E-Mails sind einer der häufigsten Infektionsvektoren für Schadsoftware am Arbeitsplatz. Ob durch das Öffnen von Anhängen mit schädlichem Code oder durch das Klicken auf Links, die auf betrügerische Websites weiterleiten (Phishing) – die Gefahren sind vielfältig. In diesem Artikel erfahren Sie, wie Sie Ihre E-Mail-Accounts schützen und das Risiko von Cyberangriffen minimieren können.

Die häufigsten E-Mail-Bedrohungen

Phishing-Angriffe

Phishing-E-Mails versuchen, Benutzer dazu zu bringen, vertrauliche Informationen preiszugeben oder schädliche Links zu öffnen.

Typische Erkennungsmerkmale sind:

●
Dringlichkeitsgefühl erzeugende Sprache
●
Unbekannte oder verdächtige Absender
●
Grammatik- und Rechtschreibfehler
●
Verdächtige Links oder Anhänge
●
Aufforderungen zur Preisgabe sensibler Daten

Malware-Anhänge

Besonders häufig missbrauchte Dateitypen sind:

●
.exe, .scr, .bat (Ausführbare Dateien)
●
.doc, .xls mit aktivierten Makros
●
.pdf mit eingebetteten Scripts
●
.zip-Archive mit schädlichem Inhalt

CEO-Fraud/Business Email Compromise (BEC)

Beim CEO-Fraud oder Business Email Compromise geben sich Angreifer als Geschäftsführung, Lieferanten oder andere vertrauenswürdige Personen aus und drängen auf Überweisungen oder die Herausgabe sensibler Informationen.

Zu den typischen Varianten gehören heute:

●
Conversation Hijacking: Übernahme bestehender E-Mail-Threads
●
Vendor Email Compromise: Kompromittierung von Lieferanten-E-Mails
●
Attorney Impersonation: Vorgabe, Anwalt zu sein für Dringlichkeit
●
Real Estate Wire Fraud: Manipulation von Immobilientransaktionen

Erweiterte Warnzeichen sind:

●
Ungewöhnliche Zahlungsanforderungen außerhalb normaler Geschäftsprozesse
●
Aufforderung zur Geheimhaltung mit vermeintlichen rechtlichen Begründungen
●
Zeitdruck bei wichtigen Entscheidungen ohne plausible Erklärung
●
Subtile Änderungen in E-Mail-Adressen (Typosquatting: CEO@company.com vs CEO@compani.com)
●
Header-Analyse: "Reply-To"-Adressen weichen von "From"-Adresse ab
●
Sprachstil-Anomalien: Abweichungen im gewohnten Kommunikationsstil, untypische Formulierungen

Sicherheitsbewusstsein entwickeln

Grundlegende Überprüfungen

Stellen Sie sich bei jeder E-Mail folgende Fragen:

Zur Absender-Verifikation:

●
Ist der Absender bekannt und vertrauenswürdig?
●
Stimmt die E-Mail-Adresse mit vorherigen Nachrichten überein?
●
Wurde die E-Mail von einem verifizierten Account gesendet?

Zur Plausibilität des Inhalts:

●
Erwarte ich Informationen von dieser Person oder Organisation?
●
Steht der Inhalt im Zusammenhang mit meiner Arbeit?
●
Wirkt die Nachricht authentisch oder generisch?

Zur Sicherheit von Links:

●
Steht der vorgeschlagene Link im Zusammenhang mit dem E-Mail-Inhalt?
●
Führt der Link zu einer bekannten und vertrauenswürdigen Website?
●
Wurde der Link mit einem URL-Shortener verschleiert?

Verifikationsverfahren

Im Zweifelsfall sollten Sie die Echtheit einer Nachricht immer über einen zweiten Kommunikationskanal verifizieren, zum Beispiel über:

●
Telefon oder SMS beim Absender
●
Persönliches Gespräch
●
Separate E-Mail-Anfrage
●
Nutzung offizieller Unternehmenskanäle

Öffnen Sie keine Anhänge und klicken Sie nicht auf Links, bevor Sie sicher sind, dass die E-Mail legitim ist.

Best Practices für alle Unternehmen

Sichere E-Mail-Gewohnheiten

Leiten Sie berufliche Nachrichten nicht an private E-Mail-Konten weiter. Unternehmensumgebungen sind in der Regel besser geschützt als private Geräte oder Heimnetzwerke.

Ebenso sollten verdächtige Nachrichten nicht einfach aus privaten Postfächern an Unternehmenskonten weitergeleitet werden, da auch das zusätzliche Risiken schafft.

