E-Mail-Sicherheitslösungen: Acronis, Sophos & Barracuda

E-Mail ist einer der häufigsten Eintrittspunkte für Cyberangriffe, und integrierte Schutzmaßnahmen reichen nicht mehr aus, um gezielte Bedrohungen zu bewältigen. Wir haben drei Cloud-E-Mail-Sicherheitsplattformen (Acronis, Sophos und Barracuda) mit 100 Tests in 11 Bedrohungskategorien getestet.

Benchmark-Ergebnisse für Cloud-E-Mail-Sicherheitslösungen

Lesen Sie die Benchmark-Methodik für E-Mail-Sicherheitslösungen, um zu erfahren, wie wir diese Tools getestet und die Ergebnisse gemessen haben.

Vergleich der E-Mail-Sicherheitslösungen basierend auf Bewertungskategorien

Acronis Advanced Email Security

• Acronis hat die höchste Gesamterkennungsrate (122/200) und schneidet am stärksten gegen GenAI-Phishing ab, mit 100%. Alle zehn ausgefeilten geschäftlichen Vorwände wurden blockiert, darunter gefälschte Board-Pre-Reads, Microsoft 365-Wiedereinwilligungsabläufe und fiktive rechtliche NDAs.
  • Dies ist die schwierigste Kategorie im Benchmark mit einer durchschnittlichen Schwierigkeit von 8,2/10. Alle zehn zu erkennen, deutet darauf hin, dass Acronis semantische und kontextbezogene Phishing-Hinweise in diesem Benchmark gut verarbeitet hat, anstatt sich auf offensichtliche Grammatik- oder Formatierungssignale zu verlassen.
• Kategorie F und Kategorie D stützen ebenfalls dieses Bild: Acronis erzielte 89% bei Marken-/Domain-Imitation und 90% bei URL-Phishing, einschließlich einer BLOCKIERUNG beim Test zur Injection des Authentication-Results-Headers. Die aggregierten Ergebnisse deuten auf eine starke Handhabung von Imitations- und URL-Analysefällen hin.
• Die saubere False-Positive-Bilanz ist betrieblich bedeutsam. Keine der acht Kontrollnachrichten wurde blockiert, was bedeutet, dass die Erkennungsrate von 67% keine ausgleichenden Kosten durch Verlust legitimer E-Mails mit sich bringt.
• Die Schwächen konzentrieren sich auf niedrigere Schwierigkeitsgrade. Basis-Spam (Kategorie A, 44%) ist niedriger als bei anderen Tools, mit Auslassungen bei Pharma-Spam, Lotterie-Betrug und einem einfachen Romance-Scam auf den Schwierigkeitsstufen 1 bis 2. Die Lücke deutet darauf hin, dass Acronis ausgefeilten Angriffen Vorrang vor massenhaftem, wenig aufwendigem Datenverkehr einräumt.

Sophos Email Security

• Sophos hat die zweithöchste Gesamtpunktzahl (105,5/200). Es erreichte 100% in Kategorie B (EICAR-Malware-Varianten) und fing jede Variante von verschachtelten Archiven, passwortgeschützten ZIPs und Offset-Toleranztests.
• Die auffälligsten Schwächen von Sophos sind URL-Phishing (Kategorie D, 58%) und Umgehungstechniken (Kategorie J, 22%). Die Lücke beim URL-Phishing ist bemerkenswert, da Links zu den häufigsten Phishing-Übermittlungsmechanismen gehören und Kategorie D mehrere realistische Methoden testet, wie Angreifer sie verstecken oder umleiten.
• Die Punktzahl von Sophos von 58% im Vergleich zu Acronis' 90% deutet darauf hin, dass seine URL-Analyse-Ebene bei Weiterleitungen, Verschleierung und URL-Platzierungen außerhalb des Textkörpers weniger konsistent war.

Barracuda Email Protection

• Barracudas Erkennungswert von 60/200 ist niedriger als der der beiden anderen Produkte. Kategorie I (GenAI-Phishing) ergab 0% Erkennung, und Kategorie A (Spam: 33%) hat die niedrigste Punktzahl unter den Wettbewerbern. Dies deutet darauf hin, dass Barracuda in dieser Konfiguration gegen die Spam-, GenAI-Phishing- und Social-Engineering-Szenarien des Benchmarks weniger wirksam war.
• Kategorie B (Erkennung bekannter Malware mit EICAR-Teststrings, 89%) und Kategorie C (Trägerdateitypen wie PDFs mit eingebettetem JavaScript, HTML-Smuggling und LNK-Verknüpfungen, 70%) sind mit anderen Anbietern vergleichbar.
• Barracudas Ergebnisse in Kategorie J (Umgehungstechniken, 44%) sind die besten der drei Anbieter. Dies deutet darauf hin, dass die zugrunde liegende Inhaltsprüfungs-Engine mit Merkmalen wie Zeichen mit Nullbreite, codierten Betreffzeilen und Homoglyphen einigermaßen gut umgehen kann.
• Die Schwächen sind in Kategorien, die für den modernen Bedrohungsschutz am wichtigsten sind, stärker ausgeprägt. QR-Code-Phishing (Kategorie E, 13%), Markenimitation (Kategorie F, 11%), BEC (Kategorie G, 11%) und Erpressung (Kategorie H, 22%) liegen alle deutlich unter dem Vergleichswert.
• Von den elf Tests auf der Stufe „Schwer“ blockierte Barracuda einen und verpasste die restlichen zehn.

Top 3 Cloud-E-Mail-Sicherheitslösungen

Detaillierte Analyse von Acronis Advanced Email Security

Wenn wir Acronis Email Security aus dem linken Menü in der Acronis Cyber Protect Cloud-Oberfläche auswählen, sehen wir den folgenden Bildschirm. Wir klicken dann weiter, um auf die E-Mail-Sicherheitskonsole zuzugreifen.

Da wir noch kein Setup abgeschlossen haben, zeigt unser Dashboard die folgenden Menüpunkte an:

• Vorfälle: Erkannte Sicherheitsvorfälle und Angriffsaktivitäten.
  • Incident Response: Tools zur Untersuchung und Reaktion auf Vorfälle.
  • Datenverkehr: Einblick in Muster des gescannten E-Mail- oder Web-Datenverkehrs.
  • Regelmäßige Berichte: Geplante Sicherheits- und Schutzberichte.
• Sicherheitsoperationen: Operative Sicherheitskontrollen und Überwachungstools.
• Erkennungseinrichtung: Konfiguration von Erkennungsregeln, Scan- und Schutzeinstellungen.

Über das Einstellungsmenü auf der linken Seite gehen wir zu „Geschützte E-Mail-Assets“.

Da noch keine Assets vorhanden sind, leitet uns das System zum Konfigurationsablauf weiter. Wir klicken auf „E-Mail-Schutz konfigurieren“. Das System fragt uns nach einer Eskalations-E-Mail-Adresse, um Probleme zu melden, und fragt, welchen E-Mail-Dienst wir verwenden.

Für diesen Test werden wir mit einem benutzerdefinierten Anbieter via MX fortfahren. Wir tun dies, um Anbieter direkt vergleichen zu können, ohne von den integrierten Schutzmaßnahmen in Microsoft 365 oder Google Workspace beeinflusst zu werden.

Wir wählen den E-Mail-Dienst und wählen die Inline-Verbindungsmethode. Das bedeutet, dass Acronis bösartige E-Mails scannt und blockiert, bevor sie zugestellt werden.

Wir fügen auch einen Eskalationskontakt hinzu, den Acronis bei Account-Übernahme, Sicherheits- oder Verbindungsproblemen verwenden kann. Der nächste Schritt besteht darin, die Google Workspace-App zu aktivieren, die Onboarding, genaue Benutzerzählung für die Abrechnung und Behebungsaktionen unterstützt, wie z. B. das Entfernen bösartiger E-Mails, die versehentlich zugestellt wurden.

Wir fügen die verbundene Domain hinzu, aimultiple.com, und das System ruft automatisch die MX-Einträge ab.

Wir stellen die Lizenzberechnungsmethode auf „Gemäß gemeldeten Plätzen“ und geben 100 Plätze ein. Nach diesen Einstellungen fahren wir mit „Weiter“ fort, um die MX-Konfiguration fortzusetzen.

Das System fordert uns auf, einen TXT-Eintrag hinzuzufügen, um den Domain-Besitz zu verifizieren. Wir fügen den Eintrag hinzu und warten auf die Verifizierung.

Wir können auch die konfigurierten SMTP-Zielserver verwalten, bestätigen, dass TLS aktiviert ist, und die Aktion „Verifizieren“ verwenden, um zu überprüfen, ob der TXT-Eintrag korrekt veröffentlicht wurde. Auf dieser Seite können wir auch Server- und TLS-Einstellungen bearbeiten oder die Domain bei Bedarf löschen.

Wir haben insgesamt 100 E-Mails versendet, die als bösartig oder Spam betrachtet werden könnten. Das Dashboard zeigt nun Statistiken an, z. B. wie viele E-Mails gescannt wurden, wie viele als Spam klassifiziert wurden, wie viele als bösartig eingestuft wurden und wie viele E-Mails nach Angriffstyp empfangen wurden. Es gibt auch eine Statistik, die anzeigt, welche E-Mail-Adressen am häufigsten angegriffen wurden.

Im Menü „Scans“ sehen wir die Scan-Statistiken für alle eingehenden E-Mails. Die Aufschlüsselung nach Dateityp ist ebenfalls ein nützliches Detail. Zusätzlich können wir in der gesamten Anwendung den Datumsbereich anpassen, indem wir oben auf der Seite auf „Letzter Tag“ klicken.

