Was ist das?
E-Mail Spoofing bezeichnet die Fälschung der Absenderadresse oder anderer Kopfzeilen einer E-Mail, um dem Empfänger einen falschen Absender vorzutäuschen. Da das Simple Mail Transfer Protocol (SMTP) von Natur aus keine integrierte Authentisierung vorsieht, können Angreifer die Header- oder Envelope-Daten einer Nachricht manipulieren.
Ohne zusätzliche Sicherheitsmaßnahmen merkt der Empfänger nicht, dass die Nachricht aus einer anderen Quelle stammt.
Header- und Envelope-Daten einfach erklärt
Header-Daten: Der sichtbare „Briefkopf“ einer E-Mail.
Die Header enthalten Metadaten wie:
From: chef@firma.de
To: mitarbeiter@firma.de
Subject: Dringende Zahlung
Date: ...
Reply-To: ...
Received: ...
Ein Teil davon ist für den Empfänger sichtbar – beispielsweise From, To oder Subject.
Envelope-Daten: Der technische „Briefumschlag“ der E-Mail.
Diese Informationen werden während der Zustellung zwischen Mailservern verwendet:
MAIL FROM:
RCPT TO:Diese Daten sieht der normale Empfänger in seinem Mailprogramm meist nicht.
Wichtig: Der technische Envelope-Absender kann sich vom sichtbaren Absender unterscheiden.
Envelope:
MAIL FROM: zahlung@fremde-domain.com
Header:
From: chef@firma.deDas Mailprogramm zeigt dem Empfänger möglicherweise nur:
Von: chef@firma.deTechnisch wurde die Nachricht jedoch mit einer anderen Envelope-Adresse eingeliefert.
Wie funktioniert das?
Die Analogie
Angreifer nutzen Schwachstellen im E-Mail-Protokoll: Beim Versand einer Nachricht prüft der Mailserver meist nur, wer der Empfänger ist – der Absender kann dagegen frei eingetragen werden. Viele E-Mail-Programme erlauben sogar beliebige Absenderangaben.
Durch dieses Maskieren können Kriminelle vertrauenswürdige Namen oder Domains nutzen und Empfänger täuschen.
Legitimer Newsletter-Versand funktioniert ähnlich: Ein Unternehmen nutzt einen externen Dienst, möchte aber als Absender die eigene Adresse anzeigen. Spoofing ermöglicht dies.
Merke
Beim Spoofing fälscht der Angreifer oft den sichtbaren Header:
From: chef@firma.deDadurch wirkt die E-Mail, als käme sie vom Chef oder von einer vertrauenswürdigen Firma.
Der tatsächliche technische Versandweg kann aber etwas anderes zeigen.
Envelope = Umschlag
Header = Briefkopf
Inhalt = eigentliche NachrichtEin Angreifer kann also auf den Briefkopf schreiben:
Absender: ChefDer Poststempel oder technische Prüfungen zeigen jedoch, dass der Brief gar nicht wirklich vom Chef stammt.
Aus der Praxis
Gefälschte CEO-Mail
Eine Mitarbeiterin erhält eine Mail, die angeblich vom Geschäftsführer kommt. Im From-Feld steht chef@firma.de, der Betreff lautet „Dringende Überweisung“. Im Text wird sie aufgefordert, schnell 5.000 € an ein Konto zu überweisen.
In Wirklichkeit stammt die Nachricht aus einem Botnetz; der Angreifer hat lediglich den Absender gefälscht.
Gefälschter Dienstleister
Ein Service-Team erhält eine E-Mail von support@firma-service.de mit dem Betreff „Rechnung/Zahlungsproblem“.
Der Mailtext verweist auf eine fällige Rechnung und enthält einen Anhang Rechnung.pdf. Der Dateiname und der Absender wirken plausibel, tatsächlich handelt es sich jedoch um einen Phishing-Angriff mit Schadsoftware.
Warum ist das relevant?
- Vertrauensmissbrauch: Spoofing-Mails unter dem Namen von Chefs, Kollegen oder Behörden erschüttern das Vertrauen. Opfer geben vertrauliche Daten preis oder tätigen unberechtigte Zahlungen.
- Finanzieller Schaden & Datenverlust: Gefälschte Zahlungsanweisungen führen zu Geldverlust, gefälschte Mails mit Trojanern können Kundendaten oder Login-Daten ausspähen.
- Leichter Missbrauch durch SMTP-Schwäche: Da SMTP keine Absenderauthentifizierung kennt, ist Spoofing relativ einfach umzusetzen. Kriminelle nutzen diese Lücke massenhaft für Phishing und Business-E-Mail-Compromise.
Schutz, Umgang und Bedeutung im Alltag
Technische Schutzmaßnahmen
-
E-Mail-Authentisierung implementieren:
Setzen Sie
SPF,>DKIMundDMARCein. Diese Standards legitimieren Server, signieren Nachrichten kryptografisch und definieren, wie mit nicht authentifizierten Mails umgegangen wird. -
Mailserver richtig konfigurieren:
FQDN-Prüfung beimEHLO/HELO-Check sowie Reverse-Lookups reduzieren Spoofing. Unsichere Nachrichten können in Quarantäne verschoben und analysiert werden. -
Absenderprüfung mit Signaturen:
Nutzen Sie
S/MIMEoderOpenPGP, um die Echtheit des Absenders digital nachzuweisen.
Verhaltenstipps im Alltag
- Absenderadresse prüfen: Achten Sie auf Buchstabendreher oder unbekannte Domains. Öffnen Sie keine Anhänge oder Links, wenn Zweifel bestehen.
- 4-Augen-Prinzip anwenden: Lassen Sie Zahlungsaufträge oder sensible Anfragen immer gegenprüfen. Rufen Sie den vermeintlichen Absender über bekannte Kontaktdaten an.
- Misstrauisch bei Dringlichkeit: Phishing-Mails arbeiten häufig mit Zeitdruck und ungewöhnlichen Bitten. Solche Nachrichten sollten gemeldet oder ignoriert werden.
Hinweis: E-Mail-Spoofing ist in Deutschland strafbar (§263 StGB – Betrug, §202a StGB – Ausspähen von Daten). Das BSI und twelve net empfehlen Betreibern von Mailservern die konsequente Umsetzung von SPF, DKIM und DMARC sowie die Sensibilisierung der Mitarbeitenden.