Clone Phishing in Microsoft 365 und Google Workspace erkennen und eindämmen

Clone Phishing ist ein gezielter Angriff, der vertraute Arbeitsabläufe ausnutzt, etwa Rechnungen, HR-Mitteilungen oder Benachrichtigungen zu geteilten Dateien. Dabei wird eine legitime E-Mail kopiert und vertrauenswürdige Links oder Dateien werden durch dubiose Anhänge ersetzt, um Benutzer:innen zu einer Handlung zu verleiten. Das ist ein Sicherheitsrisiko und kann zu Datenlecks, Malware-Infektionen und finanziellen Verlusten führen.

Für MSPs und IT-Teams ist es entscheidend, in Microsoft 365 und Google Workspace eine wirksame Strategie zur Erkennung und Eindämmung von Clone Phishing umzusetzen. So lassen sich Bedrohungen schneller erkennen und eindämmen, Benutzer:innen reibungslos schulen und sichtbare Fortschritte bei der Begrenzung von Phishing-Folgen nachweisen.

So erkennen und begrenzen Sie Clone Phishing in Microsoft 365 und Google Workspace

Die Erkennung und Eindämmung von Clone Phishing in MS 365 und Google Workspace erfordert mehrschichtige Schutzmaßnahmen, schnelle Reaktionsfähigkeit und eine konsistente Berichterstattung. Mit diesen Voraussetzungen schaffen Sie eine verlässliche Grundlage für Eindämmung und mehr Sicherheit auf beiden Plattformen.

📌Voraussetzungen:

• Durchgesetzte Einträge für Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting, and Conformance (DMARC) mit einer Richtlinie, die fehlgeschlagene Nachrichten ablehnt oder in Quarantäne verschiebt.
• Sie benötigen ein zentrales Postfach für von Benutzer:innen gemeldete Phishing-E-Mails sowie einen definierten Triage-Workflow.
• Dazu müssen Sie mandantenweite Suchen durchführen, OAuth-Zustimmungen widerrufen und bösartige Posteingangsregeln entfernen können.
• Ein zentraler Ordner oder eine IT-Dokumentation zur Ablage monatlicher KPI-Berichte, Nachweispakete und Incident-Zeitachsen.

Schritt 1: Signale für Clone Phishing definieren

Die Anzeichen zu erkennen, ist der erste Schritt zu einem wirksamen Phishing-Schutz, der die Ausbreitung über vertrauenswürdige E-Mail-Threads verhindert.

📌 Anwendungsfälle:

• Analyst:innen können so geklonte oder manipulierte E-Mails erkennen, bevor Benutzer:innen darauf reagieren.
• Es entstehen einheitliche Erkennungskriterien für Schulungen und automatisierte Scan-Tools.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf Phishing-Beispiele als Referenz und für Schulungen.
• Dafür ist ein gemeinsames Playbook nötig, in dem verifizierte Beispiele abgelegt und abgerufen werden können.

Diese Maßnahmen sind durchzuführen:

• Listen Sie typische Indikatoren für Clone Phishing auf, zum Beispiel:
  • Antworten im selben Thread mit neuen oder veränderten Links
  • Verdächtige Absenderadresse
  • Hyperlinks, die nicht zum angezeigten Text passen
• Markieren Sie nahezu identische Dateinamen oder Anhänge, die sich nur um ein oder zwei Zeichen unterscheiden.
• Achten Sie auf gefälschte Anzeigenamen.
• Überwachen Sie geklonte Arbeitsabläufe wie gefälschte Rechnungen oder HR-Benachrichtigungen, die zu schnellem Handeln drängen.
• Halten Sie diese Beispiele in einem Team-Playbook aktuell, als Referenz und für Awareness-Schulungen.

Schritt 2: Absenderauthentifizierung durchsetzen und das Clone-Phishing-Risiko senken

Die Absenderauthentifizierung verhindert, dass Angreifende vertrauenswürdige Absender imitieren und geklonte Nachrichten in legitime Threads einschleusen.