Die Filterung im Bereich „Scans“ ist sehr detailliert. Hier sind einige der Optionen:

• Absenderadresse/Domain/IP: Die primären Indikatoren zur Identifizierung bösartiger oder gefälschter Absender.
• Imitierter Anzeigename: Zielt direkt auf eine der häufigsten Phishing-Techniken ab, bei der der sichtbare Name legitim aussieht, die tatsächliche Adresse jedoch nicht.
• Antwortadresse: Ein weiteres wichtiges Phishing-Warnsignal. Wenn die Antwortadresse von der Absenderadresse abweicht, signalisiert dies oft einen Versuch, Antworten auf ein vom Angreifer kontrolliertes Postfach umzuleiten.
• Aktion (isoliert/zugestellt): Entscheidend, um zu verstehen, ob eine Bedrohung abgefangen wurde oder den Empfänger erreicht hat.
• Betreff: Zur Identifizierung von Phishing-Kampagnen, die identische oder nahezu identische Betreffzeilen über mehrere Ziele hinweg verwenden.
• Empfängeradresse: Entscheidend zur Bestimmung des Umfangs eines Angriffs. Zeigt, wie viele Benutzer angegriffen wurden und ob hochwertige Personen (Führungskräfte, Finanzabteilung) darunter waren.
• Payload (Anhänge/URLs): Schränkt die Suche auf E-Mails mit den häufigsten Malware-Übermittlungsmechanismen ein.

Wenn wir im linken Menü zu „Sicherheitsoperationen“ gehen, gelangen wir zum Bereich „Scans“. Auf diesem Bildschirm können wir auf Details zu den Scans zugreifen. Alle Scans sind hier aufgelistet, und wir können auch die resultierenden Kategorisierungen sehen, wie z. B. sauber, Spam und bösartig.

Wenn wir die Details einer E-Mail öffnen, können wir sehen, wie das System sie bewertet hat und ihren aktuellen Status. Wir können ihren Status auch ändern zu:

• Bewertung genehmigen (Behandeln): Akzeptiert die aktuelle Bewertung und verarbeitet die E-Mail entsprechend.
• E-Mail als eingeschränkt markieren: Klassifiziert die E-Mail als eingeschränkt oder richtlinienverletzend.
• E-Mail als Spam markieren: Klassifiziert die E-Mail als unerwünscht oder unaufgefordert.
• E-Mail als verdächtig markieren: Kennzeichnet die E-Mail als potenziell riskant und vorsichtsbedürftig.
• E-Mail als sauber markieren (FP): Markiert die E-Mail als sicher und zeigt an, dass es sich um einen False-Positive handelte.

Die Ansicht unten ist die kompakte Ansicht. Wenn wir oben rechts auf die Registerkarte „Detailliert“ klicken, können wir viele weitere Details sehen.

In der kompakten Ansicht sehen wir die Scandetails einer bösartigen Phishing-E-Mail, die von Acronis unter Quarantäne gestellt wurde. Sie enthält eine KI-generierte Übersicht, die erklärt, warum die E-Mail als bösartig angesehen wird, und Indikatoren wie eine verdächtige Absenderdomain, E-Mail-Bombing-Verhalten und eine riskante URL anzeigt. Im Abschnitt „Details“ können wir den Kanal, die ergriffene Maßnahme, die Scanzeit, die Verarbeitungszeit, die Organisation und den IR-Status überprüfen.

Im E-Mail-Inspektor können wir die Nachrichten-Metadaten überprüfen, einschließlich Betreff, Absender, Empfänger, Zeit, Rückweg und Quell-IP. Der E-Mail-Text wird ebenfalls angezeigt, sodass wir den Social-Engineering-Versuch direkt beurteilen können.

Die Kriterien zur Vorfallbewertung sind klar und transparent. Für einen Vorfall können wir auch auf die Schaltfläche „Untersuchung anfordern“ klicken, „Ich denke, diese E-Mail ist sauber“ auswählen und sie zur Überprüfung an das Acronis-Team senden. Wir können frühere Scans im Zusammenhang mit derselben E-Mail anzeigen.

Mit der Schaltfläche „Screenshots“ können wir die gerenderte Version der E-Mail sehen, was eine nützliche Funktion ist. Bemerkenswerterweise rendert das System die E-Mail nicht als HTML im Browser, sodass eine nicht erkannte Schwachstelle in der E-Mail während der Überprüfung keine Sicherheitsverletzung auslösen kann.

Alle Benutzeraktionen können protokolliert werden, und wir können diese Aufzeichnungen im Audit-Log über das linke Menü einsehen. Einige dieser Aufzeichnungen sind:

• Scan-Screenshots ansehen
• Scan behandeln
• UI-Aktion

Jedes Protokoll zeichnet den Zeitstempel, die Aktion, die Beschreibung, den Administrator oder das Team, die Zielorganisation und die zugehörige E-Mail oder das Zielobjekt auf.

Im Bereich „Erkennungseinrichtung“ im linken Menü können wir Zulassungs- und Blockierungslisten detailliert verwalten, was eine äußerst nützliche Funktion ist:

• Absender-E-Mail-Adresse/Domain-Zulassungsliste: E-Mails von Adressen oder Domains auf dieser Liste werden immer als vertrauenswürdig eingestuft und umgehen Spam-/Bedrohungsfilter. Dies kann nützlich sein, um bekannte Partner oder interne Systeme auf die Whitelist zu setzen, die andernfalls False-Positives auslösen könnten.
• Empfänger-E-Mail-Adresse-Zulassungsliste: Gibt interne Empfängeradressen an, die alle eingehenden E-Mails ohne Filterung erhalten sollen. Dies stellt sicher, dass bestimmte Benutzer (z. B. ein Catch-All-Postfach) immer E-Mails erhalten, auch von unbekannten Absendern.
• Absender-E-Mail-Adresse/Domain-Blockierungsliste: E-Mails von Adressen oder Domains auf dieser Liste werden automatisch abgewiesen oder unter Quarantäne gestellt. Sie kann verwendet werden, um bekannte Spam-Quellen, bösartige Domains oder unerwünschte Massenabsender dauerhaft zu blockieren.
• Absender-IP-Zulassungsliste: Mailserver mit IPs auf dieser Liste gelten als vertrauenswürdig, und ihre E-Mails überspringen IP-basierte Reputationsprüfungen. Kann für vertrauenswürdige Drittanbieter-Maildienste oder lokale Mail-Relays verwendet werden.
• Absender-IP-Blockierungsliste: Verbindungen von diesen IPs werden blockiert, unabhängig von der Absenderadresse. Dies kann gegen bekannte bösartige Mailserver oder kompromittierte Infrastrukturen wirksam sein.

• URL-Zulassungsliste: Links, die diesen URLs oder Domains im E-Mail-Text entsprechen, gelten als sicher und werden nicht gemeldet.
• URL-Blockierungsliste: E-Mails, die diese URLs enthalten, werden gemeldet, blockiert oder unter Quarantäne gestellt.
• Hash-Zulassungsliste: Dateianhänge, die diesen kryptografischen Hashes entsprechen, werden als sicher behandelt und passieren ohne Scan-Alarme.
• Hash-Blockierungsliste: Anhänge, deren Hash mit einem Eintrag in dieser Liste übereinstimmt, werden sofort blockiert. Dies ermöglicht eine präzise, signaturbasierte Blockierung bekannter bösartiger Dateien, selbst wenn diese umbenannt oder getarnt werden.

Einige der Funktionen, die erwähnenswert sind, aber von uns nicht spezifisch getestet wurden, sind:

Unter Erkennungseinrichtung:

• Bedrohungsinformationen: Bezieht Indikatoren aus externen Threat-Intelligence-Quellen. Diese Funktion hilft, weit verbreitete Commodity-Malware, bösartige URLs und aktive Angriffskampagnen zu erkennen.
• Banner: Fügt eingehenden E-Mails basierend auf Richtlinien und Regeln anpassbare Banner hinzu.
• VIP-Benutzer: Ermöglicht Administratoren, eine Liste hochwertiger Benutzer (Führungskräfte, Finanzmitarbeiter usw.) zu führen.

Unter Sicherheitsoperationen:

Kontoübernahme (ATO): Erkennt kompromittierte Microsoft 365-Postfächer. Die Funktion ist darauf ausgelegt, Angreifer zu erkennen, die gehackte Konten für Betrug, internes Phishing und Datenexfiltration nutzen.

Die Engine kennzeichnet verdächtige Postfachregeln (Weiterleiten, Umleiten, Verschieben oder Löschen von E-Mails), unmögliche Reiseanmeldungen und Anmeldungen von unbekannten Orten oder Geräten. Wenn sie eines dieser Signale erkennt, eröffnet sie einen Fall in der Konsole, und das Incident-Response-Team wendet sich an den Administrator, um gemeinsam zu ermitteln.

Detaillierte Analyse von Sophos Email Security

Um mit Sophos zu beginnen, erstellen wir einen Testlink und werden zum folgenden Bildschirm weitergeleitet. Ähnlich wie Barracuda fordert uns Sophos auf, eine Region auszuwählen.

Das System fragt dann, welches Produkt wir installieren möchten. Wir wählen E-Mail-Sicherheit. Weitere Produkte, die eingerichtet werden können, sind Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix und Switches.

Wir werden 100 E-Mails senden, und das Bild unten zeigt das Dashboard. Es enthält Statistiken wie die Gesamtzahl der gescannten eingehenden E-Mails, potenzielle Bedrohungen und erkannte Bedrohungstypen. Es gibt auch Statistiken für ausgehende E-Mails, aber wir testen die Sicherheit ausgehender E-Mails in diesem Benchmark nicht.

Wir können auch andere Dashboard-Elemente sehen, wie z. B. Trends bei E-Mail-Aktivitäten, Bedrohungszusammenfassungen und Sicherheitsstatusindikatoren.

Wir haben auf „E-Mail-Gateway-Einstellungen einrichten“ geklickt. Das System fordert uns auf, unsere Domain zu verifizieren. Dann sehen wir eine nützliche Einstellung, bei der wir nur eingehend oder sowohl eingehend als auch ausgehend auswählen können. Es überprüft auch ausgehende E-Mails, um Sicherheitsprobleme zu vermeiden.

Das System zeigt den DNS-Eintrag an, den wir eingeben müssen. Wir fügen ihn dann hinzu und fahren fort.

Wir fügen den TXT-Eintrag zum öffentlichen DNS der Domain hinzu. Der TXT-Wert ist ein Sophos-Domain-Verifizierungs-Token, und die TTL ist auf 600 gesetzt. Nachdem wir den DNS-Eintrag hinzugefügt haben, warten wir auf die Propagierung und klicken dann auf „Verifizieren“, damit Sophos bestätigen kann, dass wir die Domain besitzen.

