E-Mail-Sicherheit: Ein umfassender Leitfaden für IT-Teams und MSPs

E-Mails sind nach wie vor der am häufigsten ausgenutzte Angriffsvektor in der Cybersicherheit. Sie sind der Einstiegspunkt für Phishing, Business E-Mail Compromise, die Verbreitung von Malware und Ransomware. Trotz jahrzehntelanger Aufklärungsarbeit beginnen die meisten erfolgreichen Angriffe immer noch hier.

Laut dem „Kaseya State of the MSP Report 2026“ geben 44 % der MSPs an, dass mindestens 10 % ihrer Kunden im Jahr 2025 Opfer eines Cyberangriffs wurden, wobei Phishing per E-Mail nach wie vor der häufigste Erstzugangsweg für diese Vorfälle ist. Der „Kaseya E-Mail-Sicherheitsbericht 2026: INKY “ verdeutlicht das Ausmaß noch anschaulicher: 26 % aller beim FBI eingereichten Anzeigen wegen Cyberkriminalität stehen im Zusammenhang mit Phishing, wobei allein die gemeldeten Verluste durch „Business Email Compromise“ (BEC) 2,8 Milliarden US-Dollar betragen. Laden Sie den MSP-Bericht herunter.

Der Grund, warum E-Mails als Angriffsvektor so effektiv sind, liegt auf der Hand: Sie sind unverzichtbar, allgegenwärtig und genießen großes Vertrauen. Die Menschen öffnen E-Mails. Sie klicken auf Links. Sie reagieren auf Anfragen von vermeintlichen Autoritäten. Die Mechanismen, die E-Mails als Kommunikationsmittel funktionsfähig machen, sind genau dieselben, die Angreifer ausnutzen. Keine technische Kontrollmaßnahme kann das menschliche Urteilsvermögen vollständig ersetzen, doch die richtige E-Mail-Sicherheitslösung reduziert die Menge an schädlichen Inhalten, die die Nutzer erreicht, erheblich und begrenzt den Schaden, wenn doch einmal Angriffe durchkommen.

Dieser Leitfaden beschreibt, wie eine umfassende E-Mail-Sicherheitsstrategie aussieht – von grundlegenden Protokollen bis hin zur KI-gestützten Erkennung – und richtet sich an IT-Teams sowie MSPs, die E-Mail-Umgebungen im Auftrag ihrer Kunden verwalten.

Verhindern Sie ausgeklügeltes Phishing, bevor es in den Posteingang gelangt

INKY nutzt GenAI-gestützte Analysen, Computer Vision und Echtzeit-Coaching direkt im Posteingang, um Phishing-, BEC- und Kontoübernahme-Angriffe zu erkennen und zu blockieren, die von herkömmlichen Filtern übersehen werden.

Erfahren Sie, wie „ INKY “ funktioniert

Warum E-Mail-Sicherheit mehrere Schutzebenen erfordert

Keine einzelne Sicherheitsmaßnahme für E-Mails reicht aus, da verschiedene Angriffsarten unterschiedliche Schwachstellen ausnutzen.

Mass-Phishing nutzt das Volumen aus: Schon wenn nur ein kleiner Prozentsatz der Empfänger auf einen Link klickt, führt dies zu Tausenden von kompromittierten Konten. Spear-Phishing nutzt die Relevanz aus: Maßgeschneiderte Nachrichten wecken selbst bei gut geschulten Nutzern kein Misstrauen. BEC nutzt das Vertrauen aus: Nachrichten von kompromittierten oder nachahmten Konten umgehen inhaltsbasierte Filter vollständig. Die Verbreitung von Malware nutzt die Neugier aus: Schädliche Anhänge und Links setzen darauf, dass Nutzer den Inhalt öffnen. Die Kontoübernahme umgeht alle Sicherheitsmaßnahmen, sobald die Anmeldedaten erlangt wurden, da der Angreifer als legitimer Nutzer agiert.

