Antwort 7 zu den 43 wichtigsten Security Controls: E-Mail Security

E-Mail Security schützt Unternehmen nicht nur vor Phishing, Malware und anderen externen Bedrohungen. Ebenso wichtig ist der Schutz sensibler Informationen, die täglich per E-Mail versendet werden. Denn ein falscher Empfänger, ein unpassender Anhang oder ein unachtsamer Klick können schnell zum Sicherheitsrisiko werden.

In unseren beiden Beiträgen zeigen wir Dir, wie moderne E-Mail Security funktioniert, welche Risiken Du kennen solltest und wie Du vertrauliche Informationen in Deiner E-Mail-Kommunikation wirksam schützen kannst.

Unsere Beiträge zum Thema E-Mail Security:

>Wie schützen wir sensible Informationen in E-Mails?

>Können wir den E-Mail-Verkehr überwachen und kontrollieren?

10.09.2026

Wie schützen wir sensible Informationen in E-Mails?

E-Mail Security bedeutet nicht nur, gefährliche Nachrichten abzufangen. Mindestens genauso wichtig ist die andere Richtung: Was verlässt Dein Unternehmen eigentlich per E-Mail? 

Kundendaten, Angebote, Verträge, Kalkulationen, personenbezogene Informationen, technische Dokumentationen oder interne Präsentationen werden täglich verschickt. Meistens vollkommen berechtigt. Manchmal aber an den falschen Empfänger, mit dem falschen Anhang oder an eine Adresse, an die diese Informationen niemals hätten gesendet werden dürfen. 

Und genau hier beginnt ein Teil der E-Mail Security, der häufig weniger Aufmerksamkeit bekommt als Phishing, Malware oder Business Email Compromise: der Schutz sensibler Informationen vor unbeabsichtigtem oder unberechtigtem Abfluss. 

Die gefährlichste E-Mail kann völlig harmlos aussehen

Stell Dir eine ganz normale Situation vor: Du möchtest einem Kunden eine Excel-Datei schicken. Outlook schlägt Dir beim Eingeben des Namens automatisch einen Empfänger vor. Du klickst, hängst die Datei an und drückst auf „Senden“. 

Zwei Sekunden später bemerkst Du: falscher Müller. 

Kein Hacker. Keine Malware. Kein Phishing-Link. Kein kompromittiertes Benutzerkonto. Nur ein kleiner Moment der Unachtsamkeit – und möglicherweise ein ziemlich großes Datenschutzproblem. 

Oder Du erwischst zwar den richtigen Empfänger, aber den falschen Anhang. Statt der freigegebenen Präsentation geht die interne Version raus. Mit Preisen, Kommentaren, Margen oder Informationen, die ausschließlich für den internen Gebrauch bestimmt waren. 

Genau deshalb muss moderne E-Mail Security mehr können, als eingehende Nachrichten auf Bedrohungen zu untersuchen. Sie muss auch verstehen, welche Informationen das Unternehmen verlassen, an wen sie geschickt werden und ob dieser Versand überhaupt plausibel ist.

Sensible Daten brauchen Regeln – nicht nur Aufmerksamkeit

Natürlich kannst Du Deine Mitarbeitenden regelmäßig darauf hinweisen, Empfänger und Anhänge vor dem Versand noch einmal zu kontrollieren. Das solltest Du sogar tun. Aber „Bitte besser aufpassen“ ist keine belastbare Sicherheitsstrategie. 

Menschen arbeiten unter Zeitdruck. Sie beantworten parallel Nachrichten, springen zwischen Meetings und Projekten, arbeiten mobil und verschicken täglich Dutzende E-Mails. Fehler passieren. Deshalb sollte der Schutz sensibler Informationen nicht davon abhängen, dass jeder einzelne Anwender in jedem einzelnen Moment die richtige Entscheidung trifft. Genau hier kommt Data Loss Prevention – kurz DLP – für E-Mails ins Spiel. 

