E-MailSecurity.
E-Mail Security schützt den Nachrichtenfluss vor Phishing, BEC, schädlichen Anhängen und riskanten Links. Die Schutzwirkung entsteht aus Zustellschutz, Identitätsprüfung, Benutzerfeedback und einem handlungsfähigen Incidentprozess.
Marktbild: sehr hohe Priorität für praktisch jede Organisation. Der Markt ist sehr breit, mit E-Mail-Gateways, Cloud-API-Anbietern, Collaboration-Schutz und Human-Risk-Plattformen. Sechs etablierte Plattformen bilden den Startvergleich.
Angriffe vor dem Postfach stoppen.
Die Klasse adressiert einen zentralen Einstiegspunkt für Identitätsmissbrauch, Schadsoftware und Zahlungsbetrug.
Mailflow, Domain- und Absenderdaten, URLs, Anhänge und Benutzerfeedback. DMARC, SPF und DKIM sind wichtige Grundlagen, ersetzen aber keine Detektion.
Vor dem Lesen geprüft.
E-Mail-Schutz setzt an drei Stellen an. Vor der Zustellung prüft ein Filter Absender-Reputation, Inhalte, Anhänge und Links. Anhänge, die keiner Signatur entsprechen, werden in einer Sandbox geöffnet, also in einer virtuellen Umgebung ausgeführt und beobachtet (Detonation). Links werden umgeschrieben, damit sie beim Klick erneut geprüft werden können, denn viele Ziele werden erst nach dem Versand schädlich. Nach der Zustellung erlaubt eine Rückholung (Clawback), eine als schädlich erkannte Nachricht aus allen Postfächern zu entfernen.[1,2,3]
Für die Bereitstellung gibt es zwei Architekturen. Ein Secure Email Gateway steht im Mailfluss: Der MX-Eintrag der Domain zeigt auf das Gateway, das jede Nachricht inline prüft, bevor sie den Mailserver erreicht. Die API-basierte Variante, auch ICES (Integrated Cloud Email Security) genannt, verbindet sich ohne MX-Änderung direkt mit Microsoft 365 oder Google Workspace, sieht interne Nachrichten und kann zugestellte Mails nachträglich verschieben. Mehrere Hersteller bieten beide Modi an; Microsoft 365 bringt zudem eigenen Schutz mit.[4,5,6]
Business Email Compromise (BEC) kommt oft ohne Anhang und Link aus: Eine scheinbar bekannte Person bittet um eine Zahlung oder neue Kontodaten. Die Erkennung stützt sich deshalb auf Verhalten: Wer schreibt üblicherweise wem, in welchem Ton, und passt die Anfrage dazu? Die US-Bundespolizei FBI verzeichnete für 2024 gemeldete Schäden aus BEC von rund 2,77 Milliarden US-Dollar.[7,8,9]
Zwei weitere Bausteine schützen die eigene Domain und den Inhalt. SPF, DKIM und DMARC legen fest, welche Server im Namen einer Domain senden dürfen und was Empfänger mit gefälschten Nachrichten tun sollen; DMARC-Berichte zeigen, wer die Domain tatsächlich nutzt. Grosse Mailanbieter verlangen diese Einträge inzwischen von Massenversendern. Verschlüsselung mit S/MIME oder OpenPGP schützt den Inhalt Ende-zu-Ende; für Empfänger ohne Zertifikat gibt es Portal- oder Passwortverfahren. TLS sichert nur den Transport zwischen Servern; mit MTA-STS kann eine Domain verlangen, dass sendende Server TLS mit gültigem Zertifikat verwenden.[10,11,12,13]
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| DMARC bleibt bei p=none | Ohne Durchsetzung können Angreifer die eigene Domain weiter fälschen. Berichte auswerten, alle legitimen Absender erfassen und schrittweise auf quarantine und reject gehen.[10,16] |
| Klickschutz mit Lücken | Werden Links nur in bestimmten Apps oder nicht in allen Richtlinien umgeschrieben, gelangen Benutzer ungeprüft zum Ziel. Abdeckung je Client und Richtlinie testen.[2] |
| Verzögerte Zustellung durch Sandbox | Die Prüfung von Anhängen dauert teils Minuten. Wartezeiten im Pilot messen, Ausnahmen für zeitkritische Absender eng fassen und das Verhalten den Fachbereichen erklären.[1] |
| Doppelte Filter ohne Abstimmung | Gateway und Plattformschutz bewerten dieselbe Nachricht unterschiedlich, Quarantänen liegen an zwei Orten. Zuständigkeiten je Stufe festlegen und Meldungen zusammenführen. |