Jede dieser Methoden erfordert unterschiedliche Kontrollmaßnahmen. Ein Gateway, das bekanntermaßen schädliche Inhalte filtert, hilft nicht gegen einen BEC-Angriff, der von einem legitimen Konto ausgeht. DMARC verhindert Domain-Spoofing, blockiert jedoch keine raffinierten Identitätsbetrugsversuche über „Lookalike“-Domains. Schulungen zur Sensibilisierung für Sicherheitsfragen senken die Klickraten, beseitigen sie jedoch nicht vollständig. Der „ INKY -E-Mail-Sicherheitsbericht 2026“ von Kaseya hat ergeben, dass KI-generiertes Phishing mittlerweile zur Norm geworden ist: Angreifer erstellen in großem Umfang äußerst überzeugende Nachrichten und erweitern ihre Angriffe auf neue Angriffsflächen wie Kalendereinladungen, geschützte Dokumente und Rückrufnummern. Laden Sie den E-Mail-Sicherheitsbericht 2026 herunter.

Die wirksame Lösung besteht in mehrschichtigen Kontrollmechanismen, die jeweils einen anderen Teil der Angriffsfläche abdecken.

Die Grundlagen: Protokolle zur E-Mail-Authentifizierung

Drei grundlegende Protokolle befassen sich mit der Domain-Identitätsfälschung, also der Technik, E-Mails zu versenden, die fälschlicherweise vorgeben, von einer legitimen Domain zu stammen.

SPF (Sender Policy Framework) legt fest, welche Mailserver berechtigt sind, E-Mails für eine Domain zu versenden. Wenn eine E-Mail eintrifft, die angeblich von Ihrer Domain stammt, überprüft der empfangende Server die SPF-Einträge, um sicherzustellen, dass der sendende Server autorisiert ist.

DKIM (DomainKeys Identified Mail) fügt ausgehenden E-Mails eine kryptografische Signatur hinzu, anhand derer empfangende Server überprüfen können, ob die Nachricht von einem autorisierten Absender gesendet und während der Übertragung nicht verändert wurde.

DMARC (Domain-based Message Authentication, Reporting and Conformance) baut auf SPF und DKIM auf und legt fest, wie empfangende Server bei fehlgeschlagener Authentifizierung vorgehen sollen – nicht authentifizierte E-Mails in Quarantäne zu stellen oder abzulehnen – und berichtet darüber, welche E-Mails versendet werden, die vorgeben, von Ihrer Domain zu stammen.

DMARC mit einem p = ablehnen Diese Richtlinie stellt die strengste Konfiguration dar: Sie verhindert, dass E-Mails, deren Authentifizierung fehlschlägt, zugestellt werden. Um sie vollständig umzusetzen, muss zunächst sichergestellt werden, dass alle legitimen E-Mail-Ströme ordnungsgemäß authentifiziert sind – einschließlich Versanddiensten von Drittanbietern, Marketingplattformen und Anbietern von Transaktions-E-Mails –, damit legitime E-Mails nicht von der Ablehnungsrichtlinie erfasst werden.

Viele Organisationen haben zwar SPF und DKIM konfiguriert, versäumen es jedoch, DMARC durchzusetzen, wodurch die wichtigste Schutzebene fehlt.

Anti-Phishing und Eingangsfilterung

Moderne E-Mail-Sicherheitsplattformen nutzen KI und maschinelles Lernen, um weit über die auf Blacklists basierende Filterung hinauszugehen.

Bei der Inhaltsanalyse werden der Inhalt der Nachrichten, die Reputation des Absenders, die Versandinfrastruktur und die Metadaten untersucht, um Phishing-Muster zu identifizieren, darunter auch solche, die keiner bekannten Kampagne zugeordnet werden können.

Bei der Link-Analyse werden eingebettete URLs anhand von Bedrohungsdaten, Reputationsdatenbanken und einer Echtzeit-Prüfung der Zielinhalte bewertet. Die „Time-of-Click“-Analyse schreibt Links so um, dass sie in dem Moment bewertet werden, in dem der Nutzer darauf klickt. Dies schützt vor verzögertem Phishing, bei dem ein Link zum Zeitpunkt der Übermittlung noch sicher ist, aber bereits auf schädliche Inhalte verweist, wenn der Nutzer darauf reagiert.

