Über 40 % der Unternehmen in der Grundversorgung bleiben anfällig für Phishing

Eine neue Analyse von Red Sift zu 840 Unternehmen aus den Sektoren Chemie, Energie sowie Wasser und Abfall offenbart eine besorgniserregende Lücke bei der Einführung von E-Mail-Sicherheit: 42 % sind noch immer nicht vor raffinierten E-Mail-Bedrohungen geschützt.

Während Anbieter kritischer Infrastrukturen zunehmend unter Druck von Regulierungsbehörden und immer ausgefeilteren Cyberbedrohungen stehen, zeigen die Daten, dass viele Unternehmen der Grundversorgung grundlegende E-Mail-Authentifizierungsprotokolle noch nicht implementiert haben, die verheerende Angriffe verhindern könnten.

Unsere Analyse untersuchte 840 Unternehmen aus drei zentralen Sektoren und bewertete deren Umsetzung von DMARC (Domain-based Message Authentication, Reporting, and Conformance), einem grundlegenden E-Mail-Authentifizierungsprotokoll, das Domain-Spoofing und Phishing-Angriffe verhindert.

Die Ergebnisse zeigen, dass zwar 58 % der Unternehmen eine DMARC-Durchsetzung erreicht haben (p=reject- oder p=quarantine-Richtlinien), aber ein erheblicher Anteil von 42 % weiterhin ungeschützt ist – entweder ohne jegliche Richtlinie oder mit reinen Überwachungskonfigurationen.

Gesamtstatistik:

• 112 Unternehmen (13 %) haben überhaupt keine DMARC-Richtlinie
• 244 Unternehmen (29 %) befinden sich im Überwachungsmodus (p=none)
• 198 Unternehmen (24 %) haben Quarantäne-Richtlinien implementiert
• 286 Unternehmen (34 %) setzen vollständig auf Reject-Richtlinien

Das bedeutet, dass 356 Unternehmen – 42 % der analysierten Unternehmen – sich weiterhin E-Mail-basierten Angriffen aussetzen, die den Betrieb, das Kundenvertrauen und die Einhaltung gesetzlicher Vorschriften gefährden könnten.

Der Energiesektor zeigt von den drei analysierten Sektoren die stärkste E-Mail-Sicherheitslage.

Wichtige Statistiken:

• 274 untersuchte Unternehmen
• Nur 6 % (17 Unternehmen) haben keine DMARC-Richtlinie
• 26 % (72 Unternehmen) befinden sich weiterhin im Überwachungsmodus
• 23 % (63 Unternehmen) haben ein gewisses Schutzniveau erreicht
• 44,5 % haben eine vollständige Durchsetzung erreicht (122 mit Reject)

Die relativ starke Leistung des Energiesektors spiegelt wahrscheinlich das gestiegene Bewusstsein infolge prominenter Angriffe auf kritische Infrastrukturen wider. Die weiterhin ungeschützten 32 % stellen jedoch eine erhebliche Schwachstelle dar, insbesondere angesichts der Rolle des Sektors für nationale Sicherheit und wirtschaftliche Stabilität.

Energieunternehmen sind ständigen Bedrohungen durch staatlich unterstützte Akteure und Cyberkriminelle ausgesetzt, die Lieferketten stören oder sensible Betriebsdaten stehlen wollen. Ohne ordnungsgemäße E-Mail-Authentifizierung bleiben diese Organisationen anfällig für Business Email Compromise (BEC), Lieferanten-Identitätsdiebstahl und Credential-Harvesting-Angriffe.

Die chemische Industrie weist besorgniserregendere Lücken bei der Einführung von E-Mail-Sicherheit auf.

Wichtige Statistiken:

• 266 untersuchte Unternehmen
• 14 % (36 Unternehmen) haben keine DMARC-Richtlinie
• 28 % (75 Unternehmen) befinden sich weiterhin im Überwachungsmodus
• 22,6 % (60 Unternehmen) haben einen gewissen Schutz erreicht
• Nur 35,7 % haben eine vollständige Durchsetzung erreicht (95 mit Reject)

Die Quote von 42 % ungeschützter Unternehmen im Chemiesektor ist angesichts der sensiblen Natur dieser Branche besonders besorgniserregend. Chemieunternehmen handhaben gefährliche Materialien, unterhalten komplexe Lieferketten und betreiben Anlagen, bei denen Sicherheitsverletzungen katastrophale Folgen haben könnten.

E-Mail bleibt ein primärer Angriffsvektor für Industriespionage, da Wettbewerber und feindliche Akteure Formeln, Herstellungsprozesse und Kundenlisten suchen. Das Fehlen einer DMARC-Durchsetzung macht diese Unternehmen anfällig für raffinierte Identitätsdiebstahl-Angriffe, die geistiges Eigentum gefährden oder den Betrieb stören könnten.

Der Sektor Wasser und Abfall zeigt die deutlichsten Sicherheitslücken – mit der niedrigsten Durchsetzungsrate aller analysierten Sektoren.

Wichtige Statistiken:

• 300 untersuchte Unternehmen
• 20 % (59 Unternehmen) haben keine DMARC-Richtlinie
• 32 % (97 Unternehmen) befinden sich weiterhin im Überwachungsmodus
• 25 % (75 Unternehmen) haben ein gewisses Schutzniveau erreicht
• Nur 23 % haben eine vollständige Durchsetzung erreicht (69 mit Reject)

Das bedeutet, dass 52 % der Wasser- und Abfallunternehmen ungeschützt bleiben – die höchste Anfälligkeitsrate aller untersuchten Sektoren.

