Eine E-Mail mit geänderter Bankverbindung, eine angebliche Microsoft-365-Anmeldung oder eine Rechnung im vertrauten Design: Für Angreifer reicht oft ein einzelner unaufmerksamer Klick. Der Schaden kann weit über ein gesperrtes Postfach hinausgehen. Dieser Leitfaden für sichere E-Mails zeigt, welche Maßnahmen kleine und mittelständische Unternehmen wirklich brauchen – technisch, organisatorisch und im Arbeitsalltag.
Warum E-Mail-Sicherheit Geschäftsrisiko ist
E-Mail ist für die meisten Unternehmen der wichtigste Kommunikationskanal. Darüber laufen Angebote, Verträge, Personalunterlagen, Rechnungen und Zugangsdaten. Genau deshalb ist das E-Mail-Postfach ein bevorzugtes Ziel für Cyberkriminelle.
Ein kompromittiertes Konto wird häufig nicht nur zum Lesen von Nachrichten genutzt. Angreifer durchsuchen das Postfach nach Zahlungsabläufen, Ansprechpartnern und vertraulichen Projekten. Anschließend versenden sie glaubwürdige Nachrichten im Namen eines Mitarbeiters oder der Geschäftsführung. Besonders gefährlich wird es, wenn die Täter bestehende E-Mail-Verläufe übernehmen: Eine gefälschte Zahlungsanweisung wirkt dann auf den ersten Blick vollkommen plausibel.
Sichere E-Mail-Kommunikation ist daher keine Aufgabe allein für die IT. Geschäftsführung, Buchhaltung, Vertrieb und Assistenz brauchen klare Regeln. Die Technik kann viele Angriffe abfangen, aber sie ersetzt keine nachvollziehbaren Freigabeprozesse.
Leitfaden für sichere E-Mails: Die Identität schützen
Der wirksamste Schutz beginnt beim Benutzerkonto. Wer Zugriff auf ein E-Mail-Postfach erhält, besitzt oft auch einen Schlüssel zu weiteren Unternehmensdiensten wie Microsoft 365, OneDrive, Teams oder internen Anwendungen.
Mehr-Faktor-Authentifizierung konsequent einsetzen
Mehr-Faktor-Authentifizierung, kurz MFA, sollte für alle Konten verpflichtend sein. Neben Passwort und Benutzername wird dabei ein zweiter Nachweis verlangt, etwa eine Bestätigung in einer Authenticator-App. Ein gestohlenes Passwort allein genügt dann nicht mehr für die Anmeldung.
Wichtig ist die Umsetzung: SMS-Codes sind besser als kein zweiter Faktor, können aber etwa durch SIM-Swapping Risiken haben. Authenticator-Apps oder Sicherheitsschlüssel sind in der Regel die bessere Wahl. Für besonders schützenswerte Konten, etwa Geschäftsführung, Buchhaltung und globale Administratoren, sollten strengere Anmelderichtlinien gelten.
Passwörter nicht mehrfach verwenden
Ein langes Passwort schützt nur dann, wenn es nicht bereits bei einem anderen Dienst verwendet wird. Werden externe Plattformen gehackt, probieren Angreifer die veröffentlichten Zugangsdaten automatisiert bei E-Mail-Diensten aus. Dieses Vorgehen ist schnell und häufig erfolgreich.
Ein professioneller Passwortmanager schafft hier Ordnung. Mitarbeitende können für jeden Dienst eigene, starke Kennwörter verwenden, ohne sich komplizierte Zeichenfolgen merken zu müssen. Gemeinsame Zugänge, etwa für Portale von Lieferanten, sollten nicht per E-Mail oder Excel-Datei weitergegeben werden. Sie gehören in einen zentral verwalteten Tresor mit eindeutigen Berechtigungen.
Administratorrechte begrenzen
Nicht jedes Konto braucht weitreichende Rechte. Administrationskonten sollten getrennt vom normalen Arbeitskonto geführt werden und nur genutzt werden, wenn eine administrative Tätigkeit ansteht. So sinkt das Risiko, dass ein Phishing-Angriff unmittelbar die gesamte Microsoft-365-Umgebung betrifft.
Phishing erkennen, ohne den Betrieb auszubremsen
Phishing-Nachrichten sind selten noch voller Rechtschreibfehler. Häufig kopieren sie bekannte Logos, beziehen sich auf reale Projekte oder geben sich als Kollegen aus. Deshalb helfen pauschale Hinweise wie Vorsicht bei unbekannten Absendern nur begrenzt.
Entscheidend sind Abweichungen vom normalen Ablauf. Fordert eine Nachricht plötzlich eine Zahlung, eine Passwort-Eingabe oder die Freigabe einer Datei, sollte der Empfänger kurz prüfen: War diese Anfrage erwartet? Passt die Absenderadresse exakt? Führt der Link wirklich zur bekannten Zieladresse? Und warum besteht angeblich sofortiger Handlungsdruck?
Bei Zahlungsänderungen gilt eine einfache Regel: Neue Bankverbindungen oder ungewöhnliche Zahlungsanweisungen werden immer über einen zweiten, bekannten Kommunikationsweg bestätigt. Nicht über die Antwortfunktion der fraglichen E-Mail. Ein kurzer Anruf bei der hinterlegten Telefonnummer verhindert viele Schäden.