Eine DLP-Lösung analysiert ausgehende Nachrichten und Anhänge und prüft sie anhand definierter Regeln. Enthält eine Nachricht beispielsweise personenbezogene Daten, Finanzinformationen, vertrauliche Dokumente oder andere schützenswerte Inhalte, kann die Lösung automatisch reagieren. Je nach Richtlinie kann sie den Versand zulassen, eine Warnung anzeigen, eine zusätzliche Bestätigung verlangen, die Nachricht verschlüsseln oder den Versand vollständig blockieren. Aus einem einfachen „Pass bitte auf“ wird damit ein kontrollierbarer Prozess. 

Aber woher weiß die E-Mail Security, was sensibel ist?

Genau an diesem Punkt wird es interessant. Denn „vertraulich“ steht schließlich nicht auf jeder Information drauf. Manche Daten lassen sich vergleichsweise einfach erkennen. Kreditkartennummern, bestimmte personenbezogene Informationen oder andere strukturierte Daten folgen bekannten Mustern. Schwieriger wird es bei unternehmensspezifischen Informationen. 

Was ist mit Deiner aktuellen Preisliste? Einer vertraulichen Kalkulation? Entwicklungsunterlagen? Einer Kundenliste? Einer internen Präsentation zur Unternehmensstrategie? 

Moderne DLP-Technologien können deshalb nicht nur nach einzelnen Begriffen suchen. Sie können Inhalte analysieren, Daten klassifizieren und unternehmensspezifische Informationen anhand definierter Merkmale erkennen. Damit kannst Du sehr viel genauer festlegen, welche Daten Dein Unternehmen verlassen dürfen – und unter welchen Bedingungen. 

Und genau das ist entscheidend: Nicht jede E-Mail mit sensiblen Informationen ist automatisch ein Sicherheitsvorfall. Ein Mitarbeiter der Personalabteilung muss personenbezogene Daten verschicken können. Der Vertrieb muss Angebote versenden. Die Buchhaltung muss mit Banken, Steuerberatern oder Geschäftspartnern kommunizieren. Gute E-Mail Security verhindert Kommunikation also nicht. Sie sorgt dafür, dass sie kontrolliert und angemessen geschützt stattfindet. 

Verschlüsseln, wenn es darauf ankommt

Wird eine sensible Information berechtigterweise per E-Mail verschickt, stellt sich die nächste Frage: Wie schützen wir sie auf dem Weg zum Empfänger? Hier spielt Verschlüsselung eine wichtige Rolle. 

Allerdings sollte sie im Alltag möglichst wenig zusätzliche Arbeit verursachen. Wenn Anwender bei jeder vertraulichen Nachricht selbst entscheiden müssen, ob und wie verschlüsselt wird, entsteht schnell ein neues Problem: Sicherheitsmaßnahmen werden vergessen, falsch angewendet oder als störend empfunden. Deshalb ist eine richtliniengesteuerte Verschlüsselung sinnvoll. 

Erkennt die E-Mail Security beispielsweise bestimmte vertrauliche Inhalte oder einen definierten Empfängerkreis, wird automatisch erzwungen, dass die Nachricht nur verschlüsselt übertragen wird. Der Schutz folgt damit der Information – und nicht der Aufmerksamkeit des Absenders. Das macht Sicherheit nicht nur zuverlässiger, sondern auch alltagstauglicher. 

Und wenn der Inhalt gar nicht das Problem ist?

Klassische DLP-Regeln sind enorm wichtig. Sie haben allerdings eine natürliche Grenze: Sie müssen wissen, wonach sie suchen. Doch manche Risiken entstehen erst durch den Kontext. 

