Wie Lücken bei der E-Mail-Authentifizierung blinde Flecken für Sicherheitsteams schaffen

Die Authentifizierung bildet den Kern der E-Mail-Sicherheit, doch viele Unternehmen betrachten sie eher als einmalige Konfiguration denn als fortlaufende Sicherheitsmaßnahme. Dadurch entstehen blinde Flecken, die Angreifer ausnutzen, um Sicherheitskontrollen zu umgehen, Zugangsdaten zu stehlen und sich unbemerkt in vertrauenswürdigen Umgebungen zu bewegen.

Das Problem ist nicht nur eine fehlerhafte Konfiguration, sondern eine Lücke in der Transparenz. Sicherheitsteams fehlt es häufig an Einblicken in das Verhalten der Authentifizierung über verschiedene Systeme, Protokolle und Cloud-Dienste hinweg. Das Verständnis dieser Lücken ist unerlässlich, um sie zu schließen, bevor sie zu Einfallstoren für Sicherheitsverletzungen werden.

Warum die E-Mail-Authentifizierung eine versteckte Schwachstelle darstellt

Die meisten Organisationen führen Authentifizierungsmaßnahmen einmalig ein und überprüfen diese nur selten erneut. MFA ist aktiviert, die Passwortrichtlinien sind konfiguriert, und die Aufmerksamkeit richtet sich nun auf andere Bereiche. Dies setzt voraus, dass die Authentifizierung statisch ist, während sie sich in Wirklichkeit parallel zur Infrastruktur und zu den Angriffstechniken weiterentwickelt.

Moderne Angriffe nutzen Schwachstellen zwischen Identitätsanbietern, Cloud-Plattformen und Altsystemen aus. Diese Sicherheitslücken ermöglichen unbefugten Zugriff, ohne dass Warnmeldungen ausgelöst werden, und vermitteln so ein trügerisches Gefühl der Sicherheit, bis es zu einem Sicherheitsvorfall kommt.

Die häufigsten Sicherheitslücken bei der E-Mail-Authentifizierung

Veraltete Protokolle, die die MFA umgehen

IMAP und POP sind in vielen Microsoft 365- und Google Workspace-Umgebungen weiterhin aktiviert, obwohl keine MFA-Unterstützung vorhanden ist. Angreifer nutzen gestohlene Zugangsdaten, um über diese Protokolle auf E-Mail-Postfächer zuzugreifen, wobei sie moderne Sicherheitsmaßnahmen umgehen und in den Protokollen als legitime Benutzer erscheinen.

Isolierte Identitäten und Transparenz in der Cloud

Identitätsanbietern fehlt häufig ein vollständiger Überblick über die E-Mail-Konfigurationen in der Cloud, während Authentifizierungsereignisse systemübergreifend nur selten in Echtzeit miteinander verknüpft werden. Inkonsistenzen bei den Sicherheitsrichtlinien zwischen Identitätsplattformen und Cloud-Diensten schaffen ausnutzbare Zugriffspfade, nach denen Angreifer aktiv suchen.

Missbrauch von OAuth-Apps von Drittanbietern

Über OAuth verbundene SaaS-Anwendungen erhalten häufig übermäßige Berechtigungen und arbeiten außerhalb herkömmlicher Authentifizierungsabläufe. Sobald diese Apps autorisiert sind, behalten sie auch nach Passwortänderungen oder MFA-Aktualisierungen ihren dauerhaften Zugriff bei, sodass Angreifer legitime Token unbemerkt ausnutzen können.

Token-Diebstahl und Session-Hijacking

Angreifer stehlen zunehmend Sitzungstoken anstelle von Passwörtern und umgehen so die Authentifizierung vollständig. Die Überwachung nach der Authentifizierung ist nach wie vor unzureichend, sodass kompromittierte Sitzungen unentdeckt fortbestehen können, insbesondere in Cloud-Umgebungen, in denen Token oft eine lange Lebensdauer haben.

In der Praxis sind die Ursachen für Authentifizierungslücken meist folgende:

• Veraltete Protokolle, die die MFA umgehen.
• Nicht überwachte OAuth-Berechtigungen und Apps von Drittanbietern.
• Zersplitterte Identität und Transparenz in der Cloud.
• Unzureichende Überwachung nach der Authentifizierung.

Warum Sicherheitsteams diese Bedrohungen übersehen

Perimeterorientierte E-Mail-Sicherheit

Herkömmliche sichere E-Mail-Gateways wurden für Umgebungen entwickelt, in denen der E-Mail-Verkehr über zentralisierte Netzgrenzen lief. Sie sind in der Lage, eingehende Nachrichten zu überprüfen und bekannte Bedrohungen zu blockieren, bevor diese die Posteingänge der Nutzer erreichen.

Cloud-native Angriffe finden jedoch innerhalb von Microsoft 365 und Google Workspace statt und liegen damit außerhalb der Reichweite von Perimeter-Kontrollen. Wenn Angreifer gestohlene Zugangsdaten oder kompromittierte OAuth-Token verwenden, umgehen sie die Sicherheitsgateways vollständig und agieren innerhalb vertrauenswürdiger Umgebungen, in denen herkömmliche E-Mail-Sicherheitsmaßnahmen kaum greifen.