| Zahlungsbetrug ohne technische Spur | BEC umgeht Filter mit legitimen, kompromittierten Konten. Zahlungs- und Kontoänderungen immer über eine bekannte Telefonnummer bestätigen. |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Gateway, API oder beides? | Die Antwort sollte zeigen, was vor und was nach der Zustellung geprüft wird und wie interne Nachrichten erfasst werden. |
| Wie erkennt das Produkt BEC ohne Anhang und Link? | Erwartet werden Verfahren auf Basis von Beziehungen, Verhalten und Sprache mit Beispielen. |
| Wie schnell und wie vollständig wirkt die Rückholung? | Gute Antworten nennen Zeiten und den Umgang mit weitergeleiteten Kopien. |
| Wer verwaltet DMARC, und wie wird Durchsetzung erreicht? | Gefragt sind Berichte, Absenderinventar und Begleitung bis reject. |
| Welche Verschlüsselungsverfahren sind enthalten? | Die Antwort sollte S/MIME, OpenPGP und eine Lösung für Empfänger ohne Zertifikat abdecken. |
| Wo werden Nachrichten und Quarantänen verarbeitet und gespeichert? | Erwartet werden Datenstandorte, Aufbewahrung und Zugriff durch den Anbieter. |
Betrieb und Verantwortung
Den Mailschutz betreibt meist das Messaging- oder Workplace-Team, gemeldete Nachrichten triagiert das SOC. Für DMARC braucht es einen Owner, der alle sendenden Dienste kennt, auch Newsletter- und Ticketsysteme. Sinnvolle Kennzahlen sind der DMARC-Status je Domain, die Zeit von der Meldung durch Mitarbeitende bis zur Rückholung aus allen Postfächern, der Anteil gemeldeter Phishing-Nachrichten und die Zahl der Freigaben aus der Quarantäne, die sich später als schädlich erwiesen.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A über 5.14 «Information transfer», 8.7 «Protection against malware» und 8.24 «Use of cryptography». NIS2 nennt in Art. 21 Abs. 2 lit. g grundlegende Cyberhygiene und Schulungen, in lit. h Kryptografie und Verschlüsselung und in lit. j gesicherte Kommunikation; DORA verlangt in Art. 9 Abs. 3 lit. a, die Mittel der Datenübertragung abzusichern.[17,18,19,20,21]
Quellen: [1] learn.microsoft.com · [2] learn.microsoft.com · [3] fortinet.com · [4] proofpoint.com · [5] mimecast.com · [6] retarus.com · [7] abnormal.ai · [8] trendaisecurity.com · [9] ic3.gov · [10] rfc-editor.org · [11] support.google.com · [12] seppmail.com · [13] rfc-editor.org · [14] hornetsecurity.com · [15] barracuda.com · [16] valimail.com · [17] isms.online · [18] isms.online · [19] isms.online · [20] nis-2-directive.com · [21] digital-operational-resilience-act.com
Dreizehn Werkzeuge im Vergleich.
E-Mail Security wird als Secure Email Gateway angeboten, das den Mailfluss über eine MX-Umleitung oder einen eigenen Server inline prüft, als API-basierte Lösung, die sich ohne MX-Änderung direkt mit Microsoft 365 oder Google Workspace verbindet und auch nach der Zustellung eingreift, und als in die Mail-Plattform eingebauter Schutz. Mehrere Anbieter bieten beide Bereitstellungsarten aus einer Konsole an. Daneben gibt es Spezialisten für E-Mail-Verschlüsselung und für DMARC-Durchsetzung. Mit NoSpamProxy (Paderborn), Retarus (München) und SEPPmail (Schweiz) sind Anbieter aus dem DACH-Raum vertreten; Proofpoint hat die Übernahme der Hornetsecurity-Gruppe (Hannover) am 08.12.2025 abgeschlossen, und das Unternehmensgeschäft von Trend Micro firmiert seit 23.03.2026 als TrendAI.
Gateway: Gateway, MX-Umleitung · API: API-basiert für M365/Google · BEC: BEC/Impersonation-Schutz · Sandbox: Sandbox · DMARC: DMARC-Verwaltung · Klickzeit: Link-Prüfung beim Klick · Verschlüsselung: E-Mail-Verschlüsselung. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Proofpoint Email Protection (Core Email Protection)
Proofpoint
Schutz gegen Phishing, BEC, Account Takeover und KI-generierte Angriffe, bereitgestellt per API oder als Secure Email Gateway.
