Das Postfach als Geschäftsprozess: Warum KMU E-Mail-Sicherheit organisatorisch denken sollten
Text: pd/stz.
BEC zeigt das Problem sehr deutlich. Täter imitieren eine Führungskraft, einen Lieferanten oder einen bekannten Geschäftspartner und platzieren eine Zahlungsaufforderung in einem Kontext, der plausibel wirkt. Der Text muss nicht perfekt sein. Er muss nur gut genug zu einem echten Prozess passen.
Leader Digital hat im Beitrag darüber, wenn der Klick zur Katastrophe führt, genau diese Verbindung zwischen Social Engineering und internen Prozessen thematisiert. Für Unternehmen ist daraus eine praktische Konsequenz ableitbar: Eine ungewöhnliche Zahlung sollte nicht allein aufgrund einer glaubwürdig formulierten Nachricht ausgelöst werden.
Ein zweiter Kanal schafft Sicherheit. Eine neue Bankverbindung lässt sich telefonisch über eine bereits bekannte Nummer bestätigen. Eine dringende Überweisung der Geschäftsleitung kann über den internen Freigabeprozess geprüft werden. Je klarer diese Regeln vor einem Vorfall definiert sind, desto weniger muss ein Mitarbeitender in einer Stresssituation improvisieren.
Das Postfach braucht dieselbe Governance wie andere Systeme
Unternehmen investieren in Zugriffsrechte für ERP, Buchhaltung und Cloud-Speicher. Beim Postfach bleibt es dagegen manchmal bei Passwort plus Gewohnheit.
Dabei enthält es Verträge, Personalinformationen, Kundenkorrespondenz und oft die Möglichkeit, Passwörter anderer Dienste zurückzusetzen. Wer Zugriff auf ein geschäftliches Postfach erhält, gewinnt deshalb nicht nur Einsicht in Nachrichten, sondern häufig einen Einstieg in weitere Systeme.
Ein sauberes Rollenmodell beginnt bei banalen Fragen. Wer braucht welches Postfach? Was passiert beim Austritt eines Mitarbeitenden? Gibt es Funktionsadressen, die nicht an eine einzelne Person gebunden sind? Wie werden Weiterleitungen und Stellvertretungen geregelt?
Das Bundesamt für Cybersicherheit stellt für Unternehmen und Privatpersonen Hinweise zu Cyberrisiken, Meldewegen und aktuellen Angriffsmustern bereit. Solche offiziellen Informationen sind besonders wertvoll, weil sie nicht an ein bestimmtes Produkt gebunden sind.
Verschlüsselung ist wichtig, aber nicht das einzige Kriterium
Bei der Auswahl eines Dienstes für Email wird häufig über Speicherort und Verschlüsselung gesprochen. Das ist berechtigt. Proton nutzt Zero-Access-Verschlüsselung für im Postfach gespeicherte Nachrichten und Ende-zu-Ende-Verschlüsselung zwischen Proton-Konten. Nachrichten an externe Anbieter sind nicht automatisch Ende-zu-Ende verschlüsselt. Dafür stehen je nach Fall zusätzliche Verfahren wie passwortgeschützte Nachrichten oder PGP zur Verfügung.
Für ein KMU sollte die Entscheidung trotzdem breiter ausfallen. Benutzerverwaltung, Wiederherstellung, Mehrfaktor-Authentifizierung, mobile Nutzung, Archivierung und die Einbindung in bestehende Prozesse sind ebenfalls relevant.
Ein sicherer Dienst, den das Team falsch verwendet, ist kein guter Zustand. Ebenso wenig hilft eine perfekte Richtlinie, wenn niemand weiss, wo sie liegt.
Der Ernstfall entscheidet sich vor dem Ernstfall
Ein kompromittiertes Konto verlangt schnelle Entscheidungen. Passwort ändern, aktive Sitzungen prüfen, betroffene Personen informieren, Weiterleitungsregeln kontrollieren und feststellen, welche Daten oder Prozesse berührt wurden. Ohne vorbereitete Zuständigkeiten verliert ein Unternehmen Zeit.
Deshalb lohnt sich ein kleiner Ablaufplan. Nicht als hundertseitiges Handbuch, sondern als klare Reihenfolge mit Ansprechpartnern. Wer sperrt den Account? Wer prüft Zahlungsprozesse? Wer kommuniziert mit Kunden? Wann wird ein externer IT-Partner beigezogen?
Auch Übungen müssen nicht gross sein. Eine simulierte verdächtige Zahlungsanweisung kann bereits zeigen, ob Mitarbeitende wissen, welchen Kanal sie zur Verifikation verwenden sollen.
Die wirksamsten Schutzmassnahmen wirken selten spektakulär. Ein zweiter Freigabeschritt, ein sauberer Offboarding-Prozess, ein eigenes Passwort und Zwei-Faktor-Authentifizierung reduzieren die Zahl der Situationen, in denen einzelne Mitarbeitende unter Druck eine Sicherheitsentscheidung treffen müssen.
E-Mail bleibt für KMU ein praktisches Werkzeug. Genau deshalb sollte das Postfach nicht als Nebenprodukt der IT behandelt werden, sondern als Teil der geschäftlichen Infrastruktur.
