Sich vor E-Mail-Adressfälschung schützen

Priorität 3: die ähnlichen Domains überwachen

DMARC schützt die exakte Domain, aber nicht die Varianten, die ein Angreifer registrieren kann: Tippfehler (beispiel.de → beispeil.de), visuelle Substitutionen (0/O, 1/l) oder trügerische Zusätze (beispiel-sicherheit.de). Diese Domains sind das bevorzugte Ziel des Typosquatting, einer zum reinen Spoofing ergänzenden Technik, da sie DMARC umgeht, indem sie eine tatsächlich vom Angreifer registrierte Domain nutzt.

Die Verteidigung kombiniert mehrere Ansätze: die offensichtlichsten Varianten des eigenen Domainnamens präventiv registrieren (die häufigen Tippfehler, die benachbarten Erweiterungen, die wichtigsten TLD-Variationen wie .com gegenüber .fr); die neuen Registrierungen ähnlicher Domains über dedizierte Beobachtungsdienste überwachen, die alarmieren, sobald eine dem eigenen Namen nahe Variante hinterlegt wird; und die Teams sensibilisieren, insbesondere die, die Überweisungen und Zahlungen bearbeiten, die exakte Adresse zu prüfen statt nur den angezeigten Namen.

Priorität 4: die überweisungsexponierten Teams schulen

Selbst mit DMARC in p=reject und einer Beobachtung ähnlicher Domains bleibt der menschliche Faktor ein Einfallstor. Der CEO-Betrug (BEC) nutzt oft Varianten aus, die der technischen Erkennung entgehen: ein anderswo kompromittiertes legitimes E-Mail-Konto oder eine am Vortag des Angriffs registrierte ähnliche Domain. Das Thema wird in CEO-Betrug (BEC): sich davor schützen entwickelt, das die einzurichtenden organisatorischen Verfahren im Detail behandelt — insbesondere die systematische Prüfung über einen zweiten Kanal für jede ungewöhnliche Überweisung, sowie die typischen Warnsignale, die den Buchhaltungs- und Finanzteams beizubringen sind.

Priorität 5: klar dokumentieren und kommunizieren

Eine oft vernachlässigte Maßnahme: klar veröffentlichen, auf der eigenen Website und in den offiziellen Kommunikationen, wie die Organisation ihre Kunden oder Partner tatsächlich kontaktiert (welche Domains, welche Praktiken). Eine Organisation, die öffentlich erklärt „wir fordern niemals eine Überweisung per einfacher E-Mail", reduziert die Angriffsfläche des Social Engineering, selbst wenn die technische Lücke selbst bereits anderweitig geschlossen ist. Diese Kommunikation hat auch einen direkten Verteidigungswert: Ein Kunde, der eine dieser angezeigten Politik widersprechende Anfrage erhält, weiß sofort, dass er misstrauisch sein muss, ohne technisches Fachwissen zu benötigen, um es zu erraten.

Was DMARC nicht ersetzt

Man muss über die Aufgabenverteilung klar sein. DMARC ist das technische Fundament — ohne es ist alles Übrige auf Sand gebaut, da die direkte Fälschung der exakten Domain trivial bleibt. Aber DMARC allein reicht nicht für einen vollständigen Schutz: Das Typosquatting, das Display-Name-Spoofing und die kompromittierten Konten erfordern ergänzende Maßnahmen, die oben aufgeführt sind. Diese fünf Prioritäten als ein kohärentes Ganzes zu behandeln, statt bei der ersten aufzuhören, ist das, was eine wirklich geschützte Organisation von einer Organisation unterscheidet, die es zu sein glaubt — oft bis zu dem Tag, an dem ihr ein Vorfall das Gegenteil beweist.

Ein typisches Szenario, um den Verteidigungsstapel in Aktion zu sehen

Um diese fünf Prioritäten konkret zu machen, diene ein KMU mit zwanzig Personen als Beispiel, das gerade entdeckt hat, dass sein Name in einer Phishing-Kampagne gefälscht wird, die seine eigenen Kunden ins Visier nimmt. Hier, wie jede Priorität angesichts dieses realen Szenarios eingreift.

Ohne jede vorhandene Verteidigung funktioniert der Angriff auf Hochtouren: Die E-Mail gibt vor, von rechnung@unternehmen.de zu kommen, landet normal im Posteingang (nichts unterscheidet sie technisch von einer echten E-Mail), und die Kunden, die auf den bösartigen Link klicken oder eine gefälschte Rechnung bezahlen, haben keinerlei Grund zum Misstrauen. Das Unternehmen selbst entdeckt den Vorfall erst durch die Beschwerden der Kunden, die im Nachhinein eintreffen — viel zu spät, um zu handeln.

Mit DMARC in p=reject (Priorität 1) wird dieselbe E-Mail, die die exakte Domain des Unternehmens nutzt, abgelehnt, bevor sie das Postfach des Kunden erreicht. Der Angriff scheitert still und leise, ohne dass das Unternehmen überhaupt im Notfall handeln muss.

Wenn der Angreifer auf eine nicht existierende Subdomain ausweicht (facturation.unternehmen.de, die nie erstellt wurde), blockiert das np-Tag (Priorität 2) ebenfalls diesen Versuch — ein Winkel, den viele Unternehmen offen lassen, weil sie denken, dass der Schutz der Wurzeldomain ausreicht.