Zersplitterte Sicherheits-Tools

Die meisten Unternehmen nutzen separate Tools für E-Mail, Identitätsmanagement, SaaS-Anwendungen und Endgeräte, wobei jedes dieser Tools über eigene Warnmeldungen und Dashboards verfügt. Diese Fragmentierung zwingt die Sicherheitsteams dazu, Vorfälle systemübergreifend zusammenzufügen, anstatt Bedrohungen ganzheitlich zu analysieren.

Mehrstufige Angriffe bleiben oft unentdeckt, da kein single Tool die gesamte Angriffskette überblicken kann. Ein Angreifer kann von Phishing über Identitätsmissbrauch bis hin zur Exfiltration von Cloud-Daten vorgehen, während jedes einzelne Tool nur einen Ausschnitt der Aktivitäten erfasst, wodurch das Gesamtbild der Bedrohung verschleiert wird.

Übermäßiges Vertrauen in grundlegende Authentifizierungsmaßnahmen

Viele Unternehmen betrachten die Authentifizierung lediglich als eine Formalität: Die Multi-Faktor-Authentifizierung (MFA) ist aktiviert, veraltete Protokolle werden außer Acht gelassen, und man geht davon aus, dass die Sicherheit ausreichend ist. Diese Denkweise verhindert die Einführung mehrstufiger, kontinuierlich überwachter Authentifizierungsstrategien, die angesichts moderner Bedrohungen erforderlich sind.

Grundlegende Kontrollmaßnahmen bestätigen zwar die Identität, liefern jedoch keine Erkenntnisse über das Verhalten und den Kontext. Angreifer, die gestohlene Zugangsdaten verwenden, lassen sich oft nicht von legitimen Benutzern unterscheiden, während eine fortlaufende Überprüfung nach der Anmeldung nach wie vor selten ist. Infolgedessen werden authentifizierte Sitzungen standardmäßig als vertrauenswürdig eingestuft, was Angreifern die Möglichkeit bietet, unentdeckt zu agieren.

Die praktischen Auswirkungen von Sicherheitslücken bei der Authentifizierung

Bei „business email compromise“ gelingt der Angriff häufig ohne malware oder bösartige Links. Angreifer authentifizieren sich mit gestohlenen Zugangsdaten und agieren über legitime Konten, was die Aufdeckung erschwert. Bei fortgeschrittenen Identitätsbetrugsangriffen wird der authentifizierte Zugriff genutzt, um interne Kommunikationsmuster zu analysieren und äußerst überzeugende Social-Engineering-Kampagnen zu entwickeln.

Angriffe auf die Lieferkette beginnen häufig mit Sicherheitslücken bei der Authentifizierung bei Partnern oder Lieferanten, wodurch Angreifer die Möglichkeit erhalten, über vertrauenswürdige Beziehungen weiter vorzudringen. Die finanziellen und rufschädigenden Auswirkungen gehen über die unmittelbaren Verluste hinaus, wobei die durch BEC-Vorfälle verursachten Kosten unter Berücksichtigung aller Faktoren häufig 5 Millionen US-Dollar übersteigen.

Unternehmen sehen sich in der Regel mit drei sich gegenseitig verstärkenden Folgen konfrontiert:

• Zunahme von Betrugsfällen und Datendiebstahl durch authentifizierten Zugriff.
• Verzögerte Erkennung aufgrund eingeschränkter Transparenz zwischen den Systemen.
• Langfristige Reputations- und regulatorische Schäden.

Beseitigung von Schwachstellen auf Domain-Ebene mit DMARC

Warum Domain-Spoofing nach wie vor eine erhebliche Sicherheitslücke darstellt

Die weltweite DMARC-Akzeptanz liegt weiterhin unter 30 %, wodurch die Mehrheit der Domains anfällig für Spoofing und Identitätsbetrug bleibt. Angreifer nutzen diese Lücke aus, indem sie E-Mails versenden, die den Anschein erwecken, von vertrauenswürdigen Marken zu stammen, und so sowohl Nutzer als auch E-Mail-Sicherheitssysteme täuschen, die sich auf die Reputation der Absenderdomain stützen.

Das Problem geht über die direkte Domain-Fälschung hinaus. Angreifer missbrauchen legitime E-Mail-Plattformen wie SendGrid und Mailgun, um bösartige Nachrichten über vertrauenswürdige Infrastrukturen zu versenden. Diese Nachrichten bestehen die SPF- und DKIM-Prüfungen, da sie über legitime Dienste versendet werden; sie umgehen jedoch die DMARC-Kontrollen, da die meisten Organisationen die domänenbasierte Authentifizierung noch nicht vollständig implementiert haben.

