Die Rolle der E-Mail-Sicherheit

Phishing-Angriffe sind in modernen Unternehmen ein ernsthaftes Problem. Trotzdem schulen mehr als 20 % der Unternehmen nur einmal jährlich ihre Mitarbeiter.⁷  Dieser Unwissenheit ist es geschuldet, dass Phishing noch immer die häufigste Form von Cyberangriffen ist, bei denen Informationen gestohlen werden. Fast 20 % aller Mitarbeiter klicken wahrscheinlich auf Links in Phishing-E-Mails. Davon geben unglaubliche 67,5 % ihre Anmeldedaten auf Phishing-Webseiten ein, was aus Daten des Berichts „2020 Gone Phishing Tournament“ von Terranova Security (aus dem Fortra-Portfolio) ersichtlich ist. Das heißt: Ungefähr jeder siebte Arbeitnehmer (13,4 %) würde seine Passwörter auf einer schädlichen Phishing-Website preisgeben.

Diese Gründe verdeutlichen, wie wichtig E-Mail-Sicherheit im Rahmen des gesamten Cybersicherheitsplans eines Unternehmens ist. Zum Glück gibt es technologische Schutzmaßnahmen gegen Spoofing, wie Domain-based Message Authentication, Reporting, and Conformance (DMARC) und Brand Indicators for Message Identification (BIMI), die zudem kostenlos und weithin verfügbar sind. Wenn Sie diese richtig einsetzen, erhöhen Sie die Sicherheit der ausgehenden und eingehenden E-Mail-Kommunikation in Ihrem Unternehmen erheblich.

Angriffe per E-Mail sind sehr effektiv. Es ist daher sehr unwahrscheinlich, dass Kriminelle in nächster Zeit damit aufhören werden. Unternehmen können sich nur dann effektiv gegen E-Mail-Bedrohungen schützen, wenn sie eine umfassende und individuelle E-Mail-Sicherheit einführen.

Schauen wir uns diese vier Quadranten genauer an, um zu verstehen, was die echten Sicherheitsrisiken bei E-Mails sind.

Bekannte E-Mail-Sicherheitsrisiken

Da immer mehr Unternehmen ihre Infrastruktur in die Cloud verlagern, wird die Nutzung nativer E-Mail-Systeme für die offizielle Kommunikation zum Standard. Der Schutz vor gängigen E-Mail-Bedrohungen wie Phishing, gefährlichen Links und infizierten Anhängen scheint mit den integrierten E-Mail-Sicherheitsfunktionen von Microsoft 365 und Google Mail ein Kinderspiel zu sein.

Trotzdem müssen Sie sich darüber im Klaren sein, dass die integrierten Sicherheitsfunktionen nicht ausreichen, um die ausgeklügelten E-Mail-Sicherheitsbedrohungen abzuwehren, denen moderne Unternehmen ausgesetzt sind – das bekannte Unbekannte. Unabhängige Untersuchungen haben beispielsweise gezeigt, dass Microsoft Office 365 nicht sehr gut darin ist, Phishing-E-Mails zu unterbinden. Des Weiteren stellt die cloudbasierte Office 365-E-Mail-Lösung für Unternehmen diese vor ganz eigene Herausforderungen, die sich nicht durch den Einsatz von individuellen Punktlösungen von Drittanbietern auf den eigenen System lösen lassen.

Versteckte E-Mail-Sicherheitsrisiken

Zwar bieten Microsoft 365 und Google einen gewissen Schutz vor den alltäglichen E-Mail-Sicherheitsrisiken, aber es gibt einige Lücken, durch die Unternehmen neuen E-Mail-Sicherheitsbedrohungen ausgesetzt sind. Auch wenn durch diese Tools 80 % der bekannten Angriffe und Risiken abgewehrt werden können, gibt es immer noch weitere 20 % „versteckte“ Risiken, die Ihre Infrastruktur lahmlegen können. Beispielsweise können gezielte Ransomware- und Spyware-Angriffe herkömmliche Abwehrmechanismen umgehen und in Ihrem Unternehmen Schaden anrichten.

E-Mail-Sicherheitslösungen wie Clearswift von Fortra können diese Lücken schließen. Die Deep Content Inspection von Clearswift bietet sogar noch mehr Schutz und scannt Inhalte in einem mehrstufigen Prozess, der jede andere strukturelle Verifizierungsstufe auf dem Markt weit übertrifft. Mit Sandboxing entdecken Sie eigentlich versteckte Mechanismen, die Ihr System infizieren können. Sie erkennen Zero-Hour-Bedrohungen, die einen Angriff auslösen könnten, und können diese Bedrohungen gleichzeitig auch entschärfen.

