41% der führenden Fintech-Unternehmen sind anfällig für Phishing-E-Mails

Phishing bleibt ein wichtiger Treiber für Datenschutzverletzungen und Betrug. Finanzdienstleister sind ein bevorzugtes Ziel, da E-Mails Geld bewegen, Passwörter zurücksetzen und Identitäten bestätigen. Verizons 2025 Data Breach Investigations Report listet Social Engineering und Phishing erneut unter den häufigsten Wegen zu Sicherheitsvorfällen. Frühere Forschungen von Red Sift haben bereits die wachsende Lücke im US-amerikanischen Geschäftsbankenwesen aufgezeigt, wo über 50% weiterhin anfällig für Spoofing-Versuche sind.

Kriminelle nutzen heute KI-Tools, um bessere Köder zu schreiben, Sprache zu lokalisieren und in großem Maßstab zu personalisieren. Microsoft und Berichte aus der Branche zeigen, dass Angreifer KI einsetzen, um den Erfolg von Phishing zu verbessern – nicht nur das Volumen –, begleitet von zunehmenden Markenimitationen. Social Engineering wird schnell zur bevorzugten Angriffsmethode vieler Angreifer, da das menschliche Glied in den meisten Unternehmen weiterhin das schwächste bleibt.

Die Kosten sind real. Das FBI meldet weltweit offengelegte Verluste durch Business Email Compromise im zweistelligen Milliardenbereich, mit anhaltendem Wachstum von Jahr zu Jahr. Zahlungsumleitungen und Rechnungsbetrug bleiben weit verbreitet.

Von 269 führenden Fintech-Unternehmen:

Mit Enforcement: 159 (59,1%)

• p=reject: 70 (26,0%)
• p=quarantine*: 89 (33,1%)

*etwas Schutz, aber nicht die strengste Form der Durchsetzung, die bei p=reject gefunden wird

Ungeschützt: 110 (40,9%)

• p=none: 66 (24,5%)
• kein DMARC-Eintrag: 44 (16,4%)

Wenn Sie ungeschützt sind, kann jeder E-Mails wie „Bestätigen Sie eine Abbuchung“, „Aktualisieren Sie Ihre Bankdaten“ oder „Setzen Sie Ihr Passwort zurück“ versenden, die scheinbar von Ihrer Domain stammen. Dies ist ein direkter Weg zu Account-Übernahmen, Zahlungsbetrug und Datenoffenlegung. Berichte aus dem Finanzsektor von FS-ISAC und ENISA heben Phishing und Social Engineering als anhaltende, folgenschwere Risiken für Banken, Zahlungsdienstleister und Fintech-Unternehmen hervor.

• Account-Übernahme: Nutzer geben ihre Zugangsdaten nach einem überzeugenden „Betrugsalarm“ heraus. Der Angreifer leert Konten und richtet Postfachregeln ein, um Warnungen zu verbergen. Dies ist ein häufiges Muster bei BEC und Verbraucherbetrug.
• Zahlungsumleitung: Gefälschte Rechnungen oder Auszahlungsaktualisierungen ändern Zielkonten. Verluste sind oft nicht wiederherstellbar.
• Vertrauensverlust: Wiederholtes Spoofing bringt Kunden dazu, echte Warnungen zu ignorieren. Studien aus der Branche warnen vor nachgelagertem Betrug und Reputationsschäden.

• Viele legitime Absender: PSPs, Marketing-Clouds, Ticketing-, Support-Tools und Produktsysteme versenden alle E-Mails „im Namen von Ihnen“. Mehr Absender bedeuten mehr Lücken. FS-ISAC weist auf die Konvergenz von Cyberkriminalität und Betrug im gesamten Finanzsektor hin.
• Hochwertige Anlässe: Kontoauszüge, Rückbuchungen, Auszahlungen und MFA-E-Mails sind dringend und leicht zu imitieren. Der Finanzüberblick von ENISA nennt diese als häufige Phishing-Köder.
• Bessere Köder durch KI: Berichte zeigen, dass Angreifer KI nutzen, um flüssige, zielgerichtete E-Mails zu erstellen, die einfache Nutzerprüfungen umgehen.