📌 Anwendungsfälle:

• MSPs können gefälschte oder geklonte Nachrichten blockieren, bevor sie die Postfächer der Benutzer:innen erreichen.
• Authentifizierungsmetriken liefern messbare Nachweise für die Abwehr von Clone Phishing.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf die Authentifizierungsrichtlinien und DNS-Einträge aller verwalteten Domains.
• Dazu ist eine Abstimmung mit den Domain-Inhaber:innen nötig, damit SPF, DKIM und DMARC korrekt ausgerichtet sind.

Diese Aufgaben stehen an:

• Setzen Sie SPF, DKIM und DMARC mit vollständiger Ausrichtung durch, um die Echtheit von Absendern zu prüfen.
• Überwachen Sie nicht authentifizierte oder falsch ausgerichtete Nachrichtenflüsse und untersuchen Sie Anomalien.
• Legen Sie einen Stichtag fest, ab dem fehlgeschlagene Nachrichten in Quarantäne verschoben oder abgelehnt werden.
• Verfolgen Sie als wiederkehrenden KPI, wie viel Prozent der eingehenden Nachrichten die Ausrichtungsprüfung bestehen.
• Prüfen Sie Berichte regelmäßig, um Domains mit häufigen Authentifizierungsfehlern zu identifizieren und Konfigurationsfehler zu beheben.

Schritt 3: Kontext für Benutzer:innen ergänzen und die Erkennung von Clone Phishing stärken

Sichtbarer Kontext hilft Beschäftigten, verdächtige Nachrichten zu erkennen, bevor sie darauf reagieren. MSPs können Clone-Phishing-Versuche entschärfen, indem sie bekannte Indikatoren klar an die Belegschaft kommunizieren.

📌 Anwendungsfälle:

• Benutzer:innen erkennen Identitätsmissbrauch anhand sichtbarer Hinweise und sind nicht allein auf das Eingreifen der IT angewiesen.
• Weniger Fehlalarme und eine präzisere Erkennung von Clone Phishing in Microsoft 365 und Google Workspace.

📌 Voraussetzungen:

• Sie benötigen administrativen Zugriff, um Mailflussregeln und Nachrichtenkopfzeilen auf beiden Plattformen anzupassen.
• Dafür ist ein einheitliches Kommunikations-Template oder ein für alle Kund:innen freigegebener Banner-Stil nötig.

Diese Aufgaben sind zu erledigen:

• Aktivieren Sie Banner für externe Absender, die einen sichtbaren Hinweis auf die Domain enthalten.
• Zeigen Sie die Ergebnisse der Absenderprüfung in der Kopfzeile oder der Vorschau an, sofern unterstützt, damit Benutzer:innen die Echtheit auf einen Blick bestätigen können.
• Bringen Sie Benutzer:innen eine einfache zweistufige Prüfung bei: Absender-Domain kontrollieren und vor dem Klick mit der Maus über Links fahren.
• Nehmen Sie diese visuellen Beispiele in Awareness-Materialien auf und machen Sie sie zum festen Bestandteil der Einarbeitung.

Schritt 4: Meldewege vereinheitlichen und schneller auf Clone Phishing reagieren

Ein klarer, unkomplizierter Meldeprozess sorgt dafür, dass Benutzer:innen bei verdächtigen E-Mails sofort handeln. Das verbessert die frühe Erkennung und Eindämmung.

📌 Anwendungsfälle:

• Fördert ein einheitliches Meldeverhalten und stärkt damit die Abläufe zum Phishing-Schutz.
• Liefert Sicherheitsteams zeitnah verwertbare Beispiele, um Clone-Phishing-Vorfälle zu untersuchen und einzudämmen.

📌 Voraussetzungen:

• Sie benötigen eine Meldeschaltfläche oder ein Plug-in einer Software für E-Mail-Sicherheit, konfiguriert in Microsoft 365 und Google Workspace.
• Dafür ist ein gemeinsames Postfach oder ein automatisierter Workflow nötig, um gemeldete Nachrichten zu sammeln und zu sichten.

