E-Mail-Regeln dienen eigentlich dazu, den Posteingang zu organisieren: Nachrichten automatisch verschieben, weiterleiten oder als gelesen markieren. Genau diese Funktionen machen sie für Angreifer attraktiv, sobald ein Konto kompromittiert ist. In vielen Fällen wird kurz nach dem ersten Zugriff mindestens eine schädliche E-Mail-Regel angelegt – manchmal innerhalb weniger Sekunden nach dem unautorisierten Login. Wir zeigen Ihnen, wie solche Angriffe funktionieren und wie Sie sich schützen können.
Welche schädlichen Regeln werden angelegt?
E-Mail-Regeln lassen sich über mehrere Wege anlegen oder ändern: über die Microsoft-Graph-API, per PowerShell, über den Web-Zugang zu Outlook oder über den Desktop-Client.
Am häufigsten treten Weiterleitungsregeln an externe Adressen sowie Regeln auf, die Nachrichten manipulieren, um sie dem Blick des Nutzers zu entziehen. Welche Zwecke Angreifer damit konkret verfolgen, zeigt der nächste Abschnitt. Eine dritte, deutlich seltenere Variante ist das massenhafte Anlegen von Regeln über kompromittierte Administratorkonten.
Für IT-Sicherheitsverantwortliche ist das in der Praxis eine Herausforderung: Da Nutzer auch aus völlig legitimen Gründen ständig E-Mails weiterleiten oder Ordner organisieren, lässt sich aus der Menge an Alarmen nur schwer herausfiltern, welche Regeln tatsächlich bösartig sind.
Es lohnt sich daher, den Inhalt von Abwesenheitsnotizen auf das Nötigste zu beschränken und interne Details wie Vertretungsnamen oder Kontaktwege nach Möglichkeit nicht standardmäßig nach außen zu kommunizieren.
Welche Ziele hat der Regel-Missbrauch?
Aus dokumentierten Angriffsfällen lassen sich vier wiederkehrende Ziele ableiten:
Wie ein realer Angriff ablaufen kann
Ein dokumentierter Fall zeigt, wie sich Regelmissbrauch und internes Phishing zu einem gezielten Gehaltsbetrug verbinden lassen:
Nach der Übernahme des Kontos einer Buchhaltungsmitarbeiterin legten die Angreifer eine Regel an, die E-Mails mit einem bestimmten Betreff automatisch ins Archiv verschob. Denselben Betreff verwendeten sie anschließend in einer internen Phishing-Kampagne an 45 weitere Beschäftigte – darunter den Assistenten der Geschäftsführung, dessen Konto ebenfalls kompromittiert wurde. Dort wiederholte sich das Muster mit einer zweiten, thematisch passenden Regel, bevor eine betrügerische Zahlungsanweisung an die Gehaltsabrechnung ging. Weil Rückfragen und Warnhinweise durch die Regeln unterdrückt wurden, blieb der gesamte Vorgang für die Betroffenen zunächst unsichtbar.
Worauf Sie achten sollten
Es gibt eine Reihe typischer Warnsignale, die auf einen Angriff mittels E-Mail-Regeln hinweisen:
Für die konkrete Bewertung eines Alarms zu einer Weiterleitungsregel empfiehlt Microsoft unter anderem folgende Prüfschritte:
Größere Organisationen können solche Kriterien zusätzlich über gezielte Protokollabfragen automatisieren, etwa um festzustellen, ob mehrere Nutzer Regeln mit demselben verdächtigen Ziel angelegt haben – ein möglicher Hinweis auf eine breit angelegte Kampagne.
Die wichtigsten Sofortmaßnahmen
Ist ein Konto vermutlich kompromittiert, empfiehlt Microsoft ein mehrstufiges Vorgehen:
Ein einfacher Passwortwechsel allein reicht dabei nicht aus, da eine bestehende Weiterleitungsregel unabhängig vom Passwort aktiv bleibt und Sitzungs-Tokens gesondert widerrufen werden müssen.
Das Risiko sinkt vor allem durch drei Maßnahmen: die automatische Weiterleitung an externe Adressen standardmäßig zu unterbinden, Multi-Faktor-Authentifizierung und bedingten Zugriff konsequent durchzusetzen sowie neue OAuth-Zustimmungen und Anwendungsberechtigungen aktiv zu überwachen.
