Ohne DMARC ist E-Mail das schwächste Glied der Cybersicherheit

Der fehlende Schutz vor exakter Identitätsübernahme ist eine Lücke in der Funktionsweise der globalen E-Mail-Infrastruktur, die jedes Unternehmen Cyberkriminellen aussetzt. DMARC ist das Sicherheitsprotokoll, das Ihre E-Mails absichert, Ihre Kunden schützt und die Zustellbarkeit jeder von Ihnen versendeten E-Mail verbessert.

Als wir Red Sift gründeten, wollten wir die in jedem Unternehmen verborgenen Daten nutzbar machen und Entscheidungsträgern helfen, bessere Entscheidungen zu treffen, während sie wachsen und sich an sich ständig ändernde Bedingungen anpassen. Wir begannen mit einer tiefen E-Mail-Integration – einfach weil dies ein Datenspeicher ist, den jede einzelne Person in jedem Unternehmen besitzt. Wir alle haben Tausende von E-Mails mit To-do-Listen, Kundenkontakten, Meetings und Anhängen, die wir eigentlich ansehen sollten. Das ist ein enormer, gebündelter Einblick in unser digitales Leben.

Während wir eine Plattform aufbauten, um diese Daten in Erkenntnisse zu verwandeln, wussten wir, dass Sicherheit ein zentrales Anliegen sein würde. Kein Unternehmen möchte einem Drittanbieterprogramm, so seriös es auch sein mag, Einblick in seine E-Mails gewähren. Wir haben entwickelt und zu verschiedenen E-Mail-Sicherheitsbibliotheken beigetragen, stießen dabei jedoch schnell auf ein großes Problem.

Es ist absolut unkompliziert und sehr einfach, jemanden online effektiv zu imitieren. Ich meine damit nicht einen Chatraum oder das Dark Web. Mit nur wenigen Zeilen Code ist es möglich, eine E-Mail-Adresse zu „spoofen“ und eine bösartige Phishing-E-Mail zu versenden, die echt aussieht. Schauen Sie sich einfach das Beispiel unten an.

Banco Popular hat diese E-Mail nicht gesendet. Ich habe es getan, mit einem Tool, das wahrscheinlich auf Ihrem Computer installiert ist. Auf der linken Seite habe ich Telnet verwendet (ein einfaches Programm, das seit 1969 existiert und auf jedem Mac, Linux und den meisten Windows-Rechnern vorinstalliert ist) und das E-Mail-Protokoll emuliert, wodurch ich effektiv jemand anderen imitiert habe – in diesem Fall eine der größten Finanzinstitutionen Spaniens.

Im Gegensatz zu klassischen Phishing-Angriffen – jenen E-Mails, die legitim aussehen, aber eine eindeutig verdächtige Antwortadresse haben (Sie kennen das: „theocb@sgsfg.id“ oder Ähnliches) – wirkt die E-Mail-Adresse bei diesem Angriff völlig legitim („customer-support@bancopopular.es“).

Mit nur dieser einen E-Mail als Grundlage wird Ihr E-Mail-Server denken, dass alles in Ordnung ist, und sie durch Ihren Spamfilter lassen. Und wenn Sie ein Konto bei Banco Popular haben, werden Sie wahrscheinlich auch denken, dass sie echt ist!

Diese Taktik funktioniert mit fast allen E-Mail-Adressen, und viele Cyberkriminelle nutzen sie, um BEC-Angriffe durchzuführen. Dabei geben sie sich als wichtige Person innerhalb eines Unternehmens aus und phishen Mitarbeiter, um Zugang zu Geld, Zugangsdaten und mehr zu erhalten.

Was wäre, wenn Sie eine E-Mail wie die oben gezeigte vom Vorstandsvorsitzenden, Mitgründer oder Geschäftsführer Ihres Unternehmens erhalten würden, in der Sie gebeten werden, ein Dokument zu prüfen, an dem er arbeitet? Könnten Sie erkennen, dass sie gefälscht ist, wenn sie von einer legitimen E-Mail-Adresse kam?

Wahrscheinlich nicht, und Sie würden wahrscheinlich darauf klicken. Warum auch nicht? Sie enthält sogar den Namen und das Bild Ihres Vorstandsvorsitzenden – die Gmail-iOS-App fügt Ihnen sogar freundlicherweise das Google+-Profilbild hinzu, das Sie zum Handeln ermutigt.

Entscheidend und erschreckend zugleich ist, dass keine Konten gehackt oder Passwörter gestohlen werden müssen, um ein Unternehmen zu imitieren. Ich musste nicht ins Dark Web gehen, um exotische Exploits zu finden oder Listen kompromittierter Mailserver zu kaufen. Um das obige Beispiel durchzuführen, brauchte ich nur Telnet und ein wenig Social Engineering – es reicht, den Vorstandsvorsitzenden oder die Geschäftsführer eines Unternehmens auf LinkedIn nachzuschlagen, um deren Namen und Positionen zu erfahren.

Wir alle vertrauen darauf, dass unsere E-Mail-Anbieter (Google, Microsoft usw.) die Sicherheit unserer E-Mail-Identitäten online effektiv gewährleisten. Doch diese Identitätsbetrugstechnik ist Teil eines tief verwurzelten Problems, das aus der unglücklichen Art und Weise entsteht, wie E-Mail-Relay seit den Anfängen des Internets funktioniert.

