Die meisten erfolgreichen Angriffe auf Unternehmen beginnen nicht mit einem gehackten Server, sondern mit einer E-Mail: einer Rechnung, die echt aussieht, einer Microsoft-Anmeldeseite, die keine ist, oder einer kurzen Nachricht „vom Chef“ mit der Bitte um eine schnelle Überweisung. Der Spamfilter im Postfach fängt einen Teil davon ab. Für den Rest braucht es einen Schutz, der vor dem Postfach sitzt. Wie das funktioniert, was es für Microsoft 365 und Exchange im eigenen Haus bedeutet und woran Sie merken, ob Ihr Unternehmen gut aufgestellt ist, lesen Sie hier.

Warum Phishing heute anders aussieht als vor fünf Jahren

Die Zeiten von holprigem Deutsch und offensichtlich falschen Absendern sind vorbei. Angreifer kaufen gestohlene Zugangsdaten, lesen echte Geschäftskorrespondenz mit und antworten in laufende Mailwechsel hinein. Anhänge sind häufig unauffällige Office-Dateien oder Links auf Cloud-Speicher, die erst nach dem Klick zur Schadsoftware führen. Und mit KI-Werkzeugen lassen sich solche Mails in Sekunden in fehlerfreiem Deutsch und im Stil des angeblichen Absenders erzeugen.

Das Ziel ist selten die Mail selbst. Es geht um den einen Klick, der Zugangsdaten preisgibt oder eine Datei ausführt. Danach beginnt der eigentliche Angriff: Konten werden übernommen, Rechnungen umgeleitet oder Server verschlüsselt. Wir sehen in unserem Support regelmäßig, dass genau dieser erste Klick der Anfang war.

Warum der Filter im Postfach zu spät kommt

Microsoft 365 und Exchange bringen eigene Spamfilter mit, und die leisten Basisarbeit: Massenwerbung, bekannte Schadsoftware und offensichtliche Fälschungen kommen nicht durch. Ihr Problem ist der gut gemachte Rest. Eine Mail, die von einem echten, aber übernommenen Konto eines Lieferanten kommt, hat weder eine verdächtige Absenderadresse noch einen bekannten Virus im Anhang. Sie sieht für den Filter aus wie jede andere Geschäftsmail.

Ein vorgeschalteter Cloud-Filter arbeitet anders. Er nimmt jede eingehende Mail entgegen, bevor sie Ihren Mailserver erreicht, und prüft sie in mehreren Stufen: Absenderreputation, Inhalt, Anhänge, Links und Verhaltensmuster. Erst was diese Prüfung besteht, wird zugestellt. Was hängen bleibt, landet in einer Quarantäne, die Ihre Mitarbeiter einsehen können. Der Server dahinter bekommt den Angriff nie zu sehen.

Was Hornetsecurity anders macht

Wir setzen bei unseren Kunden auf Hornetsecurity, einen deutschen Anbieter aus Hannover, der heute zu Proofpoint gehört. Drei Funktionen machen im Alltag den Unterschied:

  • Sandbox für Anhänge: Verdächtige Dateien werden in einer abgeschotteten Umgebung geöffnet und beobachtet, bevor sie zugestellt werden. Schadsoftware, die noch keine Signatur hat, fällt dabei durch ihr Verhalten auf.
  • Link-Prüfung beim Klick: Links werden umgeschrieben und im Moment des Klicks erneut geprüft. Eine Seite, die beim Versand noch harmlos war und später zur Phishing-Seite wurde, wird trotzdem blockiert.
  • Erkennung gefälschter Absender: Mails, die sich als Geschäftsführung, Buchhaltung oder bekannter Lieferant ausgeben, werden anhand von Absendermerkmalen und Mustern erkannt, auch ohne Anhang und ohne Link.

Dazu kommt ein täglicher Quarantäne-Bericht für jeden Mitarbeiter. Wer eine erwartete Mail vermisst, findet sie dort und gibt sie mit einem Klick frei. Das ist wichtiger, als es klingt: Ein Filter, der zu viel blockiert und keinen Weg zurück bietet, wird nach zwei Wochen abgeschaltet.

Microsoft 365 oder Exchange im eigenen Haus?

Beides funktioniert, der Weg ist nur ein anderer. Bei Microsoft 365 wird 365 Total Protection direkt an die Postfächer angebunden. Es gibt keine Umstellung des Mailservers, der Schutz ist nach kurzer Einrichtung aktiv und ergänzt die Microsoft-Bordmittel. Bei Exchange vor Ort oder einem anderen Mailserver läuft der Mailverkehr über die Hornetsecurity-Cloud. Dafür wird der MX-Eintrag Ihrer Domain umgestellt, und SPF, DKIM und DMARC müssen sauber gesetzt sein, damit auch Ihre ausgehenden Mails beim Empfänger nicht im Spam landen. Der Server selbst bleibt unverändert.

Genau an dieser Stelle entscheidet sich, ob die Einführung reibungslos läuft. Ein falsch gesetzter DNS-Eintrag unterbricht den Mailfluss, eine vergessene Freigabeliste blockiert am ersten Tag die Rechnungen des wichtigsten Lieferanten. Wir haben beides bei Kunden erlebt und wissen, worauf zu achten ist.

Fünf Fragen, mit denen Sie Ihren Stand prüfen

  1. Wann ist zuletzt eine Phishing-Mail bei einem Mitarbeiter angekommen, und wer hat davon erfahren?
  2. Werden Anhänge und Links vor der Zustellung geprüft oder erst vom Virenscanner auf dem Rechner?
  3. Sind SPF, DKIM und DMARC für Ihre Domain gesetzt, damit niemand in Ihrem Namen versenden kann?
  4. Können Ihre Mitarbeiter blockierte Mails selbst einsehen und freigeben, oder rufen sie dafür die IT an?
  5. Wann wurde zuletzt geübt? Eine Phishing-Simulation zeigt, wer klickt, bevor es ein Angreifer tut.

Wenn Sie zwei dieser Fragen nicht sicher beantworten können, lohnt sich ein Gespräch. Wir prüfen mit Ihnen, wie Ihre E-Mails heute geschützt sind, und richten Hornetsecurity so ein, dass es zu Ihrem Betrieb passt, für Microsoft 365 genauso wie für Exchange im eigenen Haus. Mehr dazu auf unserer Seite zur E-Mail-Sicherheit mit Hornetsecurity oder direkt im kostenfreien Erstgespräch.