Spoofing ist nicht gleich Kontokompromittierung.
Bei klassischem Spoofing wird eine Absenderdomain gefälscht, ohne dass das echte Postfach übernommen wurde. Bei einem kompromittierten Konto verschickt der Angreifer dagegen tatsächlich über ein legitimes Konto.
Diese Unterscheidung ist wichtig, weil Schutzmaßnahmen unterschiedliche Angriffsteile abdecken.
Domain-Schutz reduziert einfache Fälschungen.
SPF, DKIM und DMARC helfen Empfängern zu beurteilen, ob eine Nachricht zur behaupteten Domain passt. Eine konsequente Konfiguration kann gefälschte Nachrichten ablehnen oder zumindest klarer kennzeichnen.
Dazu müssen alle legitimen Versandquellen bekannt sein. Vergessene Dienste führen sonst zu Fehlalarmen oder Zustellproblemen.
Anzeigenamen bleiben ein separates Problem.
Auch wenn eine fremde Domain verwendet wird, kann im Anzeigenamen beispielsweise ein bekannter Geschäftsführer stehen. Nutzer sehen auf kleinen Displays oft zuerst diesen Namen und nicht die vollständige Adresse.
Mailfilter können externe Absender markieren. Zusätzlich sollten Mitarbeiter wissen, bei welchen Vorgängen eine zweite Prüfung erforderlich ist.
Mail-Schutz braucht laufende Pflege.
Neue Cloud-Dienste, Newsletter-Systeme und Scanner verändern die legitimen Versandwege. Eine E-Mail-Sicherheit sollte diese Änderungen deshalb mit den DNS- und Filterregeln abgleichen.
So bleibt der Schutz wirksam, ohne legitime Kommunikation unnötig zu blockieren.
Antwortadresse und sichtbarer Absender unterscheiden.
Manche Nachrichten zeigen einen bekannten Absendernamen, senden Antworten aber an eine andere Adresse. Diese Abweichung kann ein Warnsignal sein, ist jedoch auf mobilen Geräten nicht immer sofort sichtbar.
Mitarbeiter sollten wissen, wie sie vollständige Absenderinformationen im verwendeten Mailprogramm anzeigen können.
Lookalike-Domains bleiben trotz DMARC möglich.
Eine Domain wie beispiel-firma.de kann durch DMARC gegen direkte Fälschung geschützt sein. Ein Angreifer kann trotzdem eine ähnlich aussehende fremde Domain registrieren. Technisch handelt es sich dann nicht um Spoofing der echten Domain.
Mailfilter, Domainüberwachung und aufmerksame Prüfung kritischer Vorgänge ergänzen deshalb die Authentifizierungsverfahren.
Externe Kennzeichnung kann Orientierung geben.
Viele Unternehmen markieren Nachrichten, die von außerhalb der eigenen Organisation kommen. Das verhindert keinen Angriff, liefert Mitarbeitern aber zusätzlichen Kontext bei vermeintlich internen Anweisungen.
Die Kennzeichnung sollte klar, aber nicht so dominant sein, dass sie nach kurzer Zeit nur noch ausgeblendet wird.
Eigene Domain regelmäßig kontrollieren.
DNS-Einträge, DKIM-Schlüssel und DMARC-Berichte sollten nicht nach der Ersteinrichtung vergessen werden. Neue Versanddienste oder Änderungen beim Mailprovider können die Bewertung verändern.
Regelmäßige Kontrolle stellt sicher, dass legitime Nachrichten weiterhin zugestellt werden und Schutzregeln nicht unbemerkt an Wirkung verlieren.