Spoofing und E-Mail-Kompromittierung: zwei verschiedene Bedrohungen

Von Thomas · virtueller CISO · 14. September 2026

Drei Begriffe kursieren in Diskussionen über E-Mail-Sicherheit, als wären sie austauschbar: Spoofing, E-Mail-Kompromittierung — Business Email Compromise, kurz BEC — und CEO-Fraud. Sie decken jedoch nicht denselben Bereich ab, und die Verwechslung ist mehr als eine sprachliche Ungenauigkeit. Sie führt zu falsch kalibrierten Sicherheitsentscheidungen: Eine Organisation, die glaubt, das Zweite durch Lösen des Ersten erledigt zu haben, lässt den größeren Teil ihrer tatsächlichen Angriffsfläche offen.

Die Unterscheidung passt in einen Satz. Spoofing ist eine Technik. E-Mail-Kompromittierung ist ein Ziel. CEO-Fraud ist lediglich die bekannteste Variante des Zweiten.

Spoofing ist eine Technik

Spoofing bezeichnet die Fälschung der Absenderadresse einer Nachricht. Der Vorgang ist technisch trivial: Das von E-Mail-Programmen angezeigte Feld From: ist nichts weiter als ein Textkopfzeilenfeld, frei veränderbar durch denjenigen, der die Nachricht verfasst. Nichts im ursprünglich entworfenen SMTP-Protokoll verlangt von einem Server den Nachweis, im Namen der angegebenen Domain schreiben zu dürfen. Die vollständige Mechanik dieser Fälschung geht auf dieses Erbe zurück: SMTP wurde für ein Netz gegenseitig vertrauender Maschinen entworfen.

Spoofing stellt somit eine Fähigkeit dar — die Fähigkeit, unter einer fremden Identität zu schreiben. Eine Fähigkeit, die nichts über ihre Verwendung aussagt. Sie kann einer Massen-Phishing-Kampagne dienen, einer Rufschädigung, einem gezielten Betrug oder schlichter Belästigung. Genau diese Neutralität macht den Begriff ungeeignet, eine Bedrohung zu benennen: Spoofing sagt nichts darüber aus, was der Angreifer erreichen will.

Aus demselben Grund existiert eine klare technische Gegenmaßnahme. SPF, DKIM und DMARC wurden gebaut, um exakt diese Fähigkeit zu schließen, und eine Durchsetzungsrichtlinie mit p=reject erreicht das — der Weg dorthin ist in der Route zu einer Durchsetzungsrichtlinie beschrieben.

E-Mail-Kompromittierung ist ein Ziel

Die E-Mail-Kompromittierung beschreibt etwas völlig anderes: eine Angriffsfamilie, die über ihren Zweck definiert ist, nicht über ihr Mittel. Das Ziel besteht darin, von der angegriffenen Organisation eine betrügerische Überweisung zu erlangen, eine Änderung von Bankverbindungen oder die Herausgabe verwertbarer Daten. Der Angreifer gibt sich als jemand aus, dessen Autorität die Forderung glaubwürdig macht — eine Führungskraft, ein gewohnter Lieferant, eine für eine vertrauliche Transaktion mandatierte Kanzlei.

Diese Familie ist gleichgültig gegenüber dem eingesetzten Mittel. Spoofing ist eines davon, das sichtbarste, aber nicht das einzige — und darin liegt der ganze Sinn der Unterscheidung.

Die am besten dokumentierte Variante gibt sich als Geschäftsführung aus, um eine dringende und vertrauliche Überweisung zu verlangen; ihre ausführliche Vorgehensweise — Dringlichkeit, Vertraulichkeit, Autorität — bleibt das Referenzszenario.

Drei Begriffe, drei Reichweiten — und keiner deckt das Ganze ab

Das Problem besteht darin, dass jeder dieser Begriffe einen anderen Ausschnitt der Bedrohung benennt und keiner sie vollständig erfasst.

„CEO-Fraud" benennt ein einziges Szenario: die Nachahmung einer Führungskraft. Ausgeklammert bleiben die gefälschte Lieferantenrechnung, die dem Volumen nach häufigste Variante, sowie der Betrug mit Gehaltskontodaten.
„E-Mail-Kompromittierung", wörtliche Übersetzung von Business Email Compromise, legt nahe, dass das Postfach selbst gekapert wurde. Das trifft manchmal zu — es ist jedoch der seltenste der drei Vektoren. Der Begriff beschreibt somit die Ausnahme, als wäre sie die Regel.
Rein finanzielle Bezeichnungen wie das französische FOVI behalten nur das wirtschaftliche Ergebnis bei und schließen konstruktionsbedingt jene Varianten aus, die auf Daten statt auf eine Zahlung zielen.

Diese Ungenauigkeit hat unmittelbare betriebliche Kosten. Sie erweckt den Eindruck, eine einzige Gegenmaßnahme genüge: dass die Einführung von DMARC das Thema schließe, oder dass eine Schulung der Buchhaltung es ebenso schließe. Beide Behauptungen sind für sich genommen falsch, und die zweite ist gefährlicher als die erste, weil sie schwerer messbar ist.

