Sichere E-Mail-Gateways und Anti-Spam-Kontrollen

Ein Secure Email Gateway (SEG) ist eine Sicherheitsappliance oder ein Cloud-Dienst, der sich im Pfad des Mailverkehrs befindet – entweder als Ziel eines MX-Eintrags oder als Relay – und alle eingehenden und ausgehenden E-Mails vor der Zustellung überprüft. Anders als SPF, DKIM und DMARC, die die Identität des Absenders verifizieren, führt ein SEG eine Inhaltsprüfung durch: Es scannt Anhänge auf Malware, erkennt Phishing-URLs, identifiziert Spam-Muster und verhindert über E-Mail, dass vertrauliche Daten die Organisation verlassen (DLP). Zu den großen SEG-Anbietern gehören Proofpoint, Mimecast und Microsoft Defender for Office 365.

SEGs können in zwei Hauptmodellen bereitgestellt werden. Beim Inline-MX-Modell verweisen die MX-Einträge der Organisation auf das SEG. Dieses empfängt alle eingehenden E-Mails, überprüft sie und leitet saubere E-Mails anschließend an den Mailserver der Organisation weiter. Ausgehende E-Mails werden über eine Smart-Host-Konfiguration durch das SEG geleitet. Beim API-Integrationsmodell, das bei Cloud-E-Mail zunehmend üblich ist, verbindet sich das SEG über eine API (Microsoft 365 Graph API, Google Workspace API) mit der Mailplattform und überprüft bereits zugestellte E-Mails. Anschließend zieht es schädliche Nachrichten zurück – ein nachträglicher Bereinigungsansatz statt einer Filterung vor der Zustellung.

SEGs verwenden mehrere Verfahren, um Spam zu erkennen. IP-Reputation: Die sendende IP wird mit Blacklists (Spamhaus, SURBL) abgeglichen. Inhaltsbasierte Filterung: Mithilfe der Bayes-Analyse werden Wortmuster untersucht, die bekanntermaßen in Spam vorkommen. Header-Analyse: Gefälschte oder fehlerhaft formatierte Header, ungewöhnliche Routing-Informationen oder fehlende Authentifizierungs-Header werden erkannt. Rate Limiting: Absender, die in kurzen Zeiträumen ungewöhnlich große Mengen versenden, werden markiert. Greylisting: Nachrichten unbekannter Absender werden vorübergehend abgewiesen – legitime Server versuchen die Zustellung erneut, Spam-Bots häufig nicht. Die Kombination mehrerer Verfahren liefert bessere Ergebnisse als jede einzelne Methode.

SEGs scannen E-Mail-Anhänge mit mehreren Engines auf Malware. Beim signaturbasierten Scanning werden Dateien mit bekannten Malware-Hashes abgeglichen. Die statische Analyse untersucht Dokumentmakros, eingebettete Skripte und die Dateistruktur, ohne den Inhalt auszuführen. Bei der dynamischen Analyse (Sandboxing) werden verdächtige Anhänge in einer isolierten Umgebung ausgeführt und ihr Verhalten beobachtet – Änderungen am Dateisystem, Netzwerkverbindungen und das Starten von Prozessen. Sandboxing erkennt auch ausweichende Malware, die von Signatur- und statischer Analyse nicht erkannt wird, verursacht jedoch eine Zustellungsverzögerung von 1–5 Minuten. Beim Umschreiben von URLs zum Zeitpunkt des Klicks werden URLs erst beim Anklicken ausgeführt, nicht bei der Zustellung. Dadurch lassen sich URLs erkennen, die bei der Zustellung sauber waren, später aber manipuliert wurden.

SEGs überprüfen auch ausgehende E-Mails, um Datenverluste zu verhindern. DLP-Regeln durchsuchen ausgehende Nachrichten nach Mustern, die auf vertrauliche Daten hindeuten: Kreditkartennummern (Abgleich mit regulären Ausdrücken), Sozialversicherungsnummern, Schlüsselwörter wie „vertraulich“ oder Dateiklassifizierungskennzeichnungen. Bei einer Übereinstimmung kann das SEG die Nachricht blockieren, sie vor der Zustellung automatisch verschlüsseln, zur Überprüfung durch eine Führungskraft unter Quarantäne stellen oder das Sicherheitsteam alarmieren. DLP für ausgehende E-Mails ist für die HIPAA- und PCI-DSS-Konformität entscheidend: Eine einzige versehentlich versendete E-Mail mit PHI oder Karteninhaberdaten kann eine Pflicht zur Meldung eines Datenschutzvorfalls auslösen.

E-Mail-Verschlüsselung schützt Nachrichten bei der Übertragung und im Ruhezustand. Opportunistisches TLS verschlüsselt die SMTP-Verbindung zwischen Mailservern, wenn beide TLS unterstützen, und schützt so vor dem Abhören des Netzwerks. Es verifiziert jedoch nicht die Identität des empfangenden Servers (STARTTLS kann von einem MitM-Angreifer entfernt werden). MTA-STS (Mail Transfer Agent Strict Transport Security) und DANE (DNS-Based Authentication of Named Entities) erzwingen TLS und die Validierung von Serverzertifikaten und verhindern so TLS-Stripping-Angriffe. S/MIME und PGP verschlüsseln den Nachrichteninhalt Ende-zu-Ende, unabhängig von der Sicherheit der Übertragung.

