E-Mail-Sicherheit für Unternehmen, Behörden & öffentliche Einrichtungen im Überblick

E-Mail bleibt 2026 der wichtigste Angriffsvektor für Cyberangriffe auf Unternehmen. Laut Check Point beginnen über 90 Prozent aller erfolgreichen Cyberangriffe mit einer schädlichen E-Mail. Microsoft hat allein im ersten Quartal 2026 rund 8,3 Milliarden Phishing-Mails identifiziert, 86 Prozent davon KI-generiert. Gleichzeitig hat das BSI 2025 das „E-Mail-Sicherheitsjahr" ausgerufen und technische Handlungsempfehlungen für Unternehmen veröffentlicht. Google, Yahoo und Microsoft erzwingen inzwischen DMARC-Authentifizierung als Zustellungsvoraussetzung. Und Reverse-Proxy-Angriffe (AiTM) umgehen seit 2025 systematisch klassische Multi-Faktor-Authentifizierung. Was das alles für die E-Mail-Sicherheit in Unternehmen und Behörden bedeutet und welche Maßnahmen 2026 tatsächlich wirken, fassen wir in diesem Leitfaden zusammen.

Was ist E-Mail-Sicherheit?

E-Mail-Sicherheit bezeichnet alle technischen, organisatorischen und prozessualen Maßnahmen zum Schutz von E-Mail-Kommunikation vor unbefugtem Zugriff, Manipulation, Datenverlust und Cyberangriffen. Im Unternehmenskontext umfasst das heute weit mehr als Spamfilter und Virenscanner. Eine moderne E-Mail-Sicherheitsarchitektur schließt Absender-Authentifizierung (SPF, DKIM, DMARC), Malware- und Sandbox-Analyse, Verschlüsselung, Data Loss Prevention, Post-Delivery Protection, Awareness-Schulungen und Incident-Response-Fähigkeiten ein.

„Was E-Mail-Sicherheit 2026 von früheren Ansätzen unterscheidet, ist die Erkenntnis, dass der Perimeter nicht mehr am Gateway endet. Angriffe passieren heute die technische Filterung, landen im Postfach und werden erst dort wirksam. Schutz muss deshalb vor, während und nach der Zustellung wirken und sowohl eingehende als auch ausgehende Kommunikation abdecken."

Roman Jacobi, Geschäftsführer Aphos Gesellschaft für IT-Sicherheit mbH / Gründer von Firewalls24.de

Aktuelle Bedrohungslage im E-Mail-Verkehr 2026

Die E-Mail-Bedrohungslage hat sich 2025/2026 in mehreren Dimensionen gleichzeitig verschärft. Die Zahl der Angriffe steigt, die Qualität der Angriffe steigt und die technischen Ausweichmethoden werden raffinierter.

Zwei Entwicklungen verdienen besondere Aufmerksamkeit. Erstens verschiebt sich Phishing massiv von klassischer Malware-Auslieferung hin zum reinen Credential-Diebstahl. 94 Prozent aller Phishing-Mails zielen 2026 auf Zugangsdaten, nicht auf Schadcode. Das bedeutet, dass klassische Antivirus-Lösungen allein den wichtigsten Angriffsvektor kaum adressieren. Zweitens verlagern sich Angriffe auf Kanäle jenseits der E-Mail, darunter QR-Codes in PDFs (+146 Prozent), Microsoft Teams (+40 Prozent) und Telefonanrufe mit Voice Cloning. E-Mail-Sicherheit muss 2026 daher breiter gedacht werden als nur der Schutz des Postfachs.

Die wichtigsten Angriffsarten über E-Mail

E-Mail-basierte Angriffe haben sich in den letzten Jahren stark ausdifferenziert. Die folgenden Angriffsarten sehen wir in der Beratung und in Vorfallsanalysen am häufigsten.

Phishing und Spear Phishing

Massenhaftes und gezieltes Phishing bleibt der dominierende Angriffstyp. KI-generierte Mails sind fehlerfrei, personalisiert und oft nicht mehr von legitimer Geschäftskommunikation zu unterscheiden. Spear Phishing macht zwar nur 0,1 Prozent des E-Mail-Aufkommens aus, ist aber für rund 66 Prozent aller erfolgreichen Sicherheitsverletzungen verantwortlich.