Wie NoSpamProxy Sie schützt
Die wirksamste Verteidigung gegen die beschriebenen Angriffe setzt bereits an, bevor eine schädliche Regel überhaupt angelegt werden kann: bei der Kontoübernahme selbst, also an den Stellen der Angriffskette, die über den E-Mail-Verkehr laufen.
Verhindern des initialen Zugriffs
Da die beschriebenen Angriffe überwiegend mit Methoden wie Credential Phishing beginnen, ist die zuverlässige Abwehr solcher E-Mails der wirksamste Hebel gegen die gesamte Angriffskette. Der URL Safeguard von NoSpamProxy prüft Links nicht nur bei Zustellung, sondern auch beim tatsächlichen Klick und erkennt so auch Phishing-Seiten, die erst nachträglich aktiviert werden. Dieses nachträgliche Aktivieren ist ein Vorgehen, das viele klassische Filter umgeht, die nur einmalig zum Zustellzeitpunkt prüfen. Mit NoSpamProxy sind Sie geschützt.
Eine mehrstufige Prüfung der Absenderreputation über SPF, DKIM und DMARC erschwert den Einsatz gefälschter Absenderadressen und macht es Angreifern deutlich schwerer, sich als vertrauenswürdiger Kontakt auszugeben.
Heuristische und KI-gestützte Analyseverfahren in 32Guards identifizieren verdächtige Muster auch bei neuartigen, bislang unbekannten Kampagnen. Content Disarm and Reconstruction (CDR) entschärft Office- und PDF-Anhänge automatisiert, unabhängig davon, ob eine passende Signatur bereits bekannt ist, und eine Sandbox-Analyse prüft potenziell schädliche Dateien, bevor sie überhaupt im Postfach landen.
Eindämmen der internen Weiterverbreitung
In den dokumentierten Fällen nutzen Angreifer ein bereits kompromittiertes Konto, um eine interne Phishing-E-Mail an zahlreiche Kollegen zu verschicken – oft der Schritt, der den eigentlichen Schaden verursacht. Ob NoSpamProxy auch diese Nachrichten erfasst, hängt von der Integration ab: Läuft nur der Verkehr von und nach außen über das Gateway, bleibt rein interne E-Mail außen vor.
Wird der interne E-Mail-Fluss ebenfalls durch NoSpamProxy geführt, greifen dieselben Prüfmechanismen – Link-Analyse, Anhangsprüfung, Verhaltensmuster – auch bei Nachrichten, die innerhalb der eigenen Organisation verschickt werden. Für Unternehmen, die dieses Risiko ernst nehmen, lohnt sich daher ein Blick auf die eigene Mailflow-Architektur.
Schutz der Domainreputation nach außen
Eine konsequente Durchsetzung von SPF, DKIM und DMARC erleichtert es auch Kunden und Lieferanten, gefälschte Nachrichten im Namen der eigenen Domäne zu erkennen oder gar nicht erst zugestellt zu bekommen. Das schützt nicht nur die eigene Organisation, sondern auch die Geschäftspartner, die sonst zum Ziel von Betrugsversuchen mit gefälschter Absenderdomäne würden, zum Beispiel bei nachgelagerten Angriffen wie dem oben beschriebenen Gehaltsbetrug.
Ein Baustein im mehrschichtigen Schutzkonzept
NoSpamProxy deckt zuverlässig den Teil der Angriffskette ab, der in der Praxis am häufigsten den Ausgangspunkt bildet: den initialen Zugriff über eine Phishing-E-Mail. Wird dieser Zugriff verhindert, entsteht die schädliche Postfachregel gar nicht erst, und das ist die wirksamste und günstigste Form der Absicherung. Ergänzend dazu bleiben konsequente Identitätssicherung durch MFA und Conditional Access sowie die laufende Überwachung von Regeländerungen und Anmeldeverhalten wichtig, damit im Ernstfall schnell reagiert werden kann.
Sie haben NoSpamProxy noch nicht im Einsatz?
Mit NoSpamProxy schützen Sie Ihr Unternehmen zuverlässig vor gefährlichen E-Mails. Fordern Sie jetzt Ihre kostenlose Testversion an!
