6 Fragen zur E-Mail-Sicherheit Ihres Unternehmens

Eine erste Einschätzung gelingt ohne technische Prüfung, indem Sie sechs Fragen aus Unternehmenssicht beantworten: Welche Sicherheitsentscheidungen erreichen Mitarbeiter noch, wer darf technisch im Namen des Unternehmens versenden, welche Dateitypen werden zugelassen, wer beurteilt zurückgehaltene Nachrichten, welche Schutzebenen greifen bei einem Versagen und ob notwendige Sicherheit bestehen bleibt, wenn sie den Arbeitsablauf verändert.

Diese Selbsteinschätzung ersetzt keine technische Prüfung. Sie zeigt jedoch, an welchen Stellen im Unternehmen bereits Klarheit besteht und wo eine genauere Einordnung sinnvoll ist.

SPF, DKIM und DMARC sind Einträge in den DNS-Einstellungen einer Internet-Domain, die gemeinsam regeln, wer im Namen eines Unternehmens E-Mails versenden darf. SPF hinterlegt, welche Mailserver dazu berechtigt sind. DKIM versieht ausgehende Nachrichten mit einer technischen Signatur, die der empfangende Server prüfen kann. DMARC legt fest, wie empfangende Systeme mit Nachrichten umgehen sollen, deren Prüfung nicht zur sichtbaren Absenderdomain passt.

Für Mitarbeiter ändert sich dadurch nichts, denn die Prüfung findet technisch statt. Für das Unternehmen beantworten die drei Einträge eine einfache Frage: Wie schwer machen wir es anderen, glaubwürdig in unserem Namen aufzutreten?

Eine Quarantäne hält verdächtige Nachrichten zurück, verlagert die Entscheidung über eine Freigabe aber häufig zum Mitarbeiter. Damit entsteht praktisch ein zweiter Posteingang, in dem Absender geprüft, Betreffzeilen bewertet und Nachrichten freigegeben werden sollen. In den meisten Fällen kann ein Anwender jedoch nicht beurteilen, warum das System eine Nachricht zurückgehalten hat.

Problematisch ist vor allem die Gewöhnung an den Ablauf, dass das System blockiert und der Mensch entscheidet, ob er es besser weiß. Sinnvoller ist eine Architektur, bei der eindeutig gefährliche oder unerwünschte Nachrichten gar nicht erst beim Mitarbeiter sichtbar werden und genauere Bewertungen dort stattfinden, wo die notwendigen Informationen vorliegen.

Ausführbare Dateien, Skripte und bestimmte Archive können ein erhöhtes Risiko darstellen. Ob sie blockiert werden sollten, hängt davon ab, ob es im Unternehmen einen tatsächlichen geschäftlichen Anwendungsfall für den Empfang solcher Dateien per E-Mail gibt. Fehlt dieser, spricht viel für eine konsequente Blockierung.

Entscheidend ist dabei, dass blockiert auch blockiert bedeutet. Eine Regel, die auf Wunsch des Empfängers umgangen werden kann, verliert einen großen Teil ihres Nutzens. Für den Austausch benötigter Dateien eignet sich stattdessen ein kontrollierter Übertragungsweg über eine File-und-Share-Lösung.

Ein verschlüsseltes Archiv wirkt zunächst besonders sicher, weil der Inhalt geschützt ist. Für ein E-Mail-Sicherheitssystem entsteht daraus jedoch eine Hürde: Was nicht eingesehen werden kann, lässt sich unter Umständen auch nicht vollständig überprüfen.

Angreifer können diesen Effekt gezielt nutzen, indem sie ein passwortgeschütztes Archiv versenden und das Passwort direkt in der Nachricht angeben. Für den Empfänger wirkt das bequem, die Sicherheitsprüfung wird jedoch erschwert und die Entscheidung landet wieder beim Mitarbeiter.

Endpoint Protection überwacht Dateien und verdächtiges Verhalten direkt auf dem Endgerät und ist eine wichtige Schutzebene. Sie sollte jedoch möglichst nicht die erste ernsthafte Prüfung eines gefährlichen Anhangs sein.

Sobald eine problematische Datei das E-Mail-System passiert hat, auf dem Rechner liegt und geöffnet wird, ist das Risiko bereits näher am System. Was am E-Mail-Gateway zuverlässig gestoppt werden kann, muss nicht auf jedem einzelnen Arbeitsplatz erneut bewertet werden.

Schulungen gehören zu einer vernünftigen Sicherheitsstrategie, sollten aber nicht die wichtigste Schutzebene sein. Klassische Erkennungsmerkmale wie schlechte Rechtschreibung oder ungewöhnliche Formulierungen sind weniger verlässlich geworden, seit sich Texte mit KI-Werkzeugen sprachlich verbessern und auf einen Empfänger zuschneiden lassen.

Ein realistisches Ziel lautet deshalb nicht, dass Mitarbeiter jede gefährliche E-Mail erkennen. Es lautet, dass sie typische Warnsignale kennen und wissen, was bei Unsicherheit zu tun ist, während die Sicherheitsarchitektur dafür sorgt, dass möglichst wenig Gefährliches überhaupt bei ihnen ankommt.