E-Mail-Spoofing und Business Email Compromise

Beim E-Mail-Spoofing fälschen Angreifer die Absenderadresse, um sich als bekannte Person oder Organisation auszugeben. Business Email Compromise geht weiter und nutzt kompromittierte echte Mailboxen für gezielte Betrugsversuche, etwa manipulierte Rechnungen oder Zahlungsanweisungen. DMARC im Reject-Modus ist der wichtigste technische Schutz gegen Spoofing.

Malware und Ransomware über E-Mail

Schadcode wird in PDFs, Office-Dokumenten oder ZIP-Archiven versteckt und durch Social Engineering flankiert. Obwohl der Anteil von Malware-Anhängen zugunsten von Credential-Phishing sinkt, bleibt E-Mail ein wichtiger Ransomware-Einstiegsvektor, häufig als erster Schritt in einer mehrstufigen Angriffskette.

E-Mail-Bombing

Eine zunehmend verbreitete Taktik ist E-Mail-Bombing, bei dem Angreifer das Postfach eines Opfers gezielt mit tausenden Newsletter-Anmeldungen oder automatisierten Mails fluten. Das dient als Ablenkungsmanöver, während im Hintergrund ein echter Angriff läuft, etwa eine betrügerische Bestellung oder eine Kontoübernahme, deren Bestätigungs-Mail in der Masse untergeht. Zunehmend wird E-Mail-Bombing auch als Vorstufe für Social Engineering eingesetzt. Das typische Muster ist, dass nach dem Bombardement ein angeblicher IT-Helpdesk anruft, sich als interne IT-Abteilung ausgibt und anbietet, „beim E-Mail-Problem zu helfen". Im Anruf wird dann Remote-Zugriff auf den Rechner erlangt oder der Mitarbeitende zur Installation eines vermeintlichen Support-Tools bewegt, das tatsächlich Schadsoftware ist.

Quishing und Multi-Channel-Angriffe

QR-Codes in E-Mails oder PDF-Anhängen leiten auf gefälschte Login-Seiten, häufig auf dem Smartphone, das schwächere Sicherheitskontrollen hat. Microsoft hat in Q1 2026 einen Anstieg um 146 Prozent gemessen. Ergänzend nutzen Angreifer Teams, Slack, SMS und Telefonanrufe als parallele Kanäle.

AiTM-Angriffe: warum klassische MFA nicht mehr reicht

Adversary-in-the-Middle-Angriffe (AiTM) sind 2026 die technisch wichtigste Entwicklung für die E-Mail-Sicherheit. Angreifer schalten einen Reverse-Proxy-Server zwischen Opfer und echte Login-Seite. Benutzername, Passwort und MFA-Code werden in Echtzeit weitergeleitet, das Session-Token nach erfolgreicher Authentifizierung abgefangen. Ergebnis ist, dass sich der Angreifer anmelden kann, ohne MFA erneut auszulösen. Laut Microsoft haben diese Angriffe 2026 um 139 Prozent zugenommen.

SMS-Codes, TOTP-Apps und Push-Bestätigungen schützen nicht mehr gegen AiTM. Nur FIDO2-basierte Verfahren wie Hardware-Schlüssel oder Passkeys sind phishing-resistent, weil sie kryptografisch an die echte Domain gebunden sind. Für privilegierte Konten empfehlen wir 2026 dringend den Umstieg. Wie AiTM im Detail funktioniert und welche Gegenmaßnahmen greifen, erklären wir ausführlich im Phishing-Leitfaden.

SPF, DKIM und DMARC: 2026 ist Enforcement Pflicht

Die drei zentralen E-Mail-Authentifizierungsstandards SPF, DKIM und DMARC existieren seit Jahren. Neu ist, dass sie 2026 nicht mehr optional sind. Google erzwingt seit 2024, Yahoo seit 2024 und Microsoft seit 2025 DMARC-konforme Authentifizierung als Zustellungsvoraussetzung für Massenversender. Wer ohne gültige Authentifizierung versendet, landet nicht mehr im Spam, sondern wird gar nicht zugestellt.

Was die drei Standards leisten

SPF (Sender Policy Framework) definiert, welche Server im Namen einer Domain E-Mails versenden dürfen. DKIM (DomainKeys Identified Mail) signiert jede ausgehende Mail kryptografisch, sodass der Empfänger prüfen kann, ob die Mail unterwegs manipuliert wurde. DMARC (Domain-based Message Authentication, Reporting and Conformance) verknüpft SPF und DKIM und definiert, was mit Mails passieren soll, die die Prüfung nicht bestehen.