Wir haben den Eintrag hinzugefügt und unsere Domain verifiziert. Als eingehendes Ziel haben wir MX ausgewählt und den Google Workspace MX-Eintrag eingegeben: aspmx.l.google.com.

Wie Barracuda benötigt Sophos MX-Routing. Im Gegensatz zu Sophos und Barracuda hat Acronis diesen Prozess sauber über eine API abgewickelt, und wir mussten keine Einstellungen ändern. Diese Arten von MX- oder ähnlichen Konfigurationsänderungen können für Systemadministratoren Probleme verursachen. Zu Testzwecken fahren wir jedoch mit dem nächsten Schritt fort.

Wir haben die MX-Einstellungen abgeschlossen und eine Test-E-Mail gesendet, aber sie kam nicht durch. Nach einiger Untersuchung stellten wir fest, dass der Fehler lautete: „Diese E-Mail-Adresse wurde nicht gefunden“, was unerwartet war.

Wir müssen in das Panel gehen, den Bereich „Postfächer“ im linken Menü öffnen und Benutzer einzeln manuell hinzufügen. Dies ist ein Usability-Problem, das die Gesamterfahrung beeinträchtigt, da sowohl Acronis als auch Barracuda sofort funktionierten. Für den Test haben wir unsere eigene E-Mail-Adresse hinzugefügt und die Tests über dieses Konto fortgesetzt.

Der Bereich „Berichte“ befindet sich im linken Menü. Hier sind einige der Berichte, die wir erstellen können:

• Nachrichtenzusammenfassung: Gesamtes E-Mail-Volumen und Status.
• SophosLabs Analysebericht: Vom Benutzer/Administrator gemeldete Nachrichtenbewertungen.
• Intelix Bedrohungszusammenfassung: Bedrohungsanalyse für eingehende E-Mails.
• Time of Click Zusammenfassung: Link-Klick-Aktivitätsbericht.
• Gefährdete Benutzer: Verwundbarste Mitarbeiter.
• Datenkontrollzusammenfassung: Übereinstimmungen mit Richtlinien zur Datenverlustverhinderung.
• Post-Delivery Zusammenfassung: Nach der Zustellung entfernte E-Mails.
• Lizenznutzungszusammenfassung: Nutzung der E-Mail-Sicherheitslizenz.

Wenn wir zu E-Mail-Sicherheit > Nachrichtenverlauf gehen, sehen wir alle eingehenden E-Mails und wie jede einzelne klassifiziert wurde. Dieser Bericht zum Nachrichtenverlauf listet einzelne E-Mails auf, die von Sophos Email Security verarbeitet wurden. Einige wichtige Felder sind:

• Absender: Von wem die E-Mail zu kommen schien.
• Empfänger: Wer die Nachricht erhalten hat.
• Typ: Wie die E-Mail in das System gelangt ist, normalerweise Gateway.
• Betreff: Die Betreffzeile der E-Mail.
• Letzter Status: Was Sophos damit gemacht hat, z. B. Zugestellt, Gelöscht oder Unter Quarantäne gestellt.
• Datum: Wann die E-Mail verarbeitet wurde.
• Kategorie: Sophos' Klassifizierung, z. B. Legitim, Spam, Malware, Intelix-Bedrohung oder Authentifizierung.

Einige Beispiele aus den Kategorien sind:

• Legitim: Normale E-Mails, die durchgelassen wurden.
• Spam: Verdächtige oder unerwünschte E-Mails; viele werden unter Quarantäne gestellt.
• Malware: Gefährliche E-Mails mit bösartigem Inhalt; diese werden gelöscht.
• Intelix-Bedrohung: Von Sophos Intelix analysierte E-Mails, die als verdächtig oder bedrohlich eingestuft wurden.
• Unter Quarantäne gestellt: Die E-Mail wurde blockiert und zur Überprüfung in Quarantäne gestellt.
• Gelöscht: Die E-Mail wurde entfernt, anstatt zugestellt zu werden.

Die folgenden Filter ermöglichen es Benutzern, das E-Mail-Protokoll nach Nachrichtenkategorie einzugrenzen:

• Legitim: Normale erlaubte E-Mails.
• Sichere Nachricht: Verschlüsselte oder geschützte E-Mails.
• Datenkontrolle: E-Mails, die Datenverlustsicherheitsregeln entsprechen.
• Authentifizierungsfehler: Fehlgeschlagene SPF-, DKIM- oder DMARC-Prüfungen.
• Imitation: Mögliches Absender-Spoofing oder Identitätsbetrug.
• Massen-E-Mail: Massenmarketing oder automatisierte E-Mails.
• Spam: Unerwünschte oder verdächtige E-Mails.
• URL/QR-Code: E-Mails mit riskanten Links oder QR-Codes.
• Intelix-Bedrohung: Von der Sophos-Bedrohungsanalyse markierte E-Mails.
• Nicht scanbar: E-Mails, die Sophos nicht vollständig überprüfen konnte.
• Malware: E-Mails mit bösartigen Dateien oder Inhalten.
• Unternehmensweit blockiert: Durch Unternehmensrichtlinien blockierte E-Mails.

Das Menü „Postfächer“ zeigt die überwachten Postfächer. Durch Öffnen eines Postfachs können wir auswählen, welche Richtlinien angewendet werden sollen. Unter Basisrichtlinie – E-Mail-Sicherheit sind die folgenden Einstellungen verfügbar:

Authentifizierung umfasst E-Mail-Authentifizierungsprüfungen für eingehende Nachrichten. Wir können konfigurieren, wie Sophos mit DMARC-, SPF- und DKIM-Fehlern umgeht, einschließlich Aktionen wie Befolgen der Absenderrichtlinie oder Markieren der Betreffzeile mit einer Warnung.

Es umfasst auch Absenderprüfungen auf Header-Anomalien und Domain-Anomalien, die dabei helfen, E-Mails zu erkennen, die scheinbar von der eigenen Domain oder von verdächtigen Domains ohne ordnungsgemäße DNS-Einträge stammen. Wir können auch Endbenutzer-Banner aktivieren, um Empfängern die Vertrauensstufe eingehender Nachrichten anzuzeigen und uns bei der Entscheidung zu helfen, ob wir Absender zulassen oder blockieren.

Anti-Malware verwaltet die eingehende Anti-Malware-Überprüfung für E-Mail-Nachrichten. Wir können die Standardaktion für Malware-Erkennungen wählen, z. B. Löschen, und erweiterte Malware-Überprüfung für tiefergehende Inhalts- und Dateianalysen aktivieren.

Es ermöglicht auch die Kontrolle über nicht gescannte E-Mails und die Intelix-Bedrohungsanalyse, bei der Sophos statische und dynamische Analysen verwenden kann, um verdächtige Nachrichten zu klassifizieren. Basierend auf dem Urteil können wir Aktionen definieren, wie z. B. das Löschen, Zustellen oder unterschiedliche Behandeln von bösartigen und verdächtigen E-Mails.

Anti-Spam verwaltet, wie Sophos mit Spam und Massen-E-Mails umgeht. Wir können Aktionen für Kategorien wie Bestätigter Spam und Massen-E-Mail festlegen, einschließlich der Quarantäne von Nachrichten und der Entscheidung, ob sie in der Endbenutzer-Quarantäne erscheinen.

Es enthält auch einen anpassbaren Schieberegler für die Spam-Erkennungsrate, bei dem höhere Stufen die Aggressivität der Spam-Erkennung erhöhen.

Neue Domain/neuer Absender umfasst Schutzmaßnahmen für neu registrierte Domains und neue Absender. Wir können Prüfungen für E-Mails aktivieren, die von kürzlich erstellten Domains gesendet werden, die häufig in Phishing-Kampagnen verwendet werden.

Es ermöglicht auch das Anzeigen eines „Neuer Absender“-Banners, wenn ein Empfänger zuvor keine E-Mails von diesem Absender erhalten hat.

Das Herkunftsland ermöglicht die Kontrolle von E-Mails basierend auf dem Land des Absenders. Bestimmte Länder können aus einer Liste ausgewählt werden, und übereinstimmende E-Mails können gemäß den Richtlinien unter Quarantäne gestellt oder anderweitig behandelt werden.

Es gibt auch eine Option, jeden Nachrichten-Hop zu überprüfen, die hilft, den Weg einer E-Mail zu prüfen, bevor sie den Empfänger erreicht.

Sprache verwaltet die Filterung nach Nachrichtensprache. Wir können bestimmte Sprachen auswählen, die wir nicht zulassen möchten, und die Aktion wählen, die Sophos ausführen soll, z. B. das Unter-Quarantäne-Stellen übereinstimmender Nachrichten.

Die Imitationsschutzfunktion ermöglicht Prüfungen auf VIP-, Marken- und allgemeine Imitationsversuche.

Für den URL- und QR-Code-Schutz können wir E-Mails auf bösartige URLs und QR-Codes überprüfen. Sophos kann Links scannen und URLs aus QR-Codes extrahieren, um Bedrohungen zu erkennen, bevor Benutzer mit ihnen interagieren.

Es verwaltet auch den Time-of-Click-URL-Schutz, bei dem Links umgeschrieben und überprüft werden, wenn der Benutzer darauf klickt.

