E-Mail-Sicherheit für Unternehmen: So schützen Sie Ihr Team vor Phishing-, Spoofing- und BEC-Angriffen

Die Absicherung geschäftlicher E-Mails erfordert vier Ebenen: Authentifizierungsdatensätze (SPF, DKIM und DMARC) zur Verhinderung von Domain-Spoofing, Multi-Faktor-Authentifizierung für jedes Postfach zur Verhinderung von Identitätsdiebstahl, Out-of-Band-Verifizierungsverfahren bei jeder Änderung von Zahlungs- oder Bankdaten sowie fortlaufende Mitarbeiterschulungen zur Erkennung von Social Engineering. Technische Kontrollmaßnahmen allein reichen nicht aus, da Angriffe auf geschäftliche E-Mails eher auf das menschliche Urteilsvermögen abzielen als auf Schwachstellen in der Software.

Business E-Mail Compromise ist die Kategorie der Cyberkriminalität, die Unternehmen den größten finanziellen Schaden zufügt, und der Angreifer muss dabei nichts knacken. Es gibt keine Malware, keinen Exploit, keine durchbrochene Firewall. Es gibt lediglich eine E-Mail, die so aussieht, als stamme sie von Ihrem Finanzdirektor, und eine Zahlung, die auf das falsche Konto geht.

Dieser Leitfaden behandelt die Angriffe, die tatsächlich gegen Unternehmen erfolgreich sind, sowie die spezifischen Kontrollmaßnahmen, mit denen sich jeder einzelne davon abwehren lässt.

Die vier E-Mail-Bedrohungen, die Unternehmen tatsächlich Geld kosten

1. Business Email Compromise (BEC)

Ein Angreifer gibt sich als hochrangige Person aus – in der Regel als Geschäftsführer oder Finanzleiter – und weist einen Mitarbeiter an, eine dringende Zahlung zu tätigen oder die hinterlegten Bankdaten zu ändern. Die Nachricht trifft oft zu einem Zeitpunkt ein, zu dem die imitierte Person bekanntermaßen auf Reisen oder nicht erreichbar ist, und enthält weder Anhänge noch Links, die von einem Filter abgefangen werden könnten.

2. Phishing nach Anmeldedaten

Eine Nachricht, die einen bekannten Dienst imitiert, fordert den Empfänger auf, sich über eine überzeugende, aber betrügerische Seite anzumelden. Die Anmeldedaten werden erfasst und für den Zugriff auf das echte Postfach verwendet. Angreifer verharren häufig wochenlang unbemerkt in einem kompromittierten Posteingang und lesen die Korrespondenz, bis sie den Zahlungszyklus gut genug verstehen, um einzugreifen.

3. Domain-Spoofing

Ohne korrekte Authentifizierungsdatensätze kann jeder E-Mails versenden, die scheinbar von Ihrer Domain stammen. Kunden erhalten überzeugende gefälschte Rechnungen, die scheinbar von Ihrer Adresse stammen, und der Reputationsschaden geht zu Ihren Lasten.

4. Kompromittierung der E-Mail-Konten von Lieferanten

Der Angreifer kompromittiert das Postfach eines Lieferanten statt Ihres eigenen und sendet Ihnen anschließend von einer legitimen Adresse aus eine echt wirkende, aktualisierte Rechnung mit neuen Bankdaten. Da der Absender authentisch ist, werden alle technischen Kontrollen bestanden.

Ebene 1: Authentifizierungsdatensätze

SPF, DKIM und DMARC bilden die Grundlage. Sie verhindern zwar kein Phishing von anderen Domains aus, verhindern jedoch, dass Angreifer Ihre Domain missbrauchen.