Warum p=none nicht mehr ausreicht

Viele Unternehmen haben DMARC in der Monitoring-Variante (p=none) eingerichtet, die Fehler lediglich protokolliert, aber keine Mails blockiert. 2026 reicht das nicht mehr. Die großen Mail-Provider erwarten eine durchgesetzte Policy mit p=quarantine oder besser p=reject. Wer das nicht umsetzt, riskiert Zustellungsprobleme bei Rechnungen, Angeboten, Kundenkorrespondenz und Marketing-Mails. Gleichzeitig schützt DMARC im Reject-Modus die eigene Domain aktiv vor Spoofing und Markenmissbrauch.

Typische Fehler bei der Implementierung

In der Praxis sehen wir drei häufige Probleme. Erstens fehlerhafte SPF-Records, die durch zu viele DNS-Lookups (Limit ist 10) ungültig werden. Zweitens vergessene Drittanbieter, etwa Newsletter-Tools, CRM-Systeme oder Ticketing-Plattformen, die im Namen der Domain senden, aber nicht im SPF-Record stehen. Drittens fehlende DKIM-Signierung bei einzelnen Mailflows. Tools wie der Sophos DMARC Manager helfen, den Überblick über alle autorisierten Sender zu behalten und die Migration von p=none zu p=reject schrittweise zu steuern.

DANE, MTA-STS und BIMI: die nächste Stufe der E-Mail-Sicherheit

Über SPF, DKIM und DMARC hinaus gewinnen 2026 drei weitere Standards an Bedeutung, die das BSI in seinen aktuellen Handlungsempfehlungen ausdrücklich nennt.

DANE und DNSSEC

DANE (DNS-based Authentication of Named Entities) sichert den E-Mail-Transport über TLSA-Records im DNS ab. In Kombination mit DNSSEC wird sichergestellt, dass die TLS-Verbindung zwischen sendender und empfangender Mailinfrastruktur tatsächlich mit dem richtigen Server aufgebaut wird. DANE verhindert damit Person-in-the-Middle-Angriffe auf den Transportweg, die durch einfache TLS-Verschlüsselung allein nicht ausgeschlossen sind.

MTA-STS

MTA-STS (Mail Transfer Agent Strict Transport Security) ist eine Alternative zu DANE für Umgebungen ohne DNSSEC. Es erzwingt TLS-Verschlüsselung beim Mailtransport und verhindert Downgrade-Angriffe, bei denen ein Angreifer die Verschlüsselung zwischen Mailservern aushandelt. Microsoft 365 und Google Workspace unterstützen MTA-STS nativ, die Einrichtung erfordert einen HTTPS-Endpunkt und einen DNS-TXT-Record.

BIMI als Vertrauenssignal

BIMI (Brand Indicators for Message Identification) ermöglicht es Unternehmen mit starker DMARC-Authentifizierung, ihr offizielles Logo direkt in der E-Mail-Vorschau des Empfängers anzeigen zu lassen. Der Effekt ist doppelt: Empfänger erkennen auf einen Blick, ob eine Mail von einem authentifizierten Absender stammt, und Angreifer können das Logo nicht fälschen, da es an eine verifizierte DMARC-Policy gebunden ist. BIMI ist kein Sicherheitsstandard im engeren Sinne, aber ein starker Indikator für seriöse Absender.

Post-Delivery-Schutz und E-Mail-Rückruf

Eine der wichtigsten Erkenntnisse 2026 ist, dass E-Mail-Schutz nicht am Gateway enden darf. Angriffe, die erst nach der Zustellung aktiv werden, etwa Links, die sich nachträglich ändern, oder Mails, die intern weitergeleitet werden, erfordern Post-Delivery Protection.

Time-of-Click Protection

URLs in E-Mails werden bei jedem Klick erneut geprüft, nicht nur bei der Zustellung. Wenn ein Link zum Zeitpunkt der Zustellung sauber war und erst Stunden später auf eine Phishing-Seite umgeleitet wird, erkennt Time-of-Click Protection den Wechsel und blockiert den Aufruf.

Contact Trace und E-Mail-Rückruf

Wenn eine schädliche Mail erst nach der Zustellung erkannt wird, etwa durch aktualisierte Threat Intelligence oder manuelle Meldung, muss sie schnell aus allen Postfächern entfernt werden. Contact Trace and Recall, eine Funktion der neuen Sophos Email Plus Stufe, spürt auf, wer die Mail erhalten, geöffnet oder intern weitergeleitet hat, und entfernt sie nachträglich. In der Vorfallsreaktion spart das gegenüber manueller Suche erhebliche Zeit.

