E-Mail-Sicherheitsrückstand: Die Cybersicherheitskennzahl, die niemand misst

Jedes Sicherheitsteam gibt Zahlen an, auf die es sich verlassen kann: abgewehrte Phishing-Versuche, Malware-Erkennungen, fehlgeschlagene Anmeldeversuche, offengelegte Anmeldedaten, durchschnittliche Reaktionszeit. Was fast niemand erwähnt, ist die Arbeit, die eigentlich schon vor Monaten hätte abgeschlossen sein sollen und immer wieder auf den nächsten Sprint verschoben wird.

Dieser Rückstand hat einen Namen, den man sich merken sollte: E-Mail-Sicherheitsrückstand – die ungelösten Probleme hinsichtlich Authentifizierung, Eigentumsverhältnissen und Konfiguration, die sich in Ihrer gesamten E-Mail-Infrastruktur ansammeln und deren Beseitigung umso kostspieliger wird, je mehr Ihr Unternehmen um diese herum wächst.

E-Mails eignen sich besonders gut, um solche Daten zu sammeln. Eine neue SaaS-Plattform beginnt, in Ihrem Namen E-Mails zu versenden. Bei einer Migration wird ein DNS-Eintrag geändert. Eine „vorübergehende“ Subdomain bleibt aktiv. Ein Anbieter versendet noch lange nach Abschluss des Projekts weiterhin Zugangsdaten. Für sich genommen scheint jede dieser Maßnahmen eine Sache von fünf Minuten zu sein.

Wie sich die E-Mail-Sicherheitslücke tatsächlich darstellt

Das Konzept lehnt sich an den Begriff der „technischen Schulden“ aus der Softwareentwicklung an. Man wählt eine Abkürzung, um das heutige Problem zu lösen, und überlässt die Kosten für die Wartung seinem zukünftigen Ich.

E-Mail-Systeme sammeln diese Abkürzungen schnell an, da die Versandinfrastruktur fast nie einem einzigen Team gehört. Das Marketing betreibt die Kampagnenplattform. Die Personalabteilung ist für das Rekrutierungstool zuständig. Der Support verwaltet das Ticketingsystem. Die Entwickler binden zwei oder drei APIs für Transaktions-E-Mails ein. Der IT-Abteilung bleibt die Pflege der DNS-Einträge, die das Ganze zusammenhalten.

Typische Symptome:

• Unbekannte Versanddienste, die weiterhin Ihre Domain nutzen;
• Übrig gebliebene SPF-Mechanismen aus einer Migration, die vor zwei Jahren abgeschlossen wurde;
• DKIM-Schlüssel, die auf Dienste verweisen, die niemand mehr nutzt;
• DMARC-Richtlinien befinden sich im Überwachungsmodus und haben keinen eindeutigen Eigentümer;
• Temporäre Subdomains, die nie wieder überprüft wurden;
• Drittanbieter, die auch nach Vertragsende weiterhin über Versandrechte verfügen.

Keines davon löst am Tag seines Auftretens einen Vorfall aus. Genau deshalb überleben sie.

Die Authentifizierung wird mit der Zeit immer komplizierter

Die Einrichtung von SPF, DKIM und DMARC auf einer brandneuen Domain ist wirklich unkompliziert. Die Herausforderung besteht darin, alle drei über Jahre hinweg trotz sich verändernder Infrastruktur korrekt zu halten.

Nehmen wir SPF als Beispiel. Man beginnt mit Google Workspace und einem Marketing-Anbieter. Dann fügt der Vertrieb eine Plattform hinzu, die Personalabteilung erhält ein eigenes System, und die Entwickler binden eine E-Mail-API ein. Die Liste wächst, aber alte Einträge werden selten im gleichen Tempo entfernt – und so kommt es, dass Domains an die Suchlimits stoßen und doppelte SPF-Einträge veröffentlicht werdenoder es kommt zu SPF-Fehler auftreten, die niemand erklären kann. Die richtige SPF-Syntax einmal richtig hinzubekommen, ist einfach; sie korrekt zu halten, ist eine Frage der Wartung.

DKIM folgt demselben Lebenszyklus. Schlüssel gehören zu bestimmten Absendern, und Absender wechseln. Ein veröffentlichter Selektor kann technisch gesehen noch lange gültig bleiben, nachdem der dahinterliegende Dienst bereits aus dem täglichen Betrieb verschwunden ist, und DKIM versagt aus Gründen, die in einem Ticket aus dem Jahr 2023 verborgen sind.

