So sichern Sie Ihre Marke mit DMARC gegen E-Mail-Bedrohungen: Webinar-Zusammenfassung

KI hat Phishing-Angriffe billiger, schneller und mit bloßem Auge nahezu unmöglich zu erkennen gemacht. In diesem Webinar erklären Antony Seedhouse, Eric Johnson und Natalie Hays von Red Sift, warum DMARC (Domain-based Message Authentication, Reporting and Conformance)-Enforcement die einzig zuverlässige Verteidigung gegen exaktes Domain-Spoofing ist und wie OnDMARC Unternehmen in sechs bis acht Wochen von p=none zu p=reject bringt.

• KI-generierte Phishing-E-Mails weisen inzwischen nahezu perfekte Grammatik, echte Personalisierung und professionelles Design auf und eliminieren damit die alten Warnsignale, auf die sich Nutzer verlassen haben
• DMARC-Einträge haben sich in weniger als zwei Jahren von 8 Millionen auf 15 Millionen verdoppelt, aber die meisten Domains verharren weiterhin bei p=none, was keinerlei Schutz vor Spoofing bietet
• Red Sift OnDMARC bringt Unternehmen im Durchschnitt in sechs bis acht Wochen zur vollständigen DMARC-Enforcement, mit proaktivem Monitoring durch DNS Guardian und KI-gestützten Erkenntnissen von Red Sift Radar

Die Zahlen sind kaum zu übersehen. Phishing-Angriffe sind im vergangenen Jahr stark angestiegen, fast ausschließlich getrieben durch generative KI-Tools, die es trivial einfach machen, ausgeklügelte Kampagnen in großem Maßstab zu starten.

„Was früher Tage oder Wochen gedauert hat, um es einzurichten, kann jetzt praktisch mit einem einzigen Klick erledigt werden“, sagte Antony Seedhouse, Product Manager für OnDMARC bei Red Sift. „Die Einstiegshürde ist mittlerweile absurd niedrig, um einen viel effizienteren, automatisierten und wirksameren Phishing-Angriff durchzuführen.“

Und nicht nur das Volumen hat sich verändert. Auch die Qualität ist enorm gestiegen. Angreifer haben mittlerweile Zugang zu ausgereiften, GUI-basierten Phishing-as-a-Service-Plattformen, die wie legitime SaaS-Produkte aussehen. Tools wie „SpamGPT“ bieten dieselbe übersichtliche Oberfläche, die man von einem kommerziellen KI-Produkt erwarten würde – nur eben für Betrugszwecke konzipiert. Die Einstiegskosten sind gesunken. Das erforderliche technische Know-how ist gesunken. Und die Qualität der Ergebnisse ist in die Höhe geschossen.

Das Webinar hat diesen Wandel mit einem direkten Vergleich verdeutlicht. Auf der einen Seite: klassische Phishing-Versuche. Denken Sie an „ATTENTION BENEFICIARY“ komplett in Großbuchstaben von einer Yahoo-E-Mail-Adresse oder eine gefälschte PayPal-Benachrichtigung voller Rechtschreibfehler von „paypie-verify.com“. Diese sind in ihrer Offensichtlichkeit fast schon liebenswert.

Auf der anderen Seite: KI-generierte Phishing-E-Mails, bei denen selbst Sicherheitsexperten innehalten müssten. Ein Beispiel imitierte eine legitime Microsoft-Sicherheitsbenachrichtigung mit nahezu perfekter Grammatik, dem echten Namen und der E-Mail-Adresse des Empfängers, einer plausiblen Subdomain (microsoft-alerts.com) und realistischen Anmeldedetails mit Zeitstempeln und Geolokalisierungsdaten. Der Call-to-Action war zurückhaltend statt drängend formuliert, und die Fußzeile enthielt eine korrekte Adresse sowie Links.

Das zweite Beispiel traf noch näher ins Schwarze. Es imitierte die eigene Plattform von Red Sift mithilfe einer Lookalike-Domain (redsift-notifications.com), verwies auf reale Produktfunktionen wie aggregierte Berichte, API-Zugriff und SIEM-Integration und verwendete sogar die tatsächliche Londoner Büroadresse des Unternehmens.