Warum Post-Delivery Protection 2026 Pflicht ist

In typischen Vorfällen vergehen zwischen Zustellung und erster Erkennung einer schädlichen Mail zwischen 30 Minuten und mehreren Stunden. In dieser Zeit kann die Mail intern weitergeleitet, von mehreren Personen geöffnet und als Ausgangspunkt für eine Kontoübernahme genutzt werden. Wer ausschließlich auf Pre-Delivery-Filterung setzt, verliert in dieser Phase die Kontrolle.

Zehn Schutzmaßnahmen für E-Mail-Sicherheit in Unternehmen

Die folgenden Maßnahmen bilden das Rückgrat einer praxistauglichen E-Mail-Sicherheitsarchitektur 2026. Keine einzelne Maßnahme reicht allein aus, die Wirksamkeit entsteht durch die Kombination.

„Die Auswahl der richtigen Schutzmaßnahmen entscheidet darüber, ob E-Mail-Sicherheit im Unternehmen tatsächlich funktioniert oder nur auf dem Papier existiert. In der Praxis sehen wir, dass viele Organisationen einzelne Bausteine gut umgesetzt haben, aber die Verknüpfung zwischen den Ebenen fehlt. Genau dort setzen wir in der Beratung an."

Sebastian Geide, CSO Aphos Gesellschaft für IT-Sicherheit mbH / Firewalls24.de

E-Mail-Sicherheit und Compliance: DSGVO, NIS-2, ISO 27001

E-Mail-Sicherheit ist 2026 nicht nur ein technisches Thema, sondern ein Compliance-Thema. Unternehmen und Behörden müssen nachweisen, dass sie angemessene Schutzmaßnahmen umsetzen.

DSGVO

Die DSGVO fordert „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten (Art. 32). E-Mails enthalten regelmäßig personenbezogene Daten, und ein kompromittiertes Postfach kann zu einem meldepflichtigen Datenschutzvorfall führen. Transportverschlüsselung (TLS), Zugangsschutz (MFA) und DLP gehören zum erwartbaren Stand der Technik.

NIS-2

Das seit Dezember 2025 geltende NIS-2-Umsetzungsgesetz betrifft rund 29.500 Unternehmen in Deutschland und verschärft die Anforderungen an IT-Sicherheitsmaßnahmen. E-Mail-Sicherheit ist als Teil der Zugangs-, Kommunikations- und Incident-Response-Anforderungen explizit abgedeckt. Betroffene Unternehmen müssen Schutzmaßnahmen dokumentieren und bei Vorfällen binnen definierter Fristen melden.

ISO 27001 und branchenspezifische Vorgaben

ISO 27001 definiert in Annex A Kontrollen für Informationssicherheit in der Kommunikation, darunter Verschlüsselung, Zugangsschutz und Protokollierung. Branchenspezifische Regelwerke wie BAIT (Banken), KAIT (Versicherungen) oder TISAX (Automobil) verschärfen diese Anforderungen zusätzlich. Revisionssichere Archivierung, nachvollziehbare Mail-Flows und dokumentierte DLP-Policies sind in diesen Kontexten keine Kür, sondern Prüfungsbestandteil.

Fazit: E-Mail-Sicherheit ist 2026 ein Mehrebenen-Thema

E-Mail-Sicherheit hat sich 2026 von einem Gateway-Thema zu einem durchgehenden Sicherheitskonzept entwickelt. DMARC im Reject-Modus ist Pflicht, klassische MFA schützt nicht mehr gegen AiTM-Angriffe, und Post-Delivery Protection ist notwendig, weil Angriffe oft erst nach der Zustellung aktiv werden. Gleichzeitig verschieben sich Angriffe auf QR-Codes, Teams und Telefon, was E-Mail-Sicherheit in ein breiteres Kommunikationssicherheitskonzept einbettet.

Wirksamer Schutz entsteht durch das Zusammenspiel aus Authentifizierung (SPF, DKIM, DMARC), technischer Filterung vor und nach Zustellung, phishing-resistenter MFA, Identity Threat Detection für kompromittierte Konten, Security Awareness und klaren Prozessen für Meldung und Reaktion. Wer in einem dieser Bausteine Lücken hat, wird sie in der Praxis bemerken.

Bei der Konzeption einer modernen E-Mail-Sicherheitsarchitektur, der Einführung von DMARC Enforcement, dem Aufbau von Post-Delivery Protection oder der Integration von MDR und ITDR unterstützen wir Unternehmen technisch und organisatorisch. Sprechen Sie uns an.