Versandkonto absichern: Teamzugriff, Zugangsdaten und Reaktion auf eine Kompromittierung

Gute Sicherheit des Versandkontos macht den Unterschied zwischen einem schlechten Nachmittag und einem schlechten Quartal. Übernimmt jemand das Konto, mit dem Sie Mails versenden, erbt er Ihre authentifizierte Domain, Ihre Versandreputation und das Vertrauen Ihrer Kunden. In wenigen Stunden kann er Phishing oder Spam verschicken, der jede technische Prüfung besteht, und Sie brauchen womöglich Wochen, um sich von den anschließenden Blocklisten-Einträgen und Filterungen zu erholen. Wir möchten Ihnen helfen, das unwahrscheinlich und beherrschbar zu machen. Dieser Leitfaden behandelt, wer in welchem Umfang Zugriff haben sollte, wie Sie Anmeldungen schützen, wie Sie Zugangsdaten pro Anwendung handhaben, wie Sie Personen offboarden, wie sich eine Kompromittierung in Ihren Daten zeigt und was in der ersten Stunde zu tun ist.

Alles hier ist allgemeine Best Practice und gilt für jede Versandplattform. Wo eine Schutzmaßnahme von Ihrem Tarif oder Ihrer Konfiguration abhängt, sagen wir das, und der richtige Schritt ist, vor der Planung zu prüfen, welche Schutzmaßnahmen Ihr MigoSMTP-Konto bietet. Wir setzen keine bestimmten Rollennamen oder Anmeldefunktionen voraus.

Warum Versandkonten angegriffen werden

Angreifer mögen Versandkonten aus denselben Gründen wie Sie. Die Infrastruktur ist zuverlässig, die Domain ist authentifiziert und die Mails erreichen das Postfach. Ein gestohlener Login oder ein durchgesickerter Schlüssel macht daraus ein Werkzeug für sie. Typische Ziele sind Phishing-Kampagnen im Namen Ihrer Marke, Massen-Spam, Rechnungsbetrug und Missbrauch von Passwort-Zurücksetzungen gegen Dritte.

Der Schaden bleibt selten auf den Angreifer beschränkt. Postfachanbieter bewerten Ihre Domain und Ihre IP-Adressen nach dem, was sie sehen, sodass ein Schwall missbräuchlicher Mails die Zustellung Ihrer legitimen Nachrichten für Tage oder Wochen senkt. Empfänger, die in Ihrem Namen betrügerische Mails erhalten, verlieren Vertrauen, das sich nur schwer wieder aufbauen lässt. Legt das Konto zudem Empfängerlisten, Zustellprotokolle oder Nachrichteninhalte offen, kommt zum Zustellbarkeitsproblem möglicherweise ein Datenschutzproblem hinzu.

Teamzugriff und minimale Rechte

Minimale Rechte bedeuten, dass jede Person und jedes Programm den kleinstmöglichen Zugriff erhält, den die Aufgabe erfordert, und nicht mehr. Das ist die wirksamste Einzelidee der Kontosicherheit, weil sie begrenzt, was gestohlene Zugangsdaten anrichten können. Beginnen Sie damit, aufzuschreiben, wer heute Zugriff hat und warum. Die meisten Teams sind überrascht: ehemalige Auftragnehmer, eine Agentur von vor zwei Jahren, ein Gründer, der das Konto eingerichtet und weitergegeben hat.

Rollen trennen

Selbst ein kleines Team profitiert davon, in Rollengruppen zu denken. Ob Ihr Konto integrierte Rollen, benutzerdefinierte Berechtigungen oder nur einen einzigen Inhaber-Login hat, prüfen Sie in Ihrem MigoSMTP-Konto. Die Tabelle zeigt die Aufteilung, die wir als Ziel vorschlagen, und die Überlegung dahinter. Übertragen Sie sie auf die Möglichkeiten, die Sie tatsächlich haben.