„KI hat beide Beispiele in Sekunden erstellt, nicht in Stunden, nicht in Tagen“, sagte Antony. „Die Grammatik ist nahezu perfekt, das Design ist sauber, die Personalisierung ist echt. Die einzig zuverlässige Verteidigung gegen diese Art von exaktem Domain-Spoofing ist DMARC-Enforcement.“

Die von Google, Yahoo und Microsoft eingeführten Anforderungen für Massenversender haben zu einem echten Anstieg der DMARC-Verbreitung geführt. Die Gesamtzahl der DMARC-Einträge hat sich in etwa 18 Monaten von 8 Millionen auf 15 Millionen verdoppelt. Vorgaben bewirken eindeutig etwas.

Aber hier liegt das Problem: Die meisten dieser Domains stecken bei p=none fest.

Etwa 18 % der Domains verfügen mittlerweile über eine DMARC-Richtlinie irgendeiner Art. Nur ein Bruchteil davon setzt diese tatsächlich mit p=quarantine oder p=reject durch. Und p=none, so nützlich es für die Sichtbarkeit auch sein mag, verhindert nicht, dass ein Angreifer Ihre Domain fälscht und im Posteingang eines Empfängers landet.

„Selbst wenn Sie eine DMARC-Richtlinie einrichten – wenn sie auf none steht, bietet sie eigentlich keinerlei Sicherheit“, sagte Antony. „Es besagt lediglich, dass es in Ordnung ist, wenn andere Ihre Domain imitieren.“

Die großen Mailbox-Anbieter haben bisher nur das absolute Minimum vorgeschrieben. Aber die Richtung ist klar. Die Anforderungen werden strenger, und BIMI (Brand Indicators for Message Identification) erfordert bereits p=reject. Unternehmen, die warten, bis sie zur Enforcement gezwungen werden, setzen in der Zwischenzeit ihre Marken und ihre Kunden einem Risiko aus.

Gartner bestätigt dies. Das Analystenhaus empfiehlt DMARC als grundlegenden Bestandteil jeder E-Mail-Sicherheitsstrategie, neben E-Mail-Verschlüsselung und MFA. Dennoch haben weniger als 10 % der Unternehmen tatsächlich die Enforcement erreicht.

Eric Johnson, Lead Senior Customer Success Engineer bei Red Sift, hört in nahezu jedem Gespräch dieselben Einwände:

„Wir haben es versucht, und es hat unsere E-Mails lahmgelegt.“ Das ist der häufigste Einwand, und er ist nachvollziehbar. DMARC-Enforcement ohne ordentliche Vorbereitung ist, als würde man eine Firewall einschalten, die den gesamten Datenverkehr blockiert, und sich dann wundern, warum nichts mehr funktioniert. Aber mit dem richtigen Ansatz (schrittweise Richtlinienänderungen, ordentliche Tests und fachkundige Beratung) lässt sich p=reject erreichen, ohne einen einzigen legitimen E-Mail-Fluss zu stören.

„Wir haben p=none, also sind wir konform.“ Nicht ganz. Die Anforderungen für Massenversender schreiben nicht nur das Vorhandensein eines DMARC-Eintrags vor. Sie erfordern ordnungsgemäß authentifizierte E-Mails. Wenn Sie große Mengen versenden, die die Authentifizierung nicht bestehen, behandeln Anbieter wie Google und Yahoo Ihre E-Mails ohnehin so, als befänden Sie sich bei p=reject, und verwerfen sie – unabhängig davon, was Ihre tatsächliche Richtlinie besagt.

„Unser Sicherheitsanbieter kümmert sich bereits um DMARC.“ Viele Sicherheitsplattformen fügen DMARC nur nachträglich hinzu. Es ist manuell, komplex und schwer im großen Maßstab zu verwalten. Eine speziell dafür entwickelte DMARC-Plattform wurde von Grund auf konzipiert, um genau dieses Problem zu lösen, statt es als zweitrangige Funktion anzuhängen.

Eric hatte einen einprägsamen Vergleich für Unternehmen, die bei p=quarantine stehenbleiben: „P=quarantine ist so ähnlich, wie die Schlummertaste bei allen möglichen Problemen zu drücken.“

Und zwar aus folgendem Grund: Quarantine schickt verdächtige E-Mails in den Spam- oder Junk-Ordner, statt sie vollständig zu blockieren. Die Nachricht wird trotzdem zugestellt. Und Menschen schauen durchaus in ihre Spam-Ordner. Eric verwies auf ein reales Szenario: „Wenn man zum Beispiel Natalies Mutter oder meinem Vater die Möglichkeit gibt, ihren Spam-Ordner durchzusehen, eine dringende E-Mail zu entdecken, darauf zu klicken und zu handeln, dann haben sie im nächsten Moment 10.000 Dollar oder mehr verloren.“

Quarantine verdeckt außerdem tatsächliche Zustellprobleme. Wenn Ihre eigenen authentifizierten E-Mails DMARC nicht bestehen und als Spam markiert werden, erfahren Sie davon nichts, es sei denn, ein Empfänger meldet sich bei Ihnen. Bei p=reject sind diese Fehler laut und unmittelbar, sodass Sie sie schnell erkennen und beheben können.