Die KI-gestützte Anomalieerkennung identifiziert Nachrichten, die von den etablierten Kommunikationsmustern des scheinbaren Absenders abweichen, und kennzeichnet Nachrichten, die aufgrund der Verhaltensanalyse als verdächtig eingestuft werden – selbst wenn die inhaltlichen Anzeichen unauffällig erscheinen.

INKY, das E-Mail-Sicherheitsprodukt von Kaseya, das als eigenständige Lösung oder als Teil von „ Kaseya 365 User“ erhältlich ist, verfolgt bei diesem Problem einen ganz eigenen Ansatz. Anstatt sich ausschließlich auf Mustererkennung zu verlassen, nutzt „ INKY “ GenAI, um E-Mail-Texte mit echtem Verständnis zu lesen und dabei Bedeutung, Absicht sowie subtile Manipulationssignale zu erkennen. Seine Computer-Vision-Technologie analysiert E-Mails so, wie es ein Mensch tun würde, und erkennt dabei Markenimitationen, Logo-Manipulationen, QR-Code-Bedrohungen sowie kombinierte Text- und Bildangriffe, die bei der Mustererkennung völlig übersehen werden. Zudem analysiert das System Absenderbeziehungen und Schreibmuster, um Anomalien, kompromittierte Konten und subtile Veränderungen in der Kommunikation aufzudecken, die auf Phishing- oder Kontoübernahmeversuche hindeuten.

Wenn „ INKY “ eine Bedrohung erkennt, wird diese nicht einfach stillschweigend unter Quarantäne gestellt. Stattdessen wird direkt im Posteingang ein deutliches, farbcodiertes Hinweisbanner angezeigt, in dem erklärt wird, was erkannt wurde und warum – so lernen die Nutzer in Echtzeit dazu, anstatt nur abgeschirmt zu werden. Eine unabhängige Studie von Secure Mentem ergab, dass Nutzer, denen die Banner von „ INKY “ angezeigt wurden, Phishing-Nachrichten deutlich genauer erkennen konnten und weitaus seltener auf bösartige E-Mails reagierten.

Anhang- und Link-Schutz

Anhänge und Links sind die beiden wichtigsten Mechanismen zur Verbreitung von Malware per E-Mail.

Beim Sandboxing werden Anhänge in einer isolierten Umgebung geöffnet, bevor sie an die Benutzer weitergeleitet werden. Dabei wird der darin enthaltene Code ausgeführt und dessen Verhalten beobachtet. Schädliche Anhänge, die in der Sandbox die Ausführung von Malware auslösen, werden blockiert, bevor sie den Posteingang erreichen.

Durch URL-Umschreibung und „Time-of-Click“-Schutz werden Links in zugestellten E-Mails so angepasst, dass sie beim Anklicken über einen Schutzdienst geleitet werden. Wenn ein Link zum Zeitpunkt der Zustellung sicher war, später jedoch schädlich wird, wird dies durch den „Time-of-Click“-Schutz erkannt.

Durch die Blockierung bestimmter Dateitypen wird die Übertragung von Dateitypen verhindert, die häufig zur Verbreitung von Malware genutzt werden, darunter ausführbare Dateien, Office-Dokumente mit Makros und JavaScript-Dateien, sofern diese Dateitypen in der Umgebung keinen legitimen geschäftlichen Zweck erfüllen.

Schutz vor Kontoübernahme

Sobald ein Angreifer über E-Mail-Zugangsdaten verfügt – sei es durch Phishing, Credential Stuffing oder eine Datenpanne –, agiert er wie ein legitimer Nutzer. Technische E-Mail-Filter halten E-Mails, die von einem legitimen, authentifizierten Konto gesendet werden, nicht auf.

Der Schutz vor Kontoübernahmen erfordert das Zusammenspiel mehrerer Kontrollmaßnahmen.

