Die Weiterleitung, die niemand eingerichtet hat: ein übernommenes Postfach erkennen

Wer die Zugangsdaten zu einem Postfach hat, will zwei Dinge: mitlesen und unentdeckt bleiben. Beides erreicht dieselbe Maßnahme, und sie ist in dreißig Sekunden eingerichtet — eine Weiterleitung an eine fremde Adresse.

Danach passiert lange nichts Auffälliges. Es wird nichts gelöscht, nichts verschickt, kein Passwort geändert. Die Post kommt an wie immer, sie kommt nur zusätzlich woanders an. In dieser Zeit sammelt jemand mit, welche Rechnungen offen sind, wer die Bankverbindungen pflegt und wann der Geschäftsführer im Urlaub ist.

Zwei verschiedene Dinge, die beide „Weiterleitung" heißen

TL;DR: Es gibt die Posteingangsregel, die ein Nutzer in Outlook anlegt, und die Weiterleitung am Postfach selbst, die ein Administrator oder ein Angreifer mit Administratorrechten setzt. Die erste ist sichtbar, die zweite nicht. Wer nur Regeln prüft, übersieht genau den Fall, der auf einen Angriff hindeutet.

Der Unterschied ist der Ort, an dem die Einstellung liegt. Eine Posteingangsregel gehört zum Postfachinhalt und taucht in Outlook unter den Regeln auf. Eine Weiterleitung am Postfach ist eine Eigenschaft des Postfachobjekts in Exchange. Sie erscheint in keinem Regelfenster, und der Nutzer selbst sieht sie nirgends.

Für den Angreifer ist das der bessere Weg: Wer die Regeln des eigenen Postfachs durchsieht, weil ihm etwas komisch vorkommt, findet nichts.

Warum die übliche Schnittstelle sie nicht herausgibt

Die verbreitete Microsoft-Graph-Schnittstelle in ihrer stabilen Fassung liefert Posteingangsregeln, aber die Weiterleitungseigenschaften des Postfachs gibt sie nicht heraus. Wer sie auslesen will, muss den Weg über Exchange Online PowerShell und Get-Mailbox gehen.

Das ist der Grund, warum viele Werkzeuge diese Prüfung nicht haben: nicht weil sie unwichtig wäre, sondern weil sie einen zweiten, unbequemeren Zugriffsweg verlangt. Ein Abruf über alle Postfächer ist dabei teuer, deshalb filtert man serverseitig und holt nur die Postfächer, bei denen überhaupt eine Weiterleitung gesetzt ist.

Was auffällig ist und was nicht

Nicht jede Weiterleitung ist ein Angriff. Die Assistenz, die die Post der Geschäftsführung mitliest, ist der Normalfall. Bewertet werden sollte deshalb das Ziel, nicht die Existenz:

• Ziel außerhalb des Hauses. Eine Weiterleitung an eine fremde Domäne ist die eine Einstellung, die praktisch nie eine legitime Erklärung hat, die nicht auch dokumentiert wäre.
• Ziel an einen Freimail-Anbieter. Der klassische Fall. Die Adresse ist meist unauffällig gewählt und ähnelt dem Namen des Postfachinhabers.
• Kopie behalten ist abgeschaltet. Wer mitlesen will, lässt die Kopie im Postfach. Wer die Spuren verwischen will, nicht — dann fehlen dem Inhaber Nachrichten, und das fällt irgendwann auf.
• Neu seit dem letzten Lauf. Der Bestand ist selten das Problem. Interessant ist die Weiterleitung, die gestern noch nicht da war.

Was der tägliche Lauf prüft

In MailGuard liest ein Lauf einmal täglich beide Quellen: die Posteingangsregeln aller Postfächer und die Weiterleitungen am Postfach selbst. Auffällige Funde werden nach Schwere eingestuft und gemeldet.

Wichtig dabei: der Lauf ändert nichts. Er löscht keine Regel und sperrt kein Konto. Das ist Absicht — eine automatisch gelöschte Weiterleitung nimmt dem Angreifer den Zugang und Ihnen zugleich die Spur, und eine automatische Kontosperre trifft im Zweifel die Assistenz mitten im Tagesgeschäft. Die Entscheidung gehört zu Ihnen.

Was danach zu tun ist

Steht der Verdacht, ist die Weiterleitung das Symptom und nicht die Ursache. Die Reihenfolge, die sich bewährt hat:

Erstens, Spur sichern. Bevor die Weiterleitung entfernt wird: festhalten, seit wann sie besteht und wohin sie zeigt.

Zweitens, Zugang schließen. Passwort zurücksetzen, alle aktiven Sitzungen beenden, zweiten Faktor prüfen. Ein Passwortwechsel allein beendet eine bestehende Sitzung nicht.

Drittens, rückwärts schauen. Welche Post ist in der Zeit hinausgegangen? Hat jemand aus diesem Postfach eine geänderte Bankverbindung verschickt? Ein Blick in die Ablaufverfolgung des Zeitraums beantwortet das in Minuten.

Viertens, aufräumen. Was in dieser Zeit an andere Postfächer im Haus ging, lässt sich nachträglich aus den Postfächern entfernen — siehe E-Mail nachträglich entfernen.

Fazit

Die stille Weiterleitung ist das billigste Werkzeug des Angreifers und zugleich das am leichtesten zu findende — vorausgesetzt, jemand sucht an der richtigen Stelle. Wer nur Posteingangsregeln prüft, sucht in dem Fenster, das der Angreifer bewusst gemieden hat.

Wie MailGuard übernommene Konten sonst noch erkennt, steht auf der Seite zu ausgehender E-Mail und Datenabfluss.