E-Mail-Sicherheit 2025: Schutz vor Phishing & Spam

Eine einzige unachtsam geöffnete E-Mail kann reichen, um ein ganzes Unternehmen lahmzulegen.

Phishing-Mails werden durch KI immer besser. Logos, Sprache und Absender wirken täuschend echt. Klassische Spam-Filter kommen hier an ihre Grenzen.

In diesem Leitfaden erklären wir, wie moderne E-Mail-Sicherheit 2025 aussieht – von technischen Maßnahmen wie SPF/DKIM/DMARC und Microsoft Defender for Office 365 bis zu Mitarbeiterschulungen.

Das erwartet Sie in diesem Artikel:

Aktuelle Bedrohungslage bei E-Mails
Authentifizierung mit SPF, DKIM und DMARC
Microsoft Defender for Office 365 im Überblick
Mitarbeiterschulung und Prozesse
HELITS-Praxisbeispiel aus dem Mittelstand

Warum E-Mail 2025 noch immer das Haupteinfallstor ist

Trotz moderner Collaboration-Tools läuft der Großteil der geschäftlichen Kommunikation weiterhin über E-Mail. Angreifer nutzen das konsequent aus.

•Phishing: Gefälschte Absender, angebliche Rechnungen, Paketbenachrichtigungen
•Business E-Mail Compromise (BEC): Vortäuschen von Chef/Finanzleiter zur Anweisung von Überweisungen
•Malware-Anhänge: ZIP-Dateien, Office-Dokumente mit Makros, PDFs
•Link-basierte Angriffe: Links zu gefälschten Login-Seiten (Microsoft 365, Banken)
•Spam & Graymail: Fluten von Postfächern, Ablenkung von wichtigen Nachrichten

Statistik

Laut BSI beginnen über 90 % der erfolgreichen Cyberangriffe mit einer E-Mail. Ein Großteil davon wäre mit technischen Maßnahmen und Schulungen vermeidbar.

SPF, DKIM und DMARC: Der technische Rahmen

Diese drei Standards sorgen dafür, dass empfangende Mailserver prüfen können, ob E-Mails wirklich von Ihrem Mailserver stammen und ob Angreifer Ihre Domain missbrauchen.

•SPF (Sender Policy Framework): Legt fest, welche Server E-Mails für Ihre Domain versenden dürfen.
•DKIM (DomainKeys Identified Mail): Signiert E-Mails kryptografisch, um Manipulation zu erkennen.
•DMARC: Legt Richtlinien fest, wie Empfänger mit fehlerhaften SPF/DKIM-Mails umgehen sollen (none/quarantine/reject).

DMARC-Reporting

Über DMARC-Reports sehen Sie, wer E-Mails im Namen Ihrer Domain versendet – ein wichtiger Schritt zur Erkennung von Missbrauch.

Microsoft Defender for Office 365: Schutz in der Cloud

Für Microsoft-365-Kunden ist Defender for Office 365 ein zentraler Baustein der E-Mail-Sicherheit.

•Safe Attachments: Öffnet Anhänge in einer isolierten Umgebung (Sandbox), bevor sie den Nutzer erreichen.
•Safe Links: Prüft Links in E-Mails und Dokumenten beim Klicken – auch zeitverzögerte Angriffe werden erkannt.
•Anti-Phishing-Richtlinien: Schützen vor gefälschten Absendern und CEO-Fraud.
•Anti-Spam: Mehrstufige Filter gegen Spam und Massenmails.
•Berichte und Auswertungen: Transparenz über blockierte Angriffe.

Mitarbeiter als letzte Verteidigungslinie

Selbst die beste Technik ist nicht unfehlbar. Geschulte Mitarbeiter erkennen verdächtige E-Mails und melden sie, statt zu klicken.

•Regelmäßige, kurze Awareness-Schulungen (online oder vor Ort)
•Simulierte Phishing-Kampagnen mit Auswertung
•Einfache Meldewege (z.B. "Verdächtige E-Mail melden"-Button in Outlook)
•Positive Fehlerkultur statt Schuldzuweisungen
•Leitfäden mit Beispielen echter Angriffe aus dem eigenen Umfeld

HELITS-Awareness-Programme

Wir kombinieren technische Maßnahmen mit pragmatischen Schulungen für Mitarbeiter – speziell zugeschnitten auf KMU im Berchtesgadener Land.

