Gehacktes Mailkonto: Was der CDU-Fall für KMU bedeutet
Was passiert ist
Nach der Meldung von heise Security sind Angreifer in das E-Mail-Konto der Heilbronner CDU eingedrungen. Von diesem Konto aus verschickten sie Tausende Phishing-Nachrichten. Zu den Empfängern gehörte auch Bundeskanzler Friedrich Merz.
Mehr gibt die Zusammenfassung der Quelle nicht her, und mehr sollte man auch nicht hineinlesen. Wir wissen nicht, auf welchem Weg die Täter an den Zugang gekommen sind. Wir kennen den Inhalt der Mails nicht im Detail, und wir wissen nicht, wie viele Empfänger tatsächlich reagiert haben. Der Ablauf selbst ist aber bekannt und lässt sich gut einordnen: Zuerst wird ein echtes Konto übernommen. Dann nutzen die Angreifer genau dieses Konto, um andere anzuschreiben.
Das ist ein Unterschied, den viele unterschätzen. Bei einer gewöhnlichen Phishing-Welle kommen die Mails von irgendeiner fremden Adresse, die oft schon auf den ersten Blick komisch aussieht. Hier kommen sie von einer Adresse, die tatsächlich zu der Organisation gehört, die sie vorgibt zu sein. Jeder Filter und jeder Empfänger sieht erst einmal einen legitimen Absender.
Warum ein vertrauenswürdiger Absender so gefährlich ist
Phishing funktioniert, weil Menschen Mails von bekannten Absendern grundsätzlich glauben. Das ist keine Dummheit, sondern normales Verhalten im Arbeitsalltag. Wer täglich Dutzende Mails bekommt, prüft nicht bei jeder einzelnen die Kopfzeilen. Er verlässt sich auf den Absendernamen, auf den Ton und auf den Zusammenhang.
Ein gekapertes Konto liefert alle drei Signale gratis mit. Der Absender stimmt, die Domain stimmt, und häufig auch das Thema, weil Angreifer auf bestehende Unterhaltungen aufsetzen oder an Adressbücher kommen, die das Konto ohnehin gespeichert hat. Ein Spamfilter, der auf fremde oder unbekannte Absender achtet, hat dann wenig Anhaltspunkte. Gerade bei Empfängern, die das Konto schon kennen, rutschen solche Nachrichten oft durch.
Dazu kommt ein Skalierungseffekt. Ein übernommenes Konto kann in kurzer Zeit sehr viele Nachrichten verschicken, ohne dass die Angreifer eine eigene Infrastruktur aufbauen müssen. Sie benutzen die Reputation, die sich die Organisation über Jahre aufgebaut hat. Dass die Mails in diesem Fall bis zum Bundeskanzler gelangten, zeigt, wie breit gestreut so ein Versand sein kann. Es ist bemerkenswert, aber für den Mittelstand nicht der entscheidende Punkt. Entscheidend ist: Auch Ihr Postfach hat eine Reputation, und die lässt sich missbrauchen.
Wie ein Mailkonto überhaupt in fremde Hände gerät
Zum konkreten Einbruchsweg in Heilbronn liefert die Meldung keine Angaben. Deshalb bleiben wir bei dem, was in der Praxis erfahrungsgemäß am häufigsten vorkommt. Es gibt im Wesentlichen vier Wege.
Der erste ist das gestohlene Passwort. Jemand fällt auf eine Phishing-Seite herein, die wie eine Anmeldemaske aussieht, und tippt dort seine Zugangsdaten ein. Der zweite ist die Wiederverwendung: Dasselbe Passwort steckt bei einem anderen Dienst, der irgendwann gehackt wurde, und die Täter probieren die Kombination bei Ihrem Mailanbieter durch. Der dritte ist ein zu schwaches oder erratenes Passwort, besonders bei Sammelpostfächern wie info@ oder kontakt@, die sich mehrere Personen teilen und die deshalb niemand richtig verantwortet. Der vierte sind alte Zugänge: ehemalige Mitarbeiter, ausgediente Testkonten oder Postfächer, die niemand mehr nutzt, aber noch aktiv sind.
Gemeinsam ist allen vier Wegen, dass ein einziger Faktor genügt, nämlich das Passwort. Genau hier setzen die wirksamsten Gegenmaßnahmen an, auf die wir weiter unten kommen.
