Phishing-Abwehr-Checkliste — Verifizieren, bevor Sie einer E-Mail vertrauen

Zielsetzung

Entscheiden Sie in Minuten, ob eine verdächtige E-Mail ein Phishing-Versuch ist — und dämmen Sie sie ein, bevor jemand klickt, antwortet oder Anmeldedaten teilt. Das Ergebnis ist ein Urteil + Eindämmungsmaßnahme, nicht nur ein Etikett.

Wann verwenden

Führen Sie diese Checkliste aus, wenn eine E-Mail eines von Folgendem zeigt: unerwarteter Absender, Dringlichkeits- oder Angstsprache, Aufforderung zu klicken oder Anmeldedaten einzugeben, ein nicht erwarteter Anhang oder eine Domäne, die einer legitimen nahekommt. Sie gilt auch proaktiv, bevor Sie auf eine Nachricht mit Links reagieren.

Voraussetzungen

• Zugriff auf die Roh-Nachricht (EML oder „Original anzeigen“-Export).
• Rein lokale Werkzeuge — fügen Sie vollständige Header oder Textkörper nicht in unbekannte Online-Dienste ein.
• Ein Ticket- oder Meldekanal (SOC-Postfach, Missbrauchspostfach, Chat des Sicherheitsteams).

Schritt-für-Schritt-Prüfungen

1. Absenderidentität

• Stimmt der From-Anzeigename mit der E-Mail-Adresse überein? (Anzeigenamen sind Freitext und können lügen.)
• Stimmt das Reply-To mit der From-Domäne überein? Ein abweichendes Reply-To leitet Antworten an den Angreifer um.
• Weicht der Return-Path / Envelope-Absender vom From-Header ab? Eine Abweichung ist ein Spoofing-Signal.
• Haben Sie den Absender über einen bekannten, separaten Kanal zur Verifizierung kontaktiert? Verifizieren Sie niemals innerhalb desselben Threads.

2. Header- & Authentifizierungssignale

• SPF (spf=pass/fail) — hat der sendende Server die Domänenrichtlinie bestanden?
• DKIM (dkim=pass/fail) — wurde die Nachricht von der behaupteten Domäne signiert?
• DMARC (dmarc=pass/fail) — hat die Ausrichtung gehalten, und welche Richtlinie hat die Domäne veröffentlicht?
• Ein oder mehrere Fehlschläge = starkes Spoofing-Signal. Pass bedeutet nicht, dass die Nachricht sicher ist — Angreifer nutzen kompromittierte oder ähnlich aussehende Domänen.
• Prüfen Sie die Received-Kette: ergibt der Pfad Sinn? Lücken oder ein einzelner Hop bei einer „wichtigen“ Nachricht sind verdächtig.

3. Domänen-Inspektion

• Prüfen Sie die angezeigte Domäne gegen das tatsächliche href-Ziel (mit der Maus darüberfahren, niemals klicken).
• Achten Sie auf Typosquatting: rnicrosoft, paypa1, zusätzliche Subdomains oder Domänen unter einer anderen TLD.
• Schlagen Sie die Domäne per DNS nach — ist SPF/DMARC veröffentlicht? Eine markenimitierende Domäne ohne diese Einträge ist ein Risikosignal.
• Prüfen Sie die Reputation der Domäne — ist sie neu registriert oder mit Spam-/Phishing-Historie verbunden?

4. URL-Inspektion

• Extrahieren Sie jeden Link und analysieren Sie die URL-Struktur (Protokoll, Host, Pfad, Query) mit einem lokalen Analyzer.
• Lehnen Sie die Nachricht ab, wenn die URL verschleiert ist: eingebettete Anmeldedaten, @ im Host, Roh-IP-Host oder verdächtige Fragmente.
• Öffnen Sie die URL niemals direkt auf einem verwalteten Asset. Öffnen Sie sie, wenn überhaupt, in einer isolierten oder gesandboxten Umgebung.

5. Anhänge & Indikatoren

• Behandeln Sie unerwartete Anhänge als feindlich, bis sie inspiziert sind; prüfen Sie den Datei-Hash.
• Extrahieren Sie Indikatoren (Absenderadresse, Domänen, URLs, Hashes) in eine strukturierte Liste.
• Prüfen Sie jeden Indikator gegen Reputations-/IOC-Abfragen und dokumentieren Sie die Quelle jedes Ergebnisses.

Was auf Risiko hindeutet

From/Reply-To/Return-Path-Abweichung, fehlgeschlagenes SPF/DKIM/DMARC, Absender mit frischer Domäne oder geringer Reputation, verschleierte URL-Muster, dringende Anmeldedaten-Aufforderungen oder ein Hash, der bekannten bösartigen Mustern entspricht.

Was normal ist

Ausrichtung zwischen From/Reply-To/Return-Path, bestandene Authentifizierung, eine konsistente Received-Kette und eine Domäne, die dem entspricht, was Sie in der Adressleiste des erwarteten Dienstes sehen.

Werkzeuge

• E-Mail-Header-Analyzer — Header lokal inspizieren, kein Upload.
• URL-Analyzer — eine URL-Struktur parsen, ohne sie abzurufen.
• URL-Reputation — einen Link vor dem Klicken gegen Intelligence prüfen.
• DNS-Abfrage — SPF/DMARC und Domäneneinträge verifizieren.
• IOC-Abfrage — extrahierte Indikatoren gegen bekannte Intelligence prüfen.
• Hash-Prüfung — Anhangs-Hashes verifizieren.

Beweise

Dokumentieren Sie je Nachricht: Auszug des Roh-Headers, From/Reply-To/Return-Path, SPF-/DKIM-/DMARC-Ergebnisse, inspizierte Domänen und URLs, Indikatorliste mit Abfrageergebnissen und Quellen sowie den Zeitstempel jeder Prüfung.

Eskalation

Eskalieren Sie sofort, wenn: Anmeldedaten eingegeben wurden, ein Link auf einem verwalteten Asset geklickt wurde, ein Anhang geöffnet wurde oder die Nachricht auf ein privilegiertes Konto zielte. Bewahren Sie die Roh-Nachricht (EML) unverändert für die Forensik auf.

Abschwächung

• Blockieren Sie Absender und Domäne am Gateway.
• Stellen Sie die Nachricht unter Quarantäne; informieren Sie Empfänger, die sie erhalten haben.
• Wenn Anmeldedaten möglicherweise offengelegt wurden: erzwingen Sie eine Passwortzurücksetzung und widerrufen Sie Sitzungen; prüfen Sie Anmeldeprotokolle.
• Wenn ein Link geklickt wurde: isolieren Sie das Gerät und beginnen Sie eine Untersuchung.

Verifikation

• Bestätigen Sie, dass die Nachricht blockiert/unter Quarantäne ist und kein Empfänger geklickt oder geantwortet hat.
• Verifizieren Sie die authentifizierungsbezogene Behebung (z. B. DMARC-Richtlinienlücken) mit Ihrem E-Mail-Administrator.
• Protokollieren Sie den Fall und das Ergebnis, damit Muster später korreliert werden können.

Starten Sie eine neue Untersuchung, um Befunde, Beweise und das Eindämmungsergebnis je Nachricht zu verfolgen.

Referenzen

• CISA — Secure Our World: Phishing
• CISA — Compromised Credentials Alert
• RFC 7489 — DMARC
• DMARC.org