Was in einem Anhang geprüft wird
- Antivirus: Abgleich mit bekannten Schadprogrammen. Wirksam bei dem, was bereits im Umlauf ist, weniger bei einer Datei, die für eine einzige Kampagne erstellt wurde.
- Office-Makros: ein Word- oder Excel-Dokument, das Code enthält und dazu auffordert, „Inhalt zu aktivieren“, um ihn auszuführen. Ein altes Muster, das immer noch verwendet wird.
- PDF: Skripte, versteckte Links, Formulare, die auf eine gefälschte Anmeldeseite führen.
- HTML-Dateien: ein Anhang, der sich im Browser öffnet und eine Anmeldeseite imitiert, ohne über eine Website zu gehen, die man blockieren könnte.
- Bilder: ein QR-Code mit einem Link oder ein im Bild versteckter Text, der der Textanalyse entgehen soll.
Wird ein Anhang als gefährlich eingestuft, gibt es zwei vernünftige Wege: den Anhang entfernen und die Nachricht mit einem erklärenden Hinweis zustellen oder die gesamte Nachricht unter Quarantäne stellen. In beiden Fällen gelangt die Datei nicht auf den Rechner.
Links: bei der Zustellung und dann beim Klicken
Ein Link wird in der Nachricht analysiert: Reputation der Adresse und der Domain, Ähnlichkeit mit einer bekannten Marke, kürzlich registrierte Domain. Der QR-Code stellt ein besonderes Problem dar: Er verlagert den Link vom geschützten Computer auf das private Smartphone, das oft weniger geschützt ist. Wird er im Bild ausgelesen, gelangt dieser Link wieder in die Kontrolle.
Doch ein Link, der um 9 Uhr sauber ist, kann um 14 Uhr manipuliert sein. Betrüger versenden zunächst einen Link auf eine harmlose Seite und ändern die Seite, nachdem die Nachricht zugestellt wurde. Das ist der Grund für den Schutz beim Klicken: Der Link wird umgeschrieben, sodass er in dem Moment, in dem der Benutzer klickt, eine Prüfung durchläuft. Ist die Seite inzwischen gefährlich, wird der Klick gestoppt, auch wenn die Nachricht zugestellt wurde.
Der Fall der Freigabelinks
Immer mehr bösartige Nachrichten enthalten keinen Anhang: Sie verweisen auf ein Dokument, das bei einem bekannten Filesharing-Dienst abgelegt ist. Die Domain des Links hat dann eine ausgezeichnete Reputation, denn sie gehört einem großen Dienst. Die Analyse muss sich auf den Rest stützen: Ist der Absender ein gewohnter Kontakt, ähnelt die Nachricht einer Kampagne, verlangt die geöffnete Seite ein Passwort? Hier zählen die Prüfung beim Klicken und die Erkennung ungewöhnlichen Verhaltens mehr als die Liste gefährlicher Domains.
Ransomware: was das Gateway leisten kann und was nicht
Cybermalveillance.gouv.fr beschreibt Ransomware als Angriff, der den Zugriff auf ein System blockiert oder die Daten verschlüsselt und manchmal mit deren Veröffentlichung droht, um ein Lösegeld zu erpressen. Die Plattform stellt fest, dass das Eindringen in der Regel über eine Sicherheitslücke oder einen schlecht gesicherten Fernzugang erfolgt oder über die Kompromittierung eines Kontos oder eines Rechners durch Phishing oder ein Schadprogramm.
E-Mail ist nicht der einzige Zugang, aber die ANSSI bezeichnet sie als „den wichtigsten Infektionsweg für den Arbeitsplatzrechner“ (Übersetzung). Dieselbe Behörde nennt „das Versenden bösartiger Anhänge, um Schwachstellen eines Arbeitsplatzrechners zum Zweck der Erpressung oder Spionage auszunutzen“ (Übersetzung). Es ist zudem ein Zugang, den man filtern kann, bevor er das Postfach erreicht. Der typische Ablauf per E-Mail:
- eine Nachricht mit einem Anhang oder einem Link;
- ein aktiviertes Makro oder ein auf einer gefälschten Seite eingegebenes Passwort;
- ein Zugang zum Netzwerk oder zu den Konten;
- später, manchmal Wochen danach, die Verschlüsselung der Dateien.