Was ein gekapertes Postfach im Unternehmen anrichten kann
Man neigt dazu, so einen Vorfall als Imageproblem zu sehen: Peinlich, wenn aus dem eigenen Haus Phishing verschickt wird. Das stimmt, greift aber zu kurz. Für ein kleines oder mittleres Unternehmen kann ein übernommenes Konto in mehrere Richtungen weh tun.
Zunächst die Kunden und Lieferanten. Wenn Ihre Domain Phishing verschickt, landen Ihre Mails danach womöglich dort, wo niemand sie sieht. Empfangsserver stufen eine Absenderdomain nach auffälligem Verhalten herab. Rechnungen, Angebote und Terminbestätigungen kommen dann nicht mehr an, und das merkt man oft erst, wenn sich ein Kunde wundert, warum er nie etwas bekommen hat.
Dann das Vertrauen. Wer von Ihnen eine Mail mit einem gefährlichen Link bekommt, wird künftig misstrauisch. Im ungünstigen Fall klickt jemand und hat selbst ein Problem. Dann steht Ihr Name im Raum, und Sie müssen erklären, was passiert ist.
Drittens die Daten im Postfach selbst. Ein Mailkonto ist meist ein kleines Archiv: Verträge, Preise, Personalthemen, Zugangsdaten, die jemand mal per Mail geschickt hat, und Passwort-zurücksetzen-Links für andere Dienste. Wer ins Postfach kommt, kann sich oft von dort aus weiterhangeln, weil viele Konten über die hinterlegte Mailadresse zurückgesetzt werden können.
Viertens die Rechtslage. Sobald personenbezogene Daten betroffen sein können, stellt sich die Frage nach Meldepflichten nach der Datenschutz-Grundverordnung. Das ist kein Thema, das man im Ernstfall in Ruhe nebenbei klärt. Je besser vorbereitet, desto weniger Hektik.
Und schließlich der Betrug, der am meisten Geld kostet: Mit Zugriff auf ein echtes Konto lassen sich Rechnungen manipulieren oder Zahlungsaufforderungen glaubhaft versenden. Eine Mail "vom Chef" oder "von der Buchhaltung" aus dem echten Postfach ist deutlich überzeugender als eine gefälschte.
Schutzschicht 1: Den Zugang absichern
Die wichtigste Einzelmaßnahme ist die Zwei-Faktor-Anmeldung, auch Zwei-Faktor-Authentifizierung oder kurz 2FA genannt. Sie sorgt dafür, dass ein gestohlenes Passwort allein nicht mehr ausreicht. Zusätzlich braucht es einen zweiten Nachweis, etwa einen Code aus einer Authenticator-App oder einen Hardware-Schlüssel.
Dazu ein paar Hinweise aus der Praxis. Aktivieren Sie 2FA für alle Mailkonten, nicht nur für die der Geschäftsführung. Angreifer suchen sich den schwächsten Zugang, und der gehört selten dem Chef. Bevorzugen Sie Authenticator-Apps oder Sicherheitsschlüssel vor SMS-Codes. SMS ist besser als nichts, aber anfälliger. Und schalten Sie, wo es möglich ist, ältere Anmeldeverfahren ab, die 2FA umgehen. Manche Mailsysteme erlauben weiterhin Zugriffe über Protokolle, die keinen zweiten Faktor abfragen. Wer 2FA einschaltet, aber diese Hintertür offen lässt, hat nur den Eindruck von Sicherheit.
Zweitens: Passwörter. Jedes Konto braucht ein eigenes, langes Passwort. Ein Passwortmanager nimmt den Mitarbeitern die Last ab, sich Dutzende Zeichenfolgen zu merken. Das klingt banal, ist aber der Unterschied zwischen "eine Datenpanne bei einem fremden Dienst betrifft uns nicht" und "plötzlich sind alle Konten offen".
Drittens: Aufräumen. Gehen Sie einmal alle Postfächer durch. Welche gibt es, wer nutzt sie, wer verantwortet sie? Konten ehemaliger Mitarbeiter gehören deaktiviert, Sammelpostfächer brauchen einen klaren Verantwortlichen, und Weiterleitungen sollten Sie prüfen. Eine versteckte Weiterleitung nach außen ist eine typische Spur, die Angreifer nach einer Übernahme legen, damit sie auch ohne Zugang weiter mitlesen.
