WARUM E-MAIL-ANGRIFFE NOCH IMMER FUNKTIONIEREN
Trotz jahrelanger Sensibilisierung für Cybersicherheit bleibt E-Mail einer der häufigsten Wege, über die Angreifer in Organisationen eindringen.
Warum? Weil Angreifer dorthin gehen, wo die Menschen sind – und Menschen einen großen Teil ihres Arbeitstages in ihrem E-Mail-Postfach verbringen.
Auch 2026 werden täglich Milliarden E-Mails versendet und empfangen, wobei ein erheblicher Teil dieser Kommunikation weiterhin aus Spam besteht. Dadurch entsteht ein ideales Umfeld, in dem sich schädliche Nachrichten leicht zwischen legitimer Kommunikation verstecken könne. Angreifern genügt es dabei, wenn nur ein kleiner Prozentsatz der Empfänger reagiert. Bei einem derart hohen Kommunikationsvolumen kann selbst eine sehr geringe Erfolgsquote äußerst profitabel sein.
DER MENSCHLICHE FAKTOR BLEIBT EIN ZENTRALER SCHWACHPUNKT
Viele Cybervorfälle beginnen weder mit hochentwickelter Malware noch mit einer Zero-Day-Schwachstelle. Sie beginnen mit menschlichem Fehlverhalten.
Aktuelle Sicherheitsberichte zeigen seit Jahren, dass der menschliche Faktor bei einem großen Teil der Sicherheitsvorfälle eine Rolle spielt. Zu den häufigsten Szenarien gehören Social Engineering, der Missbrauch von Zugangsdaten und die Ausnutzung ungepatchter Systeme.
Cyberangreifer setzen dabei insbesonders auf psychologischen Druck:
- Dringlichkeit,
- Autorität,
- Angst,
- Bequemlichkeit,
- und routiniertes Verhalten der Nutzer.
Ein Mitarbeitender unter Zeitdruck kann mit einem einzigen Klick unbewusst Sicherheitsmaßnahmen umgehen, in die eine Organisation Millionen Euro investiert hat.
Zu den wirksamsten Schutzmaßnahmen gehören daher häufig:
- regelmäßige Schulungen der Mitarbeitenden,
- simulierte Phishing-Kampagnen,
- und eine Unternehmenskultur, die das Melden verdächtiger E-Mails ohne Angst vor negativen Konsequenzen fördert.
Wenn etwas verdächtig erscheint, sollte die E-Mail sofort gemeldet und die darin enthaltene Anfrage über einen zweiten, vertrauenswürdigen Kommunikationskanal überprüft werden.
PHISHING ENTWICKELT SICH WEITER
Klassisches Phishing ist längst nicht mehr die einzige Form von E-Mail-Angriffen. Moderne Kampagnen werden immer ausgefeilter und kombinieren häufig mehrere Methoden gleichzeitig.
Zu den häufigsten Varianten gehören:
Quishing
Gefälschte QR-Codes leiten Nutzer auf betrügerische Anmeldeseiten oder zu schädlichen Inhalten weiter.
Smishing und Vishing
Angreifer nutzen SMS-Nachrichten und Telefonanrufe und geben sich dabei beispielsweise als Banken, IT-Support, Lieferanten oder Mitglieder des Managements aus.
KI-gestütztes Phishing
Generative künstliche Intelligenz ermöglicht die Erstellung äußerst überzeugender E-Mails mit professioneller Sprache, realistischem Aufbau und kaum noch erkennbaren Grammatikfehlern.
Multikanal-Angriffe
Moderne Angriffe kombinieren häufig E-Mail, SMS, Telefonanrufe und gefälschte Websites, um glaubwürdiger zu wirken.
Cloud-Dienste, Kollaborationsplattformen und Webmail-Systeme gehören dabei zu den häufigsten Angriffszielen.
BEC: EINER DER TEUERSTEN E-MAIL-BETRUGSFÄLLE
Business Email Compromise (BEC) zielt nicht in erster Linie auf Malware, sondern direkt auf Menschen und finanzielle Prozesse.
Angreifer geben sich beispielsweise aus als:
- Führungskräfte,
- Lieferanten,
- die Personalabteilung,
- oder Finanzteams
und fordern dringende Überweisungen, Rechnungszahlungen oder Änderungen von Bank- oder Gehaltsdaten.
BEC-Betrug verursacht weltweit jedes Jahr Schäden in Milliardenhöhe und zählt zu den finanziell folgenreichsten Formen der Cyberkriminalität.
Die Bedrohung ist dabei keineswegs auf die USA beschränkt
Einer der bekanntesten europäischen Fälle ist der Vorfall bei Leoni AG, bei dem Angreifer Berichten zufolge einen Mitarbeitenden aus dem Finanzbereich dazu brachten, rund 40 Millionen Euro auf betrügerische Konten zu überweisen.
Die gute Nachricht: Viele BEC-Angriffe lassen sich mit einer sehr einfachen Regel verhindern:
Änderungen bei Zahlungen oder Gehaltsdaten sollten immer über einen zweiten, vertrauenswürdigen Kommunikationskanal bestätigt werden.