Durch die Einführung der Multi-Faktor-Authentifizierung (MFA) für alle E-Mail-Konten wird sichergestellt, dass der Diebstahl von Zugangsdaten allein nicht ausreicht, um Zugriff zu erlangen. Die MFA ist die wichtigste Sicherheitsmaßnahme und der einzelne Schritt mit der größten Wirkung, den die meisten Unternehmen ergreifen können.

Die Erkennung ungewöhnlicher Anmeldungen weist auf Zugriffe von ungewöhnlichen Standorten, mit ungewöhnlichen Geräten oder zu ungewöhnlichen Zeiten hin, woraufhin Warnmeldungen ausgegeben oder eine verstärkte Authentifizierung ausgelöst wird.

Die Überwachung von Posteingangsregeln deckt eines der häufigsten Verhaltensmuster nach einem Sicherheitsverstoß auf: Angreifer, die Zugriff auf E-Mail-Konten erlangen, richten häufig Posteingangsregeln ein, um Kopien an eine externe Adresse weiterzuleiten oder eingehende Sicherheitsbenachrichtigungen zu löschen. Die Überwachung auf unerwartet eingerichtete Posteingangsregeln ist ein Frühindikator für einen Sicherheitsverstoß.

Die Dark-Web-Überwachung identifiziert Anmeldedaten, die in Datenlecks von Drittanbietern aufgetaucht sind, und löst sofortige Passwortzurücksetzungen aus, bevor „Credential-Stuffing“-Angriffe erfolgreich sein können. „ INKY “ analysiert Absenderbeziehungen und Kommunikationsmuster, um Versuche der Kontoübernahme aufzudecken; die Dark-Web-Überwachung auf kompromittierte Anmeldedaten ist über „ Kaseya 365 “ als Teil des umfassenden Sicherheits-Stacks des Benutzers verfügbar.

Sicherheit ausgehender E-Mails

Die Sicherheit ausgehender E-Mails schützt sowohl die Daten des Unternehmens als auch dessen Ruf als Absender.

DLP (Data Loss Prevention) überprüft ausgehende E-Mails auf Inhalte, die das Unternehmen nicht verlassen dürfen: sensible Datenmuster wie Zahlungskartennummern, Patienteninformationen oder vertrauliche Dokumente.

Die Verschlüsselung ausgehender vertraulicher E-Mails stellt sicher, dass Inhalte, die während der Übertragung geschützt werden müssen, auch tatsächlich geschützt sind.

Im Rahmen des Reputationsmanagements für den E-Mail-Versand werden die Bounce-Raten, Spam-Beschwerden und der Status auf Blacklists für versendende Domains überwacht. Ein gehacktes Konto, das Ihre Domain zum Versenden von Spam nutzt, kann die Zustellbarkeit Ihrer E-Mail-Infrastruktur beeinträchtigen und damit die legitime Geschäftskommunikation beeinträchtigen.

E-Mail-Sicherheit für MSPs

Für MSPs, die E-Mail-Umgebungen für Kunden verwalten, gelten einige zusätzliche Überlegungen.

Die DMARC-Implementierung im gesamten Kundenportfolio ist eine hochwertige, skalierbare Dienstleistung. Viele Kunden haben zwar SPF und DKIM eingerichtet, aber DMARC fehlt noch, oder DMARC ist im Überwachungsmodus ohne Durchsetzung konfiguriert. Die Umstellung der Kunden auf eine vollständige DMARC-Durchsetzung verringert ihr Risiko durch Domain-Identitätsbetrug erheblich und führt zu einer messbaren, dokumentierbaren Verbesserung der Sicherheit.

Eine zentralisierte Multi-Tenant-Verwaltung über alle Kunden hinweg sorgt sowohl für betriebliche Effizienz als auch für die Daten, die für die Kundenberichterstattung benötigt werden. Über das Multi-Tenant-Dashboard von „ INKY“ können Administratoren das Verhalten von Banner-Meldungen anpassen, Erkennungsrichtlinien verfeinern und die Sicherheit für alle Kundenpostfächer über eine einzige Oberfläche verwalten. Die Fallstudien des Unternehmens zeigen, dass die Verwaltung von 1.000 Postfächern mit einem monatlichen Zeitaufwand von weniger als einer Stunde möglich ist.

