Hunderttausende vertrauliche Nachrichten landen auf fremden Servern – allein durch falsch konfigurierte E-Mail-Systeme. Sicherheitsforscher schlagen Alarm.
Auf der Sicherheitskonferenz Defcon 2026 haben Forscher eine gravierende Schwachstelle aufgedeckt: Zahlreiche Unternehmen senden vertrauliche Daten an „No-Reply“-E-Mail-Adressen, die von Dritten registriert werden können. Das Problem betrifft auch deutsche Firmen, die ihre automatisierten Systeme oft unzureichend absichern.
Forscher kaufen Domains und fangen Tausende Nachrichten ab
Die Sicherheitsexperten Cory Solowe-wicz und Mike Sheward demonstrierten das Ausmaß der Sicherheitslücke, indem sie häufig genutzte, aber nicht beanspruchte Domains kauften. Solowewicz sicherte sich die Adressen noreply.net und noreply.us, während Sheward die Domain deleteduser.com für einen symbolischen Betrag erwarb.
Das Ergebnis ist erschütternd: Seit Dezember 2024 gingen auf der Domain noreply.net allein 401.796 Nachrichten ein – durchschnittlich rund 700 E-Mails pro Tag. Die Absender: 14.000 verschiedene Unternehmen aus 6.200 Domains. Unter den abgefangenen Daten befanden sich Unfallberichte, Pizza-Bestellungen und sogar Kontozugangsdaten. Sheward berichtete von ähnlich sensiblen Nachrichten von mehr als 100 Organisationen über seine Domain.
Systemisches Versagen bei automatisierten Prozessen
Die Forschungsergebnisse offenbaren ein grundlegendes Problem: Viele Unternehmen senden ihre automatisierten Benachrichtigungen über generische Adressen, die nicht auf ihrer eigenen Domain liegen. Sobald solche Adressen ablaufen oder nie offiziell registriert wurden, kann sie jeder beliebige Dritte übernehmen.
Rekord-Schäden durch Phishing und Datenlecks zeigen, warum Unternehmen heute dringend auf gezielte Awareness-Kampagnen setzen müssen. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihre Organisation wirksam vor modernen Angriffsmethoden schützen. Anti-Phishing-Paket jetzt kostenlos anfordern
Das Problem ist größer als gedacht. Denn parallel zu diesen Erkenntnissen wurden weitere massive E-Mail-Datenlecks bekannt. Die Hackergruppe ShinyHunters kompromittierte mehr als 11,6 Millionen E-Mail-Adressen – darunter rund 732.000 von Brinks Home und 10,9 Millionen von Exact Sciences. Letztere enthielten sensible Gesundheitsdaten. Besonders alarmierend: 78 Prozent der Brinks-Adressen und 75 Prozent der Exact-Sciences-Adressen tauchten bereits in der Datenbank „Have I Been Pwned“ auf – ein Hinweis auf hohe Wiederverwendungsraten und wiederkehrende Risiken.
E-Mail-Sicherheit bleibt Achillesferse
Der Mensch bleibt das schwächste Glied in der Sicherheitskette. Der aktuelle Datenbreach-Report von Verizon zeigt: In 62 Prozent aller Sicherheitsvorfälle spielt der Faktor Mensch eine Rolle. Gleichzeitig gewinnt die Ausnutzung von Schwachstellen als Einstiegsvektor an Bedeutung – sie macht inzwischen 31 Prozent der Fälle aus.
Drei Bedrohungen bereiten Experten besonders große Sorgen:
Fortschrittliche Phishing-Kits: Im Juli 2026 konnten Behörden in Frankfurt mehr als 200 Server des „Kratos“-Phishing-Kits abschalten. Doch rund 1.800 Kopien der Software sind weiterhin im Umlauf. Das Kit kann monatlich 15.000 Microsoft-365-Phishing-Kampagnen starten und nutzt den Diebstahl von Session-Cookies, um die Zwei-Faktor-Authentifizierung zu umgehen.
KI-gestützte Angriffe: Generative KI revolutioniert das Social Engineering. Untersuchungen zeigen eine Klickrate von 54 Prozent bei KI-optimierten Phishing-Versuchen – ein Wert, der klassische Kampagnen weit übertrifft. KI-Agenten entwickeln zudem Angriffswerkzeuge in Minuten, für die Menschen Stunden benötigen.
Zero-Day-Exploits: Das Zeitfenster für Verteidiger schrumpft dramatisch. 2025 lag die durchschnittliche Zeit bis zur Ausnutzung bestimmter Schwachstellen bei minus sieben Tagen – die Angriffe erfolgten also bereits vor der offiziellen Bekanntgabe.
Wer die Sicherheit im Unternehmen ohne teure Investitionen stärken möchte, muss die aktuellen Trends bei Cyberangriffen und gesetzlichen Anforderungen kennen. Dieses Gratis-E-Book enthüllt, wie Sie bestehende Sicherheitslücken schließen und sich proaktiv absichern. Kostenloses E-Book zur Cyber-Security herunterladen
Technische Maßnahmen und Schulungen als Schlüssel
Während die „No-Reply“-Problematik vor allem Infrastrukturänderungen erfordert, setzen Unternehmen zunehmend auf Mitarbeiterschulungen. Mit Erfolg: Gut geschulte Belegschaften senken die Klickraten bei Phishing-Versuchen von 20 bis 33 Prozent auf zwei bis fünf Prozent.
Doch Schulungen allein genügen nicht, betonen Experten. Technische Protokolle wie SPF, DKIM und DMARC entfalten ihre Schutzwirkung nur bei konsequenter Durchsetzung. Nur so lässt sich verhindern, dass Angreifer die Identität von Unternehmen missbrauchen und automatisierte Nachrichten über ungesicherte Kanäle versendet werden.
