Vier Angriffe mit unterschiedlichen Grenzen
| Angriff | Beispiel | Was hilft? | Grenze der Domainprüfung |
|---|---|---|---|
| Direkte Fälschung Ihrer Domain | Angreifer setzt From: rechnung@example.com ohne autorisierten Versand. | SPF, DKIM, DMARC und eine zum Versand passende Richtlinie | Wirksamkeit hängt auch von der Auswertung beim Empfänger ab. |
| Ähnlich geschriebene Fremddomain | Eine fremde Domain sieht Ihrem Namen ähnlich. | Erkennbare eigene Domains und unabhängige Prüfung riskanter Vorgänge | Die fremde Domain kann eigene gültige Authentifizierung haben. |
| Nur Anzeigename gefälscht | Bekannter Firmenname über einer fremden Adresse | Adresse und Vorgang prüfen; im Unternehmen klare Freigabewege nutzen | Ein Name allein ist keine authentifizierte Identität. |
| Echtes Konto übernommen | Angreifer antwortet aus einem legitimen Postfach. | Kontoschutz, Anomalieerkennung und zusätzliche Freigabe riskanter Änderungen | SPF, DKIM und DMARC können vollständig bestehen. |
Die Matrix erklärt, weshalb eine gültige Signatur und ein plausibler Absender kein Freibrief für eine Zahlung sind. Der geprüfte technische Absender und die Berechtigung zu einer konkreten Handlung sind verschiedene Fragen.
Die eigene Domain gegen Missbrauch absichern
- Autorisierte Versandquellen vollständig erfassen und technisch prüfen.
- DMARC-Berichte auswerten und legitime Fehler beheben, bevor die Richtlinie verschärft wird.
- Zugänge zu Mail-, DNS- und Versandkonten mit geeigneter Mehrfaktoranmeldung und klaren Rollen absichern.
- Nicht mehr benötigte Konten, Weiterleitungen und angebundene Anwendungen regelmäßig prüfen.
- Domain- und Schlüsseländerungen nachvollziehbar dokumentieren.
Erfassen Sie auch die Systeme außerhalb der zentralen IT. Ein altes Website-Formular oder ein extern betreutes Newsletterkonto kann im Namen der Marke senden. Ein vollständiger Bestand ist deshalb nicht nur für Marketing, sondern auch für die Reaktion auf einen Vorfall wertvoll.
Riskante Handlungen unabhängig bestätigen
Legen Sie für Änderungen an Bankverbindungen, Zugängen und vertraulichen Dokumenten einen eigenen Freigabeweg fest. Eine Antwort auf dieselbe verdächtige Mail bestätigt die Echtheit nicht. Verwenden Sie einen bereits bekannten, unabhängig gespeicherten Kontaktweg oder ein vereinbartes Kundenportal.
Ein hilfreicher Ablauf für geänderte Zahlungsdaten: Änderung zunächst stoppen, bestehende Vertrags- und Kontaktdaten aufrufen, Berechtigung über den vereinbarten Weg prüfen und die Bestätigung dokumentieren. Erst danach werden Stammdaten geändert. Der Ablauf muss auch dann gelten, wenn die Mail sprachlich perfekt ist oder aus einem bekannten Thread kommt.
Vermeiden Sie in den eigenen Kundenmails Muster, die Ihre Empfänger später schwer prüfen können: wechselnde Kurzlinks, unerklärte Fremddomains, künstliche Dringlichkeit oder die Aufforderung, Zugangsdaten per Antwort zu senden. Eine gute Nachricht nennt Anlass und sicheren nächsten Schritt.
Verdachtsfälle so melden, dass die IT arbeiten kann
- Keine weiteren Anhänge oder Links aus der verdächtigen Nachricht öffnen.
- Den vereinbarten internen Meldeweg nutzen und die Originalnachricht nach dem Verfahren der IT bereitstellen. Ein Bildschirmfoto allein enthält die technischen Header nicht.
- Falls Zugangsdaten eingegeben oder Dateien ausgeführt wurden, dies sofort und konkret melden. Zeitpunkt und betroffene Anwendung helfen bei der Reaktion.
- Bei möglicher Kontoübernahme auch aktive Sitzungen, eingerichtete Weiterleitungen und erteilte App-Berechtigungen durch die zuständige IT prüfen lassen.
Ein Vorfallprozess braucht klare Zuständigkeiten. Mitarbeitende sollten wissen, wo eine Meldung ankommt und wie mit einer irrtümlich angeklickten Mail umgegangen wird. Ein leicht erreichbarer Meldeweg ist hilfreicher als die Erwartung, jede Fälschung allein zu erkennen.
Wo Markenlogo und Siegel helfen können
Eine sichtbare Kennzeichnung kann das Wiedererkennen eines geprüften Absenders unterstützen. trustedDialog ergänzt dafür Markenlogo und Siegel in unterstützten Postfächern. Es ist kein Nachweis, dass jede Handlungsaufforderung richtig ist, und keine Verschlüsselung des Inhalts.
Verbinden Sie technische Prüfung, verständliche eigene Nachrichten und abgesicherte Geschäftsabläufe. Die Frage für jede Maßnahme lautet: Welchen konkreten Angriff erschwert sie, und was bleibt danach noch offen?