinstellungen, die angegeben werden müssen
Die Anmeldedaten sind dieselben wie für das Webmail. Der eingehende Mailserver entspricht der Adresse des Zimbra-Servers des CHU (mitgeteilt von der DSI). Der sichere IMAP-Port verwendet die SSL/TLS-Verschlüsselung, und der ausgehende SMTP-Server folgt demselben Verschlüsselungsprinzip.
Ein häufiger Fehler besteht darin, einen generischen SMTP-Server (den seines Internetanbieters) anstelle des SMTP-Servers des CHU anzugeben. Die Mail wird dann ohne institutionelle Signatur gesendet oder wird sogar von den Spamfiltern des Empfängers blockiert.
Ein persönliches Gerät für die Mail des CHU von Reims absichern
Von einem persönlichen Computer aus zuzugreifen, ist nicht unbedenklich, wenn die übermittelten Nachrichten Gesundheitsdaten enthalten. Die nationalen Empfehlungen zielen auf eine Härtung des Zugriffsgeräts ab, nicht nur auf die Netzwerkverbindung.
- Das Betriebssystem und den Browser auf dem neuesten Stand halten, da die in den Phishing-Kampagnen, die auf Zimbra abzielen, ausgenutzten Schwachstellen oft auf veralteten Browsern basieren
- Das Zimbra-Passwort niemals im Passwortmanager des Browsers auf einem gemeinsam genutzten Gerät speichern
- Eine dedizierte Sitzung auf dem Familiencomputer verwenden, die durch ein separates Passwort geschützt ist, um zu verhindern, dass ein anderer Benutzer im Haushalt auf die berufliche Mail zugreift
- Die Zimbra-Sitzung nach jeder Nutzung zu schließen, anstatt einfach den Tab zu schließen, da das Sitzungscookie aktiv bleiben kann
Die Anmeldeseite des CHU (mail.chu-reims.fr) zeigt eine Meldung an, dass eine Authentifizierung erforderlich ist, wenn die Sitzung abgelaufen ist. Dieses Verhalten ist normal und bedeutet nicht, dass das Konto gesperrt ist. Man muss sich einfach erneut anmelden, indem man seine Anmeldedaten und den OTP-Code erneut eingibt.
Die Wahl zwischen der Modern- und der Classic-Version der Zimbra-Oberfläche, die bei der Anmeldung angeboten wird, hat keinen Einfluss auf die Sicherheit. Die Modern-Version bietet eine für Touchscreens geeignete Oberfläche, während die Classic-Version besser für Benutzer geeignet ist, die an einen schweren Client wie Outlook gewöhnt sind. Diese Präferenz kann in den allgemeinen Zimbra-Einstellungen im Abschnitt “Zimbra-Version” geändert werden.
Der Zugriff auf die berufliche Mail außerhalb der Mauern des CHU beruht letztendlich auf drei Säulen: einer korrekt im Voraus konfigurierten starken Authentifizierung, serverseitigen Einstellungen, die den Vorgaben der DSI entsprechen, und einem persönlichen Gerät, das in einem akzeptablen Sicherheitszustand gehalten wird. Die Vernachlässigung eines dieser Elemente gefährdet nicht nur den Mitarbeiter, sondern auch die Patientendaten, die in diesen Austausch fließen.