Prozesse und Richtlinien: Was tun im Verdachtsfall?

Neben Technik und Schulung brauchen Sie klare Prozesse.

•Definierte Kontaktstellen in der IT bzw. bei HELITS
•Checklisten: Was tun bei verdächtigen Anhängen/Links?
•Dokumentationspflicht bei Sicherheitsvorfällen
•Abstimmung mit Datenschutzbeauftragten (DSGVO)
•Regelmäßige Überprüfung und Aktualisierung der Richtlinien

📋 HELITS-Praxisbeispiel: Phishing-Angriff frühzeitig erkannt

Kunde:

Steuerkanzlei (15 Mitarbeiter, Bad Reichenhall)

Herausforderung:

Mitarbeiter erhielten täuschend echt wirkende Mails angeblich von Microsoft, die zur Passwortänderung aufforderten.

Lösung:

HELITS implementierte SPF/DKIM/DMARC, Microsoft Defender for Office 365 (Plan 2) und führte ein Awareness-Training mit simulierten Phishing-Mails durch.

Ergebnis:

Mehrere reale Phishing-Mails wurden von Mitarbeitern korrekt erkannt und gemeldet. Bis heute kein erfolgreicher E-Mail-basierten Angriff.

Fazit

E-Mail bleibt 2025 der wichtigste Kommunikationskanal – und zugleich das größte Einfallstor für Angriffe. Mit SPF/DKIM/DMARC, Microsoft Defender und geschulten Mitarbeitern können Sie das Risiko massiv senken.

Die wichtigsten Erkenntnisse:

Technische Maßnahmen und Schulungen gehören zusammen.
SPF/DKIM/DMARC sind Pflicht für jede Unternehmensdomain.
Microsoft Defender for Office 365 bietet starken Schutz für M365-Kunden.
Klare Prozesse im Verdachtsfall verhindern Panik und Fehler.
Regelmäßige Überprüfung der Konfiguration ist wichtig, z.B. bei neuen Systemen.

Häufig gestellte Fragen

Brauchen wir wirklich DMARC? SPF reicht doch, oder?

SPF allein reicht nicht. DMARC sorgt dafür, dass der empfangende Server weiß, wie er mit E-Mails umgehen soll, die SPF oder DKIM nicht bestehen. Außerdem liefern DMARC-Reports wertvolle Informationen über Missbrauch Ihrer Domain.

Ist Microsoft Defender for Office 365 in jeder Lizenz enthalten?

Nein. Einige Grundfunktionen sind in Business- und Enterprise-Plänen enthalten, der volle Funktionsumfang (Plan 1/2) ist in bestimmten Lizenzen inkludiert oder als Add-on verfügbar. Wir prüfen gern, was Sie aktuell haben.

Reichen Standard-Spamfilter meines Providers nicht aus?

Für private Nutzung oft ja, für Unternehmen in der Regel nicht. Moderne Phishing-Kampagnen umgehen einfache Filter – hier braucht es spezialisierte E-Mail-Security-Lösungen und angepasste Richtlinien.

Wie oft sollten wir Mitarbeiterschulungen durchführen?

Wir empfehlen mindestens einmal jährlich eine Grundschulung plus regelmäßige kurze Impulse (z.B. quartalsweise) und gelegentliche simulierte Phishing-Kampagnen.

Können Sie unsere E-Mail-Sicherheit remote prüfen?

Ja. Viele Einstellungen (DNS, Microsoft 365, Security-Konfiguration) können wir remote analysieren und verbessern – auf Wunsch mit anschließendem Vor-Ort-Workshop für die Mitarbeiter.

E-Mail-Sicherheitscheck

Wir prüfen Ihre aktuelle E-Mail-Sicherheitskonfiguration und zeigen konkrete Verbesserungsmöglichkeiten.

Sicherheitscheck anfragen

E-Mail-Sicherheit 2025: So schützen Sie Ihr Unternehmen vor Phishing & Spam