Verwenden Sie außerdem starke, einzigartige Passwörter für jeden Account und überprüfen Sie regelmäßig, ob Konten noch angemessen geschützt sind.

Multi-Faktor-Authentifizierung (MFA)

Selbst wenn Angreifer ein Passwort kennen, können sie ohne den zweiten Faktor in vielen Fällen nicht auf das Konto zugreifen.

Geeignete MFA-Optionen sind zum Beispiel:

●
SMS-basierte Codes (weniger sicher)
●
Authentifikator-Apps (Google Authenticator, Microsoft Authenticator)
●
Hardware-Token (FIDO2, YubiKey)
●
Biometrische Verfahren

E-Mail-Backup und Archivierung

Für Backups bieten sich unter anderem diese Ansätze an:

●
Regelmäßige Sicherung wichtiger E-Mails
●
Cloud-basierte Backup-Lösungen
●
Lokale Backup-Kopien für kritische Nachrichten

Bei der Archivierung kommt es vor allem auf diese Punkte an:

●
Langfristige Aufbewahrung gemäß Compliance-Anforderungen
●
Strukturierte Archivierung für einfache Wiederherstellung
●
Verschlüsselte Archivierung sensibler Inhalte

Technische Schutzmaßnahmen für KMUs

E-Mail-Security-Gateway und Advanced Threat Protection

Stellen Sie sicher, dass den Postfächern Ihrer Benutzer ein Schutzsystem vorgeschaltet ist, das infizierte Dateien, verdächtige Links und riskante Nachrichten frühzeitig erkennt.

Moderne E-Mail-Security-Lösungen bieten heute typischerweise Funktionen wie:

●
AI-basierte Threat Detection: Machine Learning für Anomalie-Erkennung
●
URL-Rewriting und Sandboxing: Dynamische Analyse verdächtiger Links
●
Attachment-Scanning und -Quarantäne: Multi-Engine-Scanning mit Verhaltensanalyse
●
Anti-Phishing-Technologien: Bildanalyse und Brand-Protection
●
Data Loss Prevention (DLP): Content-Inspection und Datenschutz-Compliance
●
OSINT Integration: Threat Intelligence aus Open Source Intelligence
●
Business Email Compromise Protection: Spezielle BEC-Erkennung und -Abwehr

Beispiele für etablierte Enterprise-Lösungen sind:

●
Microsoft Defender for Office 365 P2: Advanced threat protection für M365
●
Proofpoint Enterprise Protection: Cloud-basierte umfassende E-Mail-Sicherheit
●
Mimecast Targeted Threat Protection: Fokus auf APT und gezielten Angriffen
●
Forcepoint Email Security: Integration in größere Security-Plattformen

Microsoft 365 Business bietet beispielsweise integrierten E-Mail-Schutz mit Defender for Office 365. Nutzen Sie unsere Unternehmens-IT Kostenschätzung für eine transparente Kostenübersicht inklusive Setup, Wartung und Security-Features.

Im Sinne von Zero Trust sollte außerdem gelten:

●
Jede E-Mail wird als potenziell gefährlich behandelt
●
Behavioral Analytics: Kontinuierliche Benutzerverhalten-Analyse
●
Dynamic Reputation Scoring: Echtzeit-Bewertung von Absendern und Inhalten
●
Conditional Access: Kontext-abhängige E-Mail-Zustellung

Transportverschlüsselung

Verschlüsseln Sie die Kommunikation zwischen Mailservern sowie zwischen Arbeitsplatzrechnern und E-Mail-Servern konsequent per TLS.

Wichtige Umsetzungsschritte sind:

●
TLS 1.2 oder höher für alle E-Mail-Verbindungen
●
Erzwingung verschlüsselter Verbindungen
●
Regelmäßige Zertifikatserneuerung
●
Monitoring der Verschlüsselungsstandards

SPF, DKIM, DMARC und Brand Indicators for Message Identification (BIMI)

SPF legt fest, welche Server berechtigt sind, E-Mails für Ihre Domain zu versenden. DKIM ergänzt dies durch digitale Signaturen zur Authentifizierung des Absenders. DMARC baut darauf auf und definiert, wie mit nicht authentifizierten E-Mails umzugehen ist. BIMI ergänzt diese Standards, indem in kompatiblen Postfächern Ihr Firmenlogo in authentifizierten E-Mails angezeigt werden kann.