Im linken Menü zeigt der Bereich „Unter Quarantäne gestellte Nachrichten“ alle E-Mails an, in denen eine Bedrohung erkannt wurde. Wir können filtern nach:

• Anti-Malware: E-Mails, die während der Malware-Überprüfung gemeldet wurden. Dazu gehören Nachrichten mit gefährlichen Anhängen, bösartigen Inhalten oder Elementen, die Sophos nicht vollständig überprüfen konnte:
  • Malware: E-Mails, die nachweislich bösartige Dateien, Links oder Inhalte enthalten. Diese werden normalerweise gelöscht oder unter Quarantäne gestellt.
  • Nicht scanbar: E-Mails, die Sophos nicht ordnungsgemäß überprüfen konnte, z. B. aufgrund von Verschlüsselung, Beschädigung, passwortgeschützten Anhängen oder nicht unterstützten Dateitypen.
• Anti-Spam: E-Mails, die durch Spam-Erkennungsregeln klassifiziert werden:
  • Massen-E-Mail: Massenhaft versendete E-Mails wie Newsletter, Marketingkampagnen oder automatisierte Benachrichtigungen.
  • Bestätigter Spam: E-Mails, die mit hoher Sicherheit als Spam identifiziert wurden. Diese werden in der Regel unter Quarantäne gestellt oder blockiert.
  • Verdächtiger Spam: E-Mails, die verdächtig aussehen, aber kein bestätigter Spam sind. Sie können je nach Richtlinie unter Quarantäne gestellt, markiert oder zugestellt werden.
  • Imitation: E-Mails, die möglicherweise vorgeben, von einer vertrauenswürdigen Person, Marke, Domain oder einem internen Absender zu stammen.
  • Nicht zugelassenes Land: E-Mails, die blockiert oder unter Quarantäne gestellt wurden, weil sie aus einem durch die Richtlinie eingeschränkten Land stammen.
  • Nicht zugelassene Sprache: E-Mails, die blockiert oder unter Quarantäne gestellt wurden, weil ihre erkannte Sprache durch die Richtlinie nicht zugelassen ist.
  • BATV: E-Mails im Zusammenhang mit Bounce Address Tag Validation, die verwendet wird, um gefälschte Bounce-Nachrichten oder Backscatter-Spam zu erkennen.
  • Neue Domain/NRD: E-Mails von neu registrierten Domains, die häufig in Phishing- oder kurzlebigen Angriffskampagnen verwendet werden.

• Authentifizierung: E-Mails, die basierend auf Absenderauthentifizierungsprüfungen wie SPF-, DKIM- oder DMARC-Fehlern gefiltert wurden.

Wenn wir auf eine E-Mail klicken, sehen wir die Meldungen, die erklären, warum sie unter Quarantäne gestellt wurde. Wir können sie löschen und den Absender blockieren, die Nachricht aus der Quarantäne freigeben oder sie freigeben und ähnliche Nachrichten in Zukunft zulassen.

Im Bereich „Roh-Header“ können wir alle Header-Informationen der E-Mail einsehen. Wir können auch ihre Anhänge und die in der Nachricht enthaltenen URLs anzeigen. Dies erschien uns in unserer Bewertung nicht ausreichend detailliert. Acronis und Barracuda boten in dieser Hinsicht eine umfassendere und informativere Erfahrung.

Auf der Registerkarte „Nachricht“ können wir den E-Mail-Inhalt so sehen, wie er ist, was unsicher sein kann. Es wäre besser, wenn wir den E-Mail-Inhalt als Screenshot sehen könnten, wie wir es bei Acronis beobachtet haben.

Es gibt hier 23 E-Mails, weil diese als Spam markiert wurden, während einige andere direkt abgewiesen wurden. Kurz gesagt, das System stellt als Spam markierte E-Mails unter Quarantäne.

Wenn wir alle eingehenden E-Mails exportieren möchten, können wir dies nicht direkt über die Berichtsbildschirme tun. Wir müssen einen benutzerdefinierten Bericht aus den E-Mail-Logs erstellen, ihn dann öffnen, „Bericht generieren“ auswählen, CSV wählen und schließlich alles als CSV exportieren. Dieser Workflow fühlt sich unnötig indirekt und nicht benutzerfreundlich an.

Detaillierte Analyse von Barracuda Email Protection

Nachdem wir eine Testversion von Barracuda erhalten hatten, navigierten wir zum Panel, klickten für E-Mail Protection auf „Öffnen“ und fuhren fort.

Unter „In Ihrer Testversion verfügbar“ können wir die enthaltenen Hauptprodukte sehen:

• E-Mail Protection: Verhindert E-Mail-Bedrohungen, sichert E-Mails vor und nach der Zustellung und automatisiert die Incident Response für E-Mails.
• Cloud-to-Cloud-Backup: Sichert Microsoft 365-Daten.
• Dateninspektor: Findet sensible Daten und unentdeckte Malware in OneDrive und SharePoint.
• Sensibilisierungstraining für Sicherheit: Trainiert Mitarbeiter in Bezug auf E-Mail-Sicherheitsbedrohungen.
• Cloud-Archivierungsdienst: Setzt die E-Mail-Aufbewahrung für Compliance und e-Discovery durch.

Da wir noch keine Domains oder zugehörigen Einstellungen konfiguriert hatten, führte uns das System direkt zum Einrichtungsassistenten, was eine hilfreiche Funktion zum Konfigurieren der E-Mail-Einstellungen ist.

Als wir auf „Weiter“ klickten, zwang uns das System, ein Microsoft 365-Konto zu verbinden. Wir verwenden jedoch Google Workspace und evaluieren den Dienst für diese Umgebung.

Wir stellten später fest, dass Barracuda Google Workspace unterstützt. Wir fuhren mit dem Standard-Setup fort.

Das System forderte uns auf, eine Datenregion auszuwählen. Dies ist eine wichtige Funktion für die DSGVO-Compliance, daher wählten wir Deutschland und fuhren fort.

Später forderte uns Barracuda auf, eine zu unserer Domain gehörende E-Mail-Adresse einzugeben und unsere MX-Einträge zu überprüfen. Wir klickten auf die Schaltfläche „Verifizieren“ und führten keine weiteren Aktionen aus. Das System verifizierte die Einträge erfolgreich.

Während der späteren Phasen unserer Konfiguration stellten wir fest, dass Barracuda keine native Integration mit Google Workspace bot. Stattdessen gab es uns neue MX-Einträge, um unsere bestehenden zu ersetzen. Wenn wir diese MX-Einträge aktualisieren, scheinen eingehende E-Mails zuerst Barracuda zu erreichen.

Barracuda filtert dann unangemessene E-Mails heraus und leitet die akzeptablen weiter. Das Erfordern von MX-Eintragsänderungen für die Google Workspace-Integration ist ein schlechter Ansatz.

Danach aktualisierten wir die MX-Einträge und verifizierten sie. Wir schlossen das Setup ab und begannen, E-Mails zu senden.

Während des Sendens der E-Mails beobachteten wir, dass Barracuda einige SMTP-Anfragen ablehnte und einige Anhänge verweigerte. Als wir denselben Test mit Acronis durchführten, wurden alle E-Mails zugestellt und waren im System sichtbar. Hier lehnt Barracuda einige E-Mails ab, bevor sie im Dashboard erscheinen.

Obwohl es sie ablehnt, weil sie wirklich bösartig sind, verlieren wir durch diesen automatisierten Prozess die Sichtbarkeit. Mit anderen Worten, wir wissen möglicherweise nicht einmal, ob ein Angriff eingetroffen ist und abgelehnt wurde. Dies ist eine Herausforderung für die Verwendung von Barracuda für die E-Mail-Sicherheit, da Sichtbarkeit im Sicherheitskontext alles ist. Wenn ein Produkt willkürlich Vorfälle ablehnt und sie unsichtbar macht, schadet es dem Sicherheitsteam.

Trotz dieser Herausforderungen wurden alle Test-E-Mails gesendet. Im Barracuda-Dashboard werden wir zum Bildschirm „Nachrichtenprotokoll“ geleitet, wo alle gescannten E-Mails aufgelistet sind.

Der Bereich „Nachrichtenprotokoll“ enthält oben einen Filterbereich. Hier sind die Filteroptionen:

• Suche: Textsuche in Nachrichten, Empfängern, Absendern und anderen Feldern.
• Domains: Filtert Ergebnisse nach der ausgewählten Domain.
• Richtung: Filtert nach E-Mail-Richtung; Eingehend oder Ausgehend.
• Datums-/Zeitbereich: Beschränkt die Ergebnisse auf ein bestimmtes Zeitfenster.
• Ergriffene Maßnahme: Filtert nach der ergriffenen Maßnahme, z. B. Zugelassen, Blockiert, Zurückgestellt.
• Zustellungsstatus: Filtert danach, ob die E-Mail zugestellt wurde, fehlgeschlagen ist, unter Quarantäne gestellt wurde usw.
• Grund: Filtert nach dem Erkennungsgrund, der eine Aktion ausgelöst hat (z. B. Punktzahl, DMARC, Antivirus, Inhalt geschützt).
• Ergebnisse: Steuert, wie viele Datensätze pro Seite angezeigt werden.

Wir können sie als falsch klassifiziert melden. Zum Beispiel ist die folgende E-Mail sicher, wurde aber fälschlicherweise als schädlich eingestuft. Wir meldeten die E-Mail als sicher.

Die folgende E-Mail ist blockiert, aber das Dashboard liefert keine zusätzlichen Details. Daher bleibt Barracuda in diesem Bereich hinter den Erwartungen zurück. Es wäre nützlicher, wenn wir zusätzlich zum Blockierungswert weitere Informationen darüber sehen könnten, warum die Nachricht blockiert ist.

Im Bereich „Domains“ auf der linken Seite können wir die Domains anzeigen, hinzufügen und löschen, die wir in den E-Mail-Schutz aufnehmen möchten, was Standardfunktionen sind.

Im Menü „Eingehend“ auf der linken Seite stellt Barracuda die für diese Kontrollen verwendeten Filter bereit. Wir können diese Filter konfigurieren.