Wenn der Angreifer eine ähnliche Domain registriert (entreprise-facturation.fr), kann DMARC nichts mehr — es ist eine andere Domain mit eigener Konfiguration. Hier übernimmt die Beobachtung ähnlicher Domains (Priorität 3), indem sie die verdächtige Registrierung vor oder kurz nach ihrer aktiven Nutzung erkennt.

Wenn trotz allem eine E-Mail dieser ähnlichen Domain einen Mitarbeiter erreicht mit einer dringenden Überweisungsanfrage, sind es die Schulung (Priorität 4) und die Prüfverfahren über einen zweiten Kanal, die das letzte Netz bilden.

Jede Schicht fängt auf, was die vorherige durchlässt — genau deshalb funktionieren die fünf Prioritäten zusammen, und deshalb lässt das Aufhören bei der ersten (so essenziell sie auch sein mag) noch ausnutzbare Angriffswinkel offen.

Die Kosten der Untätigkeit, ins Verhältnis gesetzt

Ein letztes Argument, um eine zögernde Geschäftsführung zu überzeugen: Die Kosten der Umsetzung dieser fünf Prioritäten sind marginal im Vergleich zu den Kosten eines erfolgreichen Vorfalls. DMARC ist kostenlos zu veröffentlichen; die Beobachtung ähnlicher Domains kostet je nach gewähltem Dienst einige Dutzend bis einige Hundert Euro pro Monat; die Schulung eines Teams von zehn Personen bemisst sich in Stunden, nicht in Wochen. Dem gegenüber beziffert sich ein erfolgreicher CEO-Betrug gewöhnlich in Zehntausenden von Euro, ohne die Reputationskosten einer erfolgreich im Namen des Unternehmens durchgeführten Phishing-Kampagne, die das Vertrauen der Kunden dauerhaft beschädigen kann. Die Asymmetrie zwischen den Kosten der Prävention und den Kosten des Vorfalls ist das überzeugendste Argument, um diese Baustelle zu priorisieren, selbst in einer Organisation mit begrenzten Ressourcen.

Es hilft auch, die Reihenfolge des Aufwands richtig einzuordnen. Von den fünf Prioritäten ist die erste — DMARC in Durchsetzung — nicht nur die wirksamste, sondern auch diejenige mit dem besten Verhältnis von Aufwand zu Wirkung: Sie kostet nichts außer der Zeit für das Inventar der Quellen und die schrittweise Steigerung der Policy, und sie schließt genau den Vektor, der ohne sie trivial auszunutzen ist. Erst wenn dieses Fundament steht, ergeben die folgenden Schichten überhaupt Sinn. Eine Organisation, die eine Beobachtung ähnlicher Domains abonniert, während ihre exakte Domain noch auf p=none steht, gibt Geld für die Bewachung eines Seitenfensters aus, während die Haupttür weit offen bleibt — eine verbreitete Fehlpriorisierung, die aus der irrigen Annahme entsteht, dass ein bezahlter Dienst automatisch mehr Schutz bietet als eine kostenlose DNS-Konfiguration.

Ein weiterer praktischer Hinweis für die Umsetzung: Diese fünf Prioritäten sind nicht als starre, streng nacheinander abzuarbeitende Etappen zu behandeln, sondern als parallele Baustellen mit unterschiedlichem Rhythmus. np lässt sich sofort und risikofrei aktivieren, unabhängig davon, wo die Hauptpolicy gerade steht. Die Schulung der Finanzteams kann anlaufen, während die DMARC-Steigerung noch in der Beobachtungsphase ist. Nur die eigentliche Verschärfung auf p=reject erfordert Geduld und die vorherige Ausrichtung aller Quellen. Diese Parallelisierung verkürzt die Gesamtdauer, bis eine Organisation von „technisch fälschbar" zu „mehrschichtig geschützt" gelangt, spürbar.

Der schnellste Test für eine Standortbestimmung

Vor jeder Priorisierung der Anstrengungen steht ein einfacher und sofortiger Test: Hat die Domain einen DMARC-Eintrag, und wenn ja, in welcher Policy? Das ist die Frage, die bestimmt, ob eine Organisation noch am Ausgangspunkt steht (direkt fälschbar, absolute Priorität) oder ob sie sich auf die folgenden Prioritäten konzentrieren kann (Subdomains, ähnliche Domains, Schulung) — kein Grund, einen ausgeklügelten Verteidigungsstapel auf einem noch fehlenden Fundament zu bauen.

Der kostenlose DMARC-Analysator liefert diese Antwort in wenigen Sekunden, mit dem Detail der aktuellen Policy und der Subdomains. Und um den eigenen Fortschritt gegenüber dem Sektor auf Dauer einzuordnen, bietet das DMARC-Observatorium einen nützlichen Vergleichspunkt, um die Investition gegenüber einer Geschäftsführung zu rechtfertigen, die noch an der Priorität des Themas zweifelt — nichts überzeugt besser als eine Zahl, die zeigt, dass vergleichbare Wettbewerber bereits geschützt sind.

Zusammenfassung

Sich vor E-Mail-Adressfälschung zu schützen ist keine einmalige Aktion, sondern ein Stapel ergänzender Verteidigungen: DMARC in Durchsetzung für die exakte Domain, Abdeckung der existierenden und nicht existierenden Subdomains, Beobachtung ähnlicher Domains, Schulung der exponierten Teams und klare Kommunikation über die eigenen Praktiken. Der erste Schritt, der rentabelste und kostengünstigste, bleibt immer derselbe — einen DMARC-Eintrag veröffentlichen und ihn methodisch verschärfen, bevor man in die folgenden Schichten investiert.