Vielleicht verschickt ein Mitarbeiter regelmäßig sensible Projektunterlagen an einen bestimmten Geschäftspartner. Das ist völlig normal. Wird dasselbe Dokument plötzlich an eine private E-Mail-Adresse geschickt, sieht die Situation schon anders aus. Oder eine Mitarbeiterin kommuniziert seit Monaten mit „Thomas.Meier@kunde.de“. Heute landet die vertrauliche Kalkulation versehentlich bei einem anderen Thomas Meier. Der Inhalt der Nachricht ist derselbe. Das Risiko nicht. Genau deshalb entwickelt sich E-Mail Security zunehmend von einer reinen Inhaltskontrolle hin zu einer kontextbezogenen Betrachtung des Benutzerverhaltens. 

Moderne Systeme können berücksichtigen, mit wem ein Anwender üblicherweise kommuniziert, welche Empfängerbeziehungen normal sind und wann eine Nachricht vom üblichen Verhalten abweicht. Dadurch lassen sich Situationen erkennen, die mit statischen Regeln allein nur schwer zu erfassen wären. Und im besten Fall wird die Nachricht nicht einfach kommentarlos blockiert. Stattdessen erscheint genau in diesem Moment ein Hinweis: Ist dieser Empfänger wirklich richtig? So wird aus Security keine unsichtbare Schranke, sondern ein Sicherheitsnetz direkt im Arbeitsprozess. 

Der Mensch bleibt Teil der E-Mail Security – aber nicht ihre einzige Verteidigungslinie

Das ist ein wichtiger Unterschied. Security Awareness bleibt unverzichtbar. Mitarbeitende müssen verstehen, warum bestimmte Informationen geschützt werden müssen und welche Folgen ein unbedachter Versand haben kann. Aber technische Schutzmaßnahmen und Awareness sollten sich ergänzen. 

Ein Mitarbeiter, der unmittelbar vor einem riskanten Versand gewarnt wird, lernt außerdem wesentlich konkreter als jemand, der einmal im Jahr eine allgemeine Schulung zum Thema Datenschutz absolviert. Die Sicherheitsmaßnahme greift genau dort, wo das Risiko entsteht. So entwickelt sich mit der Zeit eine Sicherheitskultur, in der Mitarbeitende nicht nur wissen, dass Daten geschützt werden müssen, sondern auch unmittelbar erkennen, wann ihr eigenes Verhalten gerade ein Risiko erzeugen könnte. 

Was hat die ISO/IEC 27001 damit zu tun?

Auch im Rahmen eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001 spielt der Schutz von Informationen während ihrer Übertragung eine wichtige Rolle. Unternehmen müssen geeignete Regeln, Prozesse und technische Maßnahmen etablieren, um Informationen entsprechend ihrer Schutzbedürftigkeit abzusichern. Dazu gehören unter anderem der sichere Informationsaustausch, der Schutz vor Datenabfluss, angemessene kryptografische Maßnahmen sowie die Sensibilisierung der Mitarbeitenden. 

Für Deine E-Mail-Kommunikation bedeutet das: Du solltest nicht nur festlegen, welche Informationen schützenswert sind, sondern auch kontrollieren können, wie diese Informationen übermittelt werden und was bei einem erkannten Risiko passiert. 

DLP-Richtlinien, automatische Klassifizierung, kontrollierter Versand, Verschlüsselung, Protokollierung und kontextbezogene Warnungen können dabei helfen, diese Anforderungen technisch und organisatorisch umzusetzen. Entscheidend ist allerdings, dass die Technologie Teil eines übergreifenden Sicherheitskonzepts bleibt. Ein Produkt allein macht ein Unternehmen nicht ISO-27001-konform. 

Proofpoint: E-Mail Security endet nicht am Posteingang

Im ersten Teil unserer Betrachtung zur E-Mail Security haben wir uns vor allem damit beschäftigt, wie Proofpoint Unternehmen gegen eingehende Bedrohungen wie Phishing, Business Email Compromise, Malware und andere Angriffe schützen kann. Beim Schutz sensibler Informationen betrachten wir nun die andere Richtung. 

