Phishing von echten Adressen: Der Fall CDU Heilbronn

Eine Einladung zu einer Veranstaltung mit prominenten Gästen, abgeschickt von einer echten, bekannten E-Mail-Adresse – genau diese Nachricht hat es kürzlich bis zum Bundeskanzler geschafft. Hinter der Mail steckte kein Tippfehler-Absender und keine gefälschte Domain, sondern ein gekapertes Konto: Unbekannte waren in das E-Mail-Konto der Heilbronner CDU eingebrochen und hatten von dort aus Tausende Phishing-Nachrichten verschickt, wie heise Security berichtet.

Für Unternehmen ist dieser Fall aus zwei Gründen aufschlussreich: Er zeigt, wie wenig der vertraute Absender heute noch als Sicherheitsmerkmal taugt. Und er zeigt, wie schnell das eigene Postfach zum Verteiler für Betrugsmails werden kann.

Was in Heilbronn passiert ist

„Nach ersten Erkenntnissen ging die Mail an circa 6500 Kontakte, von denen zahlreiche im sicherheitsrelevanten Bereich sind“, sagte ein Sprecher der Heilbronner Polizei der Deutschen Presse-Agentur. Auch Bundeskanzler Friedrich Merz, Ministerien und die dpa-Redaktion gehörten zu den Empfängern. Die Mail enthielt einen Einladungslink zu einer Veranstaltung mit prominenten Gästen – ein Köder, der im politischen Umfeld völlig alltäglich wirkt.

Die Polizei geht derzeit von einem Phishing-Versuch aus. Welche Daten die Angreifer auf welchem Weg erbeuten wollten, ist bislang unklar; die zuständige Dienststelle beantwortete eine entsprechende Anfrage von heise online zunächst nicht. Ob Empfänger auf den Link geklickt haben oder Daten abgeflossen sind, ist ebenfalls nicht bekannt.

Der entscheidende Punkt: Der Absender war echt

Beim klassischen Phishing-Bild, das viele im Kopf haben, stimmt etwas mit der Adresse nicht: eine Zahl statt eines Buchstabens, eine fremde Domain, ein seltsamer Anzeigename. All diese Prüfpunkte greifen hier nicht. Die Mails kamen von einem realen Konto einer realen Organisation, über die echte Infrastruktur, an Menschen, die diesen Absender teilweise persönlich kannten.

Damit fällt die wichtigste informelle Schutzschicht weg: das Bauchgefühl. Wer eine Einladung von einer bekannten Adresse bekommt, klickt eher als bei einer anonymen Nachricht. Die Angreifer haben nicht nur ein Konto übernommen, sondern gleich das gesamte Adressbuch und die damit verbundenen Vertrauensbeziehungen mit.

Phishing zielt – so auch die Einordnung im verlinkten Artikel – darauf ab, über Antworten auf gefälschte Nachrichten an sensible Daten wie Passwörter oder Bankinformationen zu gelangen. Es gilt als eine der häufigsten Betrugsmaschen im Internet.

Zwei Blickwinkel für Ihr Unternehmen

Sie als Empfänger. Wenn ein Parteibüro in Heilbronn gekapert werden kann, dann kann es auch das Postfach Ihres Lieferanten, Ihres Steuerbüros oder Ihres langjährigen Geschäftspartners treffen. Die Mail mit der neuen Bankverbindung, der Einladung zur Netzwerkveranstaltung oder dem freigegebenen Dokument kann technisch echt sein – und trotzdem Betrug. Wer Freigaben und Zahlungen davon abhängig macht, ob die Absenderadresse bekannt aussieht, hat damit eine nachweisbare Lücke.

Sie als Absender. Drehen Sie den Fall um: Es könnte Ihr info@-Konto sein, das eines Morgens Tausende Phishing-Mails an Ihren gesamten Kundenstamm verschickt. Der Vertrauensschaden entsteht in dem Moment, in dem Ihre Adresse als Betrugsquelle in den Postfächern Ihrer Kontakte landet – unabhängig davon, wie schnell Sie das Konto wieder unter Kontrolle bekommen. Ob das Heilbronner Konto mit einer Mehr-Faktor-Authentifizierung gesichert war, geht aus der Berichterstattung nicht hervor. Klar ist nur: Ein einziges kompromittiertes Konto hat für diese Welle genügt.

Was Sie jetzt konkret tun sollten

Keine der folgenden Maßnahmen erfordert zwingend neue Software oder ein großes Budget – es geht um Einstellungen, Regeln und Aufmerksamkeit.