Wenn Sie das nicht selbst im Haus leisten können oder wollen, ist das genau die Art von Arbeit, die ein externer Partner für IT-Sicherheit übernehmen kann: Bestandsaufnahme, Härtung und eine saubere Dokumentation, wer auf was Zugriff hat.
Schutzschicht 2: SPF, DKIM und DMARC richtig einordnen
In unserem Blickwinkel auf diese Meldung gehören SPF, DKIM und DMARC dazu, und das zu Recht. Aber hier lohnt sich eine ehrliche Einordnung, weil diese Verfahren oft mehr versprochen bekommen, als sie halten können.
Kurz erklärt: SPF legt fest, welche Server im Namen Ihrer Domain Mails versenden dürfen. DKIM versieht ausgehende Mails mit einer digitalen Signatur, mit der der Empfänger prüfen kann, dass die Nachricht auf dem Weg nicht verändert wurde und tatsächlich von Ihrer Domain stammt. DMARC verknüpft beides und sagt dem Empfänger, was er mit Mails tun soll, die die Prüfung nicht bestehen: nichts weiter tun, in den Spam sortieren oder ganz abweisen. Außerdem liefert DMARC Berichte darüber, wer in Ihrem Namen Mails verschickt.
Das schützt wirksam gegen eine bestimmte Sorte Angriff, nämlich gegen gefälschte Absender. Wenn jemand eine Mail verschickt, die so aussieht, als käme sie von ihrefirma.de, aber von einem fremden Server stammt, kann eine konsequente DMARC-Richtlinie diese Mail beim Empfänger abfangen. Für Ihre Kunden und Partner ist das ein echter Gewinn, und auch für Ihren Ruf.
Gegen ein gekapertes Konto hilft es dagegen nicht. Das liegt in der Natur der Sache: Wenn die Angreifer sich ganz regulär an Ihrem Mailserver anmelden und über ihn versenden, kommen die Mails tatsächlich von einem erlaubten Server und sind korrekt signiert. SPF, DKIM und DMARC bestehen sie problemlos. Aus Sicht dieser Verfahren ist alles in Ordnung.
Das heißt nicht, dass die Verfahren überflüssig sind. Es heißt, dass sie ein anderes Problem lösen als 2FA. Man braucht beides: die Anmeldung absichern, damit niemand ins Konto kommt, und die Domain absichern, damit niemand Ihre Absenderadresse fälscht. Wer nur eines davon macht, hat eine Lücke.
Für die Einführung ein pragmatischer Tipp: Starten Sie bei DMARC mit der Richtlinie "none" und werten Sie die Berichte aus. So sehen Sie, welche Dienste legitim in Ihrem Namen versenden, etwa Newsletter-Tool, Shop-System oder CRM. Erst wenn alles sauber zugeordnet ist, ziehen Sie die Richtlinie über "quarantine" bis zu "reject" an. Wer sofort auf "reject" geht, riskiert, dass eigene, rechtmäßige Mails verloren gehen.
Schutzschicht 3: Klare Meldewege und ein geübtes Verhalten
Technik fängt vieles ab, aber nicht alles. Die letzte Instanz ist der Mensch am Bildschirm, und der braucht dafür zwei Dinge: ein Gefühl für Warnsignale und einen einfachen Weg, Verdächtiges zu melden.
Zum Gefühl: Misstrauen sollte ein Muster auslösen, nicht nur ein Absender. Zeitdruck ist ein klassisches Muster, ebenso die Aufforderung, sich anzumelden, obwohl man gar nichts angefordert hat. Auch ungewöhnliche Bitten sind ein Warnsignal, etwa eine neue Bankverbindung oder ein Link zu einem "geteilten Dokument", das man nicht erwartet hat. Und gerade weil die Absenderadresse in so einem Fall echt sein kann, gilt der Grundsatz: Bei Unstimmigkeiten rufen Sie den Absender über einen anderen Kanal an, mit einer Nummer, die Sie schon haben, nicht mit der aus der Mail.
