Rafael Pfister

Consulting

E-Mail-Penetrationstest: der Mailfluss als Angriffsfläche

Allgemeine Penetrationstests prüfen Netzwerke und Webanwendungen; der Mailfluss bleibt dabei oft aussen vor, obwohl E-Mail einer der häufigsten Einstiegspunkte für Angriffe auf Unternehmen ist. Ich teste Ihre Mailinfrastruktur mit den Methoden eines Angreifers: ob sich Absender fälschen lassen, ob das Gateway umgangen werden kann und welche Dienste von aussen erreichbar sind.

  • Penetrationstest
  • Spoofing
  • SPF/DKIM/DMARC
  • Gateway-Umgehung
  • Exchange
  • Microsoft 365

Testbereiche

  • Spoofing und AuthentifizierungLässt sich Ihre Domäne von aussen fälschen? SPF, DKIM und DMARC werden gegen reale Empfänger getestet, inklusive Subdomänen und ähnlich aussehender Domänen.
  • Gateway-UmgehungDirekte Einlieferung an Exchange Online oder den Mailserver am vorgeschalteten Gateway vorbei, Direct Send, ungenügend abgesicherte Connectoren und Relays.
  • Erreichbare DiensteSMTP, OWA, EWS, ActiveSync, Autodiscover und Admin-Oberflächen von Gateways: Versionen, bekannte Schwachstellen, TLS-Konfiguration und Authentifizierungsverfahren.
  • Filter und ZustellungWie das Gateway mit präparierten Anhängen, Links und Headern umgeht, geprüft mit harmlosen Testmustern statt echter Schadsoftware.
  • Postfach-Sicherheit in Microsoft 365Legacy-Authentifizierung, externe Weiterleitungen, App-Consents und Audit-Konfiguration als Konfigurations-Review.

Rahmen und Auftrag

Jeder Test beginnt mit einem schriftlichen Auftrag: Scope, Zeitfenster, Ansprechpartner und ausgeschlossene Systeme werden vorher festgelegt. Getestet werden ausschliesslich Systeme, über die der Auftraggeber verfügen darf; für Tests gegen Microsoft 365 gelten zusätzlich die Rules of Engagement von Microsoft für Penetrationstests in der Cloud. Phishing-Simulationen gegen Mitarbeitende gehören nicht zum Standardumfang und werden nur nach Abstimmung mit den Verantwortlichen für Personal und Datenschutz durchgeführt.

Ablauf

  1. Auftrag und ScopeZiele, Systeme, Zeitfenster und Notfallkontakt schriftlich festlegen.
  2. AufklärungÖffentlich sichtbare Informationen auswerten: DNS, MX, Zertifikate, exponierte Dienste.
  3. TestsIm vereinbarten Zeitfenster, jeder Schritt protokolliert und nachvollziehbar.
  4. Bericht und NachtestBefunde nach Risiko priorisiert, mit konkreten Massnahmen; nach der Umsetzung ein Nachtest der kritischen Punkte.

Beispiele aus der Praxis