Über 400.000 Fälle in zwei Jahren: So senden Unternehmen versehentlich sensible Daten an Dritte

Ein unterschätztes Einfallstor für Datenlecks

Wenn über Cybersicherheit gesprochen wird, stehen meist komplexe Phishing-Kampagnen oder gezielte Social-Engineering-Angriffe im Fokus. Doch eine aktuelle Beobachtung von Cybersecurity-Experten zeigt eine deutlich banalere, aber nicht weniger gefährliche Schwachstelle auf: Unternehmen leiten sensible Informationen häufig unbewusst an Dritte weiter. Anstatt durch externe Hacker attackiert zu werden, geben Organisationen vertrauliche Kundendaten, interne Unternehmensgeheimnisse und personenbezogene Informationen ihrer Mitarbeiter quasi freiwillig preis.

Die Gefahr durch „No-Reply“-Domains

Der Sicherheitsforscher Cory Solovewicz hat dieses Phänomen durch den Erwerb spezifischer Domains wie „@noreply.us“ und „@noreply.net“ dokumentiert. Seit Dezember 2024 erreichten ihn über diese Adressen mehr als 400.000 E-Mails, die eigentlich für interne Zwecke oder spezifische Empfänger gedacht waren.

Die Ursache für diesen massiven Datenstrom liegt oft in einer fehlerhaften IT-Konfiguration. Viele Unternehmen nutzen solche Domains, um E-Mail-Tests durchzuführen oder um sicherzustellen, dass Nachrichten – etwa von ehemaligen Mitarbeitern – nicht zugestellt werden können. In der Praxis werden E-Mail-Adressen ausscheidender Angestellter häufig auf solche „No-Reply“-Adressen umgeleitet, anstatt die Konten korrekt zu deaktivieren oder zu löschen. Da diese Domains jedoch in den Besitz externer Personen gelangen können, entsteht ein ungewollter Datenabfluss.

Sensible Inhalte in fremden Händen

Bei den abgefangenen Nachrichten handelt es sich keineswegs nur um belanglose Systemmeldungen. Die Analyse der über 400.000 E-Mails ergab, dass mehr als 28.000 davon Anhänge wie PDF-Dokumente enthielten. Die Bandbreite der Informationen ist dabei erschreckend:

* **Interne Zugangsdaten:** Logindaten für Testplattformen und interne Systeme.

* **Personenbezogene Daten:** Urlaubsanträge und private Buchungsunterlagen.

* **Unternehmenskommunikation:** Einladungen zu vertraulichen Meetings, teilweise sogar von staatlichen Stellen.

* **Support-Anfragen:** Detaillierte Beschreibungen technischer Probleme, die Rückschlüsse auf die IT-Infrastruktur zulassen.

Solovewicz beschreibt die Situation treffend als einen „versehentlich geschaffenen Honeypot“. Ähnliche Erfahrungen machte der Sicherheitsforscher Mike Sheward, der die Domain „deleteduser.com“ erwarb und seitdem regelmäßig E-Mails von über 100 verschiedenen Unternehmen empfängt, die ihre Nutzerverwaltung nicht konsequent bereinigen.

Das Risiko der Catch-All-Konfiguration

Ein weiteres technisches Problem verschärft die Lage: die Einrichtung von sogenannten Catch-All-Adressen. Bei einer solchen Konfiguration landen sämtliche E-Mails, die an eine Domain gesendet werden, beim Empfänger – unabhängig davon, welcher Name vor dem „@“-Zeichen steht. Während dies ursprünglich dazu dienen sollte, den Verlust von E-Mails durch Tippfehler zu verhindern, bietet es heute eine ideale Angriffsfläche.

Die Forscher konnten bereits 328 Domains identifizieren, die als Catch-All eingerichtet wurden und für den Missbrauch prädestiniert sind. Insgesamt wurden über 7.000 Domains gescannt, die ein ähnliches Gefahrenpotenzial aufweisen. Die schiere Masse an Nachrichten macht es für die Forscher mittlerweile unmöglich, alle Unternehmen individuell zu warnen.

Notwendige Maßnahmen für Unternehmen

Die Erkenntnisse der Sicherheitsforscher verdeutlichen, dass viele Unternehmen ihre E-Mail-Infrastruktur nicht ausreichend gegen Fehlkonfigurationen absichern. Die Folgen sind gravierend: Interne Datenlecks können nicht nur das Vertrauen von Kunden und Mitarbeitern beschädigen, sondern auch regulatorische Konsequenzen nach sich ziehen.

Um dieses Risiko zu minimieren, sollten Unternehmen folgende Punkte prüfen:

* **Sauberes Offboarding:** E-Mail-Konten ehemaliger Mitarbeiter sollten nach dem Ausscheiden fachgerecht gelöscht oder deaktiviert werden, anstatt sie auf externe oder unkontrollierte Domains umzuleiten.

* **Überprüfung der Domain-Strategie:** Die Verwendung von Domains, die nicht unter der eigenen Kontrolle stehen oder deren Registrierung ausläuft, stellt ein erhebliches Sicherheitsrisiko dar.

* **Kritische Prüfung von Catch-All-Einstellungen:** Die Nutzung von Catch-All-Funktionen sollte auf ein Minimum reduziert und regelmäßig auf Sicherheitsrisiken hin evaluiert werden.

Die Forscher betonen, dass es für betroffene Firmen höchste Zeit ist, ihre Systeme zu reparieren. Wer die Kontrolle über die E-Mail-Kommunikation verliert, riskiert, dass sensible Informationen dauerhaft in die falschen Hände geraten.