Hier kommt die DMARC-Berichterstellung ins Spiel. Aggregierte Berichte zeigen, welche Systeme tatsächlich E-Mails unter Ihrer Domain versenden – und nicht nur diejenigen, von denen Sie das vermuten. Das Lesen dieser Berichte verwandelt unsichtbare Abweichungen in eine Liste, die Sie abarbeiten können, und PowerDMARC bietet Ihnen einen Überblick über DMARC, SPF und DKIM in einer einzigen Ansicht, anstatt Ihr Team zu zwingen, jeden Eintrag als isolierte DNS-Aufgabe zu behandeln.

Das rückt die Frage in ein neues Licht. „Ist DMARC aktiviert?“ ist keine sinnvolle Frage. „Kennen wir jeden Dienst, der derzeit unter unserer Domain E-Mails versendet, und gehört jeder einzelne davon noch dorthin?“ – das ist die richtige Frage.

Das Problem des vergessenen Absenders

Selbst wenn alle Datensätze technisch korrekt sind, bestehen dennoch gewisse Sicherheitslücken bei E-Mails.

Stellen Sie sich eine Webinar-Plattform vor, die vor zwei Jahren freigeschaltet wurde. Der Mitarbeiter, der sie eingerichtet hat, ist nicht mehr im Unternehmen. Das Konto wurde seit Monaten nicht mehr genutzt. Dennoch kann es weiterhin authentifizierte E-Mails über Ihre Unternehmensdomain versenden.

Aus Sicht eines Angreifers bedeutet „alt“ nicht gleich „harmlos“. Ein vergessenes Konto ist ein sicherer Zugang zu Ihrer E-Mail-Umgebung, den niemand im Auge behält.

Eine ordnungsgemäße Absenderprüfung beantwortet sechs praktische Fragen:

• Von welchem System wird diese E-Mail versendet?
• Welches Team ist für das Konto zuständig?
• Welche Domain oder Subdomain wird dafür verwendet?
• Erfüllt es die SPF- und DKIM -Anforderungen?
• Wann wurde es zuletzt rechtmäßig verwendet?
• Wer ist befugt, es zu entfernen?

Diese letzte Frage führt oft zu größeren Verzögerungen als die gesamte technische Untersuchung. Einen überflüssigen Sender zu finden, dauert nur wenige Minuten. Die Genehmigung für dessen Abschaltung einzuholen, kann jedoch Wochen dauern.

Die E-Mail-Authentifizierung deckt nicht den gesamten Angriff ab

Eine weitere Form der Verschuldung entsteht, wenn ein Unternehmen erwartet, dass eine einzige Kontrollmaßnahme ein Problem löst, das außerhalb seines Zuständigkeitsbereichs liegt.

DMARC in der Durchsetzungsphase erschwert direktes Domain-Spoofing erheblich. Es verhindert jedoch nicht jede Phishing-Nachricht. Angreifer weichen auf ähnliche Domains, kompromittierte Konten von Drittanbietern, bösartige Anhänge und überzeugende Seiten zum Abgreifen von Anmeldedaten.

Zu diesem Zeitpunkt geht das Problem bereits über die Absenderauthentifizierung hinaus. Sobald eine schädliche Datei oder ein schädlicher Link das Gerät eines Nutzers erreicht, sind Sie auf Endpunktüberwachung, Browserschutz, URL-Filterung oder eine Antivirenlösung der nächsten Generation , um das zu erfassen, was durchgerutscht ist.

Diese Aufteilung der Verantwortlichkeiten ist wichtiger, als ihr üblicherweise zugestanden wird. Eine Organisation kann strenge DMARC-Maßnahmen durchsetzen und dennoch die Nutzer einem Risiko aussetzen, sobald diese auf einen Link klicken. Eine andere kann viel Geld für Endpunkt-Tools ausgeben, während ein Dutzend vergessener Dienste weiterhin berechtigt sind, vertrauenswürdige E-Mails von ihrer Domain aus zu versenden. Die Sicherheitslücke im E-Mail-Bereich liegt meist genau in dieser Kluft zwischen beiden.

Warum dies selten im Dashboard angezeigt wird

Es gibt keine einheitliche Maßeinheit für die E-Mail-Sicherheitslücke, was die Berichterstattung deutlich erschwert im Vergleich zur Phishing-Klickrate oder zur MTTR-Kennzahl.

Eine vierteljährliche Präsentation könnte zeigen, dass 98 % der legitimen E-Mails die Authentifizierung bestehen. Das ist beruhigend – verschweigt aber die vier aufgegebenen SaaS-Konten, die weiterhin authentifizierte Nachrichten versenden können. Ebenso gilt: p=reject auf Ihrer primären Domain zu erreichen, bedeutet nicht, dass die gesamte Umgebung einwandfrei ist. Subdomains, Absender von Drittanbietern und nicht behobene DMARC-Fehler fallen alle nicht unter diese Gesamtzahl.