CYBERSICHERHEIT IST NICHT NUR DIGITAL
Angreifer arbeiten nicht ausschließlich mit digitalen Informationen.
Entsorgte Rechnungen, Kontaktlisten, Organigramme, Versandetiketten oder unterschriebene Dokumente können wertvolle Informationen für Spear-Phishing-Kampagnen enthalten.
Selbst ein scheinbar unbedeutendes Dokument im Papierkorb kann dabei helfen, eine glaubwürdige betrügerische E-Mail zu erstellen, zum Beispiel:
„Bitte prüfen Sie die aktualisierte Rechnung zur Bestellung PO-1427.“
Organisationen sollten deshalb sowohl digitale als auch physische Informationen schützen:
- sensible Dokumente ordnungsgemäß archivieren,
- nicht mehr benötigte Unterlagen sicher vernichten,
- und Post- sowie Abfallbereiche angemessen sichern.
7 PRAKTISCHE MASSNAHMEN ZUR REDUZIERUNG VON E-MAIL-RISIKEN
1. AKTIVIEREN SIE MULTI-FAKTOR-AUTHENTIFIZIERUNG (MFA)
Selbst wenn ein Angreifer ein Passwort erlangt, kann MFA einen unbefugten Zugriff häufig verhindern.
2. VERWENDEN SIE SPF, DKIM UND DMARC
Diese Technologien helfen dabei, die Authentizität von E-Mails zu überprüfen und das Risiko von Spoofing zu reduzieren.
3. ÜBERPRÜFEN SIE ZAHLUNGEN UND ÄNDERUNGEN VON GEHALTSDATEN
Verlassen Sie sich bei der Freigabe von Zahlungen oder der Änderung von Bankverbindungen niemals ausschließlich auf eine E-Mail.
4. SCHULEN SIE MITARBEITENDE REGELMÄSSIG
Mitarbeitende sind eine wichtige erste Verteidigungslinie. Bringen Sie ihnen bei, verdächtiges Verhalten zu erkennen und Sicherheitsvorfälle einfach und schnell zu melden.
5. AKTUALISIEREN SIE ÖFFENTLICH ERREICHBARE SYSTEME ZEITNAH
Angreifer scannen kontinuierlich VPNs, Firewalls und andere über das Internet erreichbare Dienste nach bekannten Schwachstellen.
6. VERWENDEN SIE STARKE UND EINZIGARTIGE PASSWÖRTER
Passwortmanager helfen dabei, starke Passwörter sicher zu erstellen und zu speichern, ohne dass sich Nutzer jedes einzelne merken müssen.
7. SCHÜTZEN SIE AUCH PHYSISCHE INFORMATIONEN
Vernichten Sie Dokumente mit personenbezogenen oder finanziellen Daten sicher und schützen Sie Bereiche, in denen sensible Unterlagen entsorgt werden.
SCHNELLER CHECK: TYPISCHE WARNZEICHEN
Besondere Aufmerksamkeit ist bei E-Mails geboten, die Folgendes enthalten:
- dringende Aufforderungen zu Zahlungen oder Änderungen von Kontodaten,
- verdächtige Domains oder Domains mit Tippfehlern,
- Unstimmigkeiten zwischen dem Namen des Absenders und der E-Mail-Adresse,
- unerwartete MFA-Anfragen oder Aufforderungen zum Zurücksetzen eines Passworts,
- QR-Codes oder verkürzte Links von unbekannten Absendern,
- Anhänge, die zum Aktivieren von „Enable Content“ oder „Enable Macros“ auffordern,
- ungewöhnliche Versandzeiten,
- private E-Mail-Adressen statt geschäftlicher Adressen,
- Grammatikfehler oder ungewöhnliche Formulierungen,
- Angebote, die zu gut erscheinen, um wahr zu sein.
Einige dieser Merkmale können selbstverständlich auch bei internen Phishing-Simulationen auftreten, die zur Schulung von Mitarbeitenden eingesetzt werden.
FAZIT
E-Mail-Angriffe bleiben erfolgreich, weil E-Mail weiterhin ein fester Bestandteil der täglichen Unternehmenskommunikation ist.
Die gute Nachricht ist, dass sich ein großer Teil erfolgreicher Angriffe verhindern lässt.
Die Kombination aus:
- Schulungen der Mitarbeitenden,
- starker Authentifizierung,
- klar definierten Prozessen,
- einer sicheren E-Mail-Konfiguration,
- und mehrschichtigen Sicherheitsmaßnahmen
kann das Risiko für Organisationen und Einzelpersonen erheblich reduzieren.
Cybersicherheit basiert nicht auf einer einzigen perfekten Lösung.
Sie entsteht durch mehrere Ebenen aus Vertrauen, Überprüfung und Resilienz.
Weniger vertrauen. Mehr überprüfen.
Möchten Sie die Widerstandsfähigkeit Ihrer Organisation gegenüber Phishing- und BEC-Angriffen erhöhen?
Erfahren Sie, wie Tazilla Sie bei Security Awareness, Risikomanagement und Incident Management unterstützen kann.