Zum Meldeweg: Legen Sie fest, wohin ein Mitarbeiter verdächtige Mails weiterleitet oder wen er anruft. Das kann eine eigene Adresse wie sicherheit@ sein oder eine benannte Person. Wichtig ist, dass die Hürde niedrig ist und dass niemand Angst haben muss, sich zu blamieren. Ein Mitarbeiter, der meldet "Ich glaube, ich habe vorhin auf einen Link geklickt", ist Gold wert, solange das früh passiert. Ein Mitarbeiter, der sich schämt und schweigt, kostet Sie am Ende viel mehr.
Genau diese Meldekultur entscheidet im Ernstfall über Stunden. Wenn klar ist, dass ein Konto auffällig geworden ist, können Sie das Passwort ändern, die Sitzungen beenden und die Empfänger warnen, bevor aus einer Welle ein Flächenbrand wird.
Wenn es passiert ist: die ersten Schritte
Sie sollten den Ablauf kennen, bevor Sie ihn brauchen. Eine mögliche Reihenfolge, die sich bewährt hat:
Zuerst das betroffene Konto sperren oder das Passwort ändern und alle aktiven Sitzungen beenden. Danach den zweiten Faktor prüfen, denn manchmal haben Angreifer ein eigenes Gerät als vertrauenswürdig hinterlegt. Dann die Postfachregeln und Weiterleitungen kontrollieren, weil dort gern versteckte Regeln liegen, die Mails automatisch umleiten oder löschen. Anschließend klären, was versendet wurde und an wen, und die betroffenen Empfänger kurz und sachlich warnen. Parallel prüfen Sie, ob personenbezogene Daten betroffen sein könnten und ob eine Meldung an die Aufsichtsbehörde nötig ist. Schließlich dokumentieren Sie den Vorfall, damit Sie später nachvollziehen können, was wann geschehen ist.
Zwei Dinge sind dabei wichtig. Erstens: Setzen Sie nicht nur das eine Passwort zurück, sondern fragen Sie sich, wo es sonst noch verwendet wurde. Zweitens: Gehen Sie davon aus, dass andere Konten ebenfalls betroffen sein könnten, wenn dieselbe Phishing-Kampagne mehrere Mitarbeiter erreicht hat. Wenn Sie hier Unterstützung brauchen, auch kurzfristig und aus der Ferne, kann eine Fernwartung im Ernstfall die schnellste Hilfe sein.
Was das für den Mittelstand bedeutet
Der Fall aus Heilbronn betrifft auf den ersten Blick eine politische Organisation. Der Mechanismus dahinter ist aber derselbe, der auch Handwerksbetriebe, Händler, Kanzleien und Dienstleister trifft. Ein Postfach, ein schwacher Zugang, und plötzlich läuft Schadsoftware oder Betrug im Namen des Unternehmens. Gerade kleinere Betriebe haben dafür oft keine Ansprechperson, weil "die IT" nebenbei vom Büroleiter oder einem Familienmitglied betreut wird.
Dazu kommt der regulatorische Rahmen. Wer als Zulieferer oder Dienstleister für größere Kunden arbeitet, bekommt zunehmend Sicherheitsanforderungen weitergereicht. Ob Ihr Unternehmen selbst unter die Pflichten der NIS-2-Richtlinie fällt oder nur indirekt betroffen ist, klären Sie am besten gezielt, zum Beispiel über unsere Seite zu NIS2 & IT-Sicherheit. Unabhängig davon gilt: Abgesicherte Mailkonten sind eine Grundvoraussetzung, die bei fast jedem Sicherheitsfragebogen auftaucht.
Hier die konkreten Handlungsempfehlungen, nach Dringlichkeit sortiert:
Diese Woche:
1. Zwei-Faktor-Anmeldung für alle Mailkonten einschalten, beginnend bei Geschäftsführung, Buchhaltung und Sammelpostfächern.
2. Alle Postfächer auflisten, ungenutzte und ehemalige Konten deaktivieren, Weiterleitungen und Postfachregeln prüfen.
3. Einen Meldeweg festlegen und allen Mitarbeitern per Kurzmitteilung bekannt machen: Wohin mit verdächtigen Mails, wen anrufen?