Das ist zu tun:

• Stellen Sie im Mail-Client eine Meldeschaltfläche bereit, mit der sich Nachrichten per Klick einreichen lassen.
• Leiten Sie gemeldete Beispiele an ein gemeinsames Postfach, eine Warteschlange für Security Orchestration, Automation and Response (SOAR) oder einen automatisierten Triage-Ordner weiter.
• Versenden Sie eine automatisierte Bestätigungs-E-Mail, die den Eingang quittiert und die nächsten Schritte beschreibt.
• Erfassen Sie Häufigkeit und Treffsicherheit der Meldungen, um Schulungslücken und Trends zu erkennen.
• Heben Sie aktive Melder:innen in Awareness-Sessions hervor, um Engagement zu stärken und zur Teilnahme zu motivieren.

Schritt 5: Gezielt nach Lookalikes und Thread-Missbrauch suchen

Proaktive Überwachung deckt geklonte oder gefälschte E-Mails auf, bevor Benutzer:innen damit interagieren, und senkt so das Risiko von Clone Phishing.

📌 Anwendungsfälle:

• Erkennt Imitationsmuster, die an Awareness-Maßnahmen und klassischen Filtern vorbeikommen.
• Stärkt die Erkennung von Clone Phishing, indem gefälschte Domains, wiederverwendete Betreffzeilen und veränderte Arbeitsabläufe identifiziert werden.

📌 Voraussetzungen:

• Sie benötigen mandantenweite Such- und Reporting-Tools in Microsoft 365 und Google Workspace.
• Dazu ist Zugriff auf Nachrichtenverfolgungsdaten, Domain-Logs und Alarmierungs-Dashboards für die Musteranalyse nötig.

Das müssen Sie erreichen:

• Suchen Sie nach ungewöhnlichen Spitzen bei Nachrichten, die aktuelle Betreffzeilen wiederverwenden, aber neue oder veränderte Links enthalten.
• Markieren Sie Nachrichten von nicht vertrauenswürdigen oder frisch registrierten Domains, die internen Adressen oder denen von Anbietern ähneln.
• Führen Sie eine Watchlist häufig gefälschter Arbeitsabläufe wie Rechnungen, HR-Mitteilungen und Benachrichtigungen zu geteilten Dateien.
• Kennzeichnen Sie verdächtige Nachrichten oder Domains für die laufende Überwachung und nehmen Sie bestätigte Bedrohungen in Ihre Blockliste auf.

Schritt 6: Clone-Phishing-Vorfälle schnell und sicher eindämmen

Eine schnelle Eindämmung begrenzt die weitere Ausbreitung und entfernt geklonte Nachrichten, bevor Benutzer:innen darauf reagieren können.

📌 Anwendungsfälle:

• MSPs stoppen aktive Clone-Phishing-Nachrichten, bevor sie sich über die Postfächer verbreiten.
• Der Normalbetrieb wird wiederhergestellt und weitere Kompromittierungen werden verhindert.

📌 Voraussetzungen:

• Sie benötigen Administratorzugriff, um bösartige Nachrichten zu suchen und zu entfernen.
• Dafür ist eine Freigabe nötig, um OAuth-Zugriffe zu widerrufen und Domains oder URLs zu blockieren.

Diese Maßnahmen sind umzusetzen:

• Entfernen oder neutralisieren Sie bösartige Nachrichten in allen Postfächern, um die laufende Gefährdung zu beenden.
• Widerrufen Sie alle verdächtigen OAuth-Berechtigungen, über die Angreifende dauerhaft Zugriff behalten könnten.
• Spüren Sie während der Kampagne angelegte Weiterleitungs- oder Umleitungsregeln auf und löschen Sie sie.
• Blockieren Sie Absender-Domains und URLs sowohl im Mail- als auch im Webfilter, um einen erneuten Zugang zu verhindern.

Schritt 7: Risikoreiche Arbeitsabläufe absichern und die Angriffsfläche verkleinern

Wiederkehrende Geschäftsprozesse, die Angreifende für Clone-Phishing-Kampagnen gern imitieren, müssen besonders geschützt werden.

📌 Anwendungsfälle:

• Sie verhindern Phishing-Versuche, die auf wiederkehrende, besonders wertvolle Arbeitsabläufe abzielen.
• Das Hardening von Phishing-anfälligen Abläufen wird gestärkt, indem häufig genutzte Kommunikationskanäle abgesichert werden.

📌 Voraussetzungen:

• Sie benötigen eine Freigabe, um die Zustellung sensibler Abläufe wie Rechnungen oder HR-Mitteilungen zu ändern.
• Dazu ist die Zusammenarbeit mit Finanzwesen, HR und dem operativen Geschäft nötig, um Templates zu vereinheitlichen.

