Wie Phishing an einem Secure Email Gateway vorbeikommt
Ein Secure Email Gateway (SEG) ist oft die erste Verteidigungslinie gegen Phishing: Es filtert Spam, Malware und bekannte schädliche Absender, bevor die Post das Postfach erreicht. Es stoppt enorme Mengen mühelos gestarteter Angriffe. Doch Angreifer entwerfen gezielt, um es zu umgehen, und diese Techniken konzeptionell zu verstehen, hält die menschliche Schicht scharf für das, was durchkommt.
Was ein SEG prüft — und was nicht
Ein Gateway bewertet Nachrichten im Moment der Zustellung anhand von Absenderreputation, Authentifizierungsergebnissen, Inhaltssignaturen, Anhang-Sandboxing und URL-Analyse. Seine strukturelle Schwäche ist einfach: Es inspiziert die Nachricht einmal, meist von außen und meist zum Zustellzeitpunkt. Alles Folgende nutzt eine dieser Einschränkungen aus.
Vertrauenswürdige Absender: interne und kompromittierte Konten
Das wirksamste Phishing kommt oft gar nicht von außen.
- Versand über kompromittierte Konten. Sobald ein Angreifer ein echtes Postfach kontrolliert — etwa über AiTM-Session-Diebstahl —, kommt sein Phishing von einem legitimen, authentifizierten internen Absender. SPF, DKIM und DMARC bestehen alle, weil die Post tatsächlich von Ihrer Domain stammt.
- Kompromittierung von Lieferanten und Lieferkette. Das bereits auf der Allowlist stehende Konto eines vertrauten Partners ist ein Startpunkt mit hoher Reputation.
Diese Nachrichten reiten auf Beziehungen, denen das SEG per Konfiguration vertraut — genau deshalb landen sie.
Die Nutzlast vor Content-Scannern verstecken
Rein bildbasierte E-Mails
Die gesamte Nachricht ist ein einziges gerendertes Bild ohne scannbaren Text. Signatur- und Schlüsselwortfilter finden nichts zum Abgleich; der Mensch sieht eine überzeugende Rechnung oder Mitteilung mit einer Telefonnummer oder einem QR-Code, auf die zu reagieren ist.
QR-Code-Phishing (Quishing)
Der bösartige Link ist in einem QR-Bild kodiert statt als anklickbare URL. Das Gateway sieht ein Bild, keinen Link, und das Opfer scannt es mit einem privaten Handy, das oft ganz außerhalb der Unternehmens-Webfilterung und der MFA-Kontrollen liegt.
HTML-Smuggling
Die E-Mail oder der Anhang trägt harmlos aussehendes Markup, das die echte Nutzlast im Browser zusammensetzt, nach der Zustellung — das Gateway inspiziert also eine unverdächtige Datei und lässt sie durch. Die Rekonstruktion geschieht am Endpunkt, jenseits der E-Mail-Inspektion.
Das Scannen zum Zustellzeitpunkt aushebeln
Verzögerte Bewaffnung von URLs
Ein Link wird bei Zustellung gescannt und als sauber befunden, weil er in diesem Moment auf eine harmlose Seite zeigt. Stunden später tauscht der Angreifer das Ziel gegen die Phishing-Nutzlast. Das SEG hat sein Urteil längst gefällt und ist weitergezogen.
09:00 Link → harmlose Platzhalter-Seite → SEG-Urteil: sauber, zugestellt
13:00 gleicher Link → aktive Phishing-Seite → Opfer klickt
Benign-first- und getarnte Seiten
Selbst zum Klickzeitpunkt kann die Seite automatisierten Scannern harmlosen Inhalt liefern und den echten Köder nur gezielten Opfern — mit Geofencing, Referer-Prüfungen und CAPTCHA-Toren, um die beiden zu trennen.
Ein SEG trifft eine Zeitpunkt-Entscheidung über eine Nachricht, die Angreifer nach der Entscheidung ändern können. Diese Zeitlücke ist kein Fehler eines Produkts — sie steckt im Filtern von Post zum Zustellzeitpunkt.
Warum die menschliche Schicht weiter zählt
Nichts davon heißt, dass das SEG versagt. Es heißt, dass ein Gateway ein probabilistischer Filter in einer Kette ist und der Rest — die Post, die gezielt gebaut wurde, um ihn zu passieren — per Definition der überzeugendste ist. Dieser Rest erreicht einen Menschen.
Eine geschulte, skeptische, meldende Belegschaft ist die Kontrolle genau dort, wo die Garantien des SEG enden:
- Sie fängt die intern wirkende Post, die sauber authentifiziert wurde.
- Sie widersteht dem QR-Code, den das Gateway nie als Link geparst hat.
- Sie meldet den verzögert bewaffneten Link, der bei Zustellung sauber war.
Jede Meldung ist zudem ein Live-Signal, auf das Ihr SOC reagieren kann — um dieselbe Nachricht aus anderen Postfächern zu ziehen und die Verweildauer der Kampagne zu verkürzen. Schichten Sie das mit phishing-resistenter MFA, damit selbst ein erfolgreicher Zugangsdaten-Köder keine Anmeldung abschließen kann.
Wie GottaPhish hilft
Ein Secure Email Gateway stoppt enorme Mengen an Angriffen, doch entschlossene Angreifer entwerfen gezielt, um daran vorbeizuschlüpfen — und kein Filter allein fängt alles, was das Postfach erreicht. GottaPhish und sein Expertenteam messen genau die Szenarien, die ein SEG überleben — Versand über kompromittierte und intern wirkende Konten, Quishing, rein bildbasierte Köder und verzögert bewaffnete Links — durch autorisierte, voll auditierte Simulationen, sodass Sie sehen, welche Mitarbeitenden reagieren, welche melden und wie schnell. Unsere Fachleute helfen Ihnen, realistische Szenarien zu entwerfen, die Kampagnen auszurollen und die Dashboards zu deuten, und machen aus jeder Kampagne gezielte Schulung und konkrete Erkennungssignale für Ihr SOC. Das stärkt die menschliche Schicht genau dort, wo die Technik an ihre Grenzen stößt.