Wie der Mimecast DMARC Analyzer die Transparenz wiederherstellt

Der Mimecast DMARC Analyzer bietet Ihnen einen umfassenden Überblick darüber, wer E-Mails im Namen Ihrer Domain versendet, und deckt unbefugte Absender auf, bevor diese Ihrer Marke Schaden zufügen oder Ihre Kunden täuschen können. Durch die Echtzeitüberwachung der DKIM-, SPF- und DMARC-Konformität lässt sich genau feststellen, welche Nachrichten die Authentifizierung bestehen und welche nicht.

Ohne die richtigen Tools kann der Weg zur Durchsetzung von DMARC komplex und zeitaufwendig sein. Der Mimecast DMARC Analyzer vereinfacht diesen Prozess durch geführte Arbeitsabläufe, die Unternehmen dabei unterstützen, von der Überwachung zur Durchsetzung überzugehen, ohne den legitimen E-Mail-Verkehr zu beeinträchtigen. Diese Transparenz schließt eine kritische Sicherheitslücke bei der Authentifizierung, die Angreifer seit Jahren ausnutzen.

Das menschliche Risiko als größter blinder Fleck

Mangelnde Transparenz hinsichtlich der Zielgruppe

Sicherheitsteams fehlt es häufig an einem klaren Überblick darüber, welche Mitarbeiter dem höchsten Angriffsaufkommen ausgesetzt sind. Eine kleine Gruppe von Nutzern ist für den Großteil der Vorfälle verantwortlich, dennoch wenden Unternehmen in der Regel einheitliche Kontrollmaßnahmen anstelle eines risikobasierten Schutzes an.

Risikoreiche Positionen, wie beispielsweise Führungskräfte, Finanzteams und Mitarbeiter mit Zugriff auf sensible Daten, erfordern maßgeschneiderte Kontrollmaßnahmen und gezielte Schulungen, die allgemeine Sensibilisierungsprogramme nicht bieten können. Ohne Einblick in die Angriffsmuster können Unternehmen den Schutz nicht dort priorisieren, wo er am dringendsten benötigt wird.

Zunehmende blinde Flecken bei Tools für die Zusammenarbeit

E-Mails stellen in modernen Umgebungen nur einen Angriffsvektor dar. Plattformen wie Teams, Slack und Zoom bergen neue Risiken, da sensible Informationen über mehrere Kommunikationskanäle hinweg übertragen werden. Die eingeschränkte Transparenz über diese Plattformen hinweg führt zu blinden Flecken, die Angreifer aktiv ausnutzen.

Daten, die über Tools zur Zusammenarbeit ausgetauscht werden, umgehen häufig die E-Mail-Sicherheitsmaßnahmen vollständig. Dateifreigabe, Chat und Bildschirmfreigabe basieren auf unterschiedlichen Sicherheitsmodellen, weshalb unified Schutz über alle Kommunikationskanäle hinweg unerlässlich ist.

Schatten-IT und Insiderrisiken

Nicht verwaltete Tools führen zu blinden Flecken beim Datenverlust, die Sicherheitsteams nicht überwachen können, da sie sich deren Existenz nicht bewusst sind. Mitarbeiter nutzen häufig Dateifreigabedienste für Privatkunden, persönliche Cloud-Speicher und nicht genehmigte Tools für die Zusammenarbeit, die jeweils einen potenziellen Weg für den Datenabfluss darstellen.

GenAI-Tools bergen zusätzliche Risiken, da Mitarbeiter sensible Informationen an externe KI-Plattformen weitergeben, ohne sich über die Auswirkungen hinsichtlich Datenaufbewahrung oder Sicherheit im Klaren zu sein. Unternehmen haben oft keinen Überblick darüber, welche Daten ihre Umgebung verlassen und wie diese genutzt werden.

Von blinden Flecken bis hin zu durchgängiger E-Mail-Sicherheit

Die Authentifizierung muss sich von einer einmaligen Einrichtung zu einem kontinuierlich überwachten Sicherheitsprozess weiterentwickeln. Unternehmen benötigen Echtzeit-Transparenz über Domänen, Benutzer, Protokolle und Kollaborationsplattformen hinweg, um Bedrohungen zu erkennen, die über die Grenzen des herkömmlichen E-Mail-Verkehrs hinausgehen.

Mimecasts „Human Risk Platform“ vereint die Durchsetzung von Authentifizierungsmaßnahmen, Verhaltensanalysen und human risk management, um diese Lücken zu schließen. Durch die Verknüpfung von Authentifizierungsereignissen mit dem Nutzerverhalten und den Aktivitäten in der Cloud können Unternehmen Bedrohungen erkennen, die zuvor unbemerkt geblieben sind.

Bei der Zukunft der E-Mail-Sicherheit geht es nicht darum, weitere Tools hinzuzufügen, sondern darum, eine unified Transparenz und eine adaptive Durchsetzung der Authentifizierung über die gesamte Angriffsfläche hinweg zu erreichen. Unternehmen, die diesen Ansatz verfolgen, wandeln Schwachstellen in solide Sicherheitsschichten um und stärken so ihre Widerstandsfähigkeit in einer zunehmend komplexen Bedrohungslandschaft.