Das ist zu tun:

• Verlagern Sie wiederkehrende Ziele wie Rechnungen und HR-Benachrichtigungen in sichere Portale oder signierte PDFs.
• Verwenden Sie kurze, einheitliche Templates, die Beschäftigte leicht als echt erkennen.
• Schulen Sie Ihre Belegschaft darin, Nachrichten abzulehnen, die nicht den freigegebenen Formaten oder Zustellwegen entsprechen.

Schritt 8: Schutz vor Clone Phishing messen und verbessern

Es ist entscheidend, die Ergebnisse Ihrer Abwehrmaßnahmen und Schulungsmethoden zu verfolgen. So werden aus Kennzahlen sichtbare und messbare Fortschritte.

📌 Anwendungsfälle:

• Sie verfolgen, wie schnell Clone-Phishing-Vorfälle gemeldet, eingedämmt und gelöst werden.
• MSPs können messbare Verbesserungen anhand von Nachweisen und Quartalsreviews belegen.

📌 Voraussetzungen:

• Sie benötigen Tools oder Dashboards, die Reaktions- und Entscheidungsmetriken erfassen.
• Dafür ist ein einheitlicher Prozess für die Berichterstattung zu Vorfällen und Schulungsergebnissen nötig.

Diese Maßnahmen sind durchzuführen:

• Verfolgen Sie Kennzahlen wie Zeit bis zur Meldung, Zeit bis zur Eindämmung, Klickrate je Benutzergruppe und blockierte Lookalike-Domains.
• Nehmen Sie abgelehnte OAuth-Zustimmungen und erkannte Posteingangsregeln in regelmäßige Leistungsübersichten auf.
• Legen Sie Quartalsziele fest und besprechen Sie die Ergebnisse in QBRs, um Lücken und Trends zu erkennen.

Schritt 9: Mit realistischen Simulationen schulen und das Phishing-Bewusstsein stärken

Gezielte Simulationen vermitteln Benutzer:innen praxisnah, wie sie Clone-Phishing-Versuche erkennen.

📌 Anwendungsfälle:

• Das Bewusstsein wird mit realistischen Beispielen aus tatsächlichen Clone-Phishing-Vorfällen aufgebaut.
• Es wird messbar, wie schnell und wie treffsicher Benutzer:innen verdächtige Nachrichten melden.

📌 Voraussetzungen:

• Sie benötigen ein Tool für Phishing-Simulationen, das eigene Templates unterstützt und Auswertungen ermöglicht.
• Dafür ist die Freigabe der Geschäftsleitung für kontrollierte interne Tests nötig.

Diese Aufgaben stehen an:

• Führen Sie kurze Simulationen durch, die echte Kampagnen nachbilden, inklusive wiederverwendeter Threads und fast identischer Dateinamen.
• Richten Sie die Schulung auf Prüfgewohnheiten aus, etwa das Kontrollieren von Domains, Links und Absenderdetails, statt auf Angst zu setzen.
• Werten Sie die Ergebnisse nach Benutzergruppen aus und vergleichen Sie sie im Zeitverlauf, um Fortschritte zu zeigen.

Schritt 10: Monatliches Nachweispaket veröffentlichen

Ein kompaktes Nachweispaket zeigt, wie Clone-Phishing-Risiken gesteuert und über die Zeit verringert werden.

📌 Anwendungsfälle:

• Es belegt Kund:innen messbare Verbesserungen anhand echter Vorfallsdaten und KPIs.
• Es entsteht eine wiederholbare Dokumentation zum Hardening von Abläufen und zur Reaktionseffizienz.

📌 Voraussetzungen:

• Sie benötigen Zugriff auf Vorfallszusammenfassungen, Erkennungsmetriken und Kampagnendaten.
• Dafür ist ein standardisiertes Berichtsformat nötig, das für alle Kund:innen gilt.

