Falsch adressierte Mails: Wenn Kundendaten ungewollt nach außen gehen
Sicherheitsforscher haben in zwei Jahren über 400.000 E-Mails mit sensiblen Unternehmensdaten abgefangen, die nie bei ihnen hätten ankommen dürfen. Das Einfallstor ist kein Hackerangriff, sondern ein simpler Fehler im E-Mail-Management.
Mehr als 400.000 E-Mails mit sensiblen Inhalten landeten in zwei Jahren bei einem Sicherheitsforscher, der sie nie hätte erhalten sollen. Kein Phishing, kein Angriff von außen. Die Unternehmen schickten die Daten schlicht selbst an die falsche Adresse. Das ist kein Einzelfall, sondern ein strukturelles Problem, das auch kleine Unternehmen direkt betrifft.
Wie das Problem entsteht
Der Sicherheitsforscher Cory Solovewicz besitzt die Domains "noreply.us" und "noreply.net". Viele Unternehmen und Privatpersonen nutzen solche Adressen als Platzhalter. Sie gehen davon aus, dass Mails an diese Adressen ins Leere laufen. Das stimmt nicht.
Solovewicz empfing seit Dezember 2024 über 400.000 solcher Nachrichten. Darunter waren mehr als 28.000 E-Mails mit Anhängen wie PDFs. Die Absender stammten von über 14.000 verschiedenen Adressen, verteilt auf mehr als 6.200 Domains.
Ein weiterer Forscher, Mike Sheward, kaufte die Domain "deleteduser.com". Seither erhält er Mails von über 100 verschiedenen Unternehmen. Der Grund: Diese Unternehmen löschen die E-Mail-Adressen ausgeschiedener Mitarbeitender nicht, sondern ändern sie lediglich ab. Die umgeleiteten Adressen zeigen dann auf Domains, die Dritte besitzen.
Was konkret in diesen Mails steckt
Sheward empfing Urlaubsanträge, Hotelbuchungen und sogar eine Meeting-Einladung einer britischen Regierungsbehörde. Solovewicz beschrieb den Eingang von Logindaten für Testplattformen und Reparaturanfragen mit persönlichen Angaben.
Das sind keine harmlosen Werbenachrichten. Es sind interne Geschäftsvorgänge, Personaldaten und Zugangsdaten, die unbemerkt bei Unbefugten ankommen.
Das technische Einfallstor: Catch-All-Domains
Solovewicz hat 7.136 Domains untersucht, die für diesen Zweck missbraucht werden könnten. Von diesen waren bereits 328 als sogenannte Catch-All-Adressen eingerichtet. Eine Catch-All-Domain nimmt alle eingehenden Mails an, unabhängig davon, was vor dem @-Zeichen steht.
Eigentlich dient dieses Verfahren dazu, Mails trotz Tippfehlern zuverlässig zuzustellen. In diesem Kontext bedeutet es: Jede Mail, die versehentlich an eine solche Domain geht, kommt dort an. Der Empfänger kann alle Inhalte lesen.
Sheward und Solovewicz haben sich zusammengetan. Sie erwarben gemeinsam mehr als 30 Domains, die sonst für solche Zwecke hätten missbraucht werden können. Die betroffenen Unternehmen wurden kontaktiert. Nur wenige reagierten mit konkreten Änderungen.
Was das für kleine Unternehmen bedeutet
Wer ein Team von wenigen Personen führt, wechselt Mitarbeitende. E-Mail-Adressen werden dabei häufig nicht sauber abgewickelt. Entweder bleibt das Konto aktiv, oder es wird auf eine interne No-Reply-Adresse umgeleitet. Beides kann riskant sein, wenn die Zieldomain nicht kontrolliert wird.
Hinzu kommt die DSGVO. Wer personenbezogene Daten von Kunden oder Mitarbeitenden unbeabsichtigt an Dritte übermittelt, hat eine meldepflichtige Datenpanne. Die Aufsichtsbehörden erwarten in solchen Fällen eine Meldung innerhalb von 72 Stunden. Kommt die Meldung zu spät oder gar nicht, drohen Bußgelder.
Drei Punkte, die jetzt zu prüfen sind
Erstens: Welche E-Mail-Adressen existieren im Unternehmen noch für Personen, die nicht mehr beschäftigt sind. Jede dieser Adressen sollte entweder vollständig gelöscht oder auf eine intern kontrollierte Adresse umgeleitet werden.
Zweitens: An welche Absenderadressen gehen automatische Systemmails. Viele Shopsysteme, HR-Tools oder Buchungsplattformen versenden Benachrichtigungen an Adressen, die im Setup hinterlegt wurden. Diese Einstellungen sollten geprüft werden.
Drittens: Wer die Domain des Unternehmens wechselt oder eine alte Domain aufgibt, sollte sicherstellen, dass kein Mailverkehr mehr dorthin läuft. Alte Domains können von anderen registriert werden.
Fazit
Dieses Problem entsteht nicht durch Angriffe, sondern durch nachlässige Verwaltung. Für Unternehmen mit wenigen Mitarbeitenden ist der Aufwand zur Abhilfe gering. Eine saubere Liste aktiver E-Mail-Konten und ein definierter Prozess beim Ausscheiden von Mitarbeitenden genügen in den meisten Fällen. Wer das ignoriert, riskiert eine Datenpanne mit rechtlichen Folgen, die er selbst verursacht hat.