Zwei praktische Regeln helfen. Erstens: Halten Sie die Zahl der Inhaber so klein, wie es gerade noch einen Urlaub überstehen lässt, meist zwei. Zweitens: Lassen Sie niemanden den Inhaber-Login für gewöhnliche Arbeit nutzen. Muss eine Marketingkraft eine Kampagne versenden, sollte sie das als Marketingkraft tun.

Zugriff pro Person schlägt gemeinsame Logins

Ein gemeinsamer Login ist am ersten Tag bequem und danach dauerhaft teuer. Sie können nicht erkennen, wer eine Einstellung geändert hat, jede Person, die das Passwort je kannte, bleibt ein Risiko, und eine Rotation unterbricht das ganze Team. Geben Sie jeder Person einen persönlichen Benutzer. Wo Ihr Konto es unterstützt, koppeln Sie die Anmeldung an das Identitätssystem Ihres Unternehmens, sodass das Deaktivieren einer Person an einer Stelle den Zugriff überall entfernt. Bietet Ihr Konto in Ihrem Tarif keine persönlichen Benutzer, halten Sie das als Risiko fest und gleichen Sie es durch strengeren Umgang mit Zugangsdaten und mehr Überwachung aus.

Anmeldungen mit Zwei-Faktor-Authentifizierung schützen

Ein zweiter Faktor bedeutet, dass ein gestohlenes Passwort allein für den Login nicht ausreicht. Die NIST-Richtlinien zu digitalen Identitäten betrachten die Multi-Faktor-Authentifizierung als zentrale Kontrolle, und die OWASP-Hinweise zur Authentifizierung empfehlen sie für Konten mit echtem Risiko. Ein Versandkonto gehört dazu. Bietet Ihr MigoSMTP-Konto Zwei-Faktor-Authentifizierung an, aktivieren Sie sie für jeden Benutzer, beginnend mit Inhabern und allen, die Zugangsdaten verwalten können.

• Bevorzugen Sie Phishing-resistente Verfahren. Hardware-Sicherheitsschlüssel und Passkeys widerstehen gefälschten Login-Seiten besser als per SMS getippte Codes. Authenticator-Apps sind ein solider Mittelweg. SMS-Codes sind besser als nichts, aber die schwächste Wahl.
• Nutzen Sie einen Passwortmanager. Jeder Benutzer sollte ein langes, einmaliges Passwort für das Konto haben. Die Wiederverwendung über mehrere Seiten hinweg ist der Weg, auf dem die meisten Kontoübernahmen tatsächlich geschehen.
• Sichern Sie den Wiederherstellungsweg. Ein Angreifer, der Ihren Login nicht knacken kann, versucht es womöglich über das Zurücksetzen des Passworts. Schützen Sie das Postfach, das Zurücksetzungs-Mails empfängt, mit derselben Anmeldestärke, und bewahren Sie Wiederherstellungscodes sicher und offline auf.
• Verlassen Sie sich nicht auf eine Funktion, die es vielleicht nicht gibt. Wir behaupten hier keine bestimmte Anmeldefunktion. Prüfen Sie, welche Schutzmaßnahmen Ihr MigoSMTP-Konto bietet, und gleichen Sie eine fehlende Maßnahme aus, indem Sie die Identität und das Postfach hinter jedem Login strenger schützen.

SMTP-Zugangsdaten und API-Schlüssel: je eine pro Anwendung

Menschen melden sich im Dashboard an, Programme authentifizieren sich mit SMTP-Zugangsdaten oder API-Schlüsseln. Beides sind Geheimnisse, mit denen Software in Ihrem Namen Mails versendet, und beide landen leicht in Repositories, Chatnachrichten, Tickets und alten Server-Backups. Unser Leitfaden zu Sicherheit, Berechtigungen, Aufbewahrung und Rotation von API-Schlüsseln geht auf die Mechanik ausführlich ein. Für die Kontosicherheit gelten diese Grundsätze.