Von Benutzern gemeldete Phishing-Workflows, die verdächtige E-Mails zur Überprüfung weiterleiten, den Kontakt zum Meldenden abschließen und die gewonnenen Erkenntnisse in die Erkennungsregeln einfließen lassen. Die in „ INKY“ integrierten Untersuchungstools und Automatisierungsfunktionen unterstützen diesen Workflow und reduzieren den manuellen Aufwand für die Triage, der normalerweise bei von Benutzern gemeldeten Phishing-Fällen entsteht.

Entdecken Sie „ INKY “ und „ Kaseya 365 User“ für die E-Mail-Sicherheit von MSPs.

Mehr als nur E-Mail: Wenn der Posteingang nur der Einstiegspunkt ist

E-Mail-Sicherheitstools sollen Bedrohungen bereits im Posteingang abwehren. Die gefährlichsten Angriffe nutzen E-Mails jedoch als Einstiegspunkt, um sich anschließend lateral durch die Systeme zu bewegen, Berechtigungen zu erweitern und Daten auf eine Weise zu entwenden, die sich mit Kontrollmechanismen auf Posteingangs-Ebene weder erkennen noch eindämmen lässt.

Kaseya SIEM erweitert die Transparenz über den Posteingang hinaus, indem es E-Mail-Telemetriedaten mit Signalen von Endgeräten, Netzwerken, der Cloud und Identitäten zusammenführt und mehr als 60 Datenquellen miteinander korreliert, um die gesamte Angriffskette aufzudecken: von der ersten Phishing-E-Mail über den Diebstahl von Anmeldedaten bis hin zu lateraler Bewegung und Datenexfiltration. Die automatisierte Reaktion eindämmt Bedrohungen innerhalb von Minuten und wirkt systemübergreifend, anstatt lediglich eine einzelne Nachricht unter Quarantäne zu stellen.

Für Unternehmen, bei denen E-Mails die primäre Angriffsfläche darstellen, bietet die Kombination aus „ INKY “ im Posteingang und „Kaseya SIEM“ in der gesamten Umgebung einen mehrschichtigen Schutz, den keine der beiden Lösungen für sich allein gewährleisten kann.

Die wichtigsten Erkenntnisse

• E-Mail-Sicherheit erfordert mehrere Schutzebenen, da verschiedene Angriffsarten unterschiedliche Schwachstellen ausnutzen. Keine einzelne Sicherheitsmaßnahme kann Phishing, BEC, die Verbreitung von Malware und die Übernahme von Konten gleichzeitig abwehren.
• SPF, DKIM und DMARC mit einer Ablehnungsrichtlinie bilden die Grundlage. Viele Unternehmen nutzen zwar SPF und DKIM, setzen DMARC jedoch nicht durch, wodurch der wichtigste Teil des Schutzes fehlt.
• INKY nutzt GenAI und Computer Vision, um Absichten, visuelle Manipulationen und Verhaltensauffälligkeiten zu erkennen, die bei Ansätzen auf Basis von Mustererkennung übersehen werden. Durch Echtzeit-Coaching direkt im Posteingang werden riskante Klicks reduziert und das Urteilsvermögen der Nutzer gestärkt, anstatt Inhalte lediglich stillschweigend zu filtern.
• Für MSPs ist die DMARC-Implementierung im gesamten Kundenportfolio eine skalierbare, wertschöpfende Dienstleistung. Das mandantenfähige Dashboard von „ INKY“ ermöglicht eine zentralisierte Verwaltung aller Kunden und sorgt so für operative Effizienz.
• E-Mails sind oft der Einstiegspunkt für umfassendere Angriffe. „ INKY “ im Posteingang in Kombination mit „Kaseya SIEM“ in der gesamten Umgebung bietet einen mehrschichtigen Schutz für die gesamte Angriffskette.