Eine E-Mail vom vermeintlichen Geschäftsführer, eine geänderte Bankverbindung auf einer bekannten Rechnung oder eine Microsoft-365-Anmeldung, die angeblich sofort bestätigt werden muss: Mailbetrug trifft längst nicht nur große Konzerne. Gerade kleine und mittelständische Unternehmen sind interessant, weil Zahlungsfreigaben, Kundenkontakte und IT-Verantwortung oft bei wenigen Personen zusammenlaufen. Diese Fünf Schutzmaßnahmen gegen Mailbetrug reduzieren das Risiko spürbar – ohne dass Ihr Team erst Sicherheitsexperten werden muss.

Mailbetrug funktioniert selten über einen einzelnen technischen Fehler. Angreifer verbinden glaubwürdige Texte, Zeitdruck und kleine Unaufmerksamkeiten mit unzureichend geschützten Konten. Deshalb braucht es ein Zusammenspiel aus klaren Abläufen, guter Technik und Mitarbeitenden, die im entscheidenden Moment kurz innehalten.

Warum Mailbetrug im Mittelstand so häufig gelingt

Die betrügerischen Nachrichten wirken heute deutlich überzeugender als die bekannten Spam-Mails mit vielen Rechtschreibfehlern. Kriminelle nutzen öffentlich sichtbare Informationen von Websites, sozialen Netzwerken oder frühere Datenlecks. Sie kennen Namen von Ansprechpartnern, laufende Projekte oder wichtige Lieferanten und schreiben E-Mails, die zum Arbeitsalltag passen.

Besonders gefährlich sind sogenannte Business-E-Mail-Compromise-Angriffe. Dabei wird ein echtes Mailkonto übernommen oder eine Adresse täuschend ähnlich nachgebaut. Die Nachricht kann dann wie eine Weisung der Geschäftsführung, eine Zahlungsaufforderung eines Lieferanten oder eine Anfrage aus der Buchhaltung aussehen. Wer unter Zeitdruck handelt, übersieht leicht eine abweichende Domain, eine ungewöhnliche Formulierung oder eine neue Kontoverbindung.

Ein guter Schutz muss deshalb nicht jede einzelne betrügerische Mail erkennen. Er muss verhindern, dass ein einzelner Klick, ein gestohlenes Passwort oder eine unbestätigte Zahlungsänderung zum Schaden wird.

Fünf Schutzmaßnahmen gegen Mailbetrug

1. Mehrstufige Anmeldung für jedes Mailkonto einrichten

Ein Passwort allein reicht nicht mehr aus. Wird es durch eine gefälschte Anmeldeseite abgegriffen oder taucht es in einem Datenleck auf, können Angreifer damit direkt auf Postfächer, Kontakte und Dateien zugreifen. Die Mehrfaktor-Authentifizierung schützt hier mit einer zweiten Bestätigung, etwa über eine Authenticator-App oder einen Sicherheitsschlüssel.

Für Microsoft 365 sollte sie besonders für Geschäftsführung, Buchhaltung, Personalabteilung und Administrationskonten verbindlich sein. Sinnvoll ist jedoch eine Einführung für alle Mitarbeitenden. Ausnahmen schaffen genau die Lücken, die Angreifer suchen.

Wichtig ist die konkrete Umsetzung: Eine SMS-Bestätigung ist besser als keine zweite Abfrage, aber Authenticator-Apps oder physische Sicherheitsschlüssel sind meist die bessere Wahl. Mitarbeitende müssen außerdem wissen: Eine unerwartete Anmeldebestätigung darf nie einfach freigegeben werden. Sie kann bedeuten, dass gerade jemand versucht, das Passwort zu missbrauchen.

2. Zahlungsänderungen immer über einen zweiten Kanal prüfen

Die professionellste Betrugsmasche scheitert, wenn eine neue Bankverbindung nicht allein per E-Mail akzeptiert wird. Legen Sie daher einen einfachen, verbindlichen Prozess fest: Änderungen von Zahlungsdaten werden telefonisch über eine bereits bekannte Nummer geprüft – nicht über die Telefonnummer in der eingegangenen Mail.

Das gilt auch für angebliche Eilanweisungen der Geschäftsführung. Eine Nachricht wie „Bitte heute noch vertraulich überweisen“ soll Rückfragen verhindern. Genau dann ist eine Rückfrage erforderlich. Ein kurzer Anruf oder eine Bestätigung über einen festgelegten internen Kanal kostet wenige Minuten und kann hohe Verluste vermeiden.

Je nach Unternehmensgröße empfiehlt sich zusätzlich das Vier-Augen-Prinzip ab einer passenden Betragsgrenze. Es geht dabei nicht darum, jeden Einkauf unnötig zu verlangsamen. Für wiederkehrende Lieferanten mit geprüften Daten kann der Ablauf schlank bleiben. Bei neuen Kontoverbindungen, ungewöhnlichen Beträgen oder auffälligem Zeitdruck sollte die Kontrolle jedoch automatisch greifen.