• Eine Zugangsdaten-Einheit pro Anwendung und pro Umgebung. Produktion, Staging und jeder separate Dienst erhalten eigene. Sickert eine durch, widerrufen Sie eine, und die übrigen funktionieren weiter. Außerdem zeigen Ihre Protokolle, welches System was tut.
• Engstmögliche Berechtigung. Ein Dienst, der nur sendet, muss weder Benutzer verwalten noch Daten lesen. Wo sich ein Schlüssel einschränken lässt, schränken Sie ihn ein.
• Geheimnisse gehören nicht in den Code. Nutzen Sie Umgebungsvariablen oder einen Secrets-Manager. Richten Sie in Ihren Repositories und Build-Pipelines Scans ein, damit ein versehentlicher Commit erkannt wird, bevor er sich verbreitet.
• Fügen Sie keine Geheimnisse in Chats oder Mails ein. Teilen Sie über den Secrets-Manager, damit der Zugriff protokolliert und wieder entzogen werden kann.
• Rotieren Sie nach Plan und nach jedem Bekanntwerden. Erstellen Sie die neuen Zugangsdaten, setzen Sie sie ein, prüfen Sie, dass der Versand funktioniert, und widerrufen Sie dann die alten. Widerrufen Sie nie zuerst auf einem Produktivsystem ohne Plan.
• Benennen und datieren Sie sie. Zugangsdaten, die nach Besitzer, System und Erstellungsdatum benannt sind, lassen sich leicht prüfen. Zugangsdaten mit dem Namen test2 sind ein Rätsel, das darauf wartet, einen Ausfall zu verursachen.

Wenn Sie noch entscheiden, wie sich eine bestimmte Anwendung verbinden soll, behandelt unser Vergleich SMTP- und API-Versand die Vor- und Nachteile, und jede Verbindung sollte TLS nutzen, wie RFC 8314 erläutert. Zugangsdaten, die über eine unverschlüsselte Verbindung gesendet werden, sind verschenkte Zugangsdaten.

Offboarding von Mitarbeitenden, Auftragnehmern und Agenturen

Die meisten Zugriffsprobleme sind gar keine Angriffe. Es sind ehemalige Mitarbeitende, abgelaufene Verträge und vergessene Integrationen, die noch funktionieren. Eine schriftliche Offboarding-Routine macht aus einer unangenehmen Ermessensfrage eine Checkliste und funktioniert für Angestellte, Freiberufler und Agenturen gleichermaßen.

1. Entfernen oder deaktivieren Sie den persönlichen Benutzer am Tag des Ausscheidens. Ist die Anmeldung an Ihren Identitätsanbieter gekoppelt, deaktivieren Sie die Person zuerst dort.
2. Listen Sie alle Zugangsdaten auf, die die Person einsehen oder erstellen konnte, einschließlich Anwendungsschlüsseln im Secrets-Manager, in Repositories und in alten Tickets.
3. Rotieren Sie diese Zugangsdaten, beginnend mit der Produktion. Gemeinsame Geheimnisse sind der Grund, warum Offboarding mühsam ist, und damit ein weiteres Argument für Zugangsdaten pro Anwendung.
4. Prüfen Sie die Aktivitäten der letzten dreißig Tage: angelegte Benutzer, ausgestellte Zugangsdaten, geänderte Einstellungen, durchgeführte Exporte.
5. Kontrollieren Sie Webhooks, Weiterleitungsregeln und API-Integrationen, die die Person eingerichtet hat, und entfernen Sie alles, was Sie nicht zuordnen können.
6. Übertragen Sie die Zuständigkeit für Kampagnen, Vorlagen und Automatisierungen an eine namentlich benannte Kollegin oder einen Kollegen, damit die Arbeit nicht abbricht, wenn das Konto verschwindet.
7. Halten Sie das Datum, die ergriffenen Schritte und die bestätigenden Personen fest.

