E-Mail-Penetrationstests: Wie steht es um Ihre Mail Security?

Bei einem Black-Box-Penetrationstest wird die Sichtweise eines externen Angreifers simuliert, der nicht über internes Wissen über die Organisation verfügt. Den Testern stehen nur öffentlich zugängliche Informationen – etwa die Domäne oder die von außen erreichbaren Mailserver – zur Verfügung.

Das Ziel besteht darin, herauszufinden, welche Schwachstellen ein Angreifer ohne besondere Vorkenntnisse ausnutzen könnte. Dazu werden unter anderem die Ports der Mailserver gescannt, die MX Records und DNS-Einträge analysiert sowie die Authentifizierungs- und Verschlüsselungsmechanismen überprüft.

Typische Prüfungen sind beispielsweise, ob sich E-Mails im Namen der Domäne fälschen lassen, ob der Server als offenes Relay missbraucht werden kann oder ob es fehlerhafte Konfigurationen bei SPF, DKIM oder DMARC gibt. Die Tiefe dieser Tests ist begrenzt, allerdings ist das Ergebnis genau deshalb sehr realistisch.

Bei einem Grey-Box-Penetrationstest wird die externe Sichtweise eines Angreifers mit einem begrenzten Maß an internem Wissen oder Zugangsdaten kombiniert. Die Tester verfügen beispielsweise über ein Standardnutzerkonto, interne E-Mail-Adressen oder grundlegende Informationen zur verwendeten Infrastruktur. Dadurch können sie gezielter prüfen, wie ein halb informierter Angreifer – etwa ein Mitarbeiter mit bösen Absichten – vorgehen könnte.

In der Praxis werden nicht nur die äußeren Schutzmechanismen wie SPF, DKIM und DMARC, sondern auch interne Sicherheitsvorkehrungen getestet: Beispielsweise wird geprüft, ob sich E-Mails innerhalb des Unternehmens manipulieren lassen, ob schädliche Anhänge durch interne Filter erkannt werden und wie gut Mitarbeitende auf Phishing-Kampagnen reagieren. Der Grey-Box-Ansatz ermöglicht eine realistischere Einschätzung der Gesamtsicherheit, da er sowohl die Technik als auch das Verhalten der Belegschaft berücksichtigt.

Ein White-Box-Penetrationstest bietet die detaillierteste Analyse, da die Tester vollständigen Einblick in die E-Mail-Infrastruktur, Konfigurationen und Sicherheitsrichtlinien des Unternehmens erhalten. Dabei werden sämtliche technischen und organisatorischen Aspekte überprüft: Darunter fallen die Server- und Gateway-Konfiguration, Verschlüsselungs- und Authentifizierungsverfahren sowie Incident-Response-Prozesse.

Typisch sind dabei detaillierte Prüfungen, wie sich Sicherheitsmechanismen umgehen lassen, ob Logging und Monitoring ausreichend sind und ob sich Schwachstellen praktisch ausnutzen lassen. Oft werden in White-Box-Tests auch Phishing-Kampagnen mit individuellen Szenarien durchgeführt, um die Reaktionsfähigkeit der Organisation zu bewerten.