3. Mitarbeitende mit echten Beispielen sensibilisieren

Technik filtert viele schädliche E-Mails, aber keine Lösung erkennt jede Nachricht zuverlässig. Die letzte Entscheidung trifft häufig der Mensch am Bildschirm. Schulungen sollten deshalb nicht bei allgemeinen Warnungen stehen bleiben, sondern typische Situationen aus Ihrem Arbeitsalltag zeigen: gefälschte Microsoft-365-Anmeldungen, Rechnungen mit manipulierten Kontodaten, angebliche Paketbenachrichtigungen oder E-Mails im Namen von Kunden.

Entscheidend ist eine Kultur, in der Nachfragen erwünscht sind. Niemand sollte befürchten, wegen einer verdächtigen Mail als unsicher oder langsam zu gelten. Im Gegenteil: Wer nachfragt, schützt das Unternehmen.

Kurze regelmäßige Hinweise funktionieren meist besser als ein langer Vortrag einmal im Jahr. Besprechen Sie beispielsweise in zehn Minuten, woran eine aktuelle Betrugsmasche zu erkennen ist. Eine simulierte Phishing-Mail kann zusätzlich zeigen, wo Unsicherheiten bestehen. Solche Tests sollten nicht dazu dienen, Mitarbeitende bloßzustellen. Sie liefern Anlass für praktische Hilfe und bessere Abläufe.

4. E-Mail-Schutz zentral konfigurieren und laufend überwachen

Ein professionell eingerichteter E-Mail-Schutz prüft Absender, Anhänge, Links und verdächtige Weiterleitungen, bevor eine Nachricht im Postfach landet. Auch technische Verfahren zur Prüfung der Absenderdomain helfen dabei, gefälschte Absenderadressen zu erkennen und den Missbrauch der eigenen Unternehmensdomain zu erschweren.

Bei Microsoft 365 stehen dafür verschiedene Sicherheitsfunktionen zur Verfügung. Welche Einstellungen sinnvoll sind, hängt von Ihrer Umgebung ab: Arbeiten Teams häufig mit externen Partnern, dürfen Schutzregeln den Austausch nicht unnötig blockieren. Zugleich sollten riskante Dateitypen, ungewöhnliche Anmeldeversuche und automatische Weiterleitungen ins Ausland nicht unbemerkt bleiben.

Besonders oft übersehen wird die Weiterleitungsregel im kompromittierten Postfach. Angreifer richten sie ein, um Angebote, Rechnungen oder interne Kommunikation mitzulesen. So können sie einen Betrug gut vorbereiten oder Antworten abfangen. Regelmäßige Kontrollen auffälliger Regeln, Anmeldungen und Berechtigungen gehören daher zur laufenden IT-Betreuung – nicht erst zum Einsatz nach einem Schaden.

5. Einen klaren Notfallablauf vorab festlegen

Wenn eine verdächtige Mail geöffnet, ein Passwort eingegeben oder eine falsche Überweisung ausgelöst wurde, zählt Geschwindigkeit. Ohne festen Ablauf entsteht leicht Hektik: Mitarbeitende löschen Nachrichten, ändern Passwörter unkoordiniert oder warten zu lange, weil sie den Fehler nicht zugeben möchten.

Legen Sie fest, wer intern sofort informiert wird und wer welche Entscheidungen treffen darf. Für einen akuten Verdacht sind vier Schritte besonders hilfreich:

• Das betroffene Gerät und Konto nicht weiter für sensible Vorgänge nutzen.
• Die IT-Betreuung oder den zuständigen Ansprechpartner umgehend informieren.
• Passwörter über einen sicheren Weg ändern und aktive Sitzungen prüfen lassen.
• Bei einer Überweisung sofort Bank und Zahlungsdienstleister kontaktieren.

Die genaue Reihenfolge kann je nach Vorfall abweichen. Bei einer verdächtigen E-Mail ohne Klick genügt häufig eine Meldung an die IT. Bei einem eingegebenen Passwort muss der Zugang sofort abgesichert und geprüft werden, ob bereits Regeln, Berechtigungen oder Anmeldedaten verändert wurden. Wurde Geld überwiesen, darf die technische Analyse die Kontaktaufnahme mit der Bank nicht verzögern.

Ein Notfallplan sollte außerdem regeln, wie Beweise gesichert werden. Die verdächtige Mail, Kopfzeilen, Zeitpunkte und betroffene Empfänger helfen bei der Analyse. Einfach löschen ist verständlich, aber oft nicht die beste erste Reaktion.

Schutz entsteht im Alltag, nicht erst nach dem Vorfall

Mailbetrug lässt sich nicht mit einer einzelnen Einstellung erledigen. Sichere Anmeldungen, klare Zahlungsprozesse, aufmerksame Mitarbeitende, gepflegte Schutzsysteme und ein geübter Notfallablauf greifen ineinander. Gerade für Unternehmen ohne eigene IT-Abteilung ist es sinnvoll, diese Aufgaben verbindlich zu organisieren, statt sie nebenbei im Tagesgeschäft mitlaufen zu lassen.

PAPE-IT unterstützt Unternehmen in Berlin und Brandenburg dabei, Microsoft-365-Umgebungen und E-Mail-Schutz verständlich einzurichten, Auffälligkeiten früh zu erkennen und im Ernstfall schnell zu handeln. Denn die beste Entlastung entsteht, wenn Ihre Mitarbeitenden wissen, was zu tun ist – und sich auf eine IT verlassen können, die sich kümmert, bevor aus einer Mail ein ernstes Problem wird.