Verfahren Sie ebenso, wenn ein Auftrag mit einer Agentur oder einem Dienstleister endet. Externe halten oft die weitreichendsten Zugriffe bei der geringsten Bindung an Ihre Sicherheitsrichtlinien.

Ein kompromittiertes Konto früh erkennen

Angreifer kündigen sich selten an. Sie senden schnell, bevor es jemand bemerkt, daher ist Ihre beste Verteidigung, zu wissen, was normal aussieht, und auf Abweichungen zu achten. So lesen Sie diese unter Sicherheitsaspekten.

Benachrichtigungen einrichten, auf die Menschen wirklich reagieren

• Legen Sie Schwellenwerte relativ zu Ihrem normalen Muster fest, zum Beispiel als Vielfaches des üblichen stündlichen Volumens, statt einer Zahl, die jemand einmal geraten hat.
• Senden Sie Benachrichtigungen an mindestens zwei Personen und an einen gemeinsamen Kanal, damit ein Urlaub oder eine übersehene Nachricht keinen Vorfall verbirgt.
• Prüfen Sie, welche Benachrichtigungen und Protokolle Ihr MigoSMTP-Konto bietet, und schließen Sie Lücken mit Prüfungen auf Ihrer Seite, etwa durch Zählen der Nachrichten, die Ihre Anwendungen einliefern.
• Lesen Sie wöchentlich eine kurze Zusammenfassung von Volumen, Bounces, Beschwerden und neuen Zugangsdaten. Auch ungewöhnliche Ruhe ist einen Blick wert, denn eine defekte Integration ist ein eigenes Problem.

Ein durchgespieltes Beispiel: einen durchgesickerten Schlüssel erkennen und eindämmen

Hier ist ein erfundenes Beispiel mit Beispielzahlen, das zeigt, wie Signale und Reaktion zusammenspielen. Ein kleiner Onlineshop liefert normalerweise etwa 400 Nachrichten pro Tag ein, alle von einem einzigen Bestellbestätigungsdienst, mit einer Bounce-Rate von rund 1 Prozent und kaum Beschwerden.

Der Schaden in diesem Beispiel waren rund 3.000 unerwünschte Nachrichten in etwa zwanzig Minuten statt Hunderttausender über ein Wochenende. Dieses Ergebnis ging auf drei frühere Entscheidungen zurück: getrennte Zugangsdaten pro Umgebung, eine Benachrichtigung auf Basis des normalen Volumens und eine Bereitschaftsperson, die wusste, dass sie einen Schlüssel widerrufen darf, ohne vorher um Erlaubnis zu fragen.

Reaktion auf Vorfälle: die erste Stunde und danach

Legen Sie den Plan fest, bevor Sie ihn brauchen. Während eines Vorfalls stehen Menschen unter Stress, und die Hälfte der Verzögerung entsteht, weil unklar ist, wer was tun darf. NIST veröffentlicht einen weit verbreiteten Leitfaden zur Behandlung von Vorfällen (SP 800-61), dessen Phasen Vorbereitung, Erkennung und Analyse, Eindämmung, Beseitigung und Wiederherstellung sowie Erkenntnisse sind. Die folgenden Schritte haben dieselbe Form, angepasst an ein Versandkonto.