Für die Einführung in Unternehmen sind vor allem diese Punkte wichtig:

●
DMARC-Policy Evolution: Schrittweise von "none" über "quarantine" zu "reject"
●
DMARC-Forensics: Detaillierte Analyse fehlgeschlagener Authentifizierungen
●
Subdomain-Schutz: Wildcards und spezifische Subdomain-Policies
●
Third-Party-Integration: Autorisierung von E-Mail-Marketing-Diensten
●
Threat Intelligence: Integration in SIEM für verdächtige Authentifizierung-Patterns

Ebenso wichtig sind Monitoring und Analytics:

●
DMARC-Aggregate Reports: Regelmäßige Analyse des E-Mail-Traffics
●
Forensic Reports: Detaillierte Informationen über fehlgeschlagene Authentifizierungen
●
Brand Monitoring: Erkennung von Domain-Missbrauch und Phishing
●
Compliance Dashboards: Zentrale Übersicht über E-Mail-Authentifizierung

Der Nutzen ist erheblich:

●
Schutz vor Domain-Spoofing und Brand-Missbrauch
●
Verbesserte Zustellbarkeit und Reputation
●
Deutlich reduziertes Risiko erfolgreicher Phishing-Angriffe
●
Compliance mit modernen E-Mail-Standards (Gmail, Outlook 2025)

Organisatorische Maßnahmen

Schulungen und Sensibilisierung

Schulen Sie Ihre Mitarbeitenden regelmäßig zu aktuellen Bedrohungen und typischen Erkennungsmerkmalen.

Moderne Phishing-Simulationen decken inzwischen unter anderem diese Szenarien ab:

●
Multi-Vector-Angriffe: Kombination aus E-Mail, SMS, Voice (Vishing)
●
QR-Code-Phishing: Simulation von QR-Code-basierten Angriffen
●
AI-Generated Content: Tests mit KI-generierten, personalisieren Inhalten
●
Social Engineering: Gezielte Angriffe basierend auf OSINT-Informationen
●
Mobile Phishing: Smartphone-spezifische Angriffe simulieren

Sinnvolle Schulungsinhalte sind zum Beispiel:

●
Aktuelle Phishing-Trends: Conversation Hijacking, Deepfake-Voice-Attacks
●
AI-Assisted Attacks: Erkennung von KI-generierten Phishing-Inhalten
●
Supply Chain Compromises: Vendor Email Compromise Detection
●
Incident Response Procedures: Structured Response nach NIST Framework
●
Rechtliche Aspekte: NIS-2 Meldepflichten und DSGVO-Compliance

Für mehr Beteiligung können außerdem Gamification-Elemente helfen:

●
Phishing-Leagues: Team-basierte Wettkämpfe zur Sensibilisierung
●
Micro-Learning: Kurze, regelmäßige Sicherheitstipps
●
Real-Time-Feedback: Sofortige Rückmeldung bei simulierten Angriffen
●
Adaptive Learning: Personalisierte Schulungen basierend auf Schwachstellen

Incident Response Plan

Bereiten Sie sich auf E-Mail-Sicherheitsvorfälle mit einem klaren Ablauf vor:

1.
Erkennung: Schnelle Identifikation von Sicherheitsvorfällen
2.
Eindämmung: Sofortige Maßnahmen zur Schadensbegrenzung
3.
Untersuchung: Forensische Analyse des Vorfalls
4.
Wiederherstellung: Normalisierung der E-Mail-Dienste
5.
Lessons Learned: Verbesserung der Sicherheitsmaßnahmen

Compliance und Dokumentation

Zur Dokumentation gehören unter anderem:

●
E-Mail-Archivierung gemäß gesetzlichen Anforderungen
●
Audit-Logs für E-Mail-Zugriffe
●
Incident-Dokumentation
●
Schulungsnachweis für Mitarbeiter

Je nach Branche können zusätzliche Anforderungen gelten:

●
Finanzdienstleistungen: MaRisk, BAIT
●
Gesundheitswesen: GDPR, Schweigepflicht
●
Rechtsanwälte: BORA, Anwaltsgeheimnis

Erweiterte E-Mail-Sicherheit

E-Mail-Verschlüsselung

Ende-zu-Ende-Verschlüsselung schützt Inhalte vom Absender bis zum Empfänger.

Gängige Standards sind:

●
S/MIME (Secure/Multipurpose Internet Mail Extensions)
●
PGP/GPG (Pretty Good Privacy)
●
TLS-basierte Verschlüsselung

Bei der Einführung sollten Sie insbesondere diese Punkte beachten:

●
Benutzerfreundlichkeit vs. Sicherheit
●
Schlüsselverwaltung und -verteilung
●
Integration in bestehende E-Mail-Clients
●
Backup und Recovery von verschlüsselten E-Mails

Zero Trust E-Mail Security

Die Grundprinzipien lauten:

●
Vertraue niemals, überprüfe immer
●
Jede E-Mail wird als potenziell gefährlich betrachtet
●
Kontinuierliche Verhaltensanalyse
●
Granulare Zugriffskontrolle

Technisch lässt sich das unter anderem so umsetzen:

●
Behavioral Analytics für E-Mail-Verkehr
●
Machine Learning für Anomalie-Erkennung
●
Dynamische Sandboxing von Anhängen
●
Real-time Threat Intelligence

E-Mail-Client-Konfiguration

Sichere Einstellungen

Verwenden Sie nach Möglichkeit Textdarstellung statt HTML, um das Risiko problematischer Inhalte zu reduzieren.