Das ist zu tun:

• Erstellen Sie pro Mandant ein einseitiges Paket mit KPI-Trends und Kampagnenzusammenfassungen.
• Ergänzen Sie Beispiele blockierter oder entfernter Nachrichten als Kontext.
• Dokumentieren Sie zwei Vorfälle vollständig, mit Zeitachse, ergriffenen Maßnahmen und Ergebnis.
• Halten Sie Layout und Kennzahlen bei allen Kund:innen einheitlich, damit sich Ergebnisse leicht vergleichen lassen.

⚠️ Darauf sollten Sie achten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Kleine Auffälligkeiten in geklonten Threads ignorieren	Frühe Anzeichen einer größeren Clone-Phishing-Kampagne werden übersehen	Ähnliche Nachrichtenmuster regelmäßig prüfen und wiederkehrende Indikatoren eskalieren
Zu komplexe Schulungen	Benutzer:innen schalten ab oder ignorieren die Simulationsergebnisse	Simulationen kurz, realistisch und auf klare Prüfgewohnheiten ausgerichtet halten
Uneinheitliche Berichterstattung oder Nachweissammlung	Lücken in der Dokumentation schwächen das Vertrauen der Kund:innen	Paketformate standardisieren und monatliche Berichte in einem einzigen Repository ablegen

Best Practices zur Erkennung und Eindämmung von Clone Phishing im Überblick

Maßnahme	Zweck	Nutzen
SPF, DKIM, DMARC	Spoofing und Lookalikes reduzieren	Weniger bösartige Nachrichten erreichen die Belegschaft
Kontext und Banner für Benutzer:innen	Schnelle Überprüfung ermöglichen	Treffsicherere Meldungen und weniger Klicks
Playbook für die schnelle Eindämmung	Verweildauer verkürzen	Geringeres Risiko von Zugangsdatendiebstahl und Ausbreitung
Hardening der Arbeitsabläufe	Häufige Angriffsziele schützen	Weniger erfolgreiche Klone von Geschäftsprozessen
Monatliches Nachweispaket	Fortschritte belegen	Vertrauen der Geschäftsleitung und Budgetsicherheit

Beispiel für Automatisierung in der Reaktion auf Clone Phishing

MSPs können Automatisierung nutzen, um bei Clone-Phishing-Vorfällen Nachrichten schneller zu entfernen, Indikatoren zu blockieren und Nachweise zu sammeln. Das leistet ein automatisierter Workflow:

• Von Benutzer:innen gemeldete Phishing-Beispiele automatisiert aus gemeinsamen Postfächern abrufen.
• Absender-Domains, URLs und Dateinamen für Analyse und Nachverfolgung extrahieren.
• Passende Nachrichten in allen Postfächern suchen und entfernen.
• Neue Posteingangsregeln oder OAuth-Berechtigungen erkennen, die während eines Angriffs hinzugefügt wurden.
• Bestätigte Absender-Domains und URLs auf Mail- und Webebene blockieren.
• KPI-Daten täglich zusammenstellen und für offene Alarmierungen Tickets erstellen.

Clone-Phishing-Risiken senken durch Awareness, Konsistenz und Nachweise

Clone Phishing funktioniert, weil es vertrauenswürdige Kommunikation missbraucht. Wer eine starke Absenderauthentifizierung mit sichtbarem Kontext für Benutzer:innen, schneller Eindämmung und gehärteten Arbeitsabläufen kombiniert, macht es Angreifenden deutlich schwerer, dieses Vertrauen auszunutzen.

Indem sie Ergebnisse verfolgen, Nachweise standardisieren und Fortschritte in Kundenberichten aufbereiten, können MSPs über die Zeit messbare Verbesserungen belegen. Authentifizierungskontrollen, geschulte Benutzer:innen und verlässliche Meldewege ergeben zusammen eine planbare Abwehr gegen Phishing-Angriffe, die Kund:innen nachvollziehen und auf die sie sich verlassen können.

Verwandte Themen:

• Eine Sicherheitskultur aufbauen: Praktische Tipps zum Erkennen von Phishing
• So können MSPs Phishing verhindern
• So sichern Sie Ihre Google Workspace-Umgebung für KMU-Kund:innen ab
• Google Workspace vs. Microsoft 365: Was ist besser für Unternehmen?
• So wehren Sie jede Art von Phishing-Angriff ab
• So wehren Sie jede Art von Phishing-Angriff ab (Video-Anleitung)