Domain-Scan vor Phishing-Simulationen: Was Sicherheitsteams überprüfen sollten

Das Scannen von Domains sollte vor einer Phishing-Simulation stattfinden, nicht erst, nachdem die erste Kampagne für Verwirrung gesorgt hat. Ein Scan verschafft Sicherheitsteams einen praktischen Überblick über E-Mail-Authentifizierung, offengelegte Domain-Signale und das Risiko von Lookalikes, die sowohl die tatsächliche Phishing-Gefährdung als auch die Zuverlässigkeit der Schulungsergebnisse beeinflussen können.

Es geht nicht darum, Sensibilisierungsschulungen in ein DNS-Projekt zu verwandeln. Es geht darum, zwei Fragen zu trennen, die oft miteinander verwechselt werden: Können Angreifer die Organisation technisch nachahmen, und können Mitarbeiter verdächtige Nachrichten erkennen und melden, wenn sie diese sehen?

Dieser Leitfaden erklärt, was beim Domain-Scan zu prüfen ist, wie er sicherere Phishing-Simulationen unterstützt und wo der Scan endet. Er dient ausschließlich der Abwehr und enthält keine Phishing-Vorlagen, Versandtaktiken, das Sammeln von Zugangsdaten oder Angriffsanweisungen.

Warum das Domain-Scanning vor der Simulationsplanung stattfinden sollte

Phishing-Simulationen messen das Verhalten der Mitarbeiter in einer kontrollierten Übung. Das Domain-Scanning misst Teile der technischen Umgebung, die das Vertrauen in E-Mails, die Widerstandsfähigkeit gegen Spoofing und das Risiko der Markenimitation beeinflussen.

Werden diese Überprüfungen übersprungen, können Teams die Simulationsergebnisse falsch interpretieren. Eine hohe Klickrate könnte auf mangelhafte Schulung hindeuten, aber auch schwache Authentifizierungssignale, unklare Absenderpraktiken oder inkonsistente Meldewege widerspiegeln. Eine niedrige Klickrate mag beruhigend wirken, beweist aber nicht, dass die Domain schwer zu imitieren ist.

Bevor du eine Kampagne startest, nutze das Domain-Scanning, um praktische Fragen zu klären:

• Sind SPF, DKIM und DMARC für die Domains, die Mitarbeiter erkennen, einheitlich konfiguriert?
• Sind wichtige Versanddienste auf die Richtlinien abgestimmt?
• Sind alte oder vergessene Domains noch sichtbar und leicht zu missbrauchen?
• Lohnt es sich, ähnliche Domains oder häufige Varianten zu überwachen?
• Sind die Mitarbeiter darin geschult, verdächtige Nachrichten sowohl von intern anmutenden als auch von externen Absendern zu melden?

Die Seite Sicherheitsscan von AutoPhish ist der ideale Ausgangspunkt, wenn du Domain-Prüfungen parallel zur Sensibilisierungsarbeit durchführen möchtest, anstatt sie als separate Projekte zu behandeln.

Was ein nützlicher Domain-Scan abdecken sollte

Ein Domain-Scan muss nicht spektakulär sein. Die nützliche Variante ist unspektakulär, wiederholbar und lässt sich den Verantwortlichen in den Bereichen IT, Sicherheit und Compliance leicht erklären.

E-Mail-Authentifizierungsdatensätze

Fang mit den Grundlagen an: SPF, DKIM und DMARC. Diese Einträge verhindern zwar nicht jeden Phishing-Versuch, helfen aber den empfangenden E-Mail-Systemen dabei, zu beurteilen, ob eine Nachricht berechtigt ist, eine Domain zu nutzen.