Mit Optical Character Recognition (OCR) können Sie sogar schädliche Dateien erkennen, die auf den ersten Blick vertrauenswürdig aussehen, und diese bereinigen. Clearswift kann außerdem dank der Anti-Steganografie-Funktion versteckte Daten in Bildern entfernen. Ob es sich dabei um empfangene oder versendete Bilder handelt, spielt keine Rolle.

Darüber hinaus kann die Lösung Links zu schädlichen Websites entfernen, die im E-Mail-Text oder in den Anhängen versteckt sind. Und schließlich können Sie sensible Daten wie Kontonummern oder Steuer-IDs aus Ihren Dokumenten löschen und so Datenschutz- und Sicherheitsvorgaben einhalten.

Dabei werden weder die vertrauenswürdige Geschäftskommunikation behindert oder das Tagesgeschäft beeinträchtigt noch kommt es zu Verzögerungen.

Blinde Flecken

Neben den versteckten Risiken gibt es auch E-Mail-Risiken, die als blinde Flecken bezeichnet werden. Dabei handelt es sich um ausgeklügelte Phishing-Angriffe, bei denen die Nachricht vollkommen authentisch aussieht. Der Wortlaut in der E-Mail entspricht genau dem Wortlaut, den die Finanzabteilung oder das HR-Team jeden Tag sieht und liest. Die E-Mails sind allerdings so ausgelegt, dass sie Ihre Mitarbeiter dazu verleiten, freiwillig sensible Informationen über das Unternehmen preiszugeben oder sogar ihre Zugangsdaten weiterzugeben.

Diese Arten von Nachrichten erfordern einen anderen Einsatz von Bedrohungsdaten und -einblicken. Hier kommen Lösungen wie Agari von Fortra ins Spiel. Agari erkennt erweiterte Formen von Phishing und Social Engineering, die auf andere Art vielleicht nicht entdeckt werden. Mithilfe von Agari können auch ausgehende E-Mail-Inhalte gesichert werden. Ihre Mitarbeiter werden somit davor bewahrt, unabsichtlich Geschäftskunden und Partnern Probleme zu verursachen oder den Ruf Ihrer Marke zu schädigen.

Agari nutzt fortschrittlichste ML- und KI-Techniken, um die Muster vertraulicher Kommunikation und Inhalte zu modellieren und nicht vertrauenswürdige E-Mail-Kommunikation präventiv zu erkennen und sie automatisch aus den Posteingängen der Mitarbeiter herauszuhalten. Agari nutzt Bedrohungsdaten aus verschiedenen Quellen, um Unternehmensrichtlinien durchzusetzen und Schutzmaßnahmen für die Kommunikation der Mitarbeiter aufzubauen.

Der unbekannte Faktor

Doch trotz all der Schutzmaßnahmen, die wir um die Postfächer von Unternehmen herum aufbauen, tauchen täglich neue E-MailBedrohungen und Social-Engineering-Taktiken auf. Daher ist es an dieser Stelle wichtig, dass Sie Ihre Mitarbeiter in die Lage versetzen, eine vorgeschaltete Verteidigungslinie zu bilden. Die Endnutzer in einem Unternehmen können der stärkste Verbündete sein und frühzeitig Anomalien erkennen.

Dafür benötigen Sie eine Schulungs- und Sensibilisierungslösung, die sich in Ihre vorhandene Technologie integrieren lässt. Terranova ist dabei Ihr stärkster Verbündeter. Terranova bietet Ihnen eine Bibliothek mit Schulungsmaterial, mit dem Sie individuelle Kurse für Ihre Mitarbeiter erstellen können. Die Lösung kann in Ihr Unternehmensverzeichnis integriert werden, ganz gleich, ob sich dieses vor Ort oder in der Cloud befindet, und generiert sowohl allgemeine Schulungsinhalte (z. B. DSGVOAnforderungen) als auch spezifisches Material, z. B. für die Finanzabteilung, um sie bei der Erkennung von E-Mails mit Finanzbetrug zu unterstützen. 

Dank der Modularität von Terranova können Sie ein Programm erstellen, das sowohl leicht verständlich als auch sehr komplex ist. Beispielsweise können jährliche Schulungsveranstaltungen um kleine monatlich stattfindende Module zu spezifischen Themen ergänzt werden, damit Ihre Mitarbeiter bestens informiert sind, aber im Tagesgeschäft nicht ausgebremst werden. Darüber hinaus können Sie mit vorgefertigten Vorlagen ganz einfach simulierte Phishing-Angriffe erstellen, damit Ihre Mitarbeiter schädliche Inhalte besser erkennen können.