Das BSI hat eine Empfehlung veröffentlicht, wie Unternehmen ihre E-Mail-Sicherheit deutlich verbessern sollten. Diese Empfehlung richtet sich an alle Organisationen – egal ob klein oder groß –, die E-Mails nutzen, sei es im Alltag, im Geschäft oder in der Verwaltung.
E-Mails sind nach wie vor eine der wichtigsten Kommunikationsformen – aber auch eines der gefährlichsten Einfallstore. Beispielsweise können Täuscher Absenderadressen fälschen, Nachrichten manipulieren oder Schadsoftware über Anhang und Links verteilen. Eine unsichere Mail-Infrastruktur kann nicht nur zu Datenverlust führen, sondern auch zu Imageschäden, Betriebsstörungen und hohen Kosten.
Was genau empfiehlt das BSI?Die Empfehlung des BSI enthält mehrere technische und organisatorische Maßnahmen, die Unternehmen umsetzen sollten:
- Einführung oder Verstärkung von E-Mail-Authentifizierungsverfahren wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting & Conformance). Diese Verfahren helfen sicherzustellen, dass E-Mails tatsächlich von dem Absender stammen, der im Postfach angezeigt wird.
- Sicherung des E-Mail-Transports, also dafür sorgen, dass Nachrichten verschlüsselt übermittelt werden und Manipulationen unterwegs verhindert werden. Technologien hier sind z. B. TLS (Transport Layer Security), MTA-STS (Mail Transfer Agent Strict Transport Security) oder DANE (DNS-Based Authentication of Named Entities) kombiniert mit DNSSEC (Domain Name System Security Extensions).
- Aufbau eines klaren Maßnahmenplans, der festlegt: Welche Domains und Absender werden genutzt? Welche Sicherheitsstandards gelten? Wer überwacht die Umsetzung? Welche Schritte kommen wann?
- Sensibilisierung von Mitarbeitenden und Verantwortlichen: E-Mail-Sicherheit beginnt nicht nur technisch, sondern auch organisatorisch mit einem bewussten Umgang, Schulung und klaren Zuständigkeiten.
Wenn Sie eine E-Mail-Infrastruktur betreiben oder betreuen lassen, gilt im Wesentlichen folgendes Vorgehen:
- Bestandsaufnahme: Welche Domains werden verwendet? Welche E-Mail-Server existieren? Welche Authentifizierungs- und Verschlüsselungsverfahren sind bereits implementiert?
- Priorisierung: Erkennen Sie die größten Risiken (z. B. Versand unter fremder Domain, fehlende Verschlüsselung, keine Authentifizierung) und setzen Sie dort zuerst an.
- Implementierung: Richten Sie Standards wie SPF, DKIM, DMARC ein und sorgen Sie für sicheren Transport durch TLS/MTA-STS/DANE.
- Überwachung & Dokumentation: Prüfen Sie regelmäßig, ob die Maßnahmen greifen, verantwortliche Stellen sind benannt und Änderungen im Betrieb berücksichtigt.
- Kommunikation: Informieren Sie Mitarbeitende über sichere E-Mail-Nutzung, Risiken durch Phishing, gefälschte Absender oder manipulierte Inhalte.
- Vertrauensschutz: Wenn externe oder interne Kommunikation als sicher gilt, stärkt das die Marke und das Vertrauen der Teilnehmenden.
- Schadensvermeidung: Angriffe über gefälschte E-Mails oder manipulierten Transport können hohe Kosten verursachen – sei es finanzielle Forderung, Datenverlust oder Imageverlust.
- Regulatorische Absicherung: Wer die empfohlenen Standards umsetzt, zeigt, dass er das Thema IT-Sicherheit ernst nimmt – das kann positiv gegenüber Kunden, Partnern und Aufsichtsbehörden wirken.
Die Empfehlung des BSI zeigt deutlich: E-Mail-Sicherheit darf nicht vernachlässigt werden. Unternehmen sollten sie nicht mehr nur als „nice to have" betrachten, sondern als grundlegende Sicherheitsaufgabe. Mit klaren technischen Maßnahmen, einem Plan zur Umsetzung und sensiblen Mitarbeitenden lässt sich der E-Mail-Verkehr deutlich sicherer gestalten.
Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!
Ihr Team von Datenschutz Prinz