Mit Proofpoint Email DLP and Encryption können vertrauliche Inhalte in Nachrichten und Anhängen erkannt und anhand definierter Richtlinien behandelt werden. So lassen sich beispielsweise Regeln dafür festlegen, welche Informationen das Unternehmen per E-Mail verlassen dürfen und wann eine Nachricht automatisch geschützt oder verschlüsselt werden muss. 

Ergänzend geht Proofpoint Adaptive Email DLP einen Schritt weiter. Statt ausschließlich den Inhalt einer Nachricht anhand statischer Regeln zu bewerten, wird auch der Kontext des Versands berücksichtigt. Verhaltensbasierte Analysen helfen dabei, ungewöhnliche Empfänger, falsch adressierte Nachrichten, unpassende Anhänge oder den möglichen Versand von Unternehmensdaten an nicht autorisierte beziehungsweise private Accounts zu erkennen. 

Damit lassen sich zwei unterschiedliche Fragen miteinander verbinden: 

Was wird gerade verschickt? 

und 

Ist es normal, dass genau dieser Absender genau diese Information an genau diesen Empfänger sendet? 

Gerade diese Kombination macht moderne E-Mail Security interessant. Denn Datenverlust ist nicht immer das Ergebnis eines gezielten Angriffs. Manchmal ist es einfach der falsche Klick auf „Senden“. 

Du kannst nicht jede falsche E-Mail verhindern. Deine E-Mail Security vielleicht schon. 

E-Mail wird wahrscheinlich noch lange eines der wichtigsten Kommunikationsmittel in Unternehmen bleiben. Und überall dort, wo Menschen schnell und unkompliziert Informationen austauschen können, können Informationen auch versehentlich oder absichtlich an der falschen Stelle landen. Deshalb reicht es nicht mehr, E-Mail Security ausschließlich als Schutzschild gegen Angriffe von außen zu betrachten. Du musst beide Richtungen absichern. 

Was kommt herein?
Phishing, Malware, Ransomware, BEC und andere Bedrohungen müssen erkannt und gestoppt werden. 

Was geht hinaus?
Sensible Daten müssen erkannt, klassifiziert und entsprechend ihrer Schutzbedürftigkeit behandelt werden. Ungewöhnliche Versandvorgänge sollten auffallen. Kritische Nachrichten müssen bei Bedarf blockiert oder verschlüsselt werden. Und Mitarbeitende sollten genau dann Unterstützung bekommen, wenn aus einem alltäglichen Klick ein Sicherheitsvorfall werden könnte. 

Denn am Ende entscheidet sich der Schutz Deiner Informationen manchmal nicht in einem komplexen Cyberangriff. Sondern in den zwei Sekunden zwischen „An:“ und „Senden“. 

31.07.2025

Können wir den E-Mail-Verkehr überwachen und kontrollieren?

E-Mail ist der Bedrohungsvektor Nummer 1. Ganze 96 % der Social-Engineering-Angriffe wie Phishing oder E-Mail-Betrug erfolgen über diesen Kommunikationskanal – und die Angriffsmethoden entwickeln sich ständig weiter. Für Unternehmen ist das eine hochrelevante Herausforderung: E-Mail ist nicht nur ein essenzielles Kommunikationsmittel, sondern auch das bevorzugte Einfallstor für Cyberkriminelle.

Ob es um den Schutz sensibler Geschäftsdaten, die Abwehr von Schadsoftware oder die Minimierung menschlicher Fehler geht – das Thema E-Mail-Sicherheit betrifft jeden unmittelbar. Besonders gefährdet sind dabei jene Personen im Unternehmen, die oft mit sensiblen Informationen arbeiten oder viele externe Kontakte pflegen. Die gute Nachricht: Mit dem richtigen Verständnis, den passenden Werkzeugen und geschultem Personal lässt sich der E-Mail-Verkehr wirksam absichern und kontrollieren.

Was bedeutet E-Mail-Sicherheit?

