Verdächtige E-Mail? Wir analysieren sie in 24 Stunden.

Regellaufzeit 24 Stunden nach Eingang der Mail an [email protected] an Werktagen. Eingangsbestätigung erhalten Sie binnen einer Stunde während der Bürozeit – Montag bis Freitag, 8 bis 18 Uhr. Mails, die nachmittags nach 16 Uhr eingehen, werden am nächsten Werktag bearbeitet. Wer eine Bereitschaft für 49 Euro pro Monat gebucht hat, bekommt eine Bearbeitung mit Ziel-Antwortzeit 4 Stunden zur Geschäftszeit, auch bei mehreren Mails parallel. Wochenende und Feiertage sind nicht abgedeckt – für 24/7-Bereitschaft empfehlen wir spezialisierte Incident-Response-Dienstleister wie HiSolutions oder secunet.

Nichts anklicken, nichts öffnen, nicht antworten, nicht weiterleiten an Kollegen. Leiten Sie die Mail mit komplettem Header an [email protected] weiter – am besten als Anhang im EML- oder MSG-Format, damit die Header-Daten unverändert erhalten bleiben. In Outlook geht das über „Datei > Speichern unter > Outlook-Nachrichtenformat (msg)" oder per Drag-and-drop in eine neue Mail. In Thunderbird über „Datei > Speichern unter > Datei" als EML. In Apple Mail über Rechtsklick „Als Quelltext anzeigen", den Inhalt kopieren und in eine Text-Datei einfügen. Wenn das technisch nicht möglich ist, reicht auch die Weiterleitung als „eingebettete Nachricht" – wir extrahieren die Header dann manuell.

Die Analyse wird dann zur Schaden-Einschätzung statt zur reinen Vorab-Prüfung. Trennen Sie das betroffene Gerät vom Netzwerk (LAN-Kabel ziehen oder WLAN deaktivieren), bevor Sie weiterarbeiten. Sehen Sie sich nicht in alten Mails um, geben Sie keine Daten ein, schließen Sie den Browser-Tab nicht panisch – wir brauchen die URL aus der Adress-Leiste für die Analyse. Notieren Sie sich Datum, Uhrzeit, was angezeigt wurde, ob ein Download gestartet wurde, ob ein Eingabe-Formular kam. Schicken Sie alles zusammen mit der Original-Mail an [email protected]. Wir prüfen die Ziel-Seite in abgeschotteter Prüf-Umgebung und sagen Ihnen, was passiert sein könnte und welche Sofort-Maßnahmen sinnvoll sind. Für tiefergehende forensische Spuren-Sicherung empfehlen wir HiSolutions oder mh service.

Sofort das Passwort dort ändern, wo es echt verwendet wird – nicht über den Link aus der Phishing-Mail, sondern direkt über die offizielle Adresse des Anbieters. Wenn Sie das Passwort auch anderswo verwenden (was die meisten Menschen tun): überall ändern. Aktivieren Sie Zwei-Faktor-Authentifizierung, falls noch nicht geschehen. Prüfen Sie die Anmelde-Protokolle der letzten 30 Tage auf fremde IP-Adressen (Microsoft 365: admin.microsoft.com > Berichte > Anmelde-Aktivität; Google Workspace: admin.google.com > Berichte > Audit). Schauen Sie nach automatischen Mailbox-Weiterleitungen, die der Angreifer angelegt haben könnte, und nach App-Berechtigungen für unbekannte Drittanbieter. Wir prüfen das auf Wunsch im Rahmen unseres Komplett-Audits für 1.490 Euro mit lesendem Tenant-Zugang.

Drei Bausteine, die zusammen verhindern, dass jemand Mails in Ihrem Namen verschickt. SPF (Sender Policy Framework) ist eine Liste im DNS, die festlegt, welche Server in Ihrem Namen Mails verschicken dürfen. DKIM (DomainKeys Identified Mail) signiert jede ausgehende Mail kryptographisch mit Ihrer Domain, damit Empfänger die Echtheit prüfen können. DMARC (Domain-based Message Authentication, Reporting and Conformance) bindet beides zusammen und sagt Empfängern, was passieren soll, wenn eine Mail mit Ihrer Absender-Domain weder SPF noch DKIM besteht – „none" (nur melden), „quarantine" (in den Spam-Ordner) oder „reject" (komplett abweisen). Im Befund prüfen wir, ob die geprüfte Mail SPF und DKIM passiert hat oder nicht, und schlagen für Ihre eigene Domain bei Bedarf eine schrittweise DMARC-Härtung vor.

