Wie wir gefälschte CEO-E-Mails stoppen, bevor sie im Posteingang landen

Gefälschte CEO-E-Mails sollten unser Team in LINE-Gruppen locken. Zwei Microsoft 365-Regeln stellen sie nun vor der Zustellung unter Quarantäne.

Jemand hat Mitarbeitenden von LOGIQ E-Mails geschickt und sich dabei als unser CEO ausgegeben. Am 12. November 2026 haben wir in Microsoft 365 Nachrichtenflussregeln eingerichtet. Solche E-Mails werden jetzt unter Quarantäne gestellt, bevor sie einen Posteingang erreichen. Hier lesen Sie, was passiert ist, was wir eingerichtet haben und was andere Unternehmen übernehmen können.

Was passiert ist

Die E-Mails kamen von Adressen außerhalb von LOGIQ. Als Anzeigename des Absenders stand der Name unseres CEO, sodass die Nachricht auf den ersten Blick von ihm zu stammen schien. Die Bitte war immer dieselbe: eine Gruppe in LINE, einer Messaging-App, anlegen und den QR-Code oder Einladungslink zurückschicken.

In der E-Mail selbst wurde weder nach Geld noch nach Passwörtern gefragt. Genau das ist der Trick. Die E-Mail muss Sie nur auf einen Kanal bringen, auf dem unsere E-Mail-Sicherheit das Gespräch nicht mehr sehen kann. Die eigentliche Forderung (meist eine Zahlung, der Kauf von Geschenkkarten oder vertrauliche Dateien) folgt erst danach.

Warum diese Masche funktioniert

Sie setzt auf drei Gewohnheiten, die die meisten von uns haben.

• Wir lesen den Namen, nicht die Adresse. Die meisten Mail-Programme zeigen zuerst den Anzeigenamen und verbergen die tatsächliche Adresse. Bei einem kostenlosen E-Mail-Konto kann jeder einen beliebigen Anzeigenamen festlegen.
• Wir sagen Ja zum Chef. Eine kurze, leicht dringende Nachricht vom CEO lädt nicht zu Rückfragen ein.
• Die erste Bitte wirkt harmlos. Eine Chatgruppe anzulegen scheint eine Kleinigkeit zu sein. Doch sobald das Gespräch die Firmen-E-Mail verlässt, können Ihre Filter, Protokolle und Kollegen es nicht mehr sehen.

Was wir eingerichtet haben

Wir haben in Microsoft 365 zwei Nachrichtenflussregeln (auch Transportregeln genannt) hinzugefügt. Sie laufen auf dem Server, bevor eine Nachricht einen Posteingang erreicht, sodass niemand den Betrug selbst erkennen muss.

Regel	Was sie erkennt	Was passiert
Imitation des Anzeigenamens	E-Mails von außerhalb von LOGIQ, deren Absender-Anzeigename unsere Geschäftsleitung imitiert, in lateinischer und japanischer Schreibweise	Quarantäne; jeder Fall wird der Geschäftsleitung gemeldet
Umlenkung auf andere Kanäle	E-Mails von außerhalb von LOGIQ, die das Gespräch in eine Chat-App verlagern wollen, etwa mit der Bitte um einen QR-Code oder Einladungslink für eine LINE-Gruppe	Quarantäne

Die Logik der ersten Regel ist einfach. Unsere Geschäftsleitung sendet Anweisungen nur von @logiqlinux.com-Adressen. Eine externe E-Mail mit dem Namen unseres CEO ist daher per Definition betrügerisch, und es gibt keinen Grund, sie zuzustellen.

Nachrichten in Quarantäne werden 30 Tage aufbewahrt. Wird versehentlich eine echte Nachricht abgefangen, kann ein Administrator sie freigeben.

Der Faktor Mensch

Filter fangen die meisten Versuche ab, aber nicht alle. Deshalb gehört zu den Regeln eine klare Richtlinie, die alle bei LOGIQ kennen:

• Die Geschäftsleitung erteilt Anweisungen nur über interne Firmenkanäle, niemals von einer externen E-Mail-Adresse.
• LOGIQ bittet niemanden, Geschäftliches in eine private Chatgruppe zu verlagern.
• Wenn eine verdächtige Nachricht durchkommt, handeln Sie nicht danach. Melden Sie sie, und wir verschärfen die Regeln.

Eine solche Richtlinie macht die Entscheidung für Mitarbeitende einfach. Niemand muss beurteilen, ob sich eine Nachricht echt „anfühlt“. Verstößt sie gegen die Regel, ist sie gefälscht.

Was andere Unternehmen tun können

Das lässt sich an einem Nachmittag einrichten. Unsere Empfehlungen:

1. Stellen Sie externe E-Mails mit den Namen Ihrer Führungskräfte unter Quarantäne. Legen Sie in Microsoft 365 eine Nachrichtenflussregel an: Der Absender ist außerhalb der Organisation, und der Anzeigename im Feld „Von“ enthält den Namen einer Führungskraft. Berücksichtigen Sie jede Schreibweise und Schrift, die Ihre Mitarbeitenden wiedererkennen würden.
2. Stellen Sie Versuche unter Quarantäne, Gespräche aus der E-Mail heraus zu verlagern. Erfassen Sie Formulierungen, die nach Einladungen in Chatgruppen, QR-Codes oder privaten Messaging-Konten fragen, und beschränken Sie die Regel auf externe Absender.
3. Quarantäne statt Löschen. So können versehentlich abgefangene Nachrichten freigegeben werden, und Sie behalten die Beweise.
4. Leiten Sie jeden Treffer an jemanden weiter, der handelt. Ein plötzlicher Anstieg der Treffer ist ein Frühwarnzeichen dafür, dass Ihr Unternehmen ins Visier genommen wird.
5. Halten Sie schriftlich fest, wie die Geschäftsleitung tatsächlich kommuniziert. Ein Satz („Anweisungen kommen nur von Firmenadressen, über interne Kanäle“) gibt Mitarbeitenden einen einfachen Test.
6. Aktivieren Sie auch die integrierten Schutzfunktionen. Kennzeichnen Sie externe Absender mit einem Warnhinweis und aktivieren Sie den Identitätswechselschutz in Ihrer Anti-Phishing-Richtlinie, sofern Ihre Lizenz ihn umfasst.
7. Halten Sie Ausnahmen gering und geheim. Jeder ausgenommene Absender ist eine Lücke. Überprüfen Sie die Liste regelmäßig und veröffentlichen Sie sie nie.

Fazit

CEO-Betrug braucht kein Hacking, nur einen überzeugenden Anzeigenamen und einen Grund, das Gespräch woandershin zu verlagern. Serverseitige Regeln nehmen der Person, die die E-Mail liest, diese Entscheidung ab, und eine klare Richtlinie deckt alles ab, was die Regeln übersehen.

Möchten Sie Unterstützung beim Einrichten von Nachrichtenflussregeln oder bei der Überprüfung Ihrer E-Mail-Sicherheit? Kontaktieren Sie das LOGIQ-Team.

Photo: Anete Lusina / Pexels