Spam: die Menge
Spam ist unerwünschte E-Mail, die massenhaft versendet wird. Er ist lästig und kostet Zeit, sucht aber selten ein bestimmtes Opfer.
Was ihn verrät: die Reputation des Servers oder der Domain, von der er stammt, eine erst vor wenigen Tagen registrierte Domain, ein Werbeinhalt, der bei Tausenden von Empfängern identisch wiederholt wird. Ein Reputations- und Inhaltsfilter stoppt ihn zuverlässig, und eine gezielte Zurückstellung unbekannter Absender hält einen Teil der automatisierten Sendungen fern.
Davon zu unterscheiden ist die sogenannte Graumail. Ein Newsletter, den jemand abonniert hat, oder eine Werbeaktion eines bekannten Lieferanten sind kein Spam. Wenn man sie separat einsortiert, wird das Postfach nicht überflutet, ohne dass eine erwartete Nachricht blockiert wird.
Phishing: die Glaubwürdigkeit
Die französische nationale Anlaufstelle für Opfer von Cyberkriminalität, cybermalveillance.gouv.fr, beschreibt Phishing als gefälschte Nachricht, die sich als vertrauenswürdige Stelle ausgibt (Bank, Behörde, Lieferant, soziales Netzwerk), um Zugangsdaten, Passwörter oder Bankdaten zu stehlen. Gängige Formen im Unternehmen:
- eine gefälschte Anmeldeseite für das E-Mail-System oder die Dateifreigabe;
- eine nachgeahmte bekannte Marke: Paketdienst, Bank, Softwarehersteller;
- ein QR-Code in einem Bild, der den Link vom Computer auf das Smartphone verlagert;
- eine Nachricht, die dazu auffordert, eine falsche Support-Nummer zurückzurufen.
Die Domain-Authentifizierung reicht hier nicht aus. Ein Betrüger, der eine Ihrer Domain ähnliche Domain kauft, kann SPF, DKIM und DMARC für genau diese Domain einwandfrei konfigurieren: Seine Nachricht ist authentisch … für eine Domain, die nicht Ihre ist. Was ihn verrät, sind die Ähnlichkeit mit einer bekannten Marke oder Domain, das Alter der Domain, die Reputation der Links und der Inhalt.
Wenn Phishing auf eine bestimmte Person zielt, um eine Überweisung zu erwirken, wird es zum CEO-Betrug: siehe Identitätsmissbrauch und CEO-Betrug. Was SPF, DKIM und DMARC tatsächlich stoppen, wird in SPF, DKIM und DMARC erläutert.
Malware: der Anhang oder der Link
Das Schadprogramm kommt in einem Anhang oder hinter einem Link: ein Office-Dokument, das zum Aktivieren von Makros auffordert, ein manipuliertes PDF, eine HTML-Datei, die eine Anmeldeseite imitiert, ein Archiv, ein Bild mit QR-Code. Die Nachricht selbst kann ganz banal sein („Ihre Rechnung“, „freigegebenes Dokument“).
Die Antwort setzt bei der Datei und beim Link an: Antivirus, Prüfung von Makros und PDFs, Auslesen von QR-Codes, Reputation der Adressen und anschließend Überprüfung beim Klicken. Der Ratgeber Anhänge, Links und Ransomware beschreibt, was geprüft wird und was ein menschlicher Handgriff bleibt.
Kompromittiertes Konto: das echte Postfach
Hier stammt die Nachricht aus einem echten Postfach, dem eines Lieferanten, eines Kunden oder eines Kollegen, dessen Passwort gestohlen wurde. SPF besteht, die DKIM-Signatur ist gültig, der Absender ist bekannt. Ein Filter, der nur prüft „Ist der Absender unbekannt oder schlecht authentifiziert?“, sieht nichts.
Die Anzeichen liegen im Verhalten:
- ein gewohnter Korrespondent schreibt plötzlich an ungewöhnliche Empfänger oder an sehr viele;
- ein Ton, eine Sprache oder eine Uhrzeit, die nicht zu ihm passen;
- eine neue Aufforderung: geänderte Bankverbindung, unerwarteter Freigabelink, Dokument „dringend zu unterschreiben“;
- eine Antwort, die in einen alten Gesprächsverlauf eingefügt wird, um von dessen Glaubwürdigkeit zu profitieren.
Zwei Situationen sind zu trennen. Wenn das Konto eines Dritten Ihnen schreibt, kann der Eingangsfilter die Auffälligkeit erkennen. Wenn es Ihr eigenes Konto ist, betrifft das zunächst Ihr E-Mail-System: Passwort, Zwei-Faktor-Authentifizierung, Anmeldewarnungen, vom Angreifer hinzugefügte Weiterleitungsregeln. Das ist ein anderes Projekt als externes Phishing, auch wenn es oft mit einem Phishing beginnt.