Aus Marketing-Sicht fügte Natalie Hays, Senior Product Marketing Manager bei Red Sift, einen weiteren Aspekt hinzu: „Nichts ist für einen Marketer peinlicher, als wenn ein Stakeholder eine E-Mail Ihrer Marke im Spam-Ordner entdeckt und Sie fragt, was Sie falsch machen.“

Red Sift OnDMARC ist eine All-in-One-Plattform für das Management der E-Mail-Sicherheitskonfiguration, die Unternehmen von p=none bis zur p=reject-Enforcement führt und darüber hinaus zu Protokollen wie MTA-STS (Mail Transfer Agent Strict Transport Security) und BIMI.

Der typische Weg zur Enforcement dauert sechs bis acht Wochen, selbst bei großen Domains mit Millionen von E-Mails und Dutzenden von Versanddiensten. Der Prozess beginnt mit DMARC-Reporting, um alle E-Mail-Flüsse, autorisierten Absender und Subdomains zu erfassen. Von dort aus arbeitet das interne Customer-Success-Team von Red Sift (kein ausgelagerter Support) gemeinsam mit Ihnen daran, komplizierte Mail-Flüsse und kniffelige Authentifizierungsprobleme zu lösen.

Sobald Sie die Enforcement erreicht haben, arbeitet OnDMARC weiter. Zwei Funktionen stechen dabei besonders hervor:

DNS Guardian überwacht alle DNS-Einstellungen in Ihren Domains und identifiziert Fehlkonfigurationen, die Schwachstellen schaffen könnten. Wenn ein E-Mail-Dienstanbieter, den Sie vor Jahren autorisiert haben, sein Geschäft aufgibt, könnte ein Angreifer diese Domain übernehmen und die Möglichkeit erlangen, in Ihrem Namen E-Mails zu versenden. DNS Guardian erkennt solche verwaisten DNS-Einträge, bevor sie zu Angriffsvektoren werden.

Red Sift Radar ist ein KI-gestützter Assistent, der speziell auf E-Mail-Authentifizierung trainiert wurde. Er fungiert als jederzeit verfügbarer Cybersecurity-Experte, dem Sie Fragen in natürlicher Sprache stellen können. Müssen Sie einen komplexen DMARC-Bericht verstehen? Möchten Sie wissen, was eine Fehlkonfiguration bedeutet und wie man sie behebt? Radar übernimmt das. Wie Eric es formulierte: „Wenn ich gerade nicht da bin, um eine Frage zu beantworten, ist Radar für Sie da.“

Und bei Lookalike-Domain-Angriffen (wie dem Beispiel redsift-notifications.com) bietet Red Sift Brand Trust Erkennung und Überwachung, damit Sie Bedrohungen erkennen können, bevor sie zur Waffe werden.

Eine zentrale Frage aus dem Publikum: Wenn KI Phishing-E-Mails unmöglich erkennbar macht, ist Security-Awareness-Training dann überhaupt noch etwas wert?

Das Panel war sich einig: Ja. DMARC eliminiert exaktes Domain-Spoofing und beseitigt damit eines der stärksten Phishing-Signale. Aber Bedrohungen entwickeln sich weiter. Lookalike-Domains, SMS-basierte Angriffe und Social-Engineering-Taktiken liegen alle außerhalb des Anwendungsbereichs der E-Mail-Authentifizierung. Ihre Mitarbeiter darin zu schulen, den Unterschied zwischen redsift.com und redsift-notifications.com zu erkennen, bleibt weiterhin wichtig.

„Auch wenn Sie bereits DMARC eingerichtet haben, entwickeln sich die Angriffe weiter, sie werden immer ausgefeilter“, sagte Eric. „Ihre Endnutzer darin zu schulen, diese Nuancen zu erkennen, ist etwas, das Security-Awareness-Training tatsächlich ermöglichen kann.“

Wenn Sie sehen möchten, wo Ihre Domain aktuell steht, bietet Red Sift einen kostenlosen Scan Ihrer DMARC-, SPF- (Sender Policy Framework) und DKIM-Konfiguration (DomainKeys Identified Mail) über Red Sift Investigate. an.