Wir prüfen alles, was die Mail enthält: Office-Dateien (DOCX, DOCM, XLSX, XLSM, PPTX, PPTM), PDF-Dateien, Archive (ZIP, RAR, 7Z, ISO, IMG, VHD), ausführbare Dateien (EXE, COM, BAT, CMD, MSI, MSIX, LNK), Skripte (JS, VBS, WSF, HTA, PS1) und seit etwa 2022 zunehmend Container-Formate wie ISO, IMG und VHD, die als Umgehung des Microsoft-Mark-of-the-Web-Schutzes genutzt werden. Besonders gefährlich sind heute: HTML-Dateien als Anhang („Smuggling"), die direkt im Browser ausgeführt werden; OneNote-Dateien (ONE) mit eingebetteten Skripten; und PDF-Dateien mit interaktiven Formularen, die auf externe Server umleiten. Klassische DOCM mit Makros sind seit der Standard-Sperre durch Microsoft 2022 seltener, aber noch nicht verschwunden. Die Analyse läuft in einer abgeschotteten Prüf-Umgebung – Ihre Geräte sind dabei nicht betroffen.

Die Bereitschaft lohnt sich ab etwa drei Analysen pro Monat. Rechenbeispiel: drei Einzelfälle kosten 3 × 89 Euro = 267 Euro – die Bereitschaft deckt sie für 49 Euro pro Monat ab. Sinnvoll vor allem für Unternehmen mit 5 bis 30 Mitarbeitern und regelmäßigem Phishing-Aufkommen, etwa Steuerberater-Kanzleien, Arzt-Praxen, Online-Händler oder Vereins-Geschäftsstellen. Wer pro Quartal eine Mail prüfen lässt, fährt mit dem Fünfer-Pack für 380 Euro günstiger – die fünf Vorgänge laufen 12 Monate und sind innerhalb des Unternehmens auf andere Mitarbeiter übertragbar. Bei Unsicherheit empfehlen wir den Einstieg mit Einzelfällen und bei wachsendem Bedarf einen Wechsel auf Bereitschaft.

Vier Hebel mit nachweislicher Wirkung. Erstens: DMARC mit Reject-Policy für Ihre eigene Domain – verhindert, dass jemand Mails mit Ihrer Domain als Absender an Ihre Kunden verschickt. Zweitens: Multi-Faktor-Authentifizierung für alle Mitarbeiter-Konten, idealerweise mit Hardware-Schlüssel oder Authenticator-App statt SMS. Drittens: ein Mail-Filter mit URL-Rewriting, der Links zur Klick-Zeit erneut prüft. Viertens: regelmäßige Phishing-Simulationen mit anonymer Auswertung und kurzen Lern-Bausteinen für Mitarbeiter, die in die Falle getappt sind. Wir bieten dafür unsere Mitarbeiter-Schulung für 290 Euro einmalig (1 Stunde Webinar plus PDF-Unterlagen) oder die Phishing-Simulation aus unserem Sicherheits-Audit für 490 Euro einmalig.

Nicht jede Phishing-Mail ist meldepflichtig. Meldepflichtig nach Art. 33 DSGVO wird es, sobald ein Risiko für die personenbezogenen Daten von betroffenen Personen besteht – also etwa wenn ein Mitarbeiter Anmeldedaten eingegeben hat, ein Angreifer Zugriff auf das Postfach mit Kunden-Korrespondenz erlangt hat oder Daten exfiltriert wurden. Die Meldung erfolgt an die zuständige Landesdatenschutzbehörde binnen 72 Stunden nach Kenntnisnahme. Bei hohem Risiko für betroffene Personen (etwa wenn Bank- oder Gesundheits-Daten betroffen sind) kommt eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO hinzu. Unser Befund-PDF dokumentiert den Vorgang, die Indikatoren und die getroffenen Sofort-Maßnahmen – das ist ein wichtiger Baustein für Ihre Meldung an die Aufsichtsbehörde. Die Meldung selbst und die rechtliche Bewertung der Meldepflicht übernehmen wir nicht – das ist Aufgabe Ihres internen Datenschutzbeauftragten oder einer beauftragten Kanzlei.

Sieben Abschnitte. Erstens: Einstufung in rot (eindeutig Phishing oder Schadcode), gelb (verdächtige Indikatoren, aber Restzweifel) oder grün (mit hoher Wahrscheinlichkeit harmlos). Zweitens: Absender-Authentizität – Ergebnis von SPF, DKIM und DMARC mit Belegen aus dem Header. Drittens: Header-Analyse – Versand-Pfad, IP-Reputation, Anomalien wie inkonsistente Zeitstempel oder ungewöhnliche Hops. Viertens: Link-Analyse – Ziel-Domain, Weiterleitungen, Reputation, geprüfter Inhalt der Ziel-Seite, ob ein Login-Formular oder ein Download angeboten wird. Fünftens: Anhang-Analyse – Datei-Typ-Erkennung, Hash-Werte (SHA-256), Verhaltens-Analyse in abgeschotteter Prüf-Umgebung. Sechstens: Indikatoren-Liste für Ihre eigene Suche in Logs und Postfächern (Absender-Adressen, IPs, URLs, Datei-Hashes). Siebtens: Handlungs-Empfehlung – konkrete nächste Schritte, gestaffelt nach Schwere. Das PDF wird verschlüsselt per Mail ausgeliefert.