Dieser Befund ist angesichts der kritischen Bedeutung der Wasserinfrastruktur besonders besorgniserregend. Wasser- und Abwasseraufbereitungsanlagen gelten als essenzielle Dienstleistungen, wobei Angriffe potenziell die öffentliche Gesundheit, die Umweltsicherheit und das Wohlergehen der Gemeinschaft beeinträchtigen könnten.

Der Sektor ist zunehmend zum Ziel von Ransomware-Angriffen und Betriebsstörungen geworden. In den letzten Jahren gab es mehrere Vorfälle, bei denen Angreifer Zugang zu Wasseraufbereitungssystemen erlangten und dabei möglicherweise Wasserqualitätskontrollen gefährdeten. E-Mail bleibt der häufigste erste Zugangsvektor für diese Angriffe.

Die Quote von 42 % ungeschützter Unternehmen in diesen Sektoren stellt mehr als nur eine technische Lücke dar. Es handelt sich um eine kritische Schwachstelle in der Infrastruktur, auf die die Gesellschaft täglich angewiesen ist.

Unternehmen der Grundversorgung sehen sich einer zunehmenden regulatorischen Kontrolle im Bereich Cybersicherheit gegenüber:

• NIS2-Richtlinie: Europäische Vorschriften verlangen nun spezifische Cybersicherheitsmaßnahmen für kritische Infrastrukturen
• CISA-Richtlinien: US-Behörden haben verbindliche operative Direktiven zur E-Mail-Authentifizierung erlassen
• Branchenspezifische Anforderungen: Energie-, Wasser- und Chemieanlagen unterliegen branchenspezifischen Compliance-Verpflichtungen

Unternehmen ohne ordnungsgemäße E-Mail-Authentifizierung laufen Gefahr, gegen neue Vorschriften zu verstoßen, mit möglichen Bußgeldern und verstärkter Aufsicht.

E-Mail-basierte Angriffe auf die Grundversorgung können weitreichende Folgen haben:

• Betriebsunterbrechungen: Ransomware oder Systemkompromittierung können kritische Abläufe zum Stillstand bringen
• Auswirkungen auf die Lieferkette: Kompromittierte Kommunikation kann Logistik und Lieferantenbeziehungen stören
• Risiken für die öffentliche Sicherheit: Angriffe auf Wasser- oder Chemieanlagen könnten die öffentliche Gesundheit gefährden
• Finanzielle Verluste: BEC-Angriffe haben einzelne Unternehmen Millionen an betrügerischen Überweisungen gekostet
• Reputationsschäden: Sicherheitsverletzungen untergraben das Vertrauen von Kunden und Öffentlichkeit

Während DMARC oft als Instrument zum Markenschutz dargestellt wird, geht es für Unternehmen der Grundversorgung im Kern um operative Sicherheit. E-Mail bleibt der primäre Angriffsvektor für den Erstzugang, wobei Angreifer raffinierte Identitätsdiebstahl-Techniken einsetzen, um:

• Mitarbeitende dazu zu verleiten, Zugangsdaten preiszugeben
• betrügerische Zahlungen oder Überweisungen zu autorisieren
• Malware zu installieren, die dauerhaften Zugriff ermöglicht
• Informationen für gezieltere Angriffe zu sammeln

Ohne DMARC-Durchsetzung können Angreifer legitime Domains problemlos fälschen, wodurch Phishing-E-Mails von echten Nachrichten praktisch nicht mehr zu unterscheiden sind.

Die gute Nachricht ist, dass 58 % der Unternehmen bereits eine DMARC-Durchsetzung implementiert haben – ein Beweis dafür, dass die Umsetzung auch für komplexe Organisationen mit vielfältigen E-Mail-Flüssen erreichbar ist.

Für die verbleibenden 42 % ungeschützten Unternehmen umfasst der Weg nach vorn:

1. Sofortige Bewertung: Den aktuellen Status der E-Mail-Authentifizierung verstehen und alle legitimen E-Mail-Quellen identifizieren
2. Schrittweise Umsetzung: Vom Fehlen einer Richtlinie zur Überwachung (p=none) übergehen, um mit der Datenerfassung zu beginnen
3. Quellenvalidierung: Sicherstellen, dass alle legitimen E-Mail-Quellen ordnungsgemäß authentifiziert sind
4. Schrittweise Durchsetzung: Übergang zu Quarantäne (p=quarantine) und schließlich zur vollständigen Durchsetzung (p=reject)
5. Kontinuierliche Überwachung: Sichtbarkeit der E-Mail-Authentifizierungsergebnisse und potenzieller Bedrohungen aufrechterhalten

Die Analyse offenbart eine sektorweite Schwachstelle, die dringende Aufmerksamkeit erfordert. Da 42 % der Unternehmen der Grundversorgung weiterhin ungeschützt gegenüber E-Mail-basierten Angriffen bleiben, geht das Risiko über einzelne Organisationen hinaus und betrifft die kritische Infrastruktur, auf die die Gesellschaft angewiesen ist.

Für Anbieter der Grundversorgung ist die Botschaft klar: E-Mail-Sicherheit schützt nicht nur Ihre Marke, sondern auch die kritischen Dienstleistungen, die Sie erbringen, und die Gemeinschaften, denen Sie dienen.

Möchten Sie den Stand der E-Mail-Sicherheit Ihres Unternehmens verstehen? Red Sift OnDMARC bietet die Transparenz und Werkzeuge, die Sie benötigen, um DMARC-Durchsetzung zu erreichen und sich vor E-Mail-basierten Bedrohungen zu schützen.