1. Mehr-Faktor-Authentifizierung auf jedem Mailkonto aktivieren. Ein gestohlenes oder erratenes Passwort allein darf nicht für den Zugriff reichen. Das gilt für alle Postfächer – auch für Sammeladressen wie info@ oder vertrieb@ und für Konten, die kaum jemand regelmäßig nutzt. Prüfen Sie, ob MFA überall wirklich eingeschaltet ist, nicht nur vereinbart.

2. Den zweiten Kanal zur festen Regel machen. Ungewöhnliche Anfragen – Zahlungen, geänderte Bankdaten, die Herausgabe von Zugangsdaten, Links und Anhänge, auf die Sie nicht gewartet haben – werden grundsätzlich über einen zweiten Weg verifiziert: ein Anruf auf einer bekannten, gespeicherten Nummer, nicht auf einer Nummer aus der Mail. Diese Regel muss auch dann gelten, wenn die Anfrage von der Geschäftsführung oder vom wichtigsten Kunden kommt. Schreiben Sie sie auf, kommunizieren Sie sie – und stellen Sie klar, dass niemand für ein berechtigtes Nachfragen kritisiert wird.

3. Links aus E-Mails nicht reflexartig öffnen. Der Heilbronner Köder war ein Einladungslink – harmlos wirkend, passend zum Absender. Übertragen auf Ihren Alltag: die Einladung zur Fachmesse, zum Kammertermin, zur Kundenveranstaltung. Im Zweifel lieber selbst zur genannten Veranstaltung navigieren oder beim Absender nachfragen, statt direkt zu klicken.

4. Den Fall im Team besprechen. Ein aktuelles, konkretes Beispiel wirkt stärker als jede abstrakte Warnung. Zehn Minuten in der nächsten Besprechung genügen: echte Absenderadresse, plausibler Anlass, ein Link – und die Frage an alle: „Hätten Sie geklickt?“

5. Eine Meldekultur ohne Scham etablieren. Wenn doch jemand klickt, zählt Geschwindigkeit. Legen Sie fest, wer intern informiert wird und was dann passiert: Passwort ändern, das Konto auf fremde Weiterleitungen oder Regeln prüfen, betroffene Kontakte warnen. Wer aus Angst vor Ärger schweigt, schenkt den Angreifern Zeit.

6. Wissen, welche Konten existieren. In Firmen Ihrer Größe wachsen Mailkonten oft über Jahre: alte Mitarbeiterkonten, Projektadressen, Postfächer, die niemand mehr beobachtet. Jedes davon ist ein möglicher Einstieg – und im Schadensfall ein Absender in Ihrem Namen. Eine aktuelle Liste aller Konten und ihrer Verantwortlichen ist die Grundlage dafür, MFA und Passwort-Hygiene überhaupt durchzusetzen.

Was wir nicht wissen

Ehrlichkeit gehört zur Einordnung: Aus der Meldung geht nicht hervor, wie die Angreifer in das Konto gelangt sind – ob zuvor ein Passwort erphisht wurde, ob eine Mehr-Faktor-Authentifizierung fehlte oder ob ein anderer Weg genutzt wurde. Unklar ist auch, welche Daten im Visier waren und ob die Attacke erfolgreich war. Wer Ihnen dazu heute schon Details erzählt, spekuliert.

Der größere Kontext

Der Fall steht nicht allein. Bereits im Frühjahr gab es einen großangelegten Phishing-Angriff über den Messenger Signal, bei dem Politiker, Militärs, Diplomaten und Investigativjournalisten im Visier waren. BSI und Verfassungsschutz warnten damals, der Angriff werde wahrscheinlich von staatlich gesteuerten Akteuren durchgeführt. Ob eine Verbindung zwischen den beiden Vorgängen besteht, ist nicht bekannt.

Für kleine und mittlere Unternehmen heißt das nicht, dass Sie automatisch im Fadenkreuz stehen. Aber unter den 6500 Empfängern in Heilbronn waren zahlreiche Kontakte aus dem sicherheitsrelevanten Bereich. Wenn Sie für Behörden, Kommunen oder Unternehmen aus diesem Umfeld arbeiten, sollten Sie fest damit rechnen, dass Mails aus kompromittierten Partnerkonten auch bei Ihnen ankommen – als Ziel oder als Zwischenstation.

Fazit

Die zentrale Lehre aus Heilbronn: Die Absenderadresse ist kein Vertrauensbeweis mehr. Zwei einfache Regeln tragen Sie durch die meisten dieser Angriffe – Mehr-Faktor-Authentifizierung auf jedem Konto und ein verbindlicher zweiter Kanal für alles, was mit Geld, Zugangsdaten oder Links zu tun hat. Beides kostet wenig und schließt genau die Lücke, die dieser Angriff ausnutzt. Die Frage ist nicht, ob in Ihrem Umfeld ein Konto gekapert wird – sondern ob Ihre Regeln dann greifen.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.