Secure Email Gateway (SEG): Funktion, Aufbau und Auswahl

E-Mail ist für Angreifer noch immer der einfachste Weg ins Unternehmen. Eine Rechnung mit Makro, ein Link zu einer gefälschten Anmeldeseite oder eine Mail vom angeblichen Chef reichen oft aus. Ein Secure Email Gateway setzt genau hier an: an der Stelle, an der jede Mail vorbeimuss.

Je nach Hersteller heißt es auch Mail Security Gateway, Email Security Gateway oder einfach E-Mail-Gateway. Gemeint ist dasselbe Prinzip.

Wo das Gateway im Mailfluss sitzt

Ein Gateway steht zwischen dem Internet und Ihren Postfächern. Für die Einbindung gibt es zwei übliche Wege:

• Vor dem Mailserver: Der MX-Eintrag Ihrer Domain zeigt auf das Gateway. Es nimmt alle Mails an, prüft sie und leitet saubere Mails an Ihren Mailserver weiter. So arbeiten die meisten Cloud-Dienste.
• Am Mailserver: Der Mailserver reicht jede Mail an das Gateway weiter und wartet auf das Ergebnis. Erst dann stellt er zu, markiert oder hält die Mail fest. Der MX-Eintrag bleibt unverändert.

Für ausgehende Mails gilt dasselbe in umgekehrter Richtung. Das Gateway prüft sie, bevor sie zum Empfänger gehen.

Was ein Secure Email Gateway prüft

Eingehende Mails

• Schadsoftware: Virenscanner und Erkennungsregeln prüfen Anhänge, auch Makros in Office-Dateien und Inhalte von Archiven.
• Sandbox: Verdächtige Anhänge werden in einer abgeschotteten Umgebung geöffnet. So fällt Schadsoftware auf, die kein Scanner kennt. Wie das abläuft, zeigt der Beitrag zur automatisierten Malware-Analyse.
• Links: Viele Gateways schreiben Links um und prüfen die Adresse erneut, wenn jemand klickt. So hilft der Schutz auch gegen Seiten, die erst nach der Zustellung scharf geschaltet werden.
• Gefälschte Absender: Das Gateway sucht nach Spoofing, Domains zum Verwechseln und gefälschten Anzeigenamen. Das ist die Grundlage gegen CEO-Fraud und Business E-Mail Compromise.
• Absenderauthentifizierung: Die Prüfungen SPF, DKIM und DMARC zeigen, ob eine Mail wirklich von der angegebenen Domain stammt.
• Spam: Unerwünschte Massenmails werden aussortiert. Diese Aufgabe übernimmt oft ein vorhandener Spamfilter.

Ausgehende Mails

• Data Loss Prevention (DLP): Regeln erkennen IBANs, Kreditkartennummern oder vertrauliche Begriffe und stoppen die Mail bei Bedarf.
• Verschlüsselung: Das Gateway verschlüsselt Mails zentral mit S/MIME oder PGP. Nutzer müssen dafür keine Schlüssel verwalten.
• Signaturen und Disclaimer: Einheitliche Signaturen werden zentral angehängt.

Nach der Zustellung

Manche Angriffe fallen erst später auf. Gute Gateways können eine bereits zugestellte Mail deshalb aus allen Postfächern zurückholen. Mitarbeitende melden verdächtige Mails per Klick, und das Gateway prüft sie nach.

Secure Email Gateway, Spamfilter und Microsoft 365

Ein Spamfilter kümmert sich um unerwünschte Massenmails. Gezielte Angriffe sind oft gut gemacht, kommen von echten Konten oder enthalten gar keinen Link. Hier hilft ein Spamfilter allein selten.

Cloud-Postfächer wie Microsoft 365 bringen einen eingebauten Grundschutz mit. Ein zusätzliches Gateway bietet mehr Kontrolle: eigene Regeln, eine eigene Sandbox, zentrale Verschlüsselung und die Wahl, wo die Prüfung stattfindet. Ob sich das lohnt, hängt von Ihrem Risiko und Ihren Vorgaben ab.

SEG und ICES: zwei Ansätze

Neben dem klassischen Gateway gibt es Integrated Cloud Email Security (ICES). Diese Dienste verbinden sich per Schnittstelle mit dem Cloud-Postfach und prüfen Mails meist nach der Zustellung.

• SEG: prüft vor der Zustellung, kann Mails ablehnen, umschreiben und verschlüsseln. Funktioniert unabhängig vom Mailanbieter.
• ICES: sieht auch interne Mails im Postfach, ist schnell eingerichtet, ist aber an die Schnittstelle des Anbieters gebunden.

Beide Ansätze schließen sich nicht aus. Viele Unternehmen kombinieren sie.

Cloud oder selbst gehostet?

Die meisten Gateways werden als Cloud-Dienst angeboten. Das ist bequem, bedeutet aber: Jede Mail läuft über die Server des Anbieters. Bei vertraulicher Kommunikation, Berufsgeheimnissen oder strengen Vorgaben zur DSGVO ist das ein Punkt zum Prüfen.

Ein selbst gehostetes Gateway läuft im eigenen Rechenzentrum oder bei einem Hoster Ihrer Wahl. Die Mails bleiben in Ihrer Infrastruktur. Dafür brauchen Sie jemanden, der den Betrieb übernimmt, intern oder als Dienstleistung.

Worauf Sie bei der Auswahl achten sollten

1. Einbindung: Passt das Gateway zu Ihrem Mailserver oder Cloud-Postfach? Bleiben DKIM-Signaturen gültig, wenn es Warnhinweise einfügt?
2. Sandbox: Werden Anhänge mit aktivem Inhalt tatsächlich ausgeführt und beobachtet, oder nur gescannt?
3. Schutz nach der Zustellung: Kann das Gateway Mails zurückholen und Links beim Klick prüfen?
4. Ausgehende Mails: Gibt es DLP und zentrale Verschlüsselung, auch für Empfänger ohne eigenen Schlüssel?
5. Datenhaltung: Wo werden Mails geprüft und gespeichert? Gehen Inhalte an externe Dienste?
6. Schrittweise Einführung: Lassen sich Funktionen einzeln einschalten und zuerst im Beobachtungsmodus testen?

Das SecTepe Mail Security Gateway

Das SecTepe Mail Security Gateway klinkt sich in Ihren bestehenden Mailfluss ein. Es ist kein eigener Mailserver: Postfächer, Webmail und Spamfilter bleiben, wo sie sind. Die Prüfung findet vor der DKIM-Signatur Ihres Mailservers statt, damit die Signatur gültig bleibt.

Anhänge mit aktivem Inhalt gibt das Gateway an die Malware-Sandbox weiter. Links prüft es beim Klick erneut. Ausgehende Mails verschlüsselt es mit PGP oder S/MIME. Was bei Empfängern ohne Schlüssel passiert, legen Sie pro Gruppenpostfach fest, etwa Zustellung über ein sicheres Portal oder Ablehnen. Ab Werk geht die Mail im Klartext mit Warnhinweis hinaus. Bereits zugestellte Mails holt es aus allen Postfächern zurück. Viele Funktionen sind ab Werk aus, damit Sie Schritt für Schritt einschalten können.

Fazit

Ein Secure Email Gateway prüft jede Mail an der Stelle, an der sie ins Unternehmen kommt oder es verlässt. Es ergänzt den Spamfilter um Sandbox, Link-Schutz, Absenderprüfung, DLP und Verschlüsselung. Bei der Auswahl zählen vor allem die Einbindung in Ihren Mailfluss, der Schutz nach der Zustellung und die Frage, wo Ihre Mails geprüft werden.