Ein API-Modus verbindet sich direkt mit Microsoft 365 und greift ohne MX-Änderung auch nach der Zustellung ein; der Gateway-Modus prüft Nachrichten inline vor der Zustellung.
Verhaltensbasierte KI wertet Absenderverhalten, Kommunikationsmuster, Absicht der Nachricht, URLs und Anhänge aus; Schutz inline, im Postfach, nach der Zustellung und beim Klick.
Erkennungen erscheinen in der Microsoft-365-Konsole und fügen sich in bestehende Abläufe ein.
DMARC-Angebot zum Schutz der eigenen Domains und der Zustellbarkeit.
Organisationen, die den Basisschutz von Exchange Online Protection um BEC- und Phishing-Erkennung ergänzen.
Gateway- und API-Modus mit Schutz bis zum Klick aus einer Hand.
Sandbox und Verschlüsselung sind auf der geprüften Produktseite nicht beschrieben; der Umfang verteilt sich auf mehrere Proofpoint-Produkte.
Hornetsecurity 365 Total Protection
Hornetsecurity (Proofpoint)
Sicherheits-, Compliance- und Backup-Suite für Microsoft 365 mit Spam-, Malware- und Phishing-Filter.
Advanced Threat Protection mit Sandboxing, URL-Rewriting, Erkennung von QR-Code-Phishing und BEC sowie automatischer Nachbereinigung (AutoRemediate).
Schutz von Teams-Chats vor schädlichen URLs; Email Threat Response für die Reaktion auf gemeldete Nachrichten.
DMARC Manager richtet DMARC, DKIM und SPF für mehrere Domains zentral ein und fasst DMARC-Berichte zusammen.
E-Mail-Verschlüsselung, Archivierung, Continuity Service, Signaturen und Backup für Postfächer, Teams, OneDrive und SharePoint.
KMU und Managed-Service-Provider, die Microsoft 365 mit einer Suite aus Filter, Verschlüsselung und Backup ergänzen.
Filter, Verschlüsselung, DMARC und Backup für Microsoft 365 in einer Suite.
Die Bereitstellungsart (Gateway oder API) beschreibt die Suite-Seite nicht ausdrücklich; die Suite ist auf Microsoft 365 ausgerichtet.
Mimecast Email Security
Mimecast
Schutz für Microsoft 365, Google Workspace und On-Premises-Mailserver gegen BEC, Spam, Malware, Ransomware und Phishing.
Wahlweise läuft der gesamte eingehende Verkehr zuerst über das Mimecast-Gateway, oder die Anbindung erfolgt per API ohne MX-Änderung.
Prüfung jeder Nachricht, jedes Anhangs und jeder URL; Sandboxing, Schutz beim Klick und Bilderkennung gegen gefälschte Marken- und Anmeldeseiten.
Kontextbezogene Warnbanner in Nachrichten; Integrationen mit SIEM, XDR und weiteren Plattformen für den Austausch von Bedrohungsdaten.
Continuity, DMARC Analyzer, Security Awareness Training und Archivierung auf derselben Plattform.
Organisationen mit gemischten oder lokalen Mailsystemen, die Schutz, Archiv und Ausfallsicherheit bündeln.
Gateway und API-Modus, dazu Continuity und Archiv auf einer Plattform.
E-Mail-Verschlüsselung ist auf der geprüften Produktseite nicht beschrieben.
FortiMail
Fortinet
Schutz gegen Phishing, BEC, Impersonation, Account Takeover und KI-gestützte Angriffe für lokale und Cloud-Mailsysteme.
Cloud-Mailanbieter werden über Gateway- oder Graph-API-Modelle abgesichert; für Google Workspace, Microsoft 365 und Exchange Online gibt es Echtzeit-Scan und Rückholung (Clawback).
Bedrohungsdaten von FortiGuard Labs und KI-basierte Inline-Malware-Prevention; Integration mit FortiSandbox für die Analyse von Anhängen.
Anbindung an FortiSIEM und FortiSOAR zur Automatisierung von Reaktionen innerhalb der Security Fabric.
Hardware-Appliances für den Eigenbetrieb, Betrieb in privaten und öffentlichen Clouds oder als FortiMail Cloud SaaS; überwacht sensible Daten und verschlüsselt ausgehende E-Mails.
Organisationen mit eigenem Mailserver oder Fortinet-Umgebung, die E-Mail-Schutz selbst betreiben oder als Dienst beziehen.
