E-Mail-Sicherheit im Unternehmen wird in der Praxis meist auf die Erkennung verdächtiger Nachrichten durch die Beschäftigten reduziert. Awareness ist notwendig, greift aber zu spät: Sie setzt erst ein, wenn die gefälschte Nachricht bereits im Postfach liegt. Der technische Teil der Absicherung entscheidet darüber, wie viele solcher Nachrichten überhaupt zugestellt werden und ob Dritte im Namen der eigenen Domain schreiben können. Genau dieser Teil bleibt in vielen mittelständischen Unternehmen unbearbeitet, weil er als Angelegenheit des Dienstleisters gilt. Das Ergebnis sind Domains ohne wirksame Authentifizierungsrichtlinie, über die beliebige Absender Rechnungen, Zahlungsanweisungen oder Bewerbungen mit Schadcode versenden können, adressiert an Kunden und Lieferanten.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von FlyD auf Unsplash.
Das Grundproblem: Ein Protokoll ohne Absenderprüfung
Das Simple Mail Transfer Protocol wurde ohne Authentifizierung des Absenders entworfen. Ein sendender Server darf im Umschlag und im sichtbaren Kopfbereich einer Nachricht praktisch jede Adresse eintragen. Die empfangende Seite hat ohne zusätzliche Verfahren keine Möglichkeit zu prüfen, ob der angegebene Absender tatsächlich berechtigt war.
Daraus ergeben sich zwei Angriffsformen mit unterschiedlicher Wirkung. Beim exakten Domain-Spoofing wird die echte Unternehmensdomain als Absender verwendet. Das ist besonders gefährlich, weil Empfänger die Adresse kennen und ihr vertrauen. Beim Lookalike-Angriff registrieren Angreifer eine ähnlich geschriebene Domain, etwa mit vertauschten Buchstaben oder anderer Endung. Gegen die erste Form wirken Authentifizierungsverfahren unmittelbar, gegen die zweite helfen Überwachung und Gateway-Regeln.
Wirtschaftlich relevant ist vor allem der Rechnungs- und Zahlungsbetrug. Angreifer klinken sich in laufende Vorgänge ein, ändern Bankverbindungen und nutzen dabei den Vertrauensvorschuss einer bekannten Absenderdomain. Der Schaden entsteht dabei häufig nicht im eigenen Haus, sondern beim Geschäftspartner, was zusätzlich zu Reputations- und Haftungsfragen führt.
Die drei Authentifizierungsverfahren im Zusammenspiel
SPF: Welche Server dürfen senden
Das Sender Policy Framework ist ein Eintrag im Domain Name System, der die Server benennt, die für eine Domain senden dürfen. Der empfangende Server vergleicht die IP-Adresse des sendenden Systems mit dieser Liste. SPF prüft dabei die Adresse aus dem Übertragungsumschlag, nicht die im Mailprogramm angezeigte Absenderadresse. Das ist die zentrale Begrenzung: Eine Nachricht kann SPF bestehen und im Postfach dennoch einen gefälschten Absender anzeigen.
Häufige Fehlerquellen sind veraltete Einträge nach einem Anbieterwechsel, die Überschreitung des Limits von zehn DNS-Abfragen durch verschachtelte Verweise auf Dienstleister sowie die Verwendung einer weichen Fehlerkennzeichnung, die den Empfänger anweist, nicht autorisierte Nachrichten dennoch anzunehmen. Mehrere SPF-Einträge für dieselbe Domain führen zu einem dauerhaften Fehler und machen den Schutz wirkungslos.
DKIM: Signatur der Nachricht
DomainKeys Identified Mail versieht ausgehende Nachrichten mit einer kryptografischen Signatur. Der öffentliche Schlüssel liegt im DNS, der private Schlüssel beim sendenden System. Der Empfänger prüft, ob Signatur und Inhalt zusammenpassen. Damit ist zugleich nachgewiesen, dass wesentliche Teile der Nachricht unterwegs nicht verändert wurden.
Empfehlenswert ist eine Schlüssellänge von mindestens 2048 Bit und ein geplanter Schlüsselwechsel, üblicherweise jährlich, über wechselnde Selektoren. Zu beachten ist, dass Weiterleitungen und manche Verteilerlisten den Nachrichtenkörper verändern und die Signatur dadurch ungültig wird. Für diesen Fall existieren ergänzende Verfahren zur Kettenweitergabe der ursprünglichen Bewertung.
DMARC: Richtlinie und Rückmeldung
DMARC verbindet beide Verfahren mit der sichtbaren Absenderadresse. Eine Nachricht besteht die Prüfung, wenn SPF oder DKIM erfolgreich sind und die geprüfte Domain zur angezeigten Absenderdomain passt. Diese Übereinstimmung ist der eigentliche Fortschritt gegenüber den Einzelverfahren.
