Häufige Fallstricke bei der Konfiguration der E-Mail-Sicherheit von Mimecast

Selbst die sicherheitsbewusstesten Organisationen können in Konfigurationsfallen tappen, die sie angreifbar machen. Als Mimecast-Vertriebsingenieur habe ich immer wieder Fehler beobachtet, die Ihre E-Mail-Sicherheit untergraben können. Hier finden Sie einen praktischen Leitfaden zu den häufigsten Fallstricken – und dazu, wie Sie diese vermeiden können.

1. Anti-Spoofing: Vermeidung von Umgehungsrisiken und nicht beachteten Richtlinien

Was bewirkt der Anti-Spoofing-Schutz? 

Anti-Spoofing-Richtlinien bilden Ihre erste Verteidigungslinie gegen die Fälschung von E-Mail-Headern – bei der Angreifer Nachrichten so gestalten, dass sie den Anschein erwecken, als stammten sie von Ihrer eigenen Domain. Diese Richtlinien blockieren externe E-Mails, die vorgeben, von internen Adressen zu stammen – eine beliebte Taktik sowohl beim Phishing als auch beim business email compromise.

Häufige Fallstricke und was Sie überprüfen sollten

A. Bypass-Richtlinien auf SPF-Basis sollten O365/Google nicht einschließen

Eine häufige Fehlkonfiguration ist die Verwendung von SPF-basierten Umgehungsrichtlinien, die weit gefasste IP-Bereiche von Cloud-Anbietern (wie O365 oder Google) umfassen. Dadurch können versehentlich gefälschte E-Mails von diesen Plattformen durchrutschen.

Bewährte Vorgehensweise: Verwenden Sie bei vertrauenswürdigen Absendern nach Möglichkeit stets eine IP-basierte Ausnahmeregelung und keine pauschalen SPF-basierten Ausnahmeregelungen. Beschränken Sie die Umgehungen auf bestimmte, bekannte IP-Adressen oder -Bereiche. 

Weitere Informationen: Konfiguration von Anti-Spoofing-Richtlinien, Umgehung von Anti-Spoofing-Maßnahmen bei SBF

B. Das Kontrollkästchen „Anti-Spoofing-Richtlinie erstellen“ für neue Domains fehlt 

Beim Hinzufügen neuer Domains vergessen viele Administratoren in Unternehmen, das Kontrollkästchen anzukreuzen, um automatisch eine Anti-Spoofing-Richtlinie zu erstellen. Das Ergebnis? Die neue Domain ist ungeschützt und somit anfällig für Spoofing.

Vorgehensweise: Wählen Sie bei der Registrierung neuer Domains stets die Option „Anti-Spoofing-Richtlinie für diese Domain automatisch erstellen“ aus. Falls Sie dies übersehen haben, legen Sie die Richtlinie bitte umgehend manuell an. 

Weitere Informationen: Verwaltung interner Domains & Subdomains, Hinzufügen einer internen Domain

2. Richtlinien zum Schutz vor Identitätsbetrug: Bewährte Verfahren und Schutz für VIPs

Was bewirkt die Funktion „Schutz vor Identitätsdiebstahl“? 

Die Richtlinien zum Schutz vor Identitätsbetrug sind darauf ausgelegt, raffinierte Phishing-Versuche zu erkennen, bei denen sich die Angreifer als Führungskräfte, Mitarbeiter der Finanzabteilung oder andere besonders wichtige Zielpersonen ausgeben. Diese Richtlinien analysieren Absendernamen, Domänen und Nachrichteninhalte auf Anzeichen einer Identitätsfälschung.

Häufige Fallstricke und was Sie überprüfen sollten 

Empfohlene Konfiguration: 

• Legen Sie mithilfe von Profilgruppen und höheren Trefferwerten strenge Richtlinien für Führungskräfte und VIPs fest.
• Aktualisieren Sie Ihre VIP-Liste regelmäßig, wenn Mitarbeiter in andere Positionen wechseln.
• Passen Sie Identifikatoren und alternative Schreibweisen an, um subtile Identitätsbetrugsversuche aufzudecken. Der Social Graph von Mimecast übernimmt dies automatisch für Sie, sofern Sie über Advanced BEC verfügen.

Was Sie beachten sollten: 

• Vergessen Sie bitte nicht, neue Führungskräfte in Ihre VIP-Gruppe aufzunehmen.
• Überprüfen und passen Sie die Trefferwerte an, um ein Gleichgewicht zwischen Sicherheit und Fehlalarmen herzustellen. 

Erfahren Sie mehr: 

• Schutz vor Identitätsdiebstahl – Erste Richtlinie
• Konfigurationshandbuch zum Schutz vor Identitätsbetrug
• Definitionen zum Schutz vor Identitätsbetrug

3. Aktivierung von Funktionen: Threat Remediation, „Secure & Restore“ und „Continuity Event Monitor“

Welche Funktionen haben diese Merkmale? 

Threat Remediation: Ermöglicht es Ihnen, schädliche E-Mails auch nach deren Zustellung aufzuspüren und zu entfernen.  Dies ist eine verfügbare Funktion des internen E-Mail-Schutzes.

Sichere Wiederherstellung nach einem Ausfall ( & ): Ermöglicht die Wiederherstellung von Postfächern im Falle eines Ausfalls oder eines Angriffs. 

Continuity Event Monitor: Überwacht den E-Mail-Verkehr und löst bei Ausfällen den Kontinuitätsmodus aus. 