Zum Beispiel können wir unter Anti-Spam-/Antivirus-Einstellungen Folgendes konfigurieren:

• Barracuda Reputation Block List verwenden: Überprüft eingehende E-Mails anhand der Datenbank bekannter bösartiger Absender von Barracuda. Kann auf Blockieren, Quarantäne oder Aus gesetzt werden.
• E-Mails auf Viren scannen: Aktiviert oder deaktiviert die Virenprüfung für alle eingehenden E-Mails.
• Barracuda Echtzeitsystem verwenden: Gleicht E-Mails mit dem Live-Threat-Intelligence-Feed von Barracuda ab. Kann blockiert, unter Quarantäne gestellt oder ausgeschaltet werden. Sendet optional verdächtige Inhalte zur weiteren Analyse an Barracuda Central.
• Cloudscan aktivieren: Verlagert die Spam-Bewertung in die Cloud-Engine von Barracuda. Die Bewertungen reichen von 1 bis 10; E-Mails, die den Schwellenwert überschreiten, lösen die konfigurierte Aktion aus.
• E-Mail-Kategorisierung: Klassifiziert eingehende E-Mails nach Typ und wendet eine Aktion pro Kategorie an. Zu den Kategorien gehören Unternehmens-E-Mails, Transaktions-E-Mails, Marketingmaterialien und Newsletter, Mailinglisten und Soziale Medien, jeweils unabhängig auf Zulassen, Quarantäne, Blockieren oder Aus gesetzt.
• Massen-E-Mail-Erkennung: Erkennt und reagiert auf massenhaft versendete E-Mails. Wenn sie auf Aus gesetzt ist, werden Massen-E-Mails nicht separat gefiltert.
• Ausnahmen für Massen-E-Mails: Ermöglicht bestimmten E-Mail-Adressen oder Domains, die Massen-E-Mail-Erkennung zu umgehen, definiert pro Absender oder Empfänger.

Die Seiten zur Ratenbegrenzung definieren, wie viele E-Mails eine Absender-IP-Adresse innerhalb jedes 30-Minuten-Zeitraums senden kann, was eine nützliche Einstellung ist. Es kann E-Mail-Missbrauch und plötzliche Angriffe mit hohem Volumen von einer einzelnen Absender-IP verhindern.

Durch die Begrenzung, wie viele E-Mails eine IP-Adresse in einem 30-Minuten-Zeitraum senden kann, kann das System die Auswirkungen von Folgendem reduzieren:

• Spam-Kampagnen
• Phishing-Schüben
• Malware-Verteilung
• Kompromittierten Absenderkonten oder -servern
• Denial-of-Service-ähnlichen E-Mail-Fluts

Auf der Seite „IP-Whitelist/-Blacklist“ können wir die Überprüfung für E-Mails von bestimmten IP-Adressen umgehen oder sie direkt blockieren.

In den „Regionalen Richtlinien“ können wir geografische Blockierung oder Whitelisting anwenden. Wir können E-Mails auch basierend auf der Inhaltssprache blockieren oder zulassen.

In den „Empfängerrichtlinien“ können wir Scan- oder Umgehungsregeln basierend auf der Empfänger-E-Mail-Adresse konfigurieren.

Barracuda bietet auch ähnliche Richtlinien für Absender. Wir können Ausnahmen basierend auf dem Absender anwenden.

Es gibt auch ein Dashboard, auf dem wir Ausnahmen basierend auf Standard-E-Mail-Sicherheitskontrollen wie DMARC, DKIM und SPF definieren können.

In den „Inhaltsrichtlinien“ können wir konfigurieren, ob E-Mails basierend auf Dateiname oder Dateityp gescannt oder umgangen werden sollen. Wir können auch Scan- oder Umgehungsregeln basierend auf dem Nachrichtentextinhalt mit regulären Ausdrücken definieren.

Barracuda bietet Advanced Threat Protection als Abonnement zusätzlich zum regulären Virenscanner. Advanced Threat Protection (ATP) ist ein cloudbasierter Scan-Dienst, der E-Mail-Anhänge in einer sicheren Cloud-Umgebung analysiert, um Bedrohungen zu erkennen, die Standard-Virenscanner möglicherweise übersehen. Er gilt für eingehende Nachrichten und unterstützt die meisten MIME-Dateitypen.

Es gibt drei Modi in ATP:

1. Zuerst zustellen, dann scannen versucht, den Anhang in Echtzeit zu scannen, während die E-Mail ankommt. Wenn der Scan rechtzeitig abgeschlossen ist und eine Bedrohung erkannt wird, wird die E-Mail blockiert. Wenn der Scan nicht rechtzeitig abgeschlossen ist, wird die E-Mail sofort zugestellt, ohne auf das Ergebnis zu warten. Der Scan läuft im Hintergrund weiter, und wenn anschließend eine Bedrohung gefunden wird, wird der Empfänger benachrichtigt, aber die E-Mail hat seinen Posteingang erreicht. Das bedeutet, der Empfänger könnte einen infizierten Anhang öffnen, bevor die Bedrohung identifiziert wird.
2. Zuerst scannen, dann zustellen scannt den Anhang vor der Zustellung. Wenn eine Bedrohung erkannt wird, wird die E-Mail blockiert. Wenn sie sauber ist, wird sie zugestellt. E-Mails, die auf einen Scan warten, erscheinen im Nachrichtenprotokoll mit dem Grund „Scan ausstehend“. Wenn eine Nachricht länger als vier Stunden zurückgestellt bleibt, wird sie unter Quarantäne gestellt. Dieser Modus ist sicherer, kann aber die Zustellung verzögern.
3. Deaktiviert: ATP ist vollständig ausgeschaltet.

Der entscheidende Kompromiss liegt hier zwischen Geschwindigkeit und Sicherheit. „Zuerst zustellen“ priorisiert die Zustellgeschwindigkeit, führt aber ein Risikofenster ein. „Zuerst scannen“ beseitigt dieses Risiko, kann aber Nachrichten mit Anhängen verzögern oder zurückstellen.

Im Bereich „Berichte“ erstellt Barracuda detaillierte Berichte zur E-Mail-Sicherheit:

• Zusammenfassung des eingehenden/ausgehenden Datenverkehrs: Übersicht über alle eingehenden und ausgehenden E-Mail-Aktivitäten, aufgeschlüsselt nach zurückgestellt, blockiert, unter Quarantäne gestellt und zugelassen.
• Aufschlüsselung blockierter eingehender E-Mails: Detaillierte Aufschlüsselung, warum eingehende E-Mails blockiert wurden.
• Top-Absender/-Empfänger eingehender E-Mails: Zeigt die häufigsten Absender/Empfänger eingehender E-Mails an.
• Aufschlüsselung der am häufigsten blockierten eingehenden Absender: Listet die Absender auf, deren E-Mails am häufigsten blockiert werden, mit Begründung.
• Aufschlüsselung der am häufigsten blockierten eingehenden Empfänger: Zeigt die internen Empfänger, die am häufigsten von blockierten E-Mails betroffen sind.
• Top-Absender ausgehender E-Mails: Übersicht über die internen Benutzer, die das höchste Volumen an ausgehenden E-Mails senden.
• Top blockierte Absender ausgehender E-Mails: Zeigt die internen Benutzer, deren ausgehende E-Mails am häufigsten blockiert werden.

Darüber hinaus können wir automatisierte Berichte planen, was eine nützliche Funktion ist. Anstatt sich wiederholt anzumelden, um Dashboards zu überprüfen, können wir regelmäßige Zusammenfassungen von Bedrohungen, unter Quarantäne gestellten Nachrichten, Spam-Trends, Malware-Erkennungen, Imitationsversuchen, Richtlinienaktionen und Benutzerrisiken erhalten. Geplante Berichte können Benutzern auch helfen, Muster frühzeitig zu erkennen, wie z. B. einen Anstieg von Phishing-E-Mails, wiederholte Angriffe auf bestimmte Benutzer oder eine Zunahme blockierter bösartiger Anhänge.

Das Syslog-Menü auf der linken Seite ermöglicht es uns, alle diese Datensätze an einen Log-Server unserer Wahl weiterzuleiten. Dies ist eine nützliche Funktion für SIEM-Integrationen.

Insgesamt bietet das Produkt eine breite Palette von Funktionen, ist aber bei der Bedrohungserkennung unterdurchschnittlich. Ein erheblicher Teil der Konfiguration bleibt dem Benutzer überlassen, was die Frage aufwirft, ob der Mehrwert den Aufwand rechtfertigt, insbesondere für Organisationen, die Google Workspace oder das Microsoft 365 Compliance Center nutzen.

Wichtige Funktionen von Cloud-E-Mail-Sicherheitslösungen

Cloud-E-Mail-Sicherheitslösungen analysieren das Benutzerverhalten, erkennen kontextbezogene Anomalien, automatisieren die Bedrohungsreaktion und -behebung und integrieren sich in das breitere Sicherheitsökosystem. Zu den wichtigsten Funktionen gehören:

KI-gestützte Bedrohungserkennung

Cloud-E-Mail-Sicherheitssysteme analysieren Nachrichtenkontext, Absenderhistorie und Absicht, um Phishing-Angriffe und Imitationsversuche zu kennzeichnen, die oberflächlich legitim aussehen. Dazu gehört die Identifizierung subtiler Anzeichen wie Domain-Ähnlichkeiten oder ungewöhnliche Zeitmuster.

Durch die Verfolgung normaler Kommunikationsgewohnheiten können diese Systeme Anomalien erkennen, z. B. wenn ein Finanzmitarbeiter plötzlich dringende Zahlungsaufforderungen von einem neuen externen Absender erhält. Dieser Ansatz ist besonders wichtig für die Erkennung von Business Email Compromise (BEC), bei dem keine Malware gescannt werden muss und keine offensichtlichen Warnsignale vorliegen.

Mehrschichtige Schutzarchitektur

Cloud-E-Mail-Sicherheitsplattformen kombinieren mehrere Prüfungsebenen, um Bedrohungen zu erkennen, die eine Kontrolle umgehen.

• Die statische Analyse überprüft bekannte Indikatoren, während dynamisches Sandboxing beobachtet, wie sich Anhänge in einer kontrollierten Umgebung verhalten.
• Die URL-Inspektion spielt ebenfalls eine Schlüsselrolle, insbesondere bei der Identifizierung bösartiger Links, die nach der Zustellung aktiviert werden.
• Authentifizierungsprotokolle wie SPF, DKIM und DMARC helfen bei der Validierung der Absenderidentität und verringern das Risiko von Spoofing.

Zusammen schaffen diese Ebenen ein System, in dem jede Komponente die Einschränkungen der anderen ausgleicht.

Schutz vor neuen Bedrohungen

Angreifer setzen zunehmend auf Täuschung statt auf technische Exploits. Social-Engineering-Taktiken sind darauf ausgelegt, Benutzer unter Druck zu setzen, schnelle Entscheidungen zu treffen, wobei sie oft Führungskräfte oder vertrauenswürdige Anbieter imitieren.