Die Richtlinie legt fest, wie der Empfänger mit fehlgeschlagenen Prüfungen umgehen soll: keine Maßnahme, Einordnung als Spam oder Ablehnung. Zusätzlich fordert DMARC aggregierte Berichte an, die täglich zeigen, welche Systeme im Namen der Domain gesendet haben und wie die Prüfungen ausfielen. Diese Berichte sind der eigentliche Wert des Verfahrens, weil sie den in fast jedem Unternehmen vorhandenen Schattenversand sichtbar machen: Newsletter-Werkzeuge, Bewerbermanagement, Buchhaltungssoftware, Monitoring-Systeme und Marketingdienstleister.
| Verfahren | Prüft | Schützt gegen | Typische Schwäche |
|---|---|---|---|
| SPF | sendende IP gegen Freigabeliste | Versand über fremde Server | Umschlagadresse statt Anzeigeadresse, Abfragelimit |
| DKIM | Signatur der Nachricht | Veränderung und fremden Versand | Signatur bricht bei Weiterleitung |
| DMARC | Übereinstimmung mit Anzeigeadresse | exaktes Domain-Spoofing | wirkt nicht gegen ähnliche Domains |
| MTA-STS | verschlüsselte Übertragung | Herabstufung der Verschlüsselung | Pflege der Richtliniendatei nötig |
| TLS-RPT | Berichte zur Transportverschlüsselung | unbemerkte Zustellfehler | reine Beobachtung, kein Schutz |
Transportverschlüsselung verbindlich machen
Die Verschlüsselung der Verbindung zwischen zwei Mailservern erfolgt in der Grundeinstellung opportunistisch. Verweigert die Gegenstelle die Verschlüsselung, wird unverschlüsselt zugestellt. Ein Angreifer in der Übertragungsstrecke kann diesen Rückfall gezielt erzwingen.
MTA-STS begegnet dem mit einer über gesicherte Kanäle abrufbaren Richtlinie, die verschlüsselte Zustellung verlangt und die zulässigen Serverbezeichnungen benennt. Ergänzend liefert TLS-RPT tägliche Berichte über fehlgeschlagene Verbindungsversuche. Beide Verfahren sind unabhängig von DMARC und lassen sich mit geringem Aufwand einführen, sofern eine gesicherte Bereitstellung der Richtliniendatei über einen Webserver möglich ist.
Für Nachrichteninhalte mit besonderem Schutzbedarf ersetzt Transportverschlüsselung keine Ende-zu-Ende-Verschlüsselung. Wer personenbezogene Daten in erheblichem Umfang oder besonderer Kategorie per E-Mail versendet, sollte die Angemessenheit der Maßnahmen an Artikel 32 der Datenschutz-Grundverordnung ausrichten und dies dokumentieren. Ergänzende nationale Regelungen finden sich im Bundesdatenschutzgesetz, abrufbar über gesetze-im-internet.de.
Eine Domain ohne durchgesetzte DMARC-Richtlinie ist für Angreifer eine offene Absenderadresse. Der Schaden entsteht dabei regelmäßig bei Kunden und Lieferanten, die der bekannten Adresse vertrauen.
Das Mail-Gateway richtig konfigurieren
Authentifizierung wirkt am Rand der Zustellung. Ergänzend braucht es Regeln, die verdächtige Nachrichten behandeln, die technisch einwandfrei zugestellt werden. Die folgenden Einstellungen gehören zum Grundbestand einer belastbaren Gateway-Konfiguration.
- Kennzeichnung externer Nachrichten durch einen sichtbaren Hinweis im Nachrichtenkopf, insbesondere zur Erkennung angeblich interner Absender
- Regel gegen Absenderfälschung im Anzeigenamen, die externe Nachrichten mit internen Namen von Führungskräften markiert oder in Quarantäne verschiebt
- Blockade ausführbarer Anhänge und makrofähiger Dokumente, mindestens jedoch deren Ausführung in einer isolierten Umgebung
- Prüfung von Verknüpfungen zum Zeitpunkt des Anklickens, nicht nur bei Zustellung
- Überwachung neu registrierter, dem eigenen Namen ähnlicher Domains und deren Aufnahme in Sperrlisten
- Auswertung von Anmeldeversuchen an Postfächern, ergänzt um Mehrfaktorauthentifizierung für alle Zugänge
- Protokollierung der Regelentscheidungen mit definierter Aufbewahrungsfrist für die spätere Aufklärung
Ein häufig übersehener Punkt ist die Behandlung automatischer Weiterleitungen aus Postfächern nach außen. Das Einrichten einer solchen Weiterleitung ist ein typischer Schritt nach einer Postfachübernahme, weil der Angreifer damit dauerhaft mitliest. Die Möglichkeit sollte technisch unterbunden oder mindestens alarmiert werden.
