E-Mail-Spoofing nutzt eine strukturelle L\u00fccke des SMTP-Protokolls aus, das urspr\u00fcnglich ohne verpflichtende Pr\u00fcfung der Absenderadresse entworfen wurde. Ein Angreifer f\u00fcllt das Feld \u201eFrom\u201c im Nachrichtenkopf ohne Zugriff auf das echte Postfach beliebig, sodass eine Nachricht scheinbar von einer bekannten Person, einer Bank oder einer Beh\u00f6rde stammt und beim Empf\u00e4nger kaum Misstrauen weckt. Diese L\u00fccke l\u00e4sst sich technisch nicht vollst\u00e4ndig schlie\u00dfen<\/strong>, sondern nur durch zus\u00e4tzliche Pr\u00fcfmechanismen auf Empf\u00e4ngerseite abmildern, die nicht jeder Mailserver auswertet. Diese Offenheit macht E-Mail-Spoofing zu einer Basistechnik, auf der sich weitere T\u00e4uschungen aufbauen lassen, weil eine glaubw\u00fcrdige Absenderadresse die erste H\u00fcrde einer Betrugsnachricht senkt.<\/p>\n Eine gef\u00e4lschte Absenderadresse der Gesch\u00e4ftsf\u00fchrung verleiht bei Versicherern einer Zahlungsanweisung in der Schadenregulierung oder im Kapitalanlagebereich eine Glaubw\u00fcrdigkeit, die eine unbekannte Adresse nicht h\u00e4tte. Sachbearbeiter im Kundenservice erhalten zus\u00e4tzlich gef\u00e4lschte Support-Anfragen mit der Absenderadresse eines Versicherungsnehmers, \u00fcber die ein Angreifer an hinterlegte Vertragsdaten gelangen will. Eine best\u00e4tigte Zahlungsanweisung aus einer gef\u00e4lschten Quelle l\u00e4sst sich nach der Ausf\u00fchrung kaum noch zur\u00fcckholen<\/strong>, weshalb die Pr\u00fcfung der tats\u00e4chlichen Adresse vor der Freigabe entscheidend bleibt.<\/p>\n E-Mail-Spoofing setzt an den zwei Absenderangaben einer Nachricht an: der im Transport verwendeten Adresse und der im Programm sichtbaren Adresse im Feld \u201eVon\u201c. Beide werden vom Sender gesetzt. Weil das \u00dcbertragungsprotokoll urspr\u00fcnglich ohne verpflichtende Pr\u00fcfung entworfen wurde, nimmt ein empfangender Server die Angaben zun\u00e4chst entgegen.<\/p>\n Drei Verfahren setzen darauf auf. SPF pr\u00fcft, ob der sendende Server f\u00fcr die im Transport genutzte Domain autorisiert ist, und DKIM signiert die Nachricht im Namen einer Domain<\/strong>. DMARC verlangt, dass eine dieser gepr\u00fcften Domains mit der sichtbaren Absenderdomain im Feld RFC5322.From zusammenpasst, und gibt vor, was bei Abweichung geschehen soll. Wirksam werden sie nur, sofern die Domain eine Richtlinie ver\u00f6ffentlicht<\/strong> und der empfangende Server sie auswertet. Ein einfacherer Weg bleibt davon unber\u00fchrt: Wird nur der angezeigte Name gef\u00e4lscht, stimmt die Adresse technisch und keine Pr\u00fcfung schl\u00e4gt an. F\u00fcr Empf\u00e4nger hei\u00dft das, dass die sichtbare Adresse allein nichts tr\u00e4gt: Erst das Zusammenspiel aus ver\u00f6ffentlichter Richtlinie, deren Auswertung auf der Gegenseite und einem Blick in die Kopfzeilen ergibt ein belastbares Bild.<\/p>\nWie funktioniert E-Mail-Spoofing?<\/h2>\n
E-Mail-Spoofing vs. \u00fcbernommenes Postfach<\/h2>\n