Sollte jemand Zugriff auf Ihr Postfach erlangt haben, müssen Sie umgehend handeln: Der Angreifer könnte in Ihrem Namen Spam oder gefälschte Rechnungen versenden, in Ihren E-Mails nach Passwörtern suchen und mit Ihrer E-Mail-Adresse auch andere Konten übernehmen. Führen Sie die folgenden Schritte in dieser Reihenfolge durch. Das Ändern des Passworts allein reicht nicht aus, da der Angreifer häufig eine versteckte Weiterleitung hinterlässt.

Woran erkennen Sie, dass ein Hackerangriff stattgefunden hat?

• Im Ordner „Gesendete E-Mails“ werden E-Mails angezeigt, die Sie nicht selbst verfasst haben.
• Es gehen Rückläufer von unbekannten Adressen ein.
• Ihre Partner erkundigen sich nach seltsamen E-Mails oder Rechnungen.
• E-Mails verschwinden oder es werden Weiterleitungen und Filter angezeigt, die Sie nicht eingerichtet haben.
• Die Domain hat das stündliche Versandlimit erreicht, obwohl kaum E-Mails versendet wurden.

Wenn Sie ausschließlich Rückläufer erhalten, der Ordner „Gesendet“ jedoch leer ist und der Server keine Massen-E-Mails versendet hat, wird wahrscheinlich lediglich die Absenderadresse gefälscht. Darum geht es in diesem Artikel über die Fälschung von E-Mail-Adressen.

1. Stoppen Sie den Versand (falls E-Mails in großer Zahl versendet werden)

Sollte derzeit Spam aus Ihrem Konto versendet werden, deaktivieren Sie diesen bitte zunächst, da jede weitere E-Mail den Ruf des Servers beeinträchtigt.

Öffnen Sie auf Ihrem cPanel-Hosting-Konto die Seite „E-Mail-Konten“, klicken Sie auf die Schaltfläche „Verwalten“ neben dem jeweiligen Postfach, wählen Sie im Abschnitt „Einschränkungen“ in der Zeile „Versenden ausgehender E-Mails“ die Option „Sperren“ aus und klicken Sie anschließend auf die Schaltfläche „E-Mail-Einstellungen aktualisieren“. Das Versenden von E-Mails über dieses Konto wird daraufhin mit einer Fehlermeldung („has been suspended“) unterbrochen; eingehende E-Mails werden weiterhin empfangen. Sobald der Angreifer keinen Zugriff mehr hat, aktivieren Sie das Versenden an derselben Stelle erneut mit der Option „Allow“.

2. Ändern Sie das Passwort von einem nicht kompromittierten Gerät aus

Ändern Sie Ihr Passwort bitte von einem Computer oder Smartphone aus, auf dem sich mit Sicherheit keine Malware befindet. Wenn Sie sich diesbezüglich nicht sicher sind, geben Sie das neue Passwort zunächst nicht auf dem verdächtigen Gerät ein.

Das Passwort für Ihr Postfach können Sie über das Hosting-Kontosystem festlegen. Dazu müssen Sie das alte Passwort nicht kennen, sodass Sie es auch dann ändern können, wenn ein Angreifer es bereits geändert hat:

• cPanel-Hosting: E-Mail-Konten › Verwaltung: Geben Sie im Bereich „Sicherheit“ im Feld „Neues Passwort“ das neue Passwort ein (oder klicken Sie auf die Schaltfläche „Generieren“) und klicken Sie anschließend auf „E-Mail-Einstellungen aktualisieren“.
• Webhosting: E-Mail-Adressen, Bearbeitung des Postfachs, auf der Registerkarte „Allgemein“ die Felder „Passwort“ und „Passwort bestätigen“. Sie können diese auch über das Webmail ändern: Einstellungen › Passwort.

Wählen Sie ein Passwort, das mindestens 16 Zeichen lang ist, noch nicht anderweitig verwendet wurde und in einem Passwortmanager gespeichert ist. Geben Sie anschließend das neue Passwort auf allen Ihren Geräten (Computer, Smartphone, Tablet) ein; E-Mail-Programme können sich ab diesem Zeitpunkt nur noch mit diesem Passwort anmelden.

Falls Sie dasselbe Passwort auch an anderer Stelle verwendet haben, ändern Sie es bitte auch dort. Sollte das Passwort für Ihr cPanel-Hosting-Konto beim Webhosting-Anbieter ähnlich lauten, ändern Sie dieses ebenfalls und aktivieren Sie die Zwei-Faktor-Authentifizierung.

3. Finden Sie heraus, welche Spuren der Angreifer hinterlassen hat

Dies ist der am häufigsten übersehene Schritt. Angreifer lassen Einstellungen zurück, um auch nach einem Passwortwechsel weiterhin E-Mails einsehen zu können oder ihre Spuren zu verwischen. Löschen Sie überall alles, was Sie nicht selbst eingerichtet haben.

