Eine wirksame E-Mail- und Markenverteidigung aufbauen: Webinar-Zusammenfassung

E-Mail ist für die meisten Organisationen der vertrauenswürdigste Kommunikationskanal – und gleichzeitig der am meisten missbrauchte. Angreifer nutzen inzwischen auch nicht mehr nur E-Mails aus. Sie registrieren Lookalike-Domains, kapern vergessene Subdomains, richten gefälschte Führungskräfte-Profile auf LinkedIn ein und kombinieren alle drei Methoden, um Angriffe durchzuführen, die technische Kontrollen vollständig umgehen.

In unserem neuesten Webinar erklärten Natalie Hays und Billy McKenna von Red Sift, wie eine echte Verteidigung im Jahr 2026 aussieht – von der Erreichung der DMARC-Durchsetzung bis zum Schutz Ihrer Marke über jeden Kanal, den Angreifer tatsächlich nutzen.

• 93 % der weltweiten Domains sind weiterhin anfällig für Spoofing, da DMARC nicht auf Quarantäne oder Ablehnung eingestellt ist
• Nur 1 % der untersuchten US-Finanzdienstleister und Versicherungsunternehmen nutzen alle verfügbaren E-Mail-Authentifizierungsprotokolle
• Die DMARC-Durchsetzung blockiert exaktes Domain-Spoofing, aber Angreifer haben sich angepasst. Lookalike-Domains, DNS-Übernahmen und Social-Media-Identitätsdiebstahl erfordern eine umfassendere Verteidigung
• Ein praxisnahes Verteidigungsmodell erfolgt in Phasen: zunächst Sichtbarkeit schaffen, Versandquellen konfigurieren, durchsetzen und dann auf Lookalike- und Social-Media-Überwachung ausweiten

Jede vierte im Jahr 2025 versendete E-Mail war bösartig oder Spam – und es ist leicht zu verstehen, warum. Menschen prüfen ihren E-Mail-Posteingang ständig und neigen dazu, den dort gefundenen Informationen reflexartig zu vertrauen.

Wenn eine Domain ungeschützt ist, können Angreifer etwas erstellen, das völlig legitim aussieht. Keine verdächtige Yahoo-Adresse oder offensichtliche Rechtschreibfehler. Etwas, das einen schnellen Check durch jemanden übersteht, der Ihre echten E-Mails schon einmal erhalten hat. Hinzu kommt, dass KI-Tools die Kosten und den Aufwand für überzeugende Phishing-Inhalte drastisch gesenkt haben – sowohl Volumen als auch Qualität der Angriffe steigen.

Wir wissen, dass Vorgaben wirken. Als Google, Yahoo und Microsoft ihre Authentifizierungsanforderungen einführten, führte dies zu echtem Fortschritt bei der DMARC-Einführung – von nur 8 Millionen meldenden Domains auf rund 15 Millionen innerhalb von 18 Monaten.

Doch einen DMARC-Eintrag zu haben und eine DMARC-Richtlinie zu haben, die tatsächlich etwas bewirkt, sind zwei verschiedene Dinge. 93 % der Domains weltweit sind weiterhin ausnutzbar, weil sie nicht auf p=quarantine oder p=reject stehen. Ein auf p=none gesetzter Eintrag verschafft Ihnen Sichtbarkeit durch Reporting, verhindert aber nicht, dass ein Angreifer Ihre Domain spooft.

Der Finanzsektor liefert hier einen aufschlussreichen Blick. In einer Studie mit 1.385 US-Finanzdienstleistern und Versicherungsunternehmen nutzt nur 1 % alle verfügbaren Authentifizierungsprotokolle. Fast 500 haben p=reject erreicht und betrachten die Aufgabe als erledigt. Das ist sie nicht. Weitere 549 befinden sich bei p=quarantine, was nur einen teilweisen Schutz bietet. Und rund 28 % weisen fehlerhaftes SPF oder andere grundlegende Fehlkonfigurationen auf, die Spoofing zum Kinderspiel machen.

Dabei handelt es sich um Banken, Versicherer und Zahlungsdienstleister. Wie Billy es ausdrückte: „Wenn sie E-Mail-Sicherheit nicht ernst nehmen, nehmen sie dann den Rest ihrer Sicherheit ernst? Das ist wirklich ein Indikator.“

Durchsetzung schützt Sie vor exaktem Domain-Spoofing, aber Angreifer hören dort nicht auf.

DNS-Schwachstellen und Subdomain-Übernahmen. Anfang 2024 zeigte SubdoMailing, wie leicht sich veraltete DNS-Konfigurationen ausnutzen lassen. Angreifer fanden abgelaufene Domains, die noch in den SPF-Einträgen von Organisationen erschienen, registrierten diese Domains und nutzten sie zum Versand von E-Mails, die technisch die DMARC-Prüfung bestanden.

Lookalike-Domains. DMARC kann niemanden davon abhalten, eine falsch geschriebene Domain zu registrieren und ein überzeugendes Phishing-Portal aufzubauen. 59 % der Phishing-Angriffe nutzen Lookalike-Domains. Die Varianten reichen von exakten Markenübereinstimmungen in einer anderen TLS, über in eine Subdomain eingebettete Markennamen bis hin zu Typosquats, die die meisten Menschen überfliegen.

Identitätsdiebstahl in sozialen Medien. Basierend auf einer Analyse der Top-10.000-Websites hatten fast 3.000 Marken über 1,3 Millionen Social-Media-Konten, die ihre Namen auf X, Instagram, Telegram und YouTube verwendeten. Davon gaben sich fast 9.500 Konten aktiv als 1.700 Marken aus und nutzten dabei deren offizielle Logos.

Diese drei Vektoren werden häufig gemeinsam eingesetzt: Ein gefälschtes LinkedIn-Profil einer Führungskraft schafft Glaubwürdigkeit, eine dringende Nachricht verweist auf eine Lookalike-Domain, und das Ziel gibt seine Zugangsdaten preis. Mehr braucht es nicht, damit der Angreifer Kontozugriff erhält und Business Email Compromise durchführt.

Natalie führte durch eine praxisnahe Vorgehensweise für Teams mit unterschiedlichen Ausgangspunkten.

Beginnen Sie mit Sichtbarkeit. Setzen Sie DMARC auf p=none und verschaffen Sie sich einen vollständigen Überblick über alles, was in Ihrem Namen versendet wird. Marketingplattformen, HR-Systeme, Finanz-Tools, Drittanbieterdienste. Dieser Schritt beeinträchtigt den Mailfluss nicht.

Konfigurieren Sie Ihre Versandquellen. Stellen Sie sicher, dass SPF und DKIM bei allen korrekt sind, bevor Sie zur Durchsetzung übergehen. Wird dieser Schritt übersprungen, führt dies dazu, dass Implementierungen etwas kaputt machen.

Zur Durchsetzung übergehen. Sobald die Versandquellen eingerichtet sind, wechseln Sie zu p=quarantine und dann zu p=reject. Danach beginnen Sie, gespoofte E-Mails zu blockieren.

Über E-Mail hinaus erweitern. Das bedeutet kontinuierliche DNS-Überwachung, um veraltete Einträge zu erkennen, bevor Angreifer es tun, proaktive Erkennung von Lookalike-Domains und Social-Media-Überwachung auf gefälschte Marken- und Führungskräfte-Profile.

Wenn Sie sehen möchten, wo Ihre Domain aktuell steht, führen Sie einen kostenlosen Scan über Red Sift Radar Lite durch. Er dauert zwei Minuten und zeigt Ihnen, was konfiguriert ist, was fehlt und wo die Lücken liegen.