Ein aussagekräftigeres Dashboard erfasst nicht nur erfolgreiche, sondern auch noch offene Punkte:

• Unbekannte Absender;
• Zugelassene Dienstleister ohne aktiven Inhaber;
• Authentifizierungsfehler sind noch nicht untersucht worden;
• Inaktive Plattformen dürfen weiterhin Nachrichten versenden;
• Domains, die über den vereinbarten Zeitraum hinaus über einen vereinbarten Zeitraum hinaus.

Auch das Alter gehört auf dieses Dashboard. Ein Absender, der gestern entdeckt wurde, ist ein Ermittlungsfall. Derselbe Absender, der neun Monate später immer noch ungeklärt ist, ist eine Forderung.

Weisen Sie jeder Ausnahme einen Lebenszyklus zu

E-Mail-Sicherheitsprogramme kommen selten wegen dramatischer Probleme ins Stocken. Sie bleiben vielmehr aufgrund vorübergehender Ausnahmen, veralteter Tabellenkalkulationen, aufgegebener Tickets und Datensätze ins Stocken, die niemand anfassen möchte, weil unklar ist, wer dafür zuständig ist.

Die Lösung ist wenig spektakulär: Jede ungelöste Ausnahme bezüglich des Absenders oder der Authentifizierung erhält einen Verantwortlichen, eine dokumentierte Begründung für ihr Vorliegen und einen Überprüfungstermin. Diese eine Änderung macht vernachlässigte Infrastruktur wieder sichtbar.

Sie können mit den bereits veröffentlichten Informationen beginnen. Überprüfen Sie Ihre aktuelle Konfiguration und lassen Sie Ihre Domain durch einen Domain-Analysatorund nutzen Sie anschließend DMARC-Berichte, um die autorisierten Absender mit den tatsächlich sendenden abzugleichen.

Die Kennzahl wird niemals vollkommen objektiv sein, und das muss sie auch nicht. Ihr Wert liegt in der praktischen Anwendbarkeit. Alte Absender, veraltete Datensätze, halbherzig umgesetzte DMARC-Einführungen und die Lücken zwischen E-Mail- und Endpunktschutz sind nicht länger nur Hintergrundrauschen, sondern werden zu Aufgaben, die Sie priorisieren können. Genau darum geht es bei der Bezeichnung „E-Mail-Sicherheitsschulden“: Was gemessen wird, wird auch in den Zeitplan aufgenommen.

FAQ

Was ist E-Mail-Sicherheitsrückstand? E-Mail-Sicherheitsrückstand bezeichnet den angesammelten Rückstand an ungelösten Problemen hinsichtlich Authentifizierung, Eigentumsverhältnissen und Konfiguration in der E-Mail-Infrastruktur eines Unternehmens – veraltete SPF-Mechanismen, DKIM-Schlüssel für nicht mehr existierende Dienste, DMARC-Richtlinien, die im Überwachungsmodus feststecken, sowie Absender von Drittanbietern, für die niemand verantwortlich ist oder die niemand überprüft.

Wie lässt sich die E-Mail-Sicherheitslücke messen? Verfolgen Sie eher ungelöste als erfolgreich bearbeitete Fälle: nicht identifizierte Absender, autorisierte Dienste ohne Verantwortlichen, nicht untersuchte Authentifizierungsfehler, inaktive Plattformen, die weiterhin E-Mails versenden dürfen, und Domains, die über eine vereinbarte Frist hinaus im Überwachungsmodus verbleiben. Berücksichtigen Sie dabei das Alter jedes einzelnen Falls, denn die Dauer, seit der ein Problem ungelöst ist, unterscheidet eine noch laufende Untersuchung von tatsächlicher Sicherheitsschuld.

Bedeutet das Erreichen von DMARC p=reject, dass Sie keine E-Mail-Sicherheitslücke mehr haben? Nein. Die Durchsetzung auf Ihrer primären Domain verhindert zwar direktes Spoofing dieser Domain, doch Subdomains, Versanddienste von Drittanbietern und ungelöste Authentifizierungsfehler können hinter einer einwandfreien Gesamtkennzahl weiterhin unberücksichtigt bleiben.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• KI-Phishing-E-Mails: So überprüfen Sie von einer KI verfasste E-Mails, bevor Sie ihnen vertrauen – 31. August 2026
• E-Mail-Sicherheitsdefizit: Die Cybersicherheitskennzahl, die niemand misst – 31. August 2026
• PowerDMARC zum 13. Quartal in Folge zum Marktführer im Bereich DMARC-Software gekürt – 28. August 2026