Wahl zwischen Appliance, Cloud-Betrieb und API-Anbindung.
DMARC-Verwaltung und Link-Prüfung beim Klick sind auf der geprüften Produktseite nicht ausdrücklich beschrieben.
Retarus Email Security
Retarus
Secure Email Gateway gegen Spam, Malware und Phishing für Mailsysteme unabhängig vom Hosting.
Einbindung als Gateway oder als ICES-Connector (Integrated Cloud Email Security) in Plattformen wie Microsoft 365, auch in hybriden Umgebungen.
Parallel arbeitende Engines erkennen Viren, Phishing, schädliche URLs und Executive-Impersonation vor der Zustellung.
Integration bestehender Drittkomponenten wie Verschlüsselungs- oder Sandboxing-Lösungen; Messaging-APIs führt Retarus als separates Angebot.
Modular erweiterbar um Continuity, Verschlüsselung, Archivierung (rechtskonform, bis zehn Jahre) und Policy Engine.
Organisationen, die E-Mail-Sicherheit aus Europa mit Archiv und Verschlüsselung modular aufbauen.
Gateway und ICES-Connector für hybride Umgebungen, modular erweiterbar.
Eine eigene Sandbox und DMARC-Verwaltung beschreibt die Seite nicht; Sandboxing wird über Drittlösungen integriert.
NoSpamProxy
Net at Work
E-Mail-Sicherheit mit Schutz gegen Malware, Ransomware und Spam, integrierter Verschlüsselung und Versand grosser Dateien, auch für Microsoft 365.
Betrieb wahlweise in der Cloud oder auf dem eigenen Server; die Suite fasst vier Module zusammen.
Absender-Reputationsanalyse, Content Disarm für Anhänge, Umschreiben und Deaktivieren schädlicher Links über URL Safeguard, CxO Fraud Detection und Sandboxing.
Verschlüsselung mit automatisierter Zertifikatsverwaltung und zentralem Disclaimer-Management.
Hersteller ist ein inhabergeführtes Unternehmen mit Sitz in Paderborn.
Organisationen mit erhöhten Sicherheits- und Compliance-Anforderungen, etwa im Gesundheitswesen, in der Industrie und im öffentlichen Sektor.
Filter, Link-Schutz und Verschlüsselung in einem Produkt, auch im Eigenbetrieb.
Eine API-Anbindung ohne MX-Änderung und DMARC-Verwaltung beschreibt die Startseite nicht.
TrendAI Vision One Email and Collaboration Security
TrendAI (vormals Trend Micro Enterprise)
Schutz für Microsoft 365, Exchange Online und Google Workspace sowie für lokale Mailsysteme, mit ScanMail Suite für Microsoft Exchange als verwandtem Produkt.
Teil der Plattform TrendAI Vision One mit KI-gestützter Erkennung und automatisierter Reaktion.
Schreibstilanalyse und Anomalieerkennung gegen Kontoübernahme und Zahlungsumleitung; Sandbox-Analyse gegen Zero-Day-Angriffe, BEC und Phishing.
Sicht auf Benutzerrisiken und Sicherheitsabläufe in der gemeinsamen Plattform.
Bewertung von E-Mails mit Textmodellen, die die riskantesten Nachrichten zuerst zur Prüfung vorlegen.
Organisationen mit TrendAI-Plattform, die E-Mail und Kollaboration in dieselbe Erkennung aufnehmen.
E-Mail-Signale fliessen in die gemeinsame Erkennungsplattform.
Bereitstellungsart (Gateway oder API), DMARC, Link-Prüfung beim Klick und Verschlüsselung sind auf der geprüften Seite nicht beschrieben.
Microsoft Defender for Office 365
Microsoft
Schutz von E-Mail und Kollaborationsfunktionen in Microsoft 365 vor Zero-Day-Malware, Phishing und BEC.
In Microsoft 365 eingebaut; Plan 1 umfasst einen Teil der Funktionen, Plan 2 ergänzt unter anderem Automated Investigation and Response, Threat Explorer und Angriffssimulation.
Anti-Phishing mit Benutzer- und Domain-Impersonation-Schutz und Mailbox Intelligence; Safe Attachments prüft Anhänge vor der Zustellung in einer virtuellen Umgebung (Detonation).
Safe Links scannt und schreibt URLs in eingehenden Nachrichten um und prüft sie beim Klick; SIEM-Anbindung über Defender-XDR- und Office-365-Management-APIs.