Ein Beispiel zur Veranschaulichung. Ein Mitarbeiter erhält eine „unbezahlte Rechnung“ im Word-Format. Das Dokument zeigt einen unscharfen Banner und fordert dazu auf, den Inhalt zu aktivieren, um ihn zu lesen. Tut er das, lädt das Makro ein Programm herunter, das Zugriff auf den Rechner verschafft. Die Dateien auf dem Server werden erst später verschlüsselt. Wird der Anhang beim Eingang entfernt, beginnt diese Kette nicht; kommt er durch, hängt alles vom Reflex ab, das Makro nicht zu aktivieren, und danach vom Backup.
Das Gateway wirkt auf den ersten Schritt. Es sieht kein Eindringen über einen Fernzugang und kein Konto, das bereits mit einem anderswo gestohlenen Passwort geöffnet wurde. Es stellt nichts wieder her.
Cybermalveillance.gouv.fr empfiehlt regelmäßige Backups, vom Netz getrennte Kopien, geprüfte Wiederherstellungen und unverzüglich eingespielte Updates. Die Plattform empfiehlt außerdem, das Lösegeld nicht zu zahlen. Für Ihre Dateien wird die Frage in Ransomware: ein Dokumentenmanagement (DMS) schützen und wiederherstellen behandelt.
Was ein menschlicher Handgriff bleibt
- Keine Makros in einem per E-Mail erhaltenen Dokument aktivieren, auch wenn es höflich darum bittet.
- Kein Passwort auf einer Seite eingeben, die über einen erhaltenen Link geöffnet wurde; stattdessen die gewohnte Adresse oder ein Lesezeichen verwenden. Cybermalveillance.gouv.fr rät außerdem, die Adresse der Website zu prüfen, bei der sich ein einziges Zeichen unterscheiden kann.
- Keinen per E-Mail erhaltenen QR-Code scannen, um sich „anzumelden“.
- Eine zweifelhafte Nachricht melden, statt sie zu löschen: Die Meldung hilft dem Filter und warnt die Kollegen.
- Keine unerwartete Nachricht aus der Quarantäne freigeben, nur um zu sehen, was drinsteht.
Die Grenzen jeder Analyse
- Die vom Absender verschlüsselte Datei: Ein Archiv, das mit einem in der Nachricht genannten Passwort geschützt ist, kann der Filter nicht lesen. Das ist eine bekannte Umgehungstechnik; sie wird über eine Regel (Quarantäne, Warnung) behandelt, nicht über die Inhaltsanalyse.
- Das neuartige bösartige Dokument ohne bekannte Signatur kann den Antivirus passieren. Die anderen Signale (Absender, Kontext, Makros) übernehmen dann, ohne Garantie.
- Das kompromittierte legitime Konto, das eine echte, manipulierte Rechnung versendet, genießt das Vertrauen in den Absender.
- Der nachträglich manipulierte Link kommt durch, wenn niemand beim Klicken erneut prüft.
- Die interne Nachricht zwischen zwei Postfächern desselben E-Mail-Systems, die dieses nicht verlässt, durchläuft kein vorgeschaltetes Gateway: Sie wird vom Filter des E-Mail-Systems gesehen oder von niemandem.
Die Quarantäne gibt es für zweifelhafte Fälle: Die Nachricht ist weder zugestellt noch verloren. Siehe Quarantäne, Fehlalarme und Meldungen.
Häufige Fragen
Ist ein entfernter Anhang verloren?