Dazu gehören gezielte Kampagnen wie Spear-Phishing, bei denen Nachrichten auf eine bestimmte Person oder Rolle zugeschnitten sind. Fortgeschrittenere Szenarien beinhalten Deepfake-Sprachnachrichten oder Versuche des Rechnungsbetrugs.

Diese fortschrittlichen Bedrohungen sind nicht auf bösartige Dateien angewiesen. Stattdessen nutzen sie Vertrauen aus, wodurch die Erkennung von Kontext und Absicht und nicht von Signaturen abhängt.

Echtzeiterkennung und automatisierte Reaktion

Sobald eine bösartige Nachricht einen Posteingang erreicht, ist das Zeitfenster für Schäden begrenzt. Sicherheitssysteme analysieren E-Mails bei ihrem Eintreffen und handeln sofort, wenn eine Bedrohung bestätigt wird.

Automatisierung reduziert die Belastung für Sicherheitsteams, indem sie schädliche Nachrichten in allen betroffenen Postfächern entfernt, selbst nach der Zustellung. Dies begrenzt die Ausbreitung von Angriffen, die auf interner Weiterleitung oder Antwortketten beruhen.

Reaktions-Workflows können auch umfassendere Aktionen auslösen, wie z. B. die Isolierung von Konten oder die Aktualisierung von Erkennungsregeln basierend auf neuen Informationen.

Kontinuierliche Überwachung und Schutz nach der Zustellung

Die anfängliche Filterung erfasst nicht alles. Angriffstechniken entwickeln sich weiter, und einige Bedrohungen werden erst erkannt, nachdem neue Indikatoren auftauchen.

• Kontinuierliche Überwachung ermöglicht es Systemen, zugestellte Nachrichten erneut zu überprüfen und neu identifizierte Bedrohungen zu entfernen. Dies ist entscheidend für Angriffe, die verzögerte Payloads oder gestaffelte Zustellung verwenden.
• Die Behebung nach der Zustellung stellt sicher, dass zuvor übersehene E-Mails nicht in Posteingängen verbleiben, sobald sie als bösartig eingestuft werden.

E-Mail-Kontinuität und Ausfallsicherheit

Bei Sicherheit geht es nicht nur um das Blockieren von Bedrohungen. Auch die Verfügbarkeit ist wichtig. Wenn der E-Mail-Zugriff unterbrochen wird, können Geschäftsabläufe ins Stocken geraten.

Cloudbasierte Kontinuitätsfunktionen bieten Backup-Zugriff bei Ausfällen und unterstützen die schnelle Wiederherstellung von Nachrichten und Konten. Dies stellt sicher, dass geschäftliche E-Mails auch bei Dienstunterbrechungen oder Angriffen verfügbar bleiben.

Differenzierungsmerkmale von Cloud-E-Mail-Sicherheitsplattformen

Benutzerorientierte Sicherheit (menschliche Ebene)

Viele Vorfälle beginnen mit einer Benutzeraktion. Deshalb enthalten moderne E-Mail-Sicherheitsplattformen Tools, die das Verhalten lenken, anstatt sich nur auf Filterung zu verlassen.

• Kontextbezogene Warnbanner können Benutzer warnen, wenn eine Nachricht verdächtig erscheint.
• Auch das Training wird adaptiver. Anstelle generischer Simulationen erhalten Benutzer eine auf ihre Interaktionsmuster zugeschnittene Anleitung.

Einheitliche Sicherheit und Plattformintegration

E-Mail existiert nicht isoliert. Sie ist Teil einer breiteren Umgebung, die Endpunkte, Identitäten und Anwendungen umfasst. Die Integration mit Endpunkt- und Identitätssystemen ermöglicht koordinierte Reaktionen. Wenn beispielsweise eine E-Mail zu einem Identitätsdiebstahl führt, kann das System Aktionen über den Posteingang hinaus auslösen.

Zentralisierte Dashboards geben Teams einen klareren Überblick über ihre allgemeine Sicherheitslage und reduzieren Missverständnisse zwischen den Tools.

Datenschutz, Verschlüsselung und Compliance

E-Mails enthalten oft Verträge, Finanzdetails und andere sensible Daten. Der Schutz dieser Informationen erfordert mehr als nur Bedrohungserkennung.

• Verschlüsselung stellt sicher, dass Nachrichten während der Übertragung und im Ruhezustand privat bleiben. Richtlinien zur Verhinderung von Datenverlust helfen, unbefugte Weitergabe zu verhindern, ob versehentlich oder absichtlich.
• Compliance-Funktionen unterstützen regulatorische Anforderungen, einschließlich Audit-Trails und Aufbewahrungsrichtlinien. Dies ist besonders relevant für Organisationen, die grenzüberschreitend tätig sind und Daten verarbeiten, die strengen gesetzlichen oder branchenspezifischen Regeln unterliegen.

Entdecken Sie weitere unserer Benchmarks und datengestützten Erkenntnisse in der Google-Suche.

Als bevorzugte Quelle hinzufügen

Benchmark-Methodik für Cloud-E-Mail-Sicherheit

Wir haben drei E-Mail-Sicherheitsprodukte verglichen: Acronis Advanced Email Security (betrieben von Perception Point), Sophos Email Security und Barracuda Email Protection.

Der Benchmark umfasste 100 End-to-End-Tests und folgte vier Prinzipien.

1. Abdeckungsorientiert: Jeder Test bildet eine Fähigkeit ab, die der Anbieter öffentlich zu bieten beansprucht.
2. Schwierigkeitsgewichtet: Das Verpassen eines einfachen 1/10-Tests signalisiert eine schwerwiegende Produktlücke. Das Verpassen eines 9/10-Tests ist verständlicher, da diese Fälle Erkennungsprobleme auf Expertenniveau widerspiegeln. Die Bewertungsmethode trennt diese Fälle, anstatt alle Auslassungen gleich zu behandeln.
3. Reproduzierbar: Der Benchmark wird mit einem eigenständigen PHP-Test-Harness ausgeführt und von einer separaten Verifizierungssuite überprüft. Bevor eine Test-E-Mail gesendet wird, führt der Verifizierer mehr als 1.800 Prüfungen durch, um zu bestätigen, dass die Test-Payloads vollständig, gültig und korrekt konfiguriert sind.
4. Ethisch: Malware-Tests verwenden den EICAR-Antiviren-Teststring. Phishing-URLs verweisen auf inerte oder nicht existierende Canary-Infrastruktur. Alle Testpostfächer sind im Besitz des Testteams.

Wir haben die Tests so ausgewählt, dass die öffentlichen Behauptungen jedes Anbieters mindestens einmal überprüft wurden. Die Priorität lag darauf, Bedrohungen zu testen, die alle drei Anbieter zu erkennen beanspruchen, was den direkten Vergleich fair hält. Wir haben auch eine kleinere Anzahl anbieterspezifischer Fälle aufgenommen, wo sie relevant waren. Zum Beispiel ist die Übernahme von Konversationen eine Kernbehauptung von Barracuda, die Erkennung von QR-Code-Phishing wird ausdrücklich von Acronis Advanced Email Security beansprucht, und Deepfake-ähnliche GenAI-Köder werden am häufigsten von KI-zentrierten Anbietern beworben.

Der Benchmark ist in elf Kategorien unterteilt. Jede Kategorie testet einen anderen Erkennungsmechanismus. Die Testanzahlen sind in Klammern angegeben, insgesamt 100 Tests.

Kategorie A: Spam (9 Tests)

Diese Kategorie umfasst massenhafte Pharma-Anzeigen, Kryptowährungs-Pump-and-Dump-E-Mails, Lotteriebetrug, Kurzzeitkredite, Dating-Plattform-Eröffnungen und B2B-SEO-Kaltakquise.

Die meisten Tests in dieser Kategorie sind absichtlich einfach. Zwei Tests, Graymail-Marketing und B2B-Kaltakquise, liegen näher an der False-Positive-Grenze, da aggressive Filterung legitime Geschäfts-E-Mails blockieren kann.

Kategorie B: Bekannte Malware mit dem EICAR-Teststring (9 Tests)

Diese Kategorie testet die EICAR-Zustellung in gängigen und verschachtelten Anhangformaten:

• Einfacher .txt-Anhang,
• Normales ZIP,
• Passwortgeschütztes ZIP mit dem Passwort im E-Mail-Text,
• ZIP verschachtelt in einem anderen ZIP,
• EICAR mit .exe-Erweiterung, um die Behandlung von Erweiterungs- und Inhaltsinkongruenzen zu testen,
• .tar.gz, dreistufig rekursives Archiv,
• Einzelne .gz-Datei ohne Tar-Wrapper,
• EICAR mit vier Kilobyte vorangestelltem Datenmüll, um die Offset-Toleranz zu testen.

Diese Tests überprüfen das Entpacken von Archiven, die Formatunterstützung und die Passwort-Extraktion aus dem E-Mail-Text. Dies sind grundlegende Fähigkeiten für moderne E-Mail-Gateways.

Kategorie C: Trägerdateitypen (10 Tests)

Diese Kategorie testet Dateiformate, die häufig verwendet werden, um bösartiges Verhalten zu transportieren oder auszulösen. Das Set umfasst:

• PDF mit eingebettetem JavaScript und einem OpenAction-Trigger,
• HTML-Smuggling mit URL.createObjectURL auf einem Base64-codierten Blob,
• SVG mit einem onload-Skript und remote XHR,
• Windows .lnk-Verknüpfung mit einer PowerShell-Payload im Argumentblock,
• PDF/ZIP-Polyglot-Datei,
• HTML Application .hta mit VBScript,
• Windows Script Host JavaScript-Dropper mit XMLHTTP und ADODB.Stream,
• ISO 9660-Image mit EICAR,
• Internet Shortcut .url-Datei,
• Excel Internet Query .iqy-Datei.

Dies ist eine der trennschärferen Kategorien, da die Produktergebnisse bei diesen Trägertypen stark variieren.