Deaktivieren Sie außerdem die automatische Anzeige externer Inhalte wie Bilder, um Tracking und unnötige Angriffsflächen zu verringern.

Die automatische Ausführung von Makros und Skripten in Anhängen sollte grundsätzlich deaktiviert sein.

Spam-Filter-Optimierung

Markieren Sie Spam-E-Mails konsequent als solche, damit der Filter ähnliche Nachrichten künftig besser erkennt.

Pflegen Sie außerdem Listen vertrauenswürdiger und blockierter Absender und prüfen Sie regelmäßig die Quarantäne auf fälschlich blockierte Nachrichten.

Monitoring und Analyse

E-Mail-Traffic-Analyse

Sinnvolle Kennzahlen sind zum Beispiel:

●
Anzahl blockierter Phishing-E-Mails
●
Malware-Erkennungsrate
●
False-Positive-Rate
●
Benutzer-Klickraten bei Phishing-Simulationen

Typische Werkzeuge dafür sind:

●
Security Information and Event Management (SIEM)
●
E-Mail-Security-Dashboards
●
Threat Intelligence Feeds
●
Behavioral Analytics Platforms

Kontinuierliche Verbesserung

Regelmäßige Bewertungen sollten mindestens diese Punkte umfassen:

●
Quartalsweise Sicherheitsreviews
●
Jährliche Penetrationstests
●
Kontinuierliche Mitarbeiterschulungen
●
Aktualisierung der Sicherheitsrichtlinien

Häufige Fehler bei der E-Mail-Sicherheit

●
Warnhinweise ignorieren: Sicherheitsmeldungen von E-Mail-Programmen oder Security-Gateways werden weggeklickt, ohne den Hintergrund zu prüfen.
●
Private E-Mail-Konten für Geschäftliches nutzen: Geschäftskritische Informationen laufen über ungesicherte private Postfächer, die oft deutlich schlechter geschützt sind.
●
„Nur mal schnell“ Links und Anhänge öffnen: Zeitdruck führt dazu, dass Links und Dokumente ungeprüft geöffnet werden – besonders bei vermeintlich wichtigen Anfragen von „Geschäftsführung“ oder „Behörden“.
●
Keine klare Meldekultur: Mitarbeitende melden verdächtige E-Mails nicht, weil sie unsicher sind oder Angst vor Schuldzuweisungen haben.
●
Einmalige statt kontinuierliche Schulung: Awareness-Trainings finden nur punktuell statt und verlieren schnell ihre Wirkung.

Fazit

Die Absicherung Ihrer E-Mail-Accounts ist ein wesentlicher Bestandteil der IT-Sicherheit in Ihrem Unternehmen. Durch eine Kombination aus technischen Schutzmaßnahmen, organisatorischen Richtlinien und regelmäßigen Schulungen können Sie das Risiko von E-Mail-basierten Cyberangriffen erheblich reduzieren.

Die wichtigsten Takeaways sind:

1.
Technische Schutzmaßnahmen: Implementieren Sie E-Mail-Security-Gateways, Verschlüsselung und Authentifizierungsstandards
2.
Mitarbeiterschulung: Regelmäßige Awareness-Trainings und Phishing-Simulationen sind unerlässlich
3.
Organisatorische Maßnahmen: Entwickeln Sie klare Richtlinien und Incident-Response-Pläne
4.
Kontinuierliche Überwachung: Monitoring und Analyse helfen bei der frühzeitigen Erkennung von Bedrohungen

Wenn Sie Ihre E-Mail-Sicherheit strukturiert ausbauen möchten, unterstützen wir Sie gern – von SPF/DMARC-Konzepten bis hin zu Awareness-Trainings für Ihr Team. Nutzen Sie für einen ersten Überblick unseren kostenlosen Cyber Risiko Check oder sprechen Sie uns im Rahmen unserer IT-Sicherheitsberatung unverbindlich an – gemeinsam bringen wir Ihre E-Mail-Sicherheit auf ein tragfähiges Niveau.

E-Mail Sicherheit: Schutz vor Phishing und Malware