Sie haben vielleicht in Cybersicherheitsmaßnahmen investiert, eine moderne, starke Passwortrichtlinie, Dateiscanner und Spam-Erkennung, und 2FA aktiviert. Aber das macht keinen Unterschied, wenn es um Identitätsbetrug geht. All das kann umgangen werden, indem man die weit verbreitete Schwachstelle in E-Mails ausnutzt, was zu weiteren Kompromittierungen im Rest Ihrer Sicherheitsinfrastruktur führt. Es ist, als würden Sie Ihr Haus mit den neuesten Alarmsystemen sichern und dann die Haustür weit offen lassen.

Nur weil es Teil der Funktionsweise des Internets ist, heißt das nicht, dass exakter Identitätsbetrug unlösbar ist. Wenn Sie heute versuchen würden, eine Red-Sift-E-Mail-Adresse zu spoofen, würde der Gmail-Server Ihre Telnet-Sitzung aktiv ablehnen und Sie abmelden. Im Grunde würde Ihnen die Haustür vor der Nase zugeschlagen, und Ihr Versuch, die Domain zu imitieren, würde vereitelt. Das liegt daran, dass wir DMARC eingeführt haben und es so konfiguriert haben, dass unautorisierter Datenverkehr abgelehnt wird. Und immer mehr Unternehmen tun das ebenfalls.

DMARC ist ein E-Mail-Sicherheitsprotokoll, das verhindert, dass jemand Ihre Domain imitiert, um bösartige Phishing-E-Mails an Ihre Kunden, Mitarbeiter, Klienten und Lieferkette zu senden. Wenn DMARC vollständig mit der Richtlinie p=reject implementiert ist, ist es für niemanden möglich, Ihre E-Mail-Domain zu imitieren, und niemand kann vorgeben, jemand anderes in Ihrem Unternehmen zu sein. Es besteht also keine Sorge, dass Hacker Ihre E-Mail-Domain nutzen könnten, um gefälschte E-Mails an Ihre Mitarbeiter oder Kunden zu senden.

Das National Cyber Security Centre spricht kontinuierlich darüber, und eine Vielzahl von Regierungen empfiehlt ebenfalls dessen Nutzung. Dennoch haben viele Organisationen weltweit noch keine DMARC-Richtlinie mit p=reject eingeführt. Warum? Weil die Aktivierung von DMARC zur aktiven Ablehnung unautorisierten Datenverkehrs etwas Fachwissen erfordert und ohne die richtigen KI-gestützten Tools eine komplizierte Aufgabe sein kann.

Mithilfe der Red-Sift-Plattform haben wir OnDMARC entwickelt, die Software-as-a-Service (SaaS)-Lösung, die als Schritt-für-Schritt-Anleitung für jeden dient, der seine E-Mails sicher machen möchte, indem DMARC mit p=reject aktiviert wird. OnDMARC analysiert automatisch den E-Mail-Verkehr Ihrer Domain und zeigt Ihnen dann, wie Sie das Protokoll einrichten, um Hacker zu stoppen, während legitime E-Mails weiterhin durchgelassen werden.

OnDMARC nimmt der Implementierung von DMARC die Komplexität und das Rätselraten. Sie möchten sich nicht in die dunkle Kunst der E-Mail-Sicherheitsprotokolle vertiefen, Sie wollen eine einfache Lösung für das Problem, damit Sie sich wieder Ihrem Geschäft widmen können. Wir haben OnDMARC mit genau dieser Vision entwickelt: Es ist so unkompliziert, dass jeder es umsetzen kann, selbst ohne IT-Erfahrung.

Die durchschnittliche Zeit, die OnDMARC-Kunden benötigen, um p=reject zu erreichen, beträgt 4 bis 8 Wochen, statt Monate.

Sicherheit ist nicht der einzige Vorteil von OnDMARC. Ist es Ihnen schon einmal passiert, dass Ihre E-Mails direkt im Spam-Ordner eines Kunden gelandet sind? Haben Sie einen Newsletter mit sehr niedrigen Öffnungsraten? Das liegt daran, dass die meisten E-Mail-Domains schlecht konfiguriert sind, was bedeutet, dass die E-Mails, die sie in die Welt senden, für andere Domains etwas verdächtig aussehen. Legitime E-Mails können hängen bleiben, weil sie verdächtig aussehen – obwohl sie wirklich von Ihnen stammen!

OnDMARC trägt wesentlich dazu bei, dieses Problem zu lösen. Es konfiguriert Ihre Einstellungen neu, wodurch die von Ihnen versendeten E-Mails über jeden Verdacht erhaben sind und direkt ganz oben in den Posteingängen Ihrer Kunden landen. Das ist ein Business-Enabler, der verhindert, dass Sie Geld zum Fenster hinauswerfen.

DMARC funktioniert am besten, wenn wir es alle nutzen. Je mehr E-Mail-Domains und Unternehmen diesen Schutz haben, desto schwieriger wird es für Hacker, diese Lücke im Internet auszunutzen.

Deshalb möchten wir bei Red Sift sicherstellen, dass es keine Hürden für die Einführung gibt. Wir gestalten die Preise unseres Produkts so, dass sie mit Ihrem E-Mail-Volumen skalieren, und wir bieten auch eine kostenlose Testphase an. OnDMARC Basic ist für alle gemeinnützigen Organisationen kostenlos, mit 50 % Rabatt auf größere Pakete. OnDMARC kann außerdem über unsere API in Ihr SSO oder bestehende operative Dashboards integriert werden – wir haben also für alles gesorgt.

OnDMARC schützt Ihre E-Mails vor Missbrauch, schützt Ihre Kunden, schließt die Hintertür für Hacker und verbessert die Zustellbarkeit jeder von Ihnen versendeten E-Mail. Besser geht es kaum. Warum nicht mit einer 14-tägigen kostenlosen Testphase beginnen und noch heute damit anfangen, die E-Mails Ihres Unternehmens abzusichern?