Schulungen sollten konkret sein und regelmäßig stattfinden. Ein einmaliger Vortrag pro Jahr bleibt selten im Alltag hängen. Besser sind kurze, praxisnahe Einheiten mit Beispielen aus dem eigenen Arbeitsumfeld. Mitarbeitende müssen außerdem wissen, an wen sie verdächtige E-Mails weiterleiten können, ohne dafür kritisiert zu werden.
Die technische Schutzschicht richtig konfigurieren
Ein Spamfilter ist notwendig, aber nicht ausreichend. Sichere E-Mail-Kommunikation entsteht durch mehrere aufeinander abgestimmte Schutzmaßnahmen. Die konkrete Konfiguration hängt dabei vom eingesetzten System, den Geschäftsprozessen und dem Schutzbedarf ab.
Für Microsoft 365 gehören dazu Filter gegen Spam, Phishing und Schadsoftware sowie klare Richtlinien für Anhänge und Links. Besonders riskante Dateitypen können blockiert oder in einer geschützten Umgebung geprüft werden. Links in E-Mails lassen sich vor dem Öffnen kontrollieren. Diese Maßnahmen reduzieren das Risiko deutlich, können aber vereinzelt legitime Nachrichten zurückhalten. Deshalb braucht es einen geregelten Prozess, mit dem Mitarbeitende fehlende E-Mails schnell melden können.
Auch die eigene Domain muss geschützt werden. Die Verfahren SPF, DKIM und DMARC helfen empfangenden Mailservern zu prüfen, ob eine Nachricht tatsächlich im Namen Ihrer Domain gesendet werden darf. Ohne diese Einstellungen können Kriminelle Ihre Absenderadresse leichter fälschen und Kunden, Lieferanten oder Mitarbeitende täuschen.
DMARC sollte nicht unüberlegt scharf geschaltet werden. Zunächst wird analysiert, welche Systeme legitim E-Mails unter Ihrer Domain versenden, etwa Newsletter-Tools, Buchhaltungssysteme oder Webformulare. Erst wenn diese Quellen sauber erfasst sind, lässt sich die Richtlinie schrittweise verschärfen. Das ist ein gutes Beispiel dafür, warum E-Mail-Sicherheit planvoll betreut werden sollte statt durch Einzelmaßnahmen unter Zeitdruck.
Klare Prozesse für sensible Nachrichten festlegen
Viele E-Mail-Vorfälle entstehen nicht durch fehlende Technik, sondern durch unklare Zuständigkeiten. Wenn niemand verbindlich festgelegt hat, wie Zahlungsfreigaben, vertrauliche Dateien oder externe Zugriffsanfragen behandelt werden, entscheidet jeder Mitarbeitende nach Gefühl.
Für besonders sensible Vorgänge sollten Unternehmen schriftliche Regeln festlegen. Das betrifft vor allem Zahlungsanweisungen, Änderungen von Kontodaten, Zugangsdaten, Personalunterlagen und vertrauliche Vertragsdokumente. Bei Zahlungen schafft das Vier-Augen-Prinzip Sicherheit. Bei sensiblen Dateien kann ein geschützter Freigabeweg sinnvoller sein als ein unverschlüsselter E-Mail-Anhang.
Folgende Punkte sollten im Alltag eindeutig geregelt sein:
- Wer darf Zahlungsdaten von Lieferanten ändern oder freigeben?
- Über welchen zweiten Kanal werden ungewöhnliche Anfragen bestätigt?
- Welche Daten dürfen per E-Mail versendet werden und welche nicht?
- Wohin melden Mitarbeitende verdächtige Nachrichten?
- Wer sperrt Konten und informiert Betroffene bei einem Sicherheitsvorfall?
Diese Regeln müssen zur Unternehmensgröße passen. Ein Handwerksbetrieb mit zehn Mitarbeitenden braucht kein komplexes Konzernhandbuch. Er braucht aber einen Ablauf, den jeder kennt und der auch unter Zeitdruck funktioniert.
Was nach einem verdächtigen Klick zu tun ist
Wer auf einen verdächtigen Link geklickt oder Zugangsdaten eingegeben hat, sollte nicht abwarten. Schnelles Melden ist wichtiger als die Sorge, einen Fehler gemacht zu haben. Das betroffene Konto muss geprüft, bei Bedarf gesperrt und das Passwort zurückgesetzt werden. Anschließend sollte kontrolliert werden, ob unbekannte Anmeldungen, Weiterleitungsregeln oder gesendete Nachrichten vorhanden sind.
Gerade automatische Weiterleitungsregeln werden oft übersehen. Angreifer richten sie ein, damit sie auch nach einem Passwortwechsel neue Nachrichten mitlesen können. Ebenso müssen Sitzungen beendet und gegebenenfalls weitere betroffene Konten untersucht werden. Eine saubere Protokollierung hilft, den Umfang einzugrenzen und geeignete Folgemaßnahmen zu treffen.
Unternehmen ohne eigene IT-Abteilung profitieren von einem festen Ansprechpartner, der diese Schritte strukturiert übernimmt. Bei PERFUSIONS gehört dazu nicht nur die Reaktion auf einzelne Vorfälle, sondern die laufende Prüfung von Konten, Richtlinien, Berechtigungen und Sicherheitsmeldungen.
E-Mail-Sicherheit wird verlässlich, wenn Technik, klare Abläufe und aufmerksame Mitarbeitende zusammenspielen. Beginnen Sie mit MFA, sicheren Konten und verbindlichen Zahlungsprozessen – und prüfen Sie anschließend regelmäßig, ob Ihre Schutzmaßnahmen noch zu den tatsächlichen Arbeitsabläufen passen.