Die Prüfung von Anhängen dauert in der Regel bis zu 15 Minuten.
Organisationen auf Microsoft 365, die E-Mail-Schutz in Defender XDR und die bestehenden Lizenzen einbinden.
Schutz, Untersuchung und Reaktion direkt in Microsoft 365 und Defender XDR.
Schützt nur Microsoft 365; DMARC-Verwaltung und Verschlüsselung gehören nicht zu diesem Produkt, und scheitert in einzelnen Apps das Lesen der Safe-Links-Richtlinie, wird der Benutzer ohne Prüfung zum Link weitergeleitet.
Abnormal (Inbound Email Security)
Abnormal AI
Schutz gegen BEC, fortgeschrittenes Phishing, Lieferantenbetrug, Credential-Diebstahl und Kontoübernahme.
Anbindung per API in Minuten, ohne MX-Änderung; das System lernt jede Identität, Beziehung und Kommunikationsmuster.
Eine Verhaltens-Engine wertet tausende Signale aus und stoppt Angriffe, die Gateways durchlassen.
Native API-Integrationen mit Microsoft 365, Google Workspace, Okta, CrowdStrike sowie SIEM und SOAR; über 100 Integrationen.
Eine Konsole und ein Verhaltensmodell für alle angebundenen Oberflächen; Automatisierung entlastet das Analystenteam.
Organisationen auf Microsoft 365 oder Google Workspace, die BEC und Lieferantenbetrug zusätzlich zum bestehenden Schutz erkennen.
Verhaltensbasierte Erkennung von BEC und Betrug ohne Eingriff in den Mailfluss.
Gateway, Sandbox, Klickschutz, DMARC und Verschlüsselung beschreibt die Plattformseite nicht; das Produkt ergänzt einen Basisschutz.
Check Point Harmony Email & Collaboration
Check Point
Schutz von E-Mail und Kollaboration in Microsoft 365, Google Workspace, Teams, SharePoint, OneDrive und Slack.
Bereitstellung per API mit Wahl vom Monitor-Modus bis zur Inline-Prävention, ohne MX-Änderung; jede Nachricht wird vor dem Posteingang geprüft.
ThreatCloud AI analysiert Verhalten, Identität, Sprache und Anhänge gegen Phishing, BEC und Malware; Schutz vor schädlichen Prompts für KI-Assistenten, die E-Mails verarbeiten.
DLP, DMARC gegen Domain-Spoofing, Security Awareness Training und Erkennung kompromittierter Konten auf derselben Plattform.
Eine KI-native Plattform für E-Mail, Dateifreigabe und Cloud-Anwendungen.
Organisationen auf Microsoft 365 oder Google Workspace, die E-Mail und Kollaborationswerkzeuge gemeinsam absichern.
Prüfung vor der Zustellung trotz API-Anbindung, inklusive Kollaborationsplattformen.
Sandbox, Link-Prüfung beim Klick und Verschlüsselung sind auf der geprüften Seite nicht ausdrücklich beschrieben.
Barracuda Email Protection
Barracuda
E-Mail-Schutzplattform mit Anwendungsfällen Domain Fraud Protection (DMARC), E-Mail-Verschlüsselung, Archivierung, Backup und Incident Response.
API-first-Bereitstellung, die sich ohne MX-Änderung mit Microsoft 365 oder Google Workspace verbindet.
Verhaltensbasierte Erkennung von Kontoübernahmen; das Risiko zugestellter Nachrichten wird laufend neu bewertet.
Agentische Rückholung entfernt Bedrohungen nahezu in Echtzeit aus allen Postfächern.
Manipulationssichere Archivierung für Compliance und Datensicherung für die Wiederherstellung.
Organisationen auf Microsoft 365 oder Google Workspace, die Schutz, Archiv und Backup aus einer Hand beziehen.
Schutz, Archiv und Backup in einer API-basierten Plattform.
Gateway, Sandbox, BEC-Schutz und Klickschutz beschreibt die Übersichtsseite nicht ausdrücklich; Verschlüsselung und DMARC sind nur als Anwendungsfälle genannt.
SEPPmail Secure E-Mail Gateway (und SEPPmail.cloud)
SEPPmail
E-Mail-Verschlüsselung und -Signatur «made in Switzerland» über ein Secure E-Mail Gateway.
Verfahren S/MIME, OpenPGP, Domain-Verschlüsselung zwischen SEPPmail-Gateways und GINA für Empfänger ohne eigene Schlüssel.