Vier Bedrohungen, vier Antworten
| Bedrohung | Was sie verrät | Hauptantwort | Was nicht ausreicht |
|---|
| Spam | Menge, Reputation, neue Domain | Reputation und Inhalt, gezielte Zurückstellung | Manuelles Löschen |
| Phishing | Nachgeahmte Marke oder Domain, zweifelhafter Link | Erkennung von Identitätsmissbrauch, Analyse von Links und QR-Codes | SPF, DKIM und DMARC allein |
| Malware | Anhang oder Link | Dateianalyse, Schutz beim Klicken | Ein reputationsbasierter Antispam |
| Kompromittiertes Konto | Verändertes Verhalten eines bekannten Absenders | Erkennung von Auffälligkeiten, danach Absicherung des Kontos | Eine Blacklist von Absendern |
Ein Beispiel zur Veranschaulichung. Am selben Montag erhält ein mittelständisches Unternehmen eine Welle von Druckerwerbung, eine gefälschte Zustellbenachrichtigung mit QR-Code, eine „Rechnung“ im HTML-Format und eine Nachricht des Buchhalters eines Stammkunden, der eine neue Bankverbindung mitteilt. Die ersten drei sind Sache des Filters. Die vierte kommt aus einem echten Postfach: Der Filter kann die Auffälligkeit melden, aber entscheidend ist ein Anruf unter der bereits bekannten Nummer des Kunden.
Wie eine moderne Filterung funktioniert
Ein aktueller Filter trifft seine Entscheidung nicht anhand eines einzigen Kriteriums. Er berechnet einen Score aus mehreren Signalen:
- die Authentizität des Absenders: SPF, DKIM, DMARC, Reputation von Server und Domain, Alter der Domain;
- die Nachricht: Links, Text, bekannte Betrugsszenarien, Ähnlichkeit mit einer Marke oder einem internen Namen;
- die Anhänge: Antivirus, Makros, PDFs, Bilder;
- der Kontext: dieselbe Nachricht an viele Empfänger (eine Kampagne) oder ein gewohnter Absender, der sein Verhalten ändert.
Der Score führt zu einer abgestuften Entscheidung: zustellen, unter Quarantäne stellen, ablehnen oder einen unbekannten Absender zurückstellen. Die Quarantäne zählt ebenso viel wie die Ablehnung: Eine irrtümlich zurückgehaltene legitime Nachricht muss wiedergefunden und freigegeben werden können, siehe Quarantäne, Fehlalarme und Meldungen.
Die Meldungen der Benutzer, „Das ist Spam“ oder „Das ist legitim“, passen anschließend die Reputation der Absender an. Ein Filter, der aus seinen Fehlern lernt, erzeugt weniger Fehlalarme.
Häufige Fragen
Warum erhält man mit einem guten Filter immer noch Spam?
Weil ein Filter zwischen zu viel Blockieren und Durchlassen abwägt. Eine Einstellung, die nichts durchlässt, hält auch erwartete Nachrichten zurück.
Ist eine Nachricht, die DMARC besteht, sicher?
Nein. Sie beweist, dass die angezeigte Domain den Versand autorisiert hat, nicht dass der Inhalt ehrlich ist. Siehe SPF, DKIM und DMARC.
Was tun mit einer bereits erhaltenen verdächtigen Nachricht?
Nicht klicken, nicht antworten, sie dem Administrator melden, statt sie zu löschen. Cybermalveillance.gouv.fr empfiehlt außerdem, im Zweifel die betreffende Stelle über einen bekannten Kontaktweg zu erreichen.
Das Konto eines Kollegen versendet seltsame Nachrichten: Was tun?
Den Administrator des E-Mail-Systems informieren, der das Passwort ändert und die Zwei-Faktor-Authentifizierung sowie die Weiterleitungsregeln prüft. Das ist keine Filtereinstellung.
Wo Klytic ansetzt
Klytic MTA analysiert jede Nachricht in mehreren Ebenen, vor dem Postfach, vor jedem beliebigen E-Mail-System.
- Authentizität (Basis und Erweitert): SPF, DKIM, DMARC auch für weitergeleitete Nachrichten, Reputation von Servern und Domains, Alter der Domains, gezielte Zurückstellung unbekannter Absender.
- Nachricht (Basis und Erweitert): Anti-Phishing, Markenimitation, ähnliche Domains und Anzeigename, QR-Codes, Erkennung von Kampagnen und ungewöhnlichem Verhalten eines Absenders, Sortierung von Newslettern.
- Anhänge (Basis und Erweitert): Antivirus, Office-Makros, PDFs; gefährliche Anhänge werden entfernt, mit Hinweisnachricht. Erweitert ergänzt manipulierte HTML-Dateien und versteckten Text in Bildern.
- Beim Klicken (Erweitert): Links werden erneut analysiert, wenn der Benutzer klickt.
- Finanzbetrug (Erweitert): CEO-Betrug, gefälschte Rechnungen, falsche Überweisungen und weitere Szenarien.
Die Meldungen der Benutzer fließen in ein gemeinsames Lernen über alle Instanzen ein, und Nachrichten mit mehrdeutigem Score werden in beiden Angeboten von einem KI-Modell beurteilt. Was dieses Modell erhält, wird in KI in der E-Mail-Filterung erklärt.
Grenze: Klytic MTA sieht die E-Mails, die es durchlaufen. Die Sicherheit Ihrer eigenen Konten (Passwörter, Zwei-Faktor-Authentifizierung, Anmeldungen) bleibt Sache Ihres E-Mail-Systems.
Quellen
Abgerufen im Oktober 2026.
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“ (Was tun bei Phishing?): Definition von Phishing, Ausgeben als vertrauenswürdige Stelle, Diebstahl von Zugangsdaten und Bankdaten, Hinweise zur Überprüfung. cybermalveillance.gouv.fr
- RFC 7489, DMARC: Der Mechanismus behandelt weder optisch ähnliche Domains noch den Missbrauch des Anzeigenamens noch die Inhaltsanalyse. rfc-editor.org
- Klytic, Seite Klytic MTA: Analyseebenen und Module der Angebote Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX-Eintrag. klytic.com