Business Email Compromise (BEC) gehört zu den kostspieligsten Angriffstypen: Angreifer geben sich als Führungskräfte oder Anbieter aus, um betrügerische Überweisungen oder den Diebstahl von Zugangsdaten zu veranlassen. BEC umgeht Spamfilter häufig, da die E-Mails weder Malware noch Phishing-URLs enthalten. Zu den SEG-basierten Schutzmaßnahmen gegen BEC gehören: Erkennung der Imitation von Anzeigenamen (der Anzeigename des CEOs bei einer anderen E-Mail-Adresse), Erkennung ähnlich aussehender Domains (company1.com gegenüber companyI.com), Kennzeichnung von E-Mails an Führungskräfte (externe Nachrichten, die Namen von Führungskräften imitieren, erhalten ein Banner) und Kontrollen im Zahlungsprozess (für Überweisungen ist eine Genehmigung durch zwei Personen erforderlich).

Sicherheitsanalysten untersuchen E-Mail-Header, um den Ursprung einer Nachricht zurückzuverfolgen und Spoofing zu erkennen. Wichtige Header: Received:-Header zeigen den Weg der Nachricht durch die Mailserver (von unten nach oben lesen). Return-Path: ist die Envelope-From-Adresse, die für SPF verwendet wird. Authentication-Results: zeigt die SPF-, DKIM- und DMARC-Bewertungen des empfangenden Servers. X-Originating-IP: kann die ursprüngliche IP-Adresse des Angreifers offenlegen. Message-ID: sollte mit der sendenden Domain übereinstimmen. Unstimmigkeiten zwischen diesen Headern – etwa eine behauptete Unternehmensdomain bei einer nicht zum Unternehmen gehörenden IP-Adresse in den Received-Headern – weisen auf Spoofing hin.

SEGs, die potenziell verdächtige, aber nicht eindeutig schädliche E-Mails erkennen, leiten diese in eine Quarantäne weiter, in der Benutzer sie überprüfen und freigeben können. Über Benutzer zugängliche Quarantäneportale zeigen den Betreff, den Absender, den Erkennungsgrund sowie Optionen zum Freigeben oder Löschen der Nachricht an. Das Management von Fehlalarmen – wenn legitime E-Mails fälschlicherweise unter Quarantäne gestellt werden – erfordert eine Positivliste für Absender oder eine Anpassung der Regeln. SEGs erstellen detaillierte Reports: Volumentrends, die am häufigsten blockierten Absender, eine Aufschlüsselung der Erkennungskategorien und die Anzahl der Treffer von DLP-Richtlinien. Diese Reports fließen in Sicherheitskennzahlen und Compliance-Nachweise ein.

SEGs erzeugen hochwertige Sicherheitstelemetrie, die an das SIEM weitergeleitet werden sollte. Wenn das SEG eine Phishing-Kampagne blockiert, die sich gegen 500 Mitarbeitende richtet, können diese Daten mit der Telemetrie der Endgeräte korreliert werden, um die drei Benutzer zu identifizieren, die vor der Aktivierung der Blockierung geklickt haben. SEGs unterstützen außerdem die Incident Response per E-Mail: Mit Threat-Hunting-Funktionen können Analysten nach allen Nachrichten suchen, die eine bestimmte URL oder einen bestimmten Anhangs-Hash enthalten, und diese nachträglich in allen Postfächern unter Quarantäne stellen – auch Nachrichten, die bereits zugestellt wurden, bevor die Bedrohung erkannt wurde. Diese Möglichkeit zur nachträglichen Bereinigung verkürzt die Verweildauer von Angreifern erheblich.

Eine wirksame Anti-Spam-Richtlinie muss Sicherheit und Benutzerfreundlichkeit in Einklang bringen. Eine zu aggressive Richtlinie, die zu viele legitime Nachrichten unter Quarantäne stellt, zerstört das Vertrauen der Benutzer, führt zu Umgehungsversuchen und überlastet den Helpdesk. Empfohlen wird, Schwellenwerte für Massen-E-Mails festzulegen (legitimes Marketing gegenüber Spam), Graymail-Richtlinien zu definieren (Newsletter, für die sich Benutzer angemeldet haben), Positivlisten für sichere Absender bekannter Partner einzurichten, Domain-Positivlisten für wichtige Anbieter zu erstellen und die Schwellenwerte für Spam-Bewertungen anhand einer wöchentlichen Überprüfung von Fehlalarmen anzupassen. Ein „Tuning-Sprint“ in den ersten 30 Tagen nach der Einführung ist unerlässlich, bevor die Richtlinie als stabil gilt.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Secure Email Gateways überprüfen eingehende und ausgehende E-Mails mithilfe von IP-Reputation, Inhaltsanalyse, Malware-Scanning und Sandboxing; DLP für ausgehende E-Mails verhindert durch den Abgleich von Mustern regulärer Ausdrücke und Schlüsselwörtern, dass vertrauliche Daten per E-Mail nach außen gelangen; und die BEC-Prävention erfordert zusätzlich zur standardmäßigen Spamfilterung die Erkennung gefälschter Anzeigenamen und ähnlich aussehender Domains. Als Nächstes behandeln wir Webinhaltsfilterung und DNS-Sinkholes.