Konfigurieren Sie diese in folgender Reihenfolge:

1. Veröffentlichen Sie einen SPF-Eintrag in dem alle Dienste aufgeführt sind, die berechtigt sind, in Ihrem Namen E-Mails zu versenden – Ihr E-Mail-Anbieter sowie alle Marketing-, Rechnungsstellungs- oder CRM-Tools, die in Ihrem Namen E-Mails versenden.
2. Aktivieren Sie die DKIM-Signatur in der Verwaltungskonsole Ihres E-Mail-Anbieters und veröffentlichen Sie den daraus resultierenden öffentlichen Schlüssel.
3. Veröffentlichen Sie DMARC im Überwachungsmodus, überprüfen Sie die Berichte zwei Wochen lang, um sicherzustellen, dass alle legitimen Absender die Prüfung bestehen, wechseln Sie dann in den Quarantänemodus und schließlich in den Ablehnungsmodus.

Ebene 2: Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung ist die wirksamste verfügbare Sicherheitsmaßnahme, da sie Phishing-Angriffe auf Anmeldedaten gänzlich verhindert. Ein Angreifer mit einem gestohlenen Passwort kann ohne den zweiten Faktor nicht auf das Postfach zugreifen.

Wichtige Hinweise zur Umsetzung:

• Machen Sie MFA für jedes Konto obligatorisch, nicht optional. Optionale MFA wird gerade von denjenigen genutzt, die sie am wenigsten benötigen.
• Bevorzugen Sie Authentifizierungs-Apps oder Hardware-Schlüssel per SMS. SMS-Codes können durch SIM-Swapping abgefangen werden.
• Schützen Sie Administratorkonten speziell mit Hardware-Schlüsseln – eine Kompromittierung des Administratorkontos gefährdet jedes Postfach.
• Prüfung auf veraltete Authentifizierungsprotokolle die die MFA vollständig umgehen und diese deaktivieren.

Ebene 3: Prozesskontrollen, die BEC verhindern

BEC ist erfolgreich, indem es Dringlichkeit vortäuscht und Autorität ausnutzt. Es lässt sich nicht durch Filter abwehren, da die Nachricht technisch gesehen nichts Schädliches enthält. Es muss durch festgelegte Prozesse gestoppt werden.

Vier Kontrollmaßnahmen, von denen jede für sich genommen die meisten BEC-Versuche vereitelt:

• Out-of-Band-Verifizierung. Jede Änderung der Bankverbindung sowie jede Zahlung, die einen festgelegten Schwellenwert überschreitet, muss telefonisch über eine bereits hinterlegte Nummer bestätigt werden – niemals über eine Nummer, die in der E-Mail selbst angegeben ist.
• Zweistufige Autorisierung. Zahlungen oberhalb eines Schwellenwerts erfordern zwei namentlich benannte Genehmiger. Ein einzelnes kompromittiertes Konto kann eine Überweisung nicht allein abschließen.
• Warnungen bei externen Absendern. Konfigurieren Sie Ihre Plattform so, dass Nachrichten, die von außerhalb Ihrer Organisation stammen, sichtbar gekennzeichnet werden. Angreifer setzen darauf, dass Empfänger die tatsächliche Adresse hinter einem vertrauten Anzeigenamen nicht überprüfen.
• Ausdrückliche Erlaubnis zur Überprüfung. Weisen Sie deutlich und wiederholt darauf hin, dass niemand jemals dafür bestraft wird, wenn er eine Zahlung zur Überprüfung zurückhält. BEC nutzt die Zurückhaltung von Nachwuchskräften aus, einen Geschäftsführer zu hinterfragen.

Ebene 4: Schulungen, die das Verhalten verändern

Jährliche Compliance-Schulungen ändern das Verhalten nicht. Was hingegen schon:

• Kurze, regelmäßige Auffrischungskurse – ein paar Minuten pro Monat statt einer Stunde einmal im Jahr.
• Simulierte Phishing-Kampagnen mit sofortigem, nicht sanktionierendem Coaching für jeden, der darauf klickt.
• Eine Ein-Klick-Schaltfläche zum Melden im E-Mail-Client, sodass das Melden einfacher ist als das Löschen.
• Sichtbare Nachverfolgung wenn ein echter Angriff gemeldet wird, damit die Mitarbeiter erkennen, dass das Melden wichtig ist.