Kategorie D: URL-Phishing (10 Tests)

Diese Kategorie misst die URL-Analyse über direkte Links, Weiterleitungen, Verschleierung und Positionen außerhalb des Textkörpers. Sie umfasst:

• Direkte Phishing-URL auf einer verdächtigen TLD,
• Bitly-verkürztes Ziel,
• Mehrstufige Weiterleitungskette über den offenen Redirector von Google und t.co,
• Punycode-IDN-Homoglyph mit kyrillischem „а“ in раypal.com,
• HTML-versteckte URL mit Zeichen mit Nullbreite und weißem Ein-Pixel-Text,
• URL in einer PDF-Anmerkung,
• URI mit Base64-codiertem HTML und einem Phishing-Link,
• Extrem lange URL mit dem echten Host, der im Query-String versteckt ist,
• Open-Redirect-Parameter auf einem legitim aussehenden Host,
• Google AMP Cache-URL, die das Phishing-Ziel hinter google.com/amp/s/ verbirgt.

Kategorie E: QR-Code-Phishing (8 Tests)

Diese Kategorie testet, ob Produkte Phishing-URLs extrahieren und überprüfen können, die in QR-Codes versteckt sind. Das Set umfasst:

• Inline-PNG-QR-Codes für die MFA-Neuregistrierung,
• DocuSign-Unterzeichnung,
• Gehaltsabrechnungszugriff,
• Benachrichtigung zur Sendungsweiterleitung
• Voicemail-Zugriff
• Bank-2FA-Zurücksetzung.

Es umfasst auch Umgehungsvarianten: einen QR-Code, der in ein PDF eingebettet ist, ohne QR-Inhalt im E-Mail-Text, einen QR-Code, der als SVG-verpacktes Bild geliefert wird, und einen QR-Code, der als CSS-Hintergrundbild-Daten-URI anstelle eines <img>-Tags festgelegt ist.

Diese Fälle testen, ob der Scanner Bilder außerhalb der offensichtlichsten HTML-Container untersucht.

Kategorie F: Marken- und Domain-Imitation (9 Tests)

Diese Kategorie testet Absender-, Domain-, Marken- und Header-Imitation und umfasst:

• Anzeigenamen-Spoofing von einem generischen Gmail-Konto,
• Typosquatting-Domain mit m1crosoft-account.com,
• IDN-Punycode-Homoglyph für Apple
• Subdomain-Missbrauch durch microsoft.support-team-portal.tk
• Microsoft-Marken-Kit-Imitation mit dem echten Logo und Segoe UI-Styling
• Abweichung zwischen Absender- und From-Header
• Imitation einer lokalen Bank
• Typosquatting eines E-Commerce-Unternehmens
• Injection des Authentication-Results-Headers, bei der der Angreifer gefälschte spf=pass-, dkim=pass- und dmarc=pass-Werte zur Nachricht hinzufügt.

Der letzte Fall testet, ob nachgelagerte Parser den vom Angreifer gelieferten Authentifizierungsheadern vertrauen, anstatt die tatsächlichen Upstream-Ergebnisse zu validieren.

Kategorie G: BEC und Spear-Phishing ohne Payloads (9 Tests)

Diese Kategorie konzentriert sich auf Social Engineering ohne bösartige Anhänge oder Links und umfasst:

• CEO-Überweisungsaufforderung von einem Gmail-Konto,
• Vendor Email Compromise mit Vorwand einer Bankänderung,
• Mitarbeiter-Self-Service zur Gehaltsumleitung,
• Online-Geschenkkartenbetrug von einem CFO-Imitator
• Übernahme einer Konversation mit einem Re:Re:-Betreff und gefälschten In-Reply-To-Headern,
• Anforderung vertraulicher Beweise von einer gefälschten Anwaltskanzlei,
• Externe Headhunter-Kontaktaufnahme mit einem beigefügten Lebenslauf,
• WhatsApp-Zwei-Faktor-Authentifizierungs-Übernahmevorwand,
• M&A-Insider-Vorwand, der Vertraulichkeitssprache mit Dringlichkeit kombiniert.

Kategorie H: Erpressung und Betrug (9 Tests)

Diese Kategorie deckt gängige Betrugs- und Erpressungsmuster ab. Die Tests umfassen:

• E-Mail mit einem alten durchgesickerten Passwort,
• Gefälschte Rechnung mit einem bösartigen Zahlungslink in einem PDF,
• Vorschussbetrug,
• Beschlagnahmungsdrohung der Steuerbehörde,
• DDoS-Erpressung gegen eine Website,
• Gefälschte Apple iCloud-Sperrmitteilung mit einem Entsperrlink,
• Kurier-Zollgebühren-Betrug
• Doxing-Erpressung,
• Verwandter-steckt-im-Zoll-Betrug.

Kategorie I: GenAI-Phishing in hoher Qualität (10 Tests)

Diese Kategorie testet ausgefeilte Phishing-E-Mails, die die offensichtlichen Hinweise entfernen, auf die sich ältere Systeme oft verlassen. Das Set umfasst:

• IT-Helpdesk-Neuverifizierungs-E-Mail mit strukturierten Schritten und einer Marken-Schaltfläche,
• Gefälschte Board-Pre-Reads mit Vertraulichkeitssprache und einem Workspace-Link,
• Microsoft 365-Mandantenrichtlinien-Update, das eine erneute Zustimmung innerhalb von sieben Tagen erfordert,
• HR-Verhaltenskodex-E-Signatur-Anfrage,
• Customer-Success-Follow-up nach einem fiktiven Meeting,
• Meeting-Zusammenfassungs-Imitation,
• Juristische NDA von einer fiktiven Gegenpartei,
• CISO-ähnliche Meldung zu einem kritischen CVE,
• Investor-Relations-Gewinnvorschau mit Embargo-Sprache,
• Kalenderkonfliktlöser, der eine einmalige SSO-Anmeldung erfordert.

Jede E-Mail in dieser Kategorie wurde so geschrieben, dass sie wie eine kompetente Geschäftsnachricht eines englischen Muttersprachlers klingt. Die Tests vermeiden bewusst ältere Phishing-Merkmale wie fehlerhafte Grammatik, unbeholfene Formulierungen und offensichtliche Markeninkongruenzen.

Kategorie J: Umgehungstechniken (9 Tests)

Diese Kategorie testet Verschleierung, die eine oberflächliche Inhaltsprüfung umgehen kann, und umfasst:

• Unicode-Zeichen mit Nullbreite in Trigger-Wörtern,
• OCR-Umgehung, bei der die gesamte Phishing-Nachricht als PNG ohne scanbaren Textkörper gerendert wird,
• Rechts-nach-Links-Überschreibungszeichen in einem Anhangdateinamen,
• Doppelte Erweiterung im Dateinamen,
• CSS-versteckter Köder, bei dem der gerenderte Text harmlos erscheint, während das DOM den Phishing-Inhalt enthält,
• RFC 2047 codierte Betreffzeile,
• URL mit hexadezimal codierten Zeichen im Host,
• Betreff-Homoglyph mit kyrillischem „е“ für lateinisches „e“,
• URL, die in einem data-*-HTML-Attribut versteckt ist und zur Klickzeit durch Inline-JavaScript abgerufen wird.

Kategorie K: Kontrollsatz und False-Positive-Tests (8 Tests)

Der Kontrollsatz enthält legitime Geschäfts-E-Mails, die ohne Warnung passieren sollten, und umfasst:

• Interne Team-Benachrichtigungen,
• Monatliche Spesenabrechnungen,
• Meeting-Nachbereitungen,
• Wöchentliche Zusammenfassungen,
• Passwortgeschützte ZIP-Dateien, die für legitimen internen Austausch verwendet werden,
• Trainingserinnerungen,
• IT-Wartungshinweise,
• Einzelgesprächs-Planungs-E-Mails.

Jedes Produkt, das eine dieser Nachrichten kennzeichnet, erhält eine False-Positive-Strafe.

Zwei-Absender-Architektur

Viele E-Mail-Sicherheitstests übersehen eine wichtige Unterscheidung zwischen inhaltsgesteuerten und absenderidentitätsgesteuerten Angriffen. Einige Bedrohungen sind aufgrund ihres Nachrichtentexts oder ihrer Anhänge gefährlich, unabhängig davon, wer sie sendet. Andere sind gefährlich, weil die E-Mail vorgibt, von jemandem zu stammen, den sie nicht repräsentiert. Diese beiden Klassen erfordern unterschiedliche Sende-Setups.

Wir haben den Benchmark in zwei Absendergruppen aufgeteilt.

• Gruppe L, Legitim, 38 Tests: Diese E-Mails werden von einem authentifizierten SMTP-Dienst gesendet. SPF, DKIM und DMARC stimmen korrekt für die sendende Domain überein. Der Anzeigename ändert sich je nach Test, z. B. Finanzen, IT-Helpdesk oder der echte Name des Testers, aber die From-Adresse bleibt die authentifizierte Absenderadresse.
  • Gruppe L wird für inhaltsgesteuerte Kategorien verwendet: K, B, C, J und die beiden URL-Phishing-Tests, bei denen die URL unabhängig vom Absender die Bedrohung darstellt.
• Gruppe S, Spoof, 62 Tests: Diese E-Mails werden über ein permissives SMTP-Relay gesendet, das die From-Domain-Ausrichtung nicht erzwingt. Die From-Adresse ist das, was der Testfall angibt, sodass SPF- und DMARC-Ausrichtung absichtlich fehlschlagen.
  • Gruppe S wird für absenderidentitätsgesteuerte Kategorien verwendet: A, der größte Teil von D, E, F, G, H und I.

Diese Aufteilung spiegelt das reale Angreiferverhalten wider. Phishing-Betreiber verwenden oft billige virtuelle Server und Wegwerf-Domains, da gängige Cloud-SMTP-Dienste wie Gmail, Office 365 und AWS SES mit verifizierten Domains verhindern, dass E-Mails mit einem nicht übereinstimmenden From-Header gesendet werden.

Abbildung 1: Abbildung, die zeigt, wie ein SMTP-Relay-Server funktioniert. Ein SMTP-Relay-Server ist ein Drittanbieter-Mailserver, der E-Mails von einem Absender empfängt und sie an Empfängerserver außerhalb der eigenen Mail-Provider-Domain des Absenders weiterleitet.

