Wenn Angreifer ein geschäftliches Postfach übernehmen, lesen sie nicht nur Nachrichten. Sie können Rechnungen umleiten, Kennwort-Resets auslösen und sich glaubwürdig in laufende Gespräche einschalten. Deshalb braucht E-Mail-Sicherheit zwei Schutzebenen: das Konto selbst und die technische Identität der Absenderdomain.
MFA schützt das Konto
Mehrfaktor-Authentisierung ergänzt das Passwort um einen zweiten Nachweis. Authenticator-App, Passkey oder Hardware-Sicherheitsschlüssel sind für geschäftliche Konten meist stärker als SMS. Administratoren sollten MFA verpflichtend machen, Wiederherstellungscodes sicher verwahren und besonders privilegierte Konten getrennt absichern.
Auch Weiterleitungen und App-Passwörter gehören geprüft. Ein Angreifer kann nach einer Kontoübernahme eine unsichtbare Regel anlegen, die Kopien aller Rechnungen versendet. Regelmäßige Kontrollen von Anmeldungen, Weiterleitungsregeln und verbundenen Anwendungen helfen, solche Persistenz zu entdecken.
SPF: Welche Server dürfen senden?
Sender Policy Framework veröffentlicht im DNS, welche Systeme im Namen einer Domain E-Mails senden dürfen. Dazu gehören der eigentliche Mailserver, Newsletter-Dienste, Ticket-Systeme und eventuell der Webserver. Ein zu großzügiger SPF-Eintrag schwächt die Aussage; ein unvollständiger Eintrag lässt legitime Nachrichten scheitern.
Vor einer Verschärfung sollte eine vollständige Versandinventur erstellt werden. Das BSI empfiehlt, alle berechtigten Server anzugeben und den Softfail nur zu Testzwecken zu nutzen.
DKIM: Signatur für ausgehende Nachrichten
DomainKeys Identified Mail versieht E-Mails mit einer kryptografischen Signatur. Der empfangende Server ruft den öffentlichen Schlüssel aus dem DNS ab und prüft, ob signierte Teile der Nachricht unverändert sind. Private Schlüssel müssen geschützt und regelmäßig rotiert werden.
DKIM bestätigt eine Domain-Signatur, sagt allein aber nicht, ob der sichtbare Absender zur signierenden Domain passt. Genau diese Verbindung stellt DMARC her.
DMARC: Richtlinie, Alignment und Berichte
DMARC vergleicht die Domain im sichtbaren From-Feld mit den durch SPF oder DKIM bestätigten Domains. Bei passendem Alignment gilt die Prüfung als erfolgreich. Der Domaininhaber veröffentlicht außerdem eine Richtlinie im DNS: nur beobachten, verdächtige Nachrichten in Quarantäne verschieben oder ablehnen.
Die Einführung sollte gestuft erfolgen:
- Versandquellen inventarisieren und SPF/DKIM korrigieren.
- DMARC zunächst mit Beobachtungsrichtlinie veröffentlichen.
- aggregierte Berichte auswerten und unbekannte Quellen klären.
- Teilmengen in Quarantäne setzen.
- nach stabiler Prüfung auf Ablehnung erhöhen.
Ein sofortiges hartes „reject“ ohne Inventur kann legitime Newsletter, Supportsysteme oder Rechnungsdienste blockieren. Umgekehrt sollte der Beobachtungsmodus kein Dauerzustand bleiben, wenn die Berichte sauber sind.
SPF, DKIM und DMARC verschlüsseln den Inhalt nicht
Die drei Verfahren authentifizieren Versandwege und Domains. Sie sind keine Ende-zu-Ende-Verschlüsselung. Vertrauliche Inhalte benötigen zusätzliche Maßnahmen wie S/MIME, OpenPGP oder ein gesichertes Austauschportal. Transportverschlüsselung per TLS schützt die Verbindung zwischen Servern, sofern sie korrekt erzwungen und geprüft wird.
Organisatorische Regeln bleiben nötig
Technik kann eine ungewöhnliche Zahlungsaufforderung nicht immer als Betrug erkennen. Für Änderungen von Bankverbindungen oder dringende Überweisungen sollte ein zweiter, unabhängiger Kommunikationsweg vorgeschrieben sein. Mitarbeitende brauchen eine klare Meldemöglichkeit, damit verdächtige Nachrichten schnell geprüft werden.
Checkliste für die Umsetzung
- MFA für alle Konten, stärkere Verfahren für Administratoren
- keine gemeinsam genutzten Postfächer ohne persönliche Anmeldung
- SPF-Inventur aller Versanddienste
- DKIM mit ausreichend starken, rotierenden Schlüsseln
- DMARC-Berichte an überwachte Adresse
- schrittweise Richtlinie bis Quarantäne oder Ablehnung
- Alarmierung bei ungewöhnlichen Anmeldungen und Weiterleitungen
- definierter Rückrufprozess für Zahlungsänderungen
So greifen Kontoschutz, Domain-Authentifizierung und Arbeitsabläufe ineinander. Keine einzelne Maßnahme genügt, gemeinsam reduzieren sie jedoch sowohl Kontoübernahmen als auch gefälschte Absender deutlich.