Was sollten Sie sich ansehen?	cPanel-Hosting	Webhosting
Weiterleiten	Seite „Weiterleitungen“, im Webmail unter „Einstellungen“ › „Weiterleitungen“	E-Mail-Adressen, Bearbeitung des Postfachs, Registerkarte „Weiterleitungen“
Nachrichtenfilter	Seite „E-Mail-Filter“ und „Globale E-Mail-Filter“ im Webmail unter „Einstellungen“ › „Nachrichtenfilter“	In Webmail: Einstellungen › E-Mail-Filter
Absender, Antwortadresse, Blindkopie	Webmail: Einstellungen › Zugangsdaten	Webmail: Einstellungen › Zugangsdaten
Automatische Antwort	Seite „Automatische Antworten“ im Webmail-Bereich „Außerhalb des Büros“	In Webmail: Einstellungen › Außer Haus
Verwandte Artikel	Standard-Startseite	E-Mail-Adressen, Bearbeitung des Postfachs, Registerkarte „Alias-Adressen“

Besonders verdächtig ist der Filter, der E-Mails aufgrund eines Schlüsselworts (z. B. „Rechnung“, „Bank“, „Passwort“) löscht, als gelesen markiert oder weiterleitet. Öffnen Sie auf der Seite „Identifikatoren“ den jeweiligen Identifikator und überprüfen Sie die Felder „Antwortadresse“ und „Blindkopie“: Über das erstgenannte Feld würden die Antworten Ihrer Partner, über das letztgenannte Feld Kopien der von Ihnen gesendeten E-Mails an den Angreifer gelangen.

4. Finden Sie heraus, was passiert ist

• Wie viele E-Mails wurden versendet? Im cPanel können Sie auf der Seite „Zustellungsverfolgung“ die in den letzten 60 Tagen versendeten E-Mails einsehen. Bei Webhosting schreiben Sie uns bitte eine Nachricht; anhand der Protokolle können wir Ihnen Auskunft geben.
• Wie konnte der Angreifer Zugriff erlangen? Die häufigsten Ursachen sind eine Phishing-E-Mail, ein Passwort, das von einer anderen Website durchgesickert ist und dort wiederverwendet wurde, oder Malware, die auf Ihrem Computer ausgeführt wird. Führen Sie einen vollständigen Virenscan auf allen Geräten durch, auf denen Sie Ihr Postfach nutzen. Sollten Sie Malware finden, ändern Sie nach deren Entfernung das Passwort erneut, da der Angreifer möglicherweise auch das neue Passwort erbeutet hat.
• Was könnten Sie gelesen haben? Suchen Sie in Ihrem Postfach nach Nachrichten, die Passwörter, Bankkontonummern, Verträge oder personenbezogene Daten enthalten. Mit der E-Mail-Adresse lassen sich häufig auch die Passwörter anderer Konten zurücksetzen; ändern Sie daher auch auf wichtigen Seiten (Bank, soziale Medien, Online-Shop, Webhosting) Ihre Passwörter.

5. Benachrichtigen Sie die betroffenen Personen

• Partner: Bitte informieren Sie diese über einen separaten Kanal darüber, dass möglicherweise gefälschte E-Mails aus Ihrem Konto versendet wurden, und weisen Sie sie insbesondere darauf hin, die E-Mail bezüglich der Änderung der Kontonummer nicht zu beachten. Falls bereits eine Überweisung getätigt wurde, sollten sie umgehend ihre Bank kontaktieren.
• Unser Support: Eröffnen Sie bitte ein Support-Ticket im Kundenbereich, falls unerwünschte E-Mails von Ihrem Konto versendet wurden oder der Server auf eine Blacklist gesetzt wurde.
• Datenschutz: Wenn in Ihrem Unternehmen personenbezogene Daten von Kunden im Postfach gespeichert waren, prüfen Sie bitte, ob es sich um einen Datenschutzvorfall handelt. Gemäß der DSGVO muss dies grundsätzlich innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden; wenden Sie sich daher in einem solchen Fall bitte an Ihren Datenschutzbeauftragten.
• Polizei: Sollten Sie oder Ihr Partner einen finanziellen Schaden erlitten haben, erstatten Sie Anzeige und bewahren Sie die Korrespondenz auf.

Falls Sie später Nachweise benötigen sollten, erstellen Sie bitte vor dem Löschen der E-Mails und Einstellungen einen Screenshot.

6. Schützen Sie Ihr Konto in Zukunft

Die Maßnahmen zur Vorbeugung sind im Artikel über sichere E-Mail-Nutzung zusammengefasst. Die wichtigsten sind: für jedes Konto ein anderes Passwort, ein Passwort-Manager, aktualisierte Geräte sowie das Öffnen der Website des Anbieters über das eigene Lesezeichen anstelle des in der E-Mail enthaltenen Anmeldelinks. Die SPF-, DKIM- und DMARC-Einträge filtern gefälschte E-Mails heraus, bieten jedoch keinen Schutz vor E-Mails, die von einem gehackten Konto versendet werden, da diese mit dem echten Passwort ordnungsgemäß versendet werden.

Falls das gehackte Konto E-Mails über das Kontaktformular einer WordPress-Website versendet hat oder Sie Malware auf dem Hosting entdeckt haben, hilft Ihnen auch der ImunifyAV-Artikel weiter.