Die drei Vektoren und derjenige, den DMARC stoppt

Ein Angriff dieser Familie nimmt einen von drei Wegen. DMARC behandelt sie grundlegend unterschiedlich, und genau diesen Punkt verdeckt die begriffliche Verwirrung.

Erster Vektor — die gefälschte Domain. Der Angreifer versendet von einer Adresse, die exakt die legitime Domain anzeigt. Das ist Spoofing im engeren Sinne, und DMARC in Durchsetzung stoppt es. Die Nachricht scheitert an der Ausrichtung und wird abgewiesen, bevor sie den Posteingang erreicht. Menschliche Wachsamkeit wird nicht beansprucht, weil nichts ankommt.

Zweiter Vektor — die ähnliche Domain. Der Angreifer registriert eine optisch verwechselbare Domain und veröffentlicht darauf eigene SPF- und DKIM-Einträge. Die Nachricht ist einwandfrei authentifiziert — für jene Domain. DMARC weist sie nicht ab und hat auch keinen Grund dazu: Das Protokoll prüft, ob ein Absender im Namen der angegebenen Domain schreiben darf, nicht ob diese Domain einer anderen ähnelt. Die Verteidigung beruht hier auf der Überwachung naher Registrierungen, behandelt unter den Prioritäten zum Schutz vor Identitätsmissbrauch.

Dritter Vektor — das tatsächlich kompromittierte Konto. Der Angreifer verfügt über Zugangsdaten eines legitimen Postfachs, häufig durch vorheriges Phishing erlangt oder durch Wiederverwendung eines anderswo geleakten Passworts. Die Nachricht verlässt die autorisierte Infrastruktur, signiert mit den richtigen Schlüsseln, von der richtigen Domain. SPF besteht, DKIM besteht, DMARC besteht — weil der Versand authentisch legitim ist. Das Protokoll arbeitet exakt wie vorgesehen; das Konto tut es nicht mehr.

Dieser dritte Fall gibt der gesamten Familie ihren englischen Namen, obwohl er ihre Minderheit bildet. Seine Verteidigung gehört nicht zur Domain-Authentifizierung, sondern zur Zugangshygiene: Mehrfaktor-Authentifizierung für exponierte Postfächer, Erkennung ungewöhnlicher Anmeldungen und zentrale Verwaltung von Geheimnissen statt über Konfigurationsdateien und Chatkanäle verstreuter Zugangsdaten. Ein dedizierter Tresor wie Hucency Vault, herausgegeben vom Cybersicherheitsspezialisten Hucency, deckt diesen Bedarf ab, indem er Zugangsdaten und Token unter kontrollierten und protokollierten Zugriff stellt.

Die drei nach einem Vorfall unterscheiden

Die Unterscheidung ist nicht bloß begrifflich: Sie bestimmt die Reaktion. Und die drei Vektoren hinterlassen unterschiedliche Spuren, was ihre nachträgliche Trennung ermöglicht.

Eine gefälschte Domain erscheint in den DMARC-Aggregatberichten als fehlschlagende Quelle — eine IP-Adresse, die im Namen der Domain sendet, ohne die Ausrichtung zu bestehen. Das ist der Vektor, den der Aggregatbericht sichtbar machen soll — unter einer Bedingung, die die Formel „man muss nur die Berichte lesen“ übergeht: Die Erhebung muss überhaupt existieren. Ohne im DMARC-Eintrag veröffentlichtes rua-Tag und ohne Empfänger, die Berichte senden, hinterlässt der Versuch keine lesbare Spur. Die Diagnose benennt diesen Fall ausdrücklich: Eine Domain mit veröffentlichter Richtlinie, zu der keine Berichte zurückkommen, ist für die eigene Fälschung blind.

Eine ähnliche Domain hinterlässt in diesen Berichten keinerlei Spur, aus einem einfachen Grund: Es ist eine andere Domain, und ihre eigenen Berichte gehen an denjenigen, der sie registriert hat. Die Erkennung läuft über die Beobachtung von Registrierungen oder über die Nachricht selbst, sobald ein Empfänger sie meldet. Der Kopfzeilenverlauf zeigt dann eine Domain, die sich sauber authentifiziert, aber nicht jene ist, die sie nachahmt — weshalb das Lesen der Kopfzeilen einer verdächtigen Nachricht die Frage schneller klärt als jede Mutmaßung über den Absender.

Ein kompromittiertes Konto ist aus der Mail-Ebene allein am schwersten zu erkennen, gerade weil alles, was es hervorbringt, gültig ist. Die Signale liegen anderswo: eine Anmeldung von einem ungewöhnlichen Ort, eine angelegte Postfachregel zum Verbergen von Antworten, eine ausgehende Nachricht ohne entsprechenden Eintrag im Gesendet-Ordner ihres vermeintlichen Urhebers. Die Aggregatberichte zeigen den Versand als legitim und ausgerichtet — weil er es ist.