• SPF listet autorisierte Versandserver für Ihre Domain auf.
• DKIM signiert E-Mails, damit Empfänger überprüfen können, dass sie nicht verändert wurden.
• DMARC teilt Empfängern mit, was zu tun ist, wenn SPF oder DKIM fehlschlagen, und richtet die Identität an der sichtbaren Von:-Domain aus. Der DMARC-Standard ist in RFC 7489 definiert und wird von CISA zur Phishing-Abwehr empfohlen.

Der Wechsel zu „p=reject“ (Enforcement) blockiert direktes Domain-Spoofing, bevor Nachrichten die Posteingänge erreichen. Dies reduziert erfolgreiches Phishing, senkt das BEC-Risiko und schützt Kunden bei risikoreichen Vorgängen wie Passwort-Zurücksetzungen und Zahlungsbenachrichtigungen. Die CISA-Richtlinie betont, dass klare Governance und eine schrittweise Einführung die Hauptbedenken hinsichtlich „gestörter Mailzustellung“ adressieren.

Starten Sie noch heute Ihre DMARC-Reise mit Red Sift OnDMARC.

Sichtbarkeit aktivieren:

• Veröffentlichen Sie einen DMARC-Eintrag für jede Domain und leiten Sie Berichte an einen überwachten Posteingang oder eine Plattform weiter. Beginnen Sie mit einer Überwachungsrichtlinie (p=none), damit Sie sehen, wer im Ihrem Namen sendet. Nutzen Sie Microsofts aggregierte DMARC-Berichte für zusätzliche Absenderdetails, wenn Sie M365 verwenden.

Alle Absender erfassen:

• Listen Sie anhand Ihrer Berichte Produkt-E-Mails, Marketing-Plattformen, PSPs, Support-Tools und alle unbekannten Quellen auf. Gruppieren Sie nach Anbieter und Verantwortlichem.

Authentifizierung korrigieren

• SPF: Bleiben Sie innerhalb der DNS-Lookup-Grenzen; wo Sie an Grenzen stoßen, nutzen Sie Dynamic/Hosted SPF, um die Wartung zu vereinfachen.
• DKIM: Aktivieren Sie die Signierung für jeden Absender und richten Sie sie an der sichtbaren Von-Domain aus. Der Implementierungsleitfaden behandelt Alignment-Prüfungen und häufige Korrekturen.

Schrittweise zur Durchsetzung, Stream für Stream:

• Verschieben Sie risikoarme oder gut konfigurierte Streams zu p=quarantine, achten Sie auf Bounces oder Lücken, und gehen Sie dann zu p=reject über. Eine gestaffelte Einführung wird empfohlen, um Mail-Unterbrechungen zu vermeiden. Hinweis: Massenversender wie Google, Yahoo und Microsoft verlangen inzwischen DMARC mit mindestens p=none.

Nachweisen und aufrechterhalten

• Verfolgen: blockierte gefälschte E-Mails, eliminierte unbekannte Absender, % des ausgerichteten Datenverkehrs und Zeit bis zur Durchsetzung.
• Weiter überwachen. DMARC ist kein „einmal einrichten und vergessen“ – Anbieter ändern Schlüssel und Routen. Kontinuierliches Reporting verhindert Abweichungen, die auch nach Erreichen der Durchsetzung die Zustellung beeinträchtigen können.

Für Fintech-Unternehmen, die ihre Kunden schützen möchten, ist die Durchsetzung von DMARC mit p=reject der erste praktische Schritt zu einer ausgereiften und skalierten Cybersicherheitsstrategie. Von dort aus ist der Weg zu stärkerem Schutz so einfach wie 6 leichte Schritte.

Heute sollte sich die Diskussion auf Prävention statt auf Kosten konzentrieren. Denn morgen könnten Fragen zu den langanhaltenden Schäden eines Angriffs aufkommen und dazu, wie diese hätten abgemildert werden können.