Schwierigkeitsgewichtung

Jeder Test hat eine Schwierigkeitsbewertung von 1 bis 10. Die Bewertung gibt an, wie schwierig ein kompetentes E-Mail-Sicherheitsprodukt den Test finden sollte.

• 1 bis 2, trivial: Dies sind Lehrbuch-Signaturen ohne nennenswerte Verschleierung. Sie zu verpassen, deutet auf eine grundlegende Erkennungslücke hin. Beispiele sind Pharma-Spam, einfaches EICAR in einem ZIP und ein 419 nigerianischer Brief.
• 3 bis 4, bekannt: Dies sind vertraute Muster, die moderne Produkte erkennen sollten. Beispiele sind PDF-JavaScript, Sextortion mit durchgesickertem Passwort und CEO-Anzeigenamen-Spoofing.
• 5 bis 6, mittelschwer: Diese Fälle erfordern eine stärkere Analyse, wie moderne KI, Sandboxing oder Computer Vision, einschließlich HTML-Smuggling, IDN-Homoglyph-URLs und Inline-QR-Code-Phishing.
• 7 bis 8, fortgeschritten: Dies sind Grenzfälle, die stärkere Produkte konsistent behandeln, wie PDF/ZIP-Polyglots, mehrstufige Weiterleitungsketten, visuelle Marken-Kit-Imitation und bildbasierte OCR-Umgehungsköder.
• 9 bis 10, Experte: Dies sind wirklich schwierige Fälle, bei denen das Erkennen ein starkes Ergebnis ist und das Verpassen in der Branche üblich ist. Beispiele sind die Übernahme gefälschter Konversationsthreads, ein GenAI-qualitatives Customer-Success-Follow-up und eine gefälschte rechtliche NDA von einer zuvor unbekannten Gegenpartei.
• Kontrolltests: Nachrichten der Kategorie K sollten passieren. Jede Erkennung in dieser Kategorie zählt als False-Positive.

Die Kategoriedurchschnitte folgen der beabsichtigten Schwierigkeitskurve: A Spam-Durchschnitt 2,2/10, B EICAR-Durchschnitt 2,8/10, H Erpressungs-Durchschnitt 3,8/10, C Trägerdateien-Durchschnitt 5,0/10, F Markenimitations- und J Umgehungsdurchschnitt 5,6/10, D URL-Phishing-Durchschnitt 5,8/10, E QR-Code-Phishing-Durchschnitt 6,8/10, G BEC-Durchschnitt 6,8/10 und I GenAI-Phishing-Durchschnitt 8,2/10.

Benchmark-Bewertung

Jedes Produkt erhält eines von fünf Urteilen pro Test:

• BLOCK: Die Nachricht wird unter Quarantäne gestellt oder abgewiesen (2 Punkte).
• WARN: Das Produkt fügt ein Banner ein, sendet die E-Mail in den Junk-Ordner oder entfernt den Anhang (0,5 Punkte).
• SPÄT: Die Nachricht wird zuerst zugestellt und dann nach der Zustellung entfernt (1 Punkt).
• VERPASST: Die Nachricht erreicht den Posteingang ohne Warnung (0 Punkte).
• FP: Eine Kontrollsatz-Nachricht wird fälschlicherweise gemeldet (-2 Punkte Strafe).

Die Erkennungsrate wird als Gesamtpunktzahl geteilt durch die maximal mögliche Punktzahl für Angriffstests berechnet und dann als Prozentsatz ausgedrückt. Die maximal mögliche Punktzahl entspricht der Anzahl der Angriffstests multipliziert mit zwei.

Die False-Positive-Rate wird separat ausgewiesen. Ein Produkt, das durch das Blockieren legitimer E-Mails eine Erkennungsrate von 90% erreicht, birgt ein höheres Betriebsrisiko als eines, das 80% Erkennung ohne False-Positives erreicht.

Reproduzierbarkeit und Werkzeuge

Der Benchmark wird mit einem einzigen eigenständigen PHP-Skript ausgeführt. Das Skript erstellt 100 MIME-Nachrichten im Arbeitsspeicher mit einem benutzerdefinierten Multipart-Builder. Es generiert die Payloads lokal, einschließlich ZIPs, AES-256-verschlüsselten ZIPs, tar.gz-Dateien, einzelnen .gz-Dateien, PDFs mit JavaScript-Aktionen, HTML-Smuggling-Beispielen, SVG-Dateien mit onload-JavaScript, Windows .lnk-Dateien mit der korrekten Shell Link CLSID und dem UTF-16LE-Argumentblock sowie einem minimalen ISO 9660-Disk-Image.

Das Skript sendet jeden Test über den korrekten SMTP-Pfad basierend auf seiner Absendergruppe.

Jede Nachricht enthält Trace-Header: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case und X-Bench-Group. Diese Header machen jeden Test in Posteingängen, Quarantänekonsolen und Produktprotokollen rückverfolgbar.

Ein separates Verifizierungs-Harness führt vor der Übertragung mehr als 1.800 Plausibilitätsprüfungen durch. Es validiert, dass jeder Test die erforderlichen Felder hat, jede Schwierigkeitsbewertung innerhalb von [1, 10] oder null für Kontrollen liegt und EICAR in jedem B-Kategorie-Anhang vorhanden und wiederherstellbar ist, einschließlich passwortgeschützter und dreifach verschachtelter Archive.

Der Verifizierer prüft auch, dass PDFs gültige %PDF-Header und %%EOF-Marker enthalten, PNGs gültige Signaturen und IEND-Chunks enthalten, SVGs als wohlgeformtes XML analysiert werden, die LNK-Datei die korrekte Shell Link CLSID und den erwarteten PowerShell-Argumentstring hat, der ISO 9660 Primary Volume Descriptor bei Sektor 16 mit der korrekten \x01CD001-Signatur erscheint und die Gruppenzuordnung mit der dokumentierten Aufteilung in Gruppe L und Gruppe S übereinstimmt.

Ein drittes Skript verarbeitet die produktspezifischen CSVs nach der manuellen Urteilserfassung. Es erstellt einen Vergleichsbericht mit einer testweisen Vergleichsurteilstabelle, Erkennungsraten pro Kategorie, Gesamtpunktzahlen, Erkennungsraten-Prozentsätzen, False-Positive-Zählungen und drei forensischen Untertabellen:

1. trivial-aber-verpasste Fälle, definiert als Schwierigkeit ≤ 2 mit mindestens einem VERPASST
2. hohe-Schwierigkeit-aber-erkannt Fälle, definiert als Schwierigkeit ≥ 8 mit mindestens einem BLOCK
3. alle False-Positive-Vorfälle

Ethische und betriebliche Einschränkungen

Es wurde keine echte Malware erstellt oder übertragen. Bösartige Anhänge verwenden entweder den EICAR-Antiviren-Teststring, ein 68 Zeichen langes Testdokument, das vom Europäischen Institut für Computer-Antiviren-Forschung definiert wurde, oder harmlose Demonstratoren. Beispiele sind ein PDF, dessen JavaScript app.alert aufruft, eine HTML-Seite, die URL.createObjectURL auf den EICAR-String verwendet, und ein SVG, dessen onload einen nicht existierenden Endpunkt aufruft.

Es wurde keine Live-Phishing-Infrastruktur verwendet. Test-URLs führen zu einem von drei sicheren Zielen: der reservierten TLD .invalid, die in RFC 2606 definiert ist, Platzhalter-.tk-Domains unter unserer Kontrolle, die einen 404 ausliefern, oder Parodie-Hosts wie m1crosoft-account.com und xn--pple-43d.com, die für den Benchmark registriert wurden und keine Inhalte bereitstellen.

Es wurde keine Seite zum Sammeln von Zugangsdaten bereitgestellt. Alle Testpostfächer sind im Besitz des Testteams und werden von diesem überwacht. SMTP-Zugangsdaten sind auf den Benchmark beschränkt und werden nach jedem Einsatz rotiert.

Einschränkungen des E-Mail-Sicherheits-Benchmarks

Wir haben mehrere Kategorien ausgeschlossen, da sie eine Infrastruktur oder Bedingungen erfordern, die über einen einmaligen Benchmark hinausgehen:

• Time-of-Click-URL-Flipping: Dieser Angriff liefert eine URL, die zum Zeitpunkt der Zustellung harmlos erscheint und später zu einem Phishing-Ziel weiterleitet. Das Testen würde einen zustandsbehafteten HTTP-Server erfordern, der seinen Inhalt ändert, sowie eine benutzerseitige Klickaktion.
• Kontoübernahme und laterales Phishing: Dies würde die Kontrolle eines internen Postfachs erfordern, was außerhalb des Benchmark-Setups lag.
• Sandbox-bewusste dynamische Malware: Echte polymorphe Samples, die Virtualisierung erkennen und die Detonation vermeiden, wurden aus ethischen Gründen ausgeschlossen.
• Live-Phishing-Kit-Landingpages: Alle URLs verweisen auf inerte Hosts. Der Benchmark testet nicht die Erfahrung nach dem Klick.

Der Absender der Gruppe S benötigt ein SMTP-Relay, das nicht übereinstimmende From-Header zulässt. Cloud-SMTP-Dienste lehnen diese Tests normalerweise auf Netzwerkebene ab. Wenn kein permissives Relay verfügbar ist, degradiert der Benchmark zu Gruppe L, was 38 inhaltsgesteuerte Tests übrig lässt.

FAQs

Diese Forschung zitieren

Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{E-Mail-Sicherheitslösungen: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Abgerufen am 22. Juni 2026}
}

Sedat Dogan

CTO

Folgen auf

Sedat ist ein führender Experte für Technologie und Informationssicherheit mit Erfahrung in Softwareentwicklung, Web-Datenerfassung und Cybersicherheit. Sedat: – Verfügt über 20 Jahre Erfahrung als White-Hat-Hacker und Entwicklungsexperte mit umfassenden Kenntnissen in Programmiersprachen und Serverarchitekturen. – Berät Führungskräfte und Vorstandsmitglieder von Unternehmen mit hohem Datenverkehr und geschäftskritischen Technologieanwendungen wie Zahlungsinfrastruktur. – Besitzt neben seiner technischen Expertise auch ausgeprägtes betriebswirtschaftliches Verständnis.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten