E-Mail ist der wichtigste Kommunikationskanal in Unternehmen und gleichzeitig der beliebteste Angriffsvektor für Cyberkriminelle. Daher spielt E-Mail-Security eine zentrale Rolle für die Cybersicherheit. Mit der neuen NIS-2-Richtlinie steigen für betroffene Organisationen dieAnforderungen an Risikomanagement und Schutzmaßnahmen. Mit der Richtlinie will die EU die Cybersicherheit wichtiger und besonders wichtiger Einrichtungen stärken. Derzeit arbeiten die Mitgliedsstaaten daran, die Direktive in nationales Recht zu überführen. In Deutschland erfolgt das über das NIS-2-Umsetzungsgesetz, das im März 2025 in Kraft treten soll.
Nun ist der aktuelle Kommunikationskanal Nummer eins naturgemäß auch die häufigste Eintrittspforte für Cyberangriffe. Retarus, ein Anbieter von APIs, Gateways und Applikationen für Messaging, E-Mail Management und den Austausch strukturierter Daten für Geschäftsprozesse, empfiehlt Unternehmen daher dringend, die vorhandenen Sicherheitsmaßnahmen für ihre E-Mail-Infrastruktur zu überprüfen und gibt in diesem Zusammenang fünf Tipps:
1. Erweiterten E-Mail-Schutz schaffen
Die meisten Unternehmen haben bereits einen Basisschutz für ihre E-Mail-Umgebung. Dazu zählen Virenscanner und Phishing-Filter, die gefährliche E-Mails herausfiltern, bevor sie zugestellt werden. Doch damit lässt sich nur ein Teil der Bedrohungen abfangen. Denn Cyberkriminelle entwickeln laufend neue Malware-Varianten, die von signaturbasierten Security-Systemen nicht erkannt werden, solange noch keine passenden Erkennungsmuster vorliegen. Außerdem finden sich vermehrt Social Engineering-Attacken wie CEO-Fraud, die ihre Opfer austricksen und dazu bringen, hohe Geldsummen zu überweisen oder sensible Daten preiszugeben. Solche Betrugsmaschen arbeiten meist mit via Künstlicher Intelligenz nahezu perfekt gefälschten E-Mails, die für herkömmliche Phising-Filter nur schwer von harmlosen Nachrichten zu unterscheiden sind. Um die Risiken für immer raffiniertere Cyberangriffe zu minimieren, brauchen Unternehmen erweiterten E-Mail-Schutz. Dazu zählen zum Beispiel KI-gestützte Analysen, die in der Lage sind, gefälschte Absender- und Domain-Adressen zu identifizieren. Um neuartige Malware zu erkennen, sind darüber hinaus Sandbox-Analysen erforderlich, die E-Mails mit verdächtigen Anhängen auf bedrohliches Verhalten untersuchen, bevor sie beim Empfänger und dessen IT-Umgebung landen.
2. Mindestens alle sensiblen E-Mails verschlüsseln
Artikel 21, Absatz 2d der NIS-2-Direktive fordert Maßnahmen zur Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen. Auf E-Mail übertragen bedeutet das: Die Kommunikation mit Zulieferern und Partnern absichern. Dafür eignet sich Verschlüsselung. Absatz 2h schreibt explizit Konzepte und Verfahren für den Einsatz von Kryptographie vor. In der Praxis scheitert E-Mail-Verschlüsselung jedoch häufig an einer aufwendigen Administration der Schlüssel, an einer umständlichen Bedienung und/oder daran, dass einzelne Kommunikationspartner keine Verschlüsselung nutzen.
3. Notfallkommunikation vorbereiten
Artikel 21, Absatz 2c verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, Absatz 2j gesicherte Notfall-Kommunikationssysteme. Für den E-Mail-Bereich bedeutet das: Es braucht einen Plan B für den Fall, dass die eigene E-Mail-Infrastruktur durch einen Cyberangriff außer Kraft gesetzt wird. Das kann etwa durch Lösungen für E-Mail-Continuity geschehen, die im Hintergrund einen externen, unabhängigen und sicheren Webmail-Service bereithalten. Im Krisenfall können Sie sofort auf die Notfallinfrastruktur umschalten. Wichtig dabei ist, dass der Service vom Anbieter mit vorprovisionierten Postfächern zur Verfügung gestellt wird. Denn nur mit den E-Mails mindestens der vergangenen Wochen sowie den gespeicherten Kontaktdaten können Mitarbeiter im Notfall wirklich nahtlos weiter kommunizieren.
4. Auch bereits zugestellte E-Mails untersuchen
Artikel 21, Absatz 2b schreibt Maßnahmen zur Bewältigung von Sicherheitsvorfällen vor. Um solche Maßnahmen treffen zu können, müssen Sie in der Lage sein, Cyberangriffe schnell zu erkennen und zu untersuchen. Dafür ist es wichtig, die Eintrittspforte zu bestimmen und die Empfänger bereits zugestellter Schad-E-Mails schnell zu identifizieren. Möglich wird das über eine spezielle Patient-Zero-Detection-Technologie, die bereits beim E-Mail-Empfang einen digitalen Fingerabdruck aller Attachments erzeugt, in einer Datenbank speichert und dann kontinuierlich mit neuen Erkenntnissen aus der Malware-Forschung abgleicht. Sobald eine potenziell gefährliche Nachricht im Postfach eines Anwenders erkannt wird, kann diese – je nach Konfiguration – automatisch gelöscht oder in Quarantäne verschoben werden.
5. Forensik verbessern
Artikel 23 der NIS-2-Richtlinie definiert strenge Meldepflichten. Betroffene Unternehmen müssen einen erheblichen Cybervorfall innerhalb von 24 Stunden bei der zuständigen Aufsichtsbehörde melden, nach 72 Stunden einen Folgebericht einreichen und nach einem Monat einen Abschlussbericht, der eine detaillierte Beschreibung enthält. Um diese Vorgaben zu erfüllen, brauchen Organisationen schnell Zugriff auf relevante Daten. Daher ist es wichtig, Security-Informationen aus der E-Mail-Umgebung in übergreifenden Sicherheitssystemen wie einem SIEM (Security Information and Event Management) zu sammeln und auszuwerten. Eine entsprechende Lösung sollte die Daten in Form von Events in Echtzeit über eine geschützte Schnittstelle bereitstellen.