Häufige Fallstricke und was Sie überprüfen sollten 

Threat Remediation: Stellen Sie sicher, dass die automatische Behebung aktiviert ist und die Vorfallwarteschlangen überwacht werden. 

„ & -Wiederherstellung und Kontinuitätsüberwachung“ sichern: Stellen Sie sicher, dass alle erforderlichen Konnektoren für Ihre Umgebung eingerichtet sind (O365, Google, Exchange). 

Worauf Sie achten sollten 

• Fehlende Verbindungsstellen können zu Lücken in der Abdeckung führen.
• Eine rein manuelle Behebung ist weniger effektiv – setzen Sie, wo immer möglich, auf Automatisierung. 

Mehr erfahren

• Beseitigung von Bedrohungen
• Verwaltung von Konnektoren

4. Zugelassene Absender: Risiken umgehen und bewährte Vorgehensweisen

Was bewirkt die Funktion „Zugelassene Absender“? 

Zugelassene Absender sind vertrauenswürdige E-Mail-Adressen oder IP-Adressen, die die Spam-Prüfung, das Greylisting und die Überprüfung der IP-Reputation umgehen – so wird sichergestellt, dass wichtige E-Mails nicht blockiert werden.

Häufige Fallstricke und was Sie überprüfen sollten 

Risiken beim Hinzufügen großer Anbieter (O365/Google): Das Hinzufügen ganzer Domänen oder IP-Bereiche von Cloud-Anbietern kann dazu führen, dass bösartige E-Mails von diesen Plattformen Ihre Sicherheitsmaßnahmen umgehen. 

Interne Domänen: Fügen Sie niemals Ihre eigenen internen Domänen zur Liste der zugelassenen Absender hinzu – dies kann von Angreifern missbraucht werden, um interne Kommunikation zu fälschen. 

Bewährte Vorgehensweisen für Dienste (PayPal, DocuSign usw.): Lassen Sie für Dienste von Drittanbietern ausschließlich offizielle, spezifische und dokumentierte Absenderadressen oder IP-Adressen zu. Überprüfen und aktualisieren Sie Ihre Liste regelmäßig. 

Worauf Sie achten sollten 

• Überprüfen Sie Ihre Liste der zugelassenen Absender auf zu weit gefasste oder risikobehaftete Einträge.
• Stellen Sie sicher, dass die Anti-Spoofing-Richtlinien Vorrang vor den zugelassenen Absendern für interne Domänen haben. 

Mehr erfahren

• Konfiguration der Richtlinie für zulässige Absender
• Standardeinstellungen

5. DNS-Authentifizierungsprüfungen für eingehende E-Mails: Durchsetzung von SPF, DKIM und DMARC

Was bewirkt die DNS-Authentifizierung? 

Mimecast überprüft eingehende E-Mails auf die Einhaltung der SPF-, DKIM- und DMARC-Standards, um die Authentizität des Absenders zu überprüfen und Identitätsbetrug zu verhindern.

Häufige Fallstricke und was Sie überprüfen sollten 

Standardmaßnahmen sind möglicherweise zu nachsichtig: In der Standardkonfiguration werden bei Authentifizierungsfehlern möglicherweise keine strengen Maßnahmen ergriffen. 

Was ist zu tun? 

• Konfigurieren Sie Richtlinien, um E-Mails, die die SPF-, DKIM- oder DMARC-Prüfungen nicht bestehen, abzulehnen oder unter Quarantäne zu stellen.
• Überprüfen Sie regelmäßig die DNS-Einträge aller Domains. 

Mehr erfahren

• Überblick über die DNS-Authentifizierung
• Konfiguration der DNS-Authentifizierungsdefinition
• Konfiguration der DNS-Authentifizierungsrichtlinie

6. Automatische Freigabe bei der Spam-Prüfung: Warum „Zurückhalten“ sicherer ist als „Keine Aktion“

Was bewirkt diese Einstellung? 

Die Aktion „Spam-Erkennung automatisch zulassen“ legt fest, was mit E-Mails von zugelassenen Absendern geschieht, die als Spam markiert wurden.

Häufige Fallstricke und was Sie überprüfen sollten 

Bei der Einstellung „Keine Aktion“: Spam-Ergebnisse werden ignoriert, und risikobehaftete E-Mails können die Nutzer erreichen. 

Bewährte Vorgehensweise: Legen Sie die Aktion auf „Zur Überprüfung zurückhalten“ oder „Ablehnen“ fest, um zu verhindern, dass bösartige E-Mails ungeprüft zugestellt werden. 

Erfahren Sie mehr 

• Spam-Prüfung automatisch zulassen
• Konfigurationen für die Span-Scan-Richtlinien

Abschließende Gedanken 

Die häufigsten Fehler bei Mimecast-Konfigurationen sind oft einfache Versehen – umfassende Umgehungen, nicht aktivierte Kontrollkästchen oder Standard-Einstellungen, die nicht überprüft wurden. Regelmäßige Audits, die konsequente Durchsetzung von Richtlinien und die kontinuierliche Anpassung an die Best Practices von Mimecast sind Ihr bester Schutz.

Bleiben Sie wachsam, überprüfen Sie Ihre Konfigurationen regelmäßig und nutzen Sie die Mimecast-Wissensdatenbank als Orientierungshilfe. Die Sicherheit Ihrer E-Mails ist nur so gut wie Ihre schwächste Richtlinie!