Sicherheitsteams sollten prüfen:

• ob SPF vorhanden ist und die Abfragegrenzen einhält
• ob DKIM-Schlüssel für aktive Versanddienste vorhanden sind
• ob DMARC vorhanden ist und über eine Richtlinie verfügt, die dem Reifegrad der Organisation entspricht
• ob Berichte gesammelt und überprüft werden
• ob Subdomains bewusst abgedeckt sind

Übertreibe das aber nicht. Eine Domain mit starker Authentifizierung kann trotzdem durch Lookalikes, kompromittierte Konten, die Vortäuschung der Identität von Lieferanten oder andere Kanäle als E-Mail missbraucht werden. Aber eine schwache Authentifizierung erleichtert Identitätsbetrug und sorgt für unnötigen Wirbel bei Sensibilisierungsschulungen.

Bestandsaufnahme der Versanddienste

Viele Organisationen versenden legitime E-Mails über Marketing-Tools, Helpdesk-Systeme, HR-Plattformen, Abrechnungssysteme, CRMs und Cloud-Produktivitätssuiten. Wenn die Bestandsaufnahme unübersichtlich ist, werden Mitarbeiter darauf trainiert, inkonsistentes Absenderverhalten zu akzeptieren.

Bevor die Simulationen beginnen, dokumentiere die legitimen Versandmuster, denen die Mitarbeiter vertrauen sollen. Dazu gehören Domains, Subdomains, Konventionen für Anzeigenamen und der Prozess zur Überprüfung ungewöhnlicher Anfragen.

Das ist besonders wichtig für Compliance- und Audit-Gespräche. Eine Phishing-Simulation lässt sich leichter rechtfertigen, wenn sie in ein bekanntes Kommunikationsmodell eingebettet ist, anstatt Mitarbeiter mit Nachrichten zu überraschen, die überhaupt nicht wie normale Geschäfts-E-Mails aussehen.

Risiko durch Lookalikes und Permutationen

Beim Domain-Scan sollten auch offensichtliche Möglichkeiten zur Identitätsfälschung überprüft werden: häufige Rechtschreibfehler, vertauschte Zeichen, irreführende TLDs und risikoreiche Markenpermutationen. Das Ziel ist nicht, bei jedem theoretischen Lookalike in Panik zu geraten. Das Ziel ist es, zu wissen, welche Muster eine Überwachung, Blockierung oder Mitarbeiteranleitung erfordern.

Ein Finanzteam muss zum Beispiel wissen, dass ähnliche Lieferantennamen ein Verifizierungsproblem darstellen, während Helpdesk-Teams Passwort-Zurücksetzungsanfragen von unerwarteten Domains als Eskalationssignale behandeln sollten.

Halte die Schulungen defensiv. Bringt den Mitarbeitern bei, innezuhalten, über genehmigte Kanäle zu überprüfen und verdächtige Nachrichten zu melden. Veröffentlicht keine Listen, die Angreifern helfen, bessere Wege zur Identitätsfälschung zu wählen.

Wie das Scannen die Qualität von Phishing-Simulationen verbessert

Das Scannen von Domains macht Phishing-Simulationen nützlicher, da es die Umgebung bereinigt, bevor das Verhalten der Mitarbeiter gemessen wird.

Es verbessert die Planung in vier Punkten.

Erstens legt es die Sicherheitsbasis fest. Das Simulationsteam kann Szenarien vermeiden, die ungelöste interne Fehlkonfigurationen oder verwirrende Absenderpraktiken ausnutzen.

Zweitens verbessert es den Realismus der Nachrichten, ohne dabei in unsicheres Terrain vorzudringen. Die Schulung kann geschäftsrelevante Risiken widerspiegeln, aber das Programm muss keine echten Anmeldeseiten kopieren, geheime Daten abfragen oder aktive Angriffe nachahmen.

Drittens macht es die Auswertungsergebnisse leichter verständlich. Wenn Führungskräfte fragen, warum sich das Programm auf die Identitätsfälschung von Lieferanten, SaaS-Benachrichtigungen oder Domain-Lookalikes konzentriert hat, lässt sich die Antwort auf das beobachtete Risiko zurückführen.