Einführung ohne Zustellprobleme
Der größte Risikofaktor bei der Einführung ist die verfrühte Durchsetzung einer strengen Richtlinie. Wer die Ablehnung aktiviert, bevor alle legitimen Versandwege authentifiziert sind, blockiert eigene Rechnungen, Bestellbestätigungen oder Newsletter. Der Weg über gestufte Richtlinien vermeidet das zuverlässig.
- Bestandsaufnahme aller Systeme, die im Namen der Domain senden, einschließlich Fachanwendungen, Dienstleistern und Altsystemen.
- SPF-Eintrag konsolidieren, auf einen einzigen Eintrag reduzieren und das Abfragelimit prüfen.
- DKIM für alle Versandwege einrichten, je Versandweg mit eigenem Selektor, Schlüssellänge mindestens 2048 Bit.
- DMARC zunächst rein beobachtend veröffentlichen, mit Empfangsadresse für aggregierte Berichte.
- Berichte vier bis sechs Wochen auswerten und alle unbekannten Versandquellen klären, entweder legitimieren oder abstellen.
- Richtlinie auf Quarantäne anheben, zunächst für einen Teil des Nachrichtenaufkommens, und die Wirkung beobachten.
- Anteil schrittweise erhöhen und anschließend auf Ablehnung wechseln, sofern die Berichte über mehrere Wochen keine legitimen Fehlschläge zeigen.
- MTA-STS zunächst im Testmodus veröffentlichen, TLS-RPT aktivieren und danach auf Durchsetzung umstellen.
- Subdomains einschließen, insbesondere ungenutzte, die eine eigene ablehnende Richtlinie erhalten sollten.
- Regelbetrieb festlegen: monatliche Auswertung der Berichte, jährlicher Schlüsselwechsel, Prüfung bei jedem neuen Dienstleister.
Für die Auswertung der Berichte genügt in kleinen Umgebungen eine einfache Aufbereitung, da die Berichte in maschinenlesbarer Form geliefert werden. Bei größerem Nachrichtenaufkommen empfiehlt sich ein Auswertungsdienst, wobei zu prüfen ist, welche Metadaten dabei an Dritte übermittelt werden und ob eine Auftragsverarbeitung erforderlich ist.
Was die Berichte typischerweise offenlegen
Die Auswertung der ersten Wochen aggregierter Berichte verläuft in fast allen Unternehmen ähnlich. Neben dem bekannten Postfachdienst tauchen mehrere Versandquellen auf, die niemand auf der Liste hatte. Dazu zählen regelmäßig das Bewerbermanagement, die Rechnungsversandfunktion der Warenwirtschaft, ein Newsletter-Werkzeug aus der Marketingabteilung, Kontaktformulare der Website, Monitoring- und Backupsysteme sowie Altsysteme, die seit Jahren automatisierte Meldungen versenden.
Diese Bestandsaufnahme ist unabhängig von der Absenderauthentifizierung wertvoll, weil sie die tatsächliche Systemlandschaft abbildet. Sie liefert zugleich Anhaltspunkte für das Verarbeitungsverzeichnis, für die Prüfung von Auftragsverarbeitungen und für die Frage, welche Dienstleister ohne formale Beauftragung im Namen des Unternehmens kommunizieren.
Bei der Klärung jeder Quelle sind drei Fragen zu beantworten: Ist der Versand fachlich erforderlich, wer verantwortet das System, und lässt sich der Versandweg authentifizieren. Systeme, die nicht signieren können, lassen sich in vielen Fällen über einen Weiterleitungsdienst des Postfachanbieters leiten, sodass die Signatur dort erzeugt wird. Bleibt eine Quelle ungeklärt, ist die Abschaltung dem dauerhaften Verzicht auf eine durchgesetzte Richtlinie vorzuziehen.
Der typische Ablauf eines Zahlungsbetrugs
Die Angriffskette folgt einem wiederkehrenden Muster. Am Anfang steht die Übernahme eines Postfachs, häufig über eine gefälschte Anmeldeseite. Der Angreifer liest anschließend still mit, oft über Wochen, und richtet eine Weiterleitungsregel ein, um auch nach einer Kennwortänderung Zugriff auf den Nachrichtenfluss zu behalten. In dieser Phase entstehen keine auffälligen Ereignisse.