E-Mail-Sicherheit umfasst alle Maßnahmen, mit denen du E-Mail-Konten, Inhalte und die gesamte Kommunikation vor Manipulation, unbefugtem Zugriff, Datenverlust und Malware schützt. Dabei gibt es mehrere Risikofaktoren, auf die Du achten solltest:

• Phishing-Angriffe, bei denen gefälschte E-Mails sensible Informationen abgreifen wollen
• Malware in Anhängen oder Links, die Systeme infizieren
• Abgefangene E-Mails, die unverschlüsselt versendet wurden
• Identitätsmissbrauch über gefälschte Absender (Mail Spoofing)

Gerade im B2B-Umfeld, wo Informationen über Kunden, Partner oder Finanzen täglich ausgetauscht werden, ist die Absicherung dieses Kommunikationskanals ein zentraler Bestandteil jeder IT-Sicherheitsstrategie.

Warum ist E-Mail-Sicherheit für Unternehmen so entscheidend?

Die geschäftliche Kommunikation läuft zu einem großen Teil über E-Mail. Die meisten Mitarbeiter empfangen täglich eine Vielzahl von Nachrichten – darunter auch externe, ungesicherte oder sogar betrügerische Mails.

Ein erfolgreicher Angriff kann gravierende Folgen haben:

• Verlust sensibler Daten (z. B. Kundeninformationen, Projektpläne, interne Dokumente)
• Finanzieller Schaden durch Erpressung oder Betrug
• Reputationsverlust, der langfristig Vertrauen kostet
• Rechtliche Konsequenzen bei Datenschutzverstößen

Insbesondere die Kombination aus technischer Raffinesse und menschlicher Gutgläubigkeit macht Angriffe per E-Mail so gefährlich – und gleichzeitig so schwer zu verhindern.

Phishing – so funktioniert der Trick

Phishing-Mails sehen auf den ersten Blick echt aus. Eine scheinbar harmlose E-Mail mit Unternehmenslogo, offizieller Sprache und persönlicher Ansprache fordert dich auf, z. B. deine Daten zu aktualisieren oder ein Dokument freizugeben. Klickst du auf den Link oder öffnest den Anhang, kann es bereits zu spät sein.

Im B2B-Kontext betrifft das besonders oft:

• Finanzabteilungen, die mit Zahlungsdaten arbeiten
• HR-Teams, die Zugriff auf personenbezogene Daten haben
• Führungskräfte, deren Identität sich gut für Täuschungsversuche nutzen lässt

Typische Merkmale von Phishing-Mails:

• Dringliche Aufforderung zum Handeln
• Angabe kurzer Fristen („innerhalb von 24 Stunden“)
• Drohungen („Ihr Zugang wird deaktiviert“)
• Verlinkung auf gefälschte Websites
• Auffällige Dateianhänge

Malware – gefährlich und gut getarnt

Ein besonders großes Risiko geht von schädlichen Anhängen aus. Über 90 % der Malware wird per E-Mail verbreitet. Besonders tückisch: Die Schadsoftware tarnt sich oft als harmloses Dokument (.doc, .xls, .pdf) oder ist in ZIP-Archiven versteckt. Wird sie geöffnet, kann sie:

• Systeme ausspionieren
• Daten verschlüsseln (Ransomware)
• Zugangspunkte für weitere Angriffe schaffen
• sich im Firmennetzwerk ausbreiten

Was du tun kannst: Öffne keine verdächtigen Anhänge, auch wenn sie auf den ersten Blick harmlos wirken. Sensibilisiere außerdem dein Team dafür, keine unbekannten Dateien herunterzuladen oder leichtfertig zu öffnen.

Schutzmaßnahmen für dein Unternehmen

Du kannst den E-Mail-Verkehr zwar nicht komplett kontrollieren – aber du kannst dein Risiko deutlich minimieren. Hier die wichtigsten Maßnahmen:

Authentifizierung mit SPF, DKIM und DMARC
Diese Standards stellen sicher, dass E-Mails wirklich von eurer Domain stammen. So verhinderst du, dass Angreifer unter eurem Namen E-Mails verschicken – ein klassischer Trick bei CEO-Fraud oder BEC-Angriffen.