Die praktische Folge lautet: Eine Organisation, die einen Betrugsversuch bemerkt, sollte daraus nicht schließen, ihre DMARC-Haltung habe versagt. In zwei von drei Fällen hat sie exakt wie spezifiziert funktioniert, und der Angriff ging schlicht nicht durch die Tür, die sie bewacht.

Was die Unterscheidung für eine Domain bereits auf `p=reject` ändert

Der Befund ist unbequem, aber besser klar ausgesprochen: Eine DMARC-Richtlinie auf p=reject schließt einen von drei Vektoren. Das ist erheblich — es ist der am leichtesten auszunutzende Vektor, der billigste für den Angreifer und derjenige, der großflächige Kampagnen ermöglicht. Ihn zu schließen beseitigt den Gelegenheitsbetrug und zwingt den Angreifer zu höherem Aufwand.

Doch die Behauptung „die Domain steht auf p=reject, also ist der Überweisungsbetrug erledigt" hält nicht stand. Die beiden anderen Vektoren bleiben offen, und es sind genau jene, zu denen ein methodischer Angreifer greift, sobald der erste verschlossen ist. Die Einführung von DMARC verschiebt die Bedrohung nach oben, statt sie zu beseitigen.

Daraus folgen zwei praktische Konsequenzen. Zum einen sind organisatorische Verteidigungen — Vier-Augen-Freigabe oberhalb eines Schwellenwerts, Prüfung geänderter Bankverbindungen über einen von der E-Mail unabhängigen Kanal — keine wahlfreie Ergänzung zu DMARC: Sie decken den Anteil ab, den Authentifizierung strukturell nicht erreichen kann. Zum anderen wird die Überwachung ähnlicher Domainregistrierungen zur natürlichen Fortsetzung einer abgeschlossenen Einführung, denn dorthin verlagert sich die Aktivität.

Ein weiterer Punkt verdient Beachtung: Warnsignale, die auf ungeschickter Formulierung beruhen, haben ihre Verlässlichkeit verloren. Generative Werkzeuge erzeugen heute Nachrichten in tadellosem Deutsch, nachgebildet dem öffentlichen Stil der nachgeahmten Person. Die verbleibenden Signale sind struktureller Natur — Dringlichkeit, Vertraulichkeit, die ausdrückliche Aufforderung, ein Verfahren zu umgehen — weil sie dem Betrug selbst innewohnen: Der Stil lässt sich beliebig polieren, die Forderung nicht zurücknehmen.

Die Umkehrung gilt ebenso wenig: Nicht jedes Spoofing zielt auf eine Zahlung

Ein großer Teil der Spoofing-Nutzung hat mit Überweisungsbetrug nichts zu tun: generische Phishing-Kampagnen an Zehntausende Empfänger zum Abgreifen von Zugangsdaten, Markenmissbrauch zur Schädigung, Verbreitung von Schadsoftware unter dem Deckmantel eines bekannten Absenders.

Diese Verwendungen teilen dieselbe Technik und verlangen dieselbe Gegenmaßnahme — die Domain-Authentifizierung —, gehören aber einer anderen Ökonomie an: Menge statt Zielgenauigkeit. Eine ungeschützte Domain erleidet sie, ohne dass je eine Überweisung verlangt würde, und der Schaden bemisst sich dann in Absenderreputation und verschlechterter Zustellbarkeit legitimer Post.

Zwei Ebenen, zwei Behandlungen

Diese Begriffe auf ihre jeweilige Reichweite zurückzuführen ergibt eine lesbare Verteidigungsarchitektur. Spoofing wird auf der technischen Ebene behandelt, durch Domain-Authentifizierung, und diese Behandlung ist objektiv überprüfbar: eine veröffentlichte Richtlinie, eine gemessene Ausrichtung, Aggregatberichte, die das Ergebnis bestätigen. Die E-Mail-Kompromittierung wird auf der organisatorischen Ebene behandelt, durch Freigabeverfahren, die auf keinerlei einer Nachricht gewährtem Vertrauen beruhen.

Keine der beiden Ebenen macht die andere überflüssig. Die erste beseitigt den Massenbetrug und verteuert die zweite; die zweite deckt ab, was die erste nicht sehen kann. Sie präzise zu definieren, wie es das Glossar der E-Mail-Authentifizierung tut, ist die Voraussetzung für jede sinnvolle Investitionsentscheidung in diesem Bereich.

Der Zustand der ersten Schicht lässt sich unmittelbar feststellen: Ein Durchlauf der Domain durch einen kostenlosen DMARC-Analyzer zeigt die veröffentlichte Aufstellung — DMARC-Richtlinie, SPF-Eintrag, erkannte DKIM-Selektoren. Die Prüfung liest das DNS, und nur das DNS: Welche Quellen tatsächlich im Namen der Domain senden, wird erst in den Aggregatberichten lesbar, also sobald die Erhebung eingerichtet ist. Die so gemessene Haltung lässt sich anschließend im DMARC-Observatorium mit der Branche vergleichen. Die zweite Schicht hingegen ist von außen nicht messbar — sie wird intern auditiert, und dort zeigt sich häufig die größte Lücke.