Ihre Checkliste zur E-Mail-Sicherheit

Kontrolle	Priorität
SPF-Eintrag veröffentlicht und vollständig	Sofort
DKIM-Signatur aktiviert	Sofort
DMARC auf „Quarantäne“ oder „Ablehnen“ eingestellt	Innerhalb von 30 Tagen
MFA für alle Konten obligatorisch	Sofort
Veraltete Authentifizierung deaktiviert	Innerhalb von 30 Tagen
Warnungen bei externen Absendern aktiviert	Sofort
Richtlinie zur Zahlungsüberprüfung außerhalb des regulären Prozesses	Sofort
Doppelte Autorisierung bei Überschreitung des Schwellenwerts	Innerhalb von 30 Tagen
Phishing-Meldung mit einem Klick	Innerhalb von 30 Tagen
Monatlich simulierte Phishing-Angriffe	Fortsetzung folgt

Häufig gestellte Fragen

Was ist „Business E-Mail Compromise“?

BEC ist eine Betrugsmasche, bei der sich ein Angreifer als vertrauenswürdige Person – beispielsweise als Führungskraft, Kollege oder Lieferant – ausgibt, um eine betrügerische Zahlung oder eine Änderung der Bankverbindung zu erwirken. In der Regel enthält die E-Mail keine Malware oder Links, weshalb sie von Standardfiltern nicht abgefangen wird.

Welcher ist der sicherste E-Mail-Anbieter für Unternehmen?

Anbieter, die eine End-to-End-Verschlüsselung mit strengen Garantien zur Datenlokalisierung bieten, gewährleisten die höchste Vertraulichkeit der Nachrichten. Für die meisten Unternehmen hängen die Sicherheitsergebnisse jedoch weitaus stärker von der korrekten Konfiguration – Authentifizierungsprotokolle und MFA – ab als von der Wahl des Anbieters.

Können SPF, DKIM und DMARC jegliches Phishing verhindern?

Nein. Sie verhindern, dass Angreifer Ihre eigene Domain fälschen, was von großer Bedeutung ist. Sie verhindern jedoch nicht Phishing-Angriffe, die von ähnlich klingenden Domains oder von tatsächlich kompromittierten Konten Dritter versendet werden.

Wie verschaffen sich Hacker Zugang zu geschäftlichen E-Mail-Konten?

Am häufigsten durch gestohlene Zugangsdaten – die über Phishing-Seiten oder durch die Wiederverwendung von Passwörtern erlangt wurden, die bei anderen, nicht damit in Zusammenhang stehenden Sicherheitsverletzungen offengelegt wurden. Die Multi-Faktor-Authentifizierung blockiert die überwiegende Mehrheit dieser Versuche.

Was sollten wir tun, wenn eine betrügerische Zahlung getätigt wurde?

Wenden Sie sich unverzüglich an Ihre Bank, um eine Rückforderung zu versuchen, bewahren Sie alle zugehörigen E-Mail-Beweise auf, ohne etwas zu löschen, setzen Sie die Zugangsdaten der betroffenen Konten zurück und melden Sie den Vorfall der zuständigen nationalen Behörde für Cyberkriminalität. Die Schnelligkeit wirkt sich erheblich auf die Chancen einer Wiederherstellung aus.

---

Integrierte E-Mail-Sicherheit

CHAMPREPMail verfügt standardmäßig über Anleitungen zur Authentifizierung, obligatorische MFA, Warnungen vor externen Absendern und integrierte Phishing-Meldungen – und wird nicht als teures Sicherheits-Upgrade angeboten. MehrLearn dazu auf unserer Sicherheit & Datenschutz Seite.