Viertens hilft es den Teams, technische Abhilfemaßnahmen vom Coaching der Mitarbeiter zu trennen. Behebe DNS- und Versandprobleme als technische Aufgaben. Nutze Simulationen, um das Erkennen, Melden und das Verhalten bei der Nachverfolgung zu verbessern.

Wenn dein Team noch überlegt, wie man Scan-Ergebnisse von Schulungsergebnissen trennen kann, erklärt der Leitfaden von AutoPhish zu Phishing-Scan vs. Phishing-Simulation den Unterschied genauer.

Was ein Domain-Scan nicht beweisen kann

Ein Domain-Scan ist kein Compliance-Zertifikat. Er beweist nicht, dass Mitarbeiter geschult sind, dass Vorfälle schnell gemeldet werden oder dass das Unternehmen gegen jeden Phishing-Angriff geschützt ist.

Er ersetzt auch keine Phishing-Simulationen. Ein Scan kann zeigen, ob eine Domain gut oder schlecht konfiguriert ist. Er kann jedoch nicht zeigen, ob Mitarbeiter eine verdächtige Anfrage erkennen, ob sie den Meldeweg kennen oder ob das Sicherheitsteam Meldungen in konkrete Maßnahmen umsetzen kann.

Diese Unterscheidung ist für CISOs und Compliance-Teams wichtig. Ein tragfähiges Programm sollte beide Seiten abdecken:

• technische Überprüfungen, die das Risiko von Spoofing und Identitätsbetrug verringern
• Schulungsnachweise, die zeigen, dass Mitarbeiter das Erkennen und Melden üben
• Folgemaßnahmen, die Erkenntnisse in Verbesserungen umsetzen
• Richtlinien zu Datenschutz, Genehmigungen und Aufbewahrungsfristen

Leitlinien von hochrangigen Stellen weisen in dieselbe Richtung. Die Empfehlungen der CISA zum Erkennen und Melden von Phishing betonen das Melden, die Überprüfung und schützende Verhaltensweisen, anstatt sich auf eine einzige technische Kontrollmaßnahme zu verlassen.

Eine praktische Checkliste vor der Simulation

Nutze diese Checkliste vor dem nächsten Phishing-Simulationszyklus.

1. Überprüfe den Umfang

Liste die Domains, Subdomains und Versanddienste auf, die Mitarbeiter wahrscheinlich erkennen. Beziehe regionale Domains und alte Domains mit ein, wenn dort noch E-Mails eingehen oder sie in kundenorientierten Arbeitsabläufen vorkommen.

2. Überprüfe die E-Mail-Authentifizierung

Überprüfe SPF, DKIM und DMARC für die im Umfang enthaltenen Domains. Erfasse den aktuellen Status, den Verantwortlichen und die nächste Maßnahme. Wenn etwas absichtlich noch nicht durchgesetzt wird, dokumentiere, warum.

3. Überprüfe Muster legitimer Absender

Dokumentiere, wie normale geschäftliche E-Mails für die Personalabteilung, die Finanzabteilung, die IT, den Support und die Kommunikation der Geschäftsleitung aussehen. Nutze dies, um sichere Schulungsszenarien zu entwerfen, die das Überprüfen lehren, ohne das Vertrauen zu untergraben.

4. Identifiziere risikoreiche Themen für Identitätsbetrug

Suche nach realistischen Angriffsszenarien: Lieferantenwechsel, SaaS-Berechtigungen, Rechnungsdruck, Benachrichtigungen zum Dokumentenaustausch, QR-Codes, mobile Nachrichten und Helpdesk-Anfragen. Konzentriere dich dabei auf die Entscheidungen der Mitarbeiter, nicht auf die Anweisungen der Angreifer.

5. Melde- und Nachverfolgungsprozesse definieren

Stell sicher, dass die Mitarbeiter wissen, wo sie verdächtige Nachrichten melden können, was nach der Meldung passiert und wie sie Feedback erhalten. Eine Simulation ohne Meldeprozess ist meist nur Show.