Die Nachricht kommt mit einem Hinweis an, der die Entfernung erklärt. War der Anhang legitim, geht der Administrator oder der Empfänger über die Quarantäne: siehe Quarantäne, Fehlalarme und Meldungen.
Kann ein PDF wirklich gefährlich sein?
Ja: Es kann Skripte enthalten oder auf eine gefälschte Anmeldeseite führen. Deshalb wird es wie ein Office-Dokument geprüft.
Warum wird ein gestern geprüfter Link heute blockiert?
Die Seite hat sich seit der Zustellung geändert. Der Schutz beim Klicken beurteilt die Seite in dem Moment, in dem Sie sie öffnen.
Genügt ein Gateway gegen Ransomware?
Nein. Es verringert den Zugang über E-Mail. Updates, Fernzugänge und Backup erledigen den Rest. Siehe Ransomware: ein Dokumentenmanagement (DMS) schützen und wiederherstellen.
Wo Klytic ansetzt
Die Aufteilung von Klytic MTA auf die zwei Angebote, wie sie veröffentlicht ist:
| Analyse | Basis | Erweitert |
|---|
| Antivirus und verschlüsselte Quarantäne | Ja | Ja |
| Manipulierte Office-Makros und PDFs | Ja | Ja |
| Anti-Phishing, Markenimitation, QR-Codes | Ja | Ja |
| Gefährliche Anhänge werden entfernt, mit Hinweisnachricht | Ja | Ja |
| Sichere Freigabe aus der Quarantäne und Benachrichtigungen | Ja | Ja |
| Manipulierte HTML-Dateien und versteckter Text in Bildern | Nein | Ja |
| Links werden beim Klicken erneut analysiert | Nein | Ja |
Klytic MTA funktioniert vor jedem E-Mail-System, ohne Klytic Mail. Es ersetzt nicht das Backup Ihrer Dateien und Postfächer: Bei Klytic sind das die Backups der Dienste selbst, beschrieben auf der Seite Sicherheit und Backup.
Quellen
Abgerufen im Oktober 2026.
- Cybermalveillance.gouv.fr, „Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?“ (Ransomware: Was tun, wenn Ihre Organisation Opfer eines Angriffs ist?): Definition, Wege des Eindringens (Sicherheitslücken, Fernzugänge, Phishing, Schadprogramm), getrennte und getestete Backups, Updates, nicht zahlen. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“ (Was tun bei Phishing?): die Adresse eines Links und der Website prüfen, bevor man Informationen eingibt. cybermalveillance.gouv.fr
- Klytic, Seite Klytic MTA: Analysen von Anhängen und Links in den Angeboten Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX-Eintrag. klytic.com
- ANSSI, „Guide d’hygiène informatique“ (Leitfaden zur IT-Hygiene), Version 2.0, September 2017, Maßnahme 24 „Protéger sa messagerie professionnelle“ (Die geschäftliche E-Mail schützen): „E-Mail ist der wichtigste Infektionsweg für den Arbeitsplatzrechner“ (Übersetzung). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, Maßnahmenkatalog, Maßnahme „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“ (Eine Anti-Spam- und Anti-Phishing-Lösung einsetzen): „E-Mail-Systeme sind einer der wichtigsten Angriffsvektoren, da sie sehr weit verbreitet und im Internet exponiert sind“ (Übersetzung). monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“ (Empfehlungen zur Anbindung eines Informationssystems an das Internet), ANSSI-PA-066, Version 3.0, 19. Juni 2020, Kapitel 5 „Sécurisation du service de messagerie électronique“ (Absicherung des E-Mail-Dienstes): E-Mail „ist zu einem der wichtigsten Vektoren für Cyberangriffe geworden“ (Phishing, schädliche Anhänge); § 5.2.3: Antispam-Mechanismen und die Suche nach schädlichen Inhalten „müssen umgesetzt werden“ (Übersetzung). messervices.cyber.gouv.fr