Antiviren- und Anti-Spam-Lösungen
Setze auf moderne Filtermechanismen, die E-Mails bereits beim Eingang analysieren und blockieren, bevor sie überhaupt beim Empfänger landen.

Sichere E-Mail-Anbieter
Professionelle Anbieter wie Microsoft 365 oder Google Workspace bieten automatische Sicherheitsfunktionen, regelmäßige Updates und zentrale Administrationsmöglichkeiten – ideal für Unternehmen jeder Größe.

Transportverschlüsselung (TLS) aktivieren
Sichere E-Mails während der Übertragung – insbesondere bei der Kommunikation mit externen Partnern. Achte darauf, dass TLS auf dem Mailserver korrekt eingerichtet ist und verwendet wird.

Ende-zu-Ende-Verschlüsselung für sensible Inhalte
Für besonders vertrauliche Kommunikation kannst du zusätzlich PGP oder S/MIME nutzen. Das garantiert, dass nur der vorgesehene Empfänger die Nachricht lesen kann.

Der Faktor Mensch: Schulung und Sensibilisierung

Technik allein reicht nicht aus. Viele Angriffe zielen bewusst auf menschliche Schwächen – fehlende Aufmerksamkeit, Unsicherheit oder Zeitdruck.

Was du tun kannst:

• Führe regelmäßig Awareness-Schulungen durch
• Simuliere gezielt Phishing-Angriffe, um das Team zu testen
• Schaffe eine Kultur, in der Unsicherheiten ohne Hemmungen gemeldet werden dürfen
• Gerade im B2B-Bereich, wo externe Kommunikation zur Tagesordnung gehört, macht geschultes Personal den Unterschied.

Kontrolle beginnt mit Verantwortung

Nein, du kannst nicht jede E-Mail kontrollieren – aber du kannst die richtigen Rahmenbedingungen schaffen, um Risiken zu minimieren. E-Mail-Sicherheit ist kein Projekt für die IT-Abteilung allein. Sie ist eine unternehmensweite Aufgabe, die technische Maßnahmen, organisatorische Prozesse und menschliche Wachsamkeit kombiniert.

Mit einem klaren Sicherheitskonzept, solider Infrastruktur und sensibilisierten Mitarbeitenden schützt du nicht nur dein Unternehmen – sondern auch deine Kunden, Partner und dein Markenimage.

Wie Proofpoint Unternehmen beim Thema E-Mail-Sicherheit unterstützt

Wenn du eine ganzheitliche, skalierbare und effektive Sicherheitslösung für deine geschäftliche E-Mail-Kommunikation suchst, bietet Proofpoint eine der führenden Plattformen am Markt. Die Lösung geht weit über klassische Spamfilter hinaus: Sie schützt vor gezielten Angriffen wie Business Email Compromise (BEC), Phishing, Ransomware, Malware und datenbasierten Bedrohungen – mit oder ohne Schadsoftware.

Besonders stark ist Proofpoint durch:

• Adaptive Threat Detection – hochentwickelte Erkennungstechnologien, die auch neue Angriffsmuster frühzeitig identifizieren
• Personenbezogenen Schutz – mit Fokus auf deine besonders angegriffenen Mitarbeitenden (Very Attacked People, VAPs)
• Detaillierte Einblicke in Angriffsversuche und Risikoverhalten im Unternehmen
• Automatisierte Reaktionen zur schnellen Abwehr und Eindämmung von Bedrohungen
• Flexible Integration in bestehende Mail-Systeme wie Microsoft 365 oder Google Workspace

Mit Proofpoint erhältst du nicht nur Schutz, sondern auch die transparente Kontrolle über deinen E-Mail-Verkehr. So kannst du Risiken früh erkennen, gezielt absichern und das Sicherheitsbewusstsein deiner Organisation nachhaltig stärken.