6. Beweismaterial verantwortungsbewusst aufbewahren

Speichere die Scan-Zusammenfassung, die Simulationsgenehmigung, den Zielumfang, die aggregierten Ergebnisse, Schulungsmaßnahmen und Abhilfemaßnahmen. Vermeide unnötige Offenlegung auf Mitarbeiterebene. Compliance-Teams benötigen in der Regel Beweise dafür, dass die Kontrollmaßnahmen funktionieren – keine Tabelle voller peinlicher Vorfälle.

Wie du Scan-Ergebnisse in sicherere Schulungen umwandelst

Der beste Nutzen von Domain-Scans liegt nicht in einem umfangreichen Bericht, sondern in einem besseren Schulungsplan.

Wenn die Authentifizierung schwach ist, behebe das, bevor du ein Szenario durchspielst, das auf dem Vertrauen in den Absender basiert. Wenn Mitarbeiter bei legitimen Tools uneinheitliche Absenderdomains sehen, standardisiere die Kommunikationsmuster, bevor du sie testest. Wenn das Risiko durch Lookalikes hoch ist, schule die Mitarbeiter in der Überprüfung und Meldung anhand realistischer geschäftlicher Entscheidungen.

Das sorgt für ein solideres Programm. Mitarbeiter werden nicht für technische Unklarheiten verantwortlich gemacht. Die IT erhält eine konkrete Liste mit Abhilfemaßnahmen. Die Sicherheitsabteilung bekommt bessere Signale für die Berichterstattung. Die Compliance-Abteilung erhält einen klareren Nachweispfad.

Für Teams, die den Scan- und Simulations-Workflow an einem Ort bündeln möchten, kann AutoPhish euch dabei helfen, die Domain-Baseline zu überprüfen, sichere Sensibilisierungsübungen durchzuführen und die Nachweise übersichtlich zu organisieren. Melde dich an, um mit dem Aufbau eines sichereren Phishing-Simulationsprogramms zu beginnen.

FAQ

Ist vor jeder Phishing-Simulation ein Domain-Scan erforderlich?

Nicht immer. Führe vor dem Start des Programms einen Basis-Scan durch und wiederhole ihn, wenn sich Domains, Versanddienste, E-Mail-Richtlinien oder wichtige Geschäftssysteme ändern. Erfahrene Teams überprüfen wichtige Punkte außerdem in regelmäßigen Abständen.

Bedeutet ein starkes DMARC, dass Phishing-Simulationen unnötig sind?

Nein. DMARC hilft bei der Domain-Authentifizierung, aber Mitarbeiter sind weiterhin mit gefälschten Domains, kompromittierten Konten, Identitätsbetrug durch Lieferanten, QR-Codes, Messaging-Apps und SaaS-Einwilligungsaufforderungen konfrontiert. Simulationen trainieren das Erkennungs- und Meldeverhalten, das sich mit DNS-Einträgen nicht messen lässt.

Sollten die Scan-Ergebnisse den Mitarbeitern gezeigt werden?

Normalerweise nicht in ihrer Rohform. Mitarbeiter brauchen klare Anleitungen: wie sie Anfragen überprüfen, wo sie Vorfälle melden und welche Absendermuster normal sind. Detaillierte Domain-Ergebnisse sollten den IT- und Sicherheitsteams vorbehalten bleiben.

Kann ein Domain-Scan die Compliance nachweisen?

Nein. Er kann die Dokumentation der Compliance-Nachweise unterstützen, ist aber für sich genommen kein Beweis für die Einhaltung der Vorschriften. Betrachte ihn als einen Kontrollfaktor neben Aufzeichnungen zu Sensibilisierungsschulungen, Richtlinien, der Reaktion auf Vorfälle, der Zugriffssteuerung und dokumentierten Verbesserungen.