1. Eindämmen. Widerrufen Sie die verdächtigen Zugangsdaten, deaktivieren Sie den verdächtigen Benutzer oder pausieren Sie die betroffene Anwendung. Tun Sie das zuerst, bevor Sie sich der Ursache sicher sind. Bevorzugen Sie die engste Maßnahme, die den Missbrauch stoppt.
2. Beweise sichern. Exportieren Sie Protokolle, Nachrichtenproben und die Liste der Benutzer und Zugangsdaten, bevor sie sich ändern. Notieren Sie Zeiten in einer einzigen Zeitzone.
3. Umfang bewerten. Stellen Sie fest, was gesendet wurde, an wen, mit welchen Zugangsdaten und wie lange. Prüfen Sie, ob Empfängerdaten, Vorlagen oder Einstellungen gelesen oder geändert wurden.
4. Beseitigen. Rotieren Sie jede Zugangsdaten-Einheit, die der Angreifer gesehen haben könnte. Setzen Sie Passwörter und Sitzungen betroffener Benutzer zurück, aktivieren oder prüfen Sie zweite Faktoren erneut und entfernen Sie alles, was Sie nicht erstellt haben, etwa Benutzer, Webhooks und Weiterleitungsregeln.
5. Wiederherstellen. Nehmen Sie den legitimen Versand schrittweise wieder auf, beginnend mit den wichtigsten Mails. Beobachten Sie Bounce- und Beschwerderaten genau. Wurden Mails blockiert, folgen Sie den Schritten unter Blocklisten-Eintrag entfernen.
6. Kommunizieren. Informieren Sie zuerst die internen Beteiligten. Klären Sie rechtliche oder vertragliche Benachrichtigungspflichten mit Ihrer Compliance-Stelle. Haben Empfänger betrügerische Mails erhalten, sagen Sie das offen und teilen Sie mit, was zu ignorieren ist.
7. Lernen. Führen Sie innerhalb einer Woche eine kurze Nachbesprechung ohne Schuldzuweisung durch. Beheben Sie die Grundursache, aktualisieren Sie diesen Plan und ergänzen Sie die Erkennung, die den Vorfall früher bemerkt hätte.

Eine Sicherheits-Checkliste für Ihr Versandkonto

• Jede Person hat einen persönlichen Benutzer, und es gibt keine gemeinsamen Logins mehr.
• Die Inhabergruppe hat höchstens zwei Mitglieder, und niemand nutzt sie für die tägliche Arbeit.
• Die Rollen folgen der Aufteilung in Entwicklung, Marketing, Finanzen und Revision, soweit Ihr Konto es erlaubt.
• Die Zwei-Faktor-Authentifizierung ist für jeden Benutzer aktiv, wo sie verfügbar ist, und die Wiederherstellungswege sind geschützt.
• Jede Anwendung und jede Umgebung hat eigene, benannte und datierte Zugangsdaten mit der engstmöglichen Berechtigung.
• Geheimnisse liegen in einem Secrets-Manager oder in Umgebungsvariablen, und Repositories werden auf Lecks gescannt.
• Es gibt Benachrichtigungen für Volumen, Bounces, Beschwerden, neue Zugangsdaten und ungewöhnliche Anmeldeorte, und sie erreichen mindestens zwei Personen.
• Eine Offboarding-Routine existiert und wird für Angestellte, Auftragnehmer und Agenturen angewendet.
• Der Plan zur Vorfallreaktion ist schriftlich festgehalten, benennt Verantwortliche für jeden Schritt und enthält einen Notfall-Kontaktweg zu uns.
• Zugriffsprüfungen und Rotation von Zugangsdaten erfolgen nach Kalender, mindestens vierteljährlich.
• Ihre Versanddomain ist authentifiziert und wird überwacht; siehe So authentifizieren Sie eine Versanddomain.

Quellen und weiterführende Literatur

Diese öffentlichen Quellen haben die oben beschriebenen Praktiken geprägt. Es handelt sich um allgemeine Hinweise, nicht um Aussagen zu einer MigoSMTP-Funktion.

• NIST SP 800-61 Rev. 2, Computer Security Incident Handling Guide
• NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management
• OWASP Authentication Cheat Sheet
• OWASP Secrets Management Cheat Sheet
• RFC 8314, Cleartext Considered Obsolete: Use of TLS for Email Submission and Access
• RFC 7489, Domain-based Message Authentication, Reporting, and Conformance (DMARC)