Integrierte PKI verwaltet S/MIME-Zertifikate; Konnektoren zu ausgewählten CAs erzeugen Zertifikate für interne Benutzer automatisch.
Managed Domain Service veröffentlicht die öffentlichen Schlüssel teilnehmender Gateways über einen Schlüsselserver; Angebote für Microsoft 365, Large File Transfer und Signaturverwaltung laut Produktnavigation.
Schlüsselverwaltung ohne Aufwand für die Benutzer; TLS ergänzt als Transportverschlüsselung.
Organisationen, die vertrauliche E-Mails Ende-zu-Ende verschlüsseln müssen, etwa mit Partnern ohne eigene Infrastruktur.
Mehrere Verschlüsselungsverfahren inklusive Lösung für Empfänger ohne Zertifikat.
Spam-, Malware- und Phishing-Filter beschreibt die geprüfte Seite nicht; für Bedrohungsabwehr ist ein weiteres Produkt nötig.
Valimail Enforce
Valimail
DMARC-Durchsetzung für die eigenen Domains mit Sicht auf alle Dienste, die im Namen der Organisation senden.
Automatisiert die Verwaltung von DKIM-, SPF- und DMARC-Einträgen; Funktionsumfang und Leistung variieren laut Seite je Konfiguration, Bereitstellungsmodell und Dienststufe.
Legitime Absender lassen sich mit einem Klick authentisieren, unbekannte Absender werden sichtbar und blockierbar.
Unterstützt BIMI; Partnerschaft mit Microsoft 365 mit API-Integration.
DMARC-Berichte in Echtzeit und eigene Authentisierungsregeln.
Organisationen, die DMARC-Durchsetzung erreichen und die wachsenden Anforderungen grosser Mailanbieter an Absender erfüllen müssen.
Automatisierte Pflege der DNS-Einträge auf dem Weg zur DMARC-Durchsetzung.
Schützt die eigenen Domains vor Missbrauch, filtert aber keine eingehenden Nachrichten.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Cisco Secure Email (Gateway und Threat Defense): Produktseite beschreibt Threat Defense mit Gateway- und API-Modus; Gateway, Sandbox und Verschlüsselung dort nicht ausreichend belegt
- Sophos Email, Ironscales, Sublime Security: weitere Gateway- bzw. API-Lösungen
- Google Workspace (Gmail-Schutz): in die Plattform eingebauter Schutz
- dmarcian, EasyDMARC, Red Sift OnDMARC: weitere DMARC-Spezialisten
- Zertificon Z1 SecureMail: E-Mail-Verschlüsselung aus Deutschland
Einführung
in Etappen.
- Domain-Schutz zuerst: SPF, DKIM und DMARC sauber setzen und DMARC schrittweise von p=none über quarantine auf reject führen.
- Erkennung im Mailflow oder per API anbinden und eine Probephase mit Monitoring statt Blockierung fahren.
- Meldeknopf, Triage und Rückruf zugestellter Nachrichten aus allen Postfächern als geübten Ablauf einrichten.
- Zahlungsänderungen nie allein per E-Mail freigeben: Rückruf über eine bekannte Nummer als Prozessregel verankern.
- Zeit von der ersten Meldung bis zum Entfernen aus allen Postfächern
- Meldequote der Mitarbeitenden bei echten und simulierten Phishing-Mails
- Anteil eigener Domains mit DMARC quarantine oder reject
ISO/IEC 27001:2022 Annex A 8.7 (Schutz gegen Schadsoftware) und 5.14 (Informationsübertragung).
NIS2 Art. 21 nennt Cyberhygiene und Schulung als Mindestmassnahmen; grosse Mail-Provider verlangen für Massenversender seit 2024 DMARC.
Ein gutes Filterprodukt verhindert BEC nicht allein. Betrug mit echten, kompromittierten Konten fällt erst über Verhaltensanomalien und Zahlungsprozesse auf.
Mehr als ein Filter.
MFA reduziert die Wirkung gestohlener Zugangsdaten. ITDR erkennt Identitätsmissbrauch. DLP kontrolliert Datenabfluss. Incident Management steuert die Reaktion.
- Neue oder kompromittierte Absender können Prüfungen passieren.
- Zu aggressive Regeln blockieren legitime Geschäftsprozesse.
- Teste BEC, QR-Phishing, schädliche Anhänge und Rückruf zugestellter Nachrichten inklusive Verantwortung für Ausnahmen.
Security Tool Navigator · Gebiet 04
Im Gebiet Endpoint und Workspace Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Endpoint und Workspace Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.