Der eigentliche Angriff erfolgt zu einem sorgfältig gewählten Zeitpunkt, meist kurz vor Fälligkeit einer größeren Rechnung. Die Nachricht mit der geänderten Bankverbindung greift den bestehenden Betreff auf, verweist auf zurückliegende Korrespondenz und wirkt dadurch vollständig plausibel. Technische Erkennungsmerkmale fehlen häufig, weil die Nachricht tatsächlich aus dem übernommenen Postfach stammt. Wirksam sind an dieser Stelle nur organisatorische Kontrollen: die Verifikation geänderter Bankverbindungen über einen zweiten, unabhängigen Kanal und das Vieraugenprinzip bei Zahlungsfreigaben oberhalb einer definierten Grenze.
Einordnung in das Sicherheitsmanagement
Wer ein Managementsystem für Informationssicherheit nach ISO/IEC 27001 betreibt, ordnet diese Maßnahmen den Bereichen Netzwerksicherheit, Schutz vor Schadsoftware und Protokollierung zu. Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik behandelt den Themenkreis in einem eigenen Baustein zur Groupware und zum E-Mail-Betrieb. Für Unternehmen ohne Managementsystem bietet der Grundschutz eine brauchbare Prüfliste, ohne dass eine Zertifizierung angestrebt werden muss.
Wichtig ist die Zuordnung der Verantwortung. E-Mail-Sicherheit fällt zwischen die Zuständigkeiten: DNS-Einträge verwaltet oft der Webdienstleister, das Postfachsystem ein anderer Anbieter, das Gateway ein dritter. Ohne benannte verantwortliche Person auf Unternehmensseite bleibt die Konfiguration in dem Zustand, in dem sie bei der Einrichtung war. Ein jährlicher Prüfpunkt in der internen Revision oder im Managementbericht genügt, um dies zu vermeiden.
Typische Fehler in der Praxis
- DMARC bleibt dauerhaft im Beobachtungsmodus. Ohne Durchsetzung entsteht kein Schutz, sondern nur Statistik.
- Ungenutzte Domains und Subdomains bleiben ungeschützt, obwohl sie sich besonders gut für Angriffe eignen.
- Ein Dienstleister wird ohne Prüfung in den SPF-Eintrag aufgenommen und bleibt dort über Jahre nach Vertragsende.
- Die Berichtsadresse wird eingerichtet, aber niemand wertet die Berichte aus.
- Awareness-Maßnahmen ersetzen die technische Absicherung, statt sie zu ergänzen.
- Nach einem Wechsel des Mailanbieters wird die Konfiguration übernommen, ohne die Authentifizierung neu zu prüfen.
FAQ
Reicht SPF allein aus, um Absenderfälschung zu verhindern?
Nein. SPF prüft die Adresse im Übertragungsumschlag, während im Postfach die Adresse aus dem Nachrichtenkopf angezeigt wird. Eine Nachricht kann die SPF-Prüfung bestehen und dennoch einen gefälschten sichtbaren Absender tragen. Erst DMARC stellt die Verbindung zwischen geprüfter und angezeigter Domain her.
Wie lange dauert die Einführung bis zur ablehnenden Richtlinie?
Realistisch sind zwei bis vier Monate, abhängig von der Zahl der Versandwege. Der überwiegende Teil entfällt auf die Klärung unbekannter Absendequellen aus den Berichten. Eine Beschleunigung ist möglich, erhöht aber das Risiko blockierter Geschäftskorrespondenz erheblich.
Was passiert mit Weiterleitungen an externe Adressen?
Weiterleitungen brechen häufig die SPF-Prüfung, weil der weiterleitende Server nicht in der Freigabeliste steht. Bleibt die DKIM-Signatur intakt, besteht die Nachricht die DMARC-Prüfung trotzdem. Deshalb ist DKIM für alle Versandwege wichtiger als eine besonders präzise SPF-Liste.
Schützen diese Verfahren auch vor ähnlich geschriebenen Domains?
Nein. Authentifizierung wirkt ausschließlich für die eigene Domain. Gegen Lookalike-Domains helfen die Überwachung von Neuregistrierungen, Gateway-Regeln für ähnliche Zeichenfolgen und ein Hinweis für externe Absender in der Nachrichtenanzeige.
Ist ein spezialisiertes Sicherheits-Gateway für kleinere Unternehmen erforderlich?
Die in gängigen Cloud-Postfachdiensten enthaltenen Schutzfunktionen decken den Grundbedarf ab, sofern sie bewusst konfiguriert werden. Der Mehrwert eines zusätzlichen Gateways liegt vor allem in der Isolation von Anhängen, der Prüfung von Verknüpfungen zum Klickzeitpunkt und in detaillierter Protokollierung.
Wer sollte die Berichte auswerten?
Sinnvoll ist eine benannte Person auf Unternehmensseite, die den Überblick über Fachanwendungen und Dienstleister hat, unterstützt vom IT-Dienstleister für die technische Umsetzung. Die Auswertung selbst erfordert nach der Einführungsphase monatlich weniger als eine Stunde.