Diesen Monat:
4. SPF, DKIM und DMARC für Ihre Domain prüfen und einrichten. Mit DMARC "none" starten, Berichte lesen, dann schrittweise verschärfen.
5. Passwortmanager einführen und doppelt verwendete Passwörter ersetzen.
6. Eine kurze Schulung oder ein Gespräch im Team: Woran erkennt man Phishing, auch wenn der Absender stimmt? Zwei, drei echte Beispiele wirken besser als eine lange Präsentation.
Laufend:
7. Für Zahlungsänderungen und ungewöhnliche Bitten eine feste Regel einführen: Rückfrage über einen zweiten Kanal, immer.
8. Den Ablauf für den Ernstfall aufschreiben und einmal durchspielen, inklusive der Frage, wer wen informiert.
9. Wenn Ihr Mailbetrieb bei einem Anbieter liegt, den Sie selbst verwalten, regelmäßig Updates und Zugriffsprotokolle prüfen oder diese Aufgabe an einen Partner geben. Bei uns erledigt das im Rahmen von Managed Hosting der Betrieb, einschließlich der Härtung des Mailservers.
Noch ein Wort zur Verhältnismäßigkeit. Sie müssen nicht alles auf einmal umsetzen und nicht alles perfekt. Die Zwei-Faktor-Anmeldung und ein aufgeräumter Kontenbestand bringen den größten Teil des Nutzens, und beides ist an einem Nachmittag erledigt. Alles Weitere baut darauf auf.
Häufige Fragen
Reicht ein gutes Passwort, damit mein Mailkonto sicher ist?
Nein, ein gutes Passwort ist wichtig, aber es kann trotzdem abgegriffen werden, etwa über eine gefälschte Anmeldeseite oder über eine Datenpanne bei einem anderen Dienst. Erst die Zwei-Faktor-Anmeldung sorgt dafür, dass ein gestohlenes Passwort allein nichts nützt. Beides zusammen ist der Mindeststandard.
Schützen SPF, DKIM und DMARC davor, dass mein Konto gehackt wird?
Nein, diese Verfahren verhindern, dass Dritte Ihre Absenderadresse fälschen. Wird dagegen ein echtes Konto übernommen, laufen die Mails über Ihren eigenen Server und bestehen alle drei Prüfungen. Deshalb brauchen Sie beides: einen geschützten Zugang und eine sauber konfigurierte Domain.
Woran merke ich, dass mein Konto übernommen wurde?
Typische Hinweise sind Rückmeldungen von Empfängern zu Mails, die Sie nie geschrieben haben, unerklärliche Zustellfehler, fremde Anmeldungen in den Zugriffsprotokollen oder Postfachregeln, die Sie nicht angelegt haben. Wenn auch nur eines davon auftritt, sollten Sie sofort das Passwort ändern, aktive Sitzungen beenden und die Weiterleitungen prüfen.
Muss ich einen solchen Vorfall melden?
Das hängt davon ab, ob personenbezogene Daten betroffen sein könnten. Wenn ja, kann nach der Datenschutz-Grundverordnung eine Meldung an die Aufsichtsbehörde nötig sein, und zwar innerhalb kurzer Fristen. Klären Sie das am besten mit Ihrem Datenschutzbeauftragten oder einem Berater, am besten schon vor dem Ernstfall.
Was kostet es, die Mailkonten eines kleinen Betriebs abzusichern?
Der Aufwand ist meist überschaubar: Zwei-Faktor-Anmeldung und Kontenbereinigung sind in der Regel an einem Tag erledigt, SPF, DKIM und DMARC in wenigen Stunden Arbeit plus Beobachtungsphase. Teuer wird es erst, wenn ein Vorfall eintritt. Eine konkrete Zahl hängt von Ihrer Mailumgebung ab, deshalb lohnt sich ein kurzes Gespräch zur Bestandsaufnahme.
Reicht es, wenn die Mitarbeiter einfach vorsichtig sind?
Vorsicht hilft, ist aber kein Ersatz für Technik. Wenn Phishing von einem echten, bekannten Absender kommt, fällt auch aufmerksamen Menschen der Betrug nicht auf. Die Kombination aus technischem Schutz, klaren Meldewegen und einem offenen Umgang mit Fehlern ist deutlich verlässlicher als Appelle an die Aufmerksamkeit.