Am Freitag wurde bekannt, dass Unbekannte in ein Mailkonto der Heilbronner CDU eingedrungen sind. Von dort verschickten sie Phishing-Nachrichten an rund 6500 Kontakte — an Ministerien, an politische Adressen, an die Redaktion der Nachrichtenagentur dpa und an Bundeskanzler Friedrich Merz. Zahlreiche Empfänger arbeiten laut Bericht in sicherheitsrelevanten Bereichen.
Der Inhalt war eine Einladung zu einer Veranstaltung mit prominenten Gästen, mit einem Link darin.
Was nicht bekannt ist
Vorweg, weil der Rest sonst falsch gelesen wird: Wie die Angreifer in das Konto kamen, ist nicht bekannt. Die Polizei hat auf Nachfragen dazu bislang nicht geantwortet — auch nicht darauf, welche Daten abgegriffen werden sollten.
Dieser Beitrag handelt deshalb nicht vom Hergang. Er handelt von dem, was unabhängig davon gilt — und was uns als Hoster täglich begegnet.
Die Mail war technisch einwandfrei
Wir haben vor gut einem Jahr erklärt, was SPF, DKIM und DMARC tun, und seither mehrfach darauf aufgebaut. Kurz gefasst prüfen die drei Verfahren:
SPF — kam die Mail von einem Server, der für diese Domain senden darf?
DKIM — trägt sie eine gültige Signatur der Domain, wurde sie unterwegs nicht verändert?
DMARC — passen beide zusammen zur Absenderadresse, und was soll geschehen, wenn nicht?
Jetzt legen Sie diese drei Fragen auf eine Mail, die jemand aus einem übernommenen Konto verschickt.
Sie kommt vom richtigen Server. Sie trägt die richtige Signatur. Die Absenderadresse stimmt, weil es die echte ist.
Alle drei Prüfungen sagen: in Ordnung. Und sie haben recht damit.
Der Unterschied, auf den es ankommt
Diese Verfahren prüfen die Herkunft einer Nachricht. Sie prüfen nicht ihre Absicht.
Das ist keine Schwäche, sondern Arbeitsteilung. SPF, DKIM und DMARC wurden gebaut, um eine bestimmte Sache zu verhindern: dass jemand Fremdes im Namen Ihrer Domain schreibt. Das tun sie zuverlässig.
Nur ist das hier nicht der Fall. Hier schreibt jemand aus Ihrem Haus — er gehört bloss nicht dazu.
Das Muster kennen wir aus einem anderen Zusammenhang. Anfang Oktober ging es hier um eine Einstellung, auf die man sich verlässt und die ins Leere lief. Hier ist es ähnlich: Ein Schutz greift, aber nicht in diesem Fall — und wer ihn für das Falsche hält, fühlt sich sicherer, als er ist.
Warum diese Mails so gut funktionieren
Zwei Dinge kommen zusammen.
Der Absender stimmt. Die Empfänger kennen ihn, haben vielleicht schon mit ihm zu tun gehabt. Keine Warnung des Mailprogramms, kein Hinweis im Betreff, kein Eintrag im Spam-Ordner. Die üblichen Merkmale — falsche Domain, seltsame Schreibweise, unbekannter Name — fehlen alle.
Der Anlass passt. Eine Veranstaltungseinladung aus einem Parteibüro ist nichts Auffälliges. Niemand stutzt. Das ist deutlich besser gemacht als die übliche Paketbenachrichtigung.
Dazu kommt der Zugriff auf das Adressbuch. Wer die Kontakte kennt, kennt auch die Beziehungen — und schreibt an die richtigen Leute das Richtige.
Was ein Betrieb daraus mitnehmen kann
Erstens: Das eigene Konto ist das Ziel, nicht nur der Weg. Ein übernommenes Mailkonto ist mehr wert als die Daten darin, weil es als Absender Vertrauen mitbringt, das kein Angreifer selbst aufbauen kann. Deshalb lohnt sich der Aufwand, es zu schützen — eine zweite Anmeldestufe ist die wirksamste einzelne Massnahme, die ein kleiner Betrieb dafür ergreifen kann.
Zweitens: Beim Empfangen hilft kein technisches Merkmal mehr. Wenn die Mail jede Prüfung besteht, bleibt nur der Inhalt. Die Frage lautet dann nicht «ist der Absender echt», sondern «ergibt diese Bitte Sinn». Ein Link, eine Datei, eine Zahlungsaufforderung, eine Anmeldeseite — bei allem, was eine Handlung verlangt, zählt der Rückruf unter der bekannten Nummer mehr als jede Absenderprüfung.
Darüber haben wir vor zwei Wochen geschrieben: Nicht der Klick ist das Risiko, sondern die Handlung, zu der jemand überredet wird. Dieser Fall ist die Bestätigung — nur eben ohne jedes technische Warnzeichen.
Drittens: Wenn es das eigene Konto trifft, zählt die Geschwindigkeit. Betroffene Empfänger erfahren vom Missbrauch am ehesten vom Absender selbst. Wer merkt, dass aus seinem Postfach etwas verschickt wurde, sollte nicht warten, bis geklärt ist, wie es dazu kam — sondern zuerst die Empfänger warnen und das Passwort ändern.
Wenn Sie wissen wollen, wie es um die Absicherung Ihrer Postfächer steht: Das sehen wir mit Ihnen durch.