Jeder Filter lässt irgendwann etwas durch. Eine Mail sieht beim Empfang harmlos aus, der Link führt noch auf eine leere Seite, der Anhang ist der Sandbox unbekannt. Eine Stunde später ist die Seite eine perfekte Kopie Ihres Microsoft-Logins. Dann liegt die Mail bereits in 40 Postfächern.
Entscheidend ist in diesem Moment nicht mehr, ob der Filter perfekt war. Entscheidend ist, wie schnell Sie die Mail wieder loswerden. Dieser Beitrag zeigt, wie das im SecTepe Mail Security Gateway abläuft.
Warum Angriffe erst nach der Zustellung auffallen
- Späte Links: Angreifer verschicken Mails mit Links auf Seiten, die beim Empfang noch harmlos sind. Erst später leiten sie auf eine Phishing-Seite weiter.
- Späte Erkenntnis: Die Sandbox schlägt erst nach einigen Minuten an. Oder eine Kampagne wird erst bekannt, wenn die ersten Mitarbeitenden sie melden.
- Gezielte Angriffe: Spear-Phishing ist auf eine Person zugeschnitten und fällt technisch oft kaum auf.
Ohne Werkzeug bleibt dann nur der Rundbrief an alle: „Bitte nicht öffnen.“ Bis er gelesen ist, hat jemand geklickt.
Schritt 1: Melden mit einem Klick
Ein Add-on für das Mailprogramm fügt den Button „Phishing melden“ hinzu. Ein Klick leitet die geöffnete Mail an eine interne Meldeadresse weiter. Das Gateway prüft Links, Absender und Anhänge.
Danach bekommt der Melder eine Antwort in einfachem Deutsch: schädlich, verdächtig oder unauffällig. Das ist wichtiger, als es klingt. Wer nie eine Rückmeldung bekommt, hört irgendwann auf zu melden. Das Add-on liest nur die geöffnete Mail und sendet keine Telemetrie.
Schritt 2: Die Mail aus allen Postfächern zurückholen
Steht fest, dass eine Mail gefährlich ist, sucht das Gateway sie in allen Postfächern und verschiebt sie in die Quarantäne. Dieses Verfahren heißt Zero-hour Auto Purge. Es greift unabhängig davon, wer die Mail gemeldet hat oder wie sie aufgefallen ist, etwa durch einen späten Sandbox-Befund.
Auf Wunsch passiert das automatisch: Stuft die Analyse eine gemeldete Mail als schädlich ein, entfernt das Gateway sie selbst aus allen Postfächern. Diese automatische Bereinigung ist ab Werk aus. Ein Admin schaltet sie bewusst ein, wenn er den Ergebnissen vertraut.
Schritt 3: Links beim Klick erneut prüfen
Für den Fall, dass jemand schneller war als der Rückruf, gibt es den Click-Time-Schutz. Das Gateway schreibt Links in eingehenden Mails um. Klickt jemand, prüft es die Adresse erneut. Verdächtige Seiten öffnet ein abgeschotteter Browser. Er hält einen Screenshot und alle Weiterleitungen fest.
So hilft der Schutz auch gegen Seiten, die erst nach der Zustellung scharf geschaltet werden. Die Link-Umschreibung ist ab Werk aus und lässt sich gezielt einschalten.
Warnen, wenn die Mail nicht eindeutig ist
Nicht jede verdächtige Mail muss gleich in die Quarantäne. Wird sie zugestellt, setzt das Gateway auf Wunsch einen sichtbaren Warnhinweis über den Text, optional mit einem Link zum Melden. Signierte oder verschlüsselte Mails bleiben dabei unverändert.
Zusammenspiel mit Schulungen
Technik und Aufmerksamkeit ergänzen sich. Wer regelmäßig übt, erkennt Phishing schneller und meldet es auch. Meldet jemand eine Übungsmail aus dem Phishing-Simulator, erkennt das Gateway sie als solche und bedankt sich für die Meldung. So zählt die Meldung als Erfolg, ohne einen echten Alarm auszulösen.
Schritt für Schritt einführen
Warnbanner, Link-Umschreibung und automatische Bereinigung sind ab Werk aus. Das ist Absicht. Starten Sie mit dem Melde-Button und dem manuellen Rückruf. Schalten Sie danach Warnbanner und Click-Time-Schutz zu. Die automatische Bereinigung kommt zuletzt, wenn Sie die Ergebnisse eine Weile beobachtet haben.
Fazit
Kein Filter fängt alles ab. Ein gutes Gateway macht deshalb den Weg zurück kurz: melden per Klick, Antwort an den Melder, Rückruf aus allen Postfächern und Prüfung beim Klick. Mehr zu den einzelnen Funktionen lesen Sie auf der Seite zum Phishing-Schutz. Grundlagen zum Prinzip erklärt der Glossareintrag Secure Email Gateway.