Display-Name-Spoofing

Dieser Leitfaden ist Teil unseres vollständigen Leitfadens zu E-Mail-Spoofing. Verwandt: Domain-Spoofing und E-Mail-Spoofing vs. Phishing.

Was Display-Name-Spoofing bei E-Mails ist und warum es wichtig ist

Display-Name-Spoofing ist eine E-Mail-Impersonation-Technik, bei der ein Angreifer den sichtbaren Absendernamen in einem E-Mail-Client ändert, während er eine andere zugrunde liegende E-Mail-Adresse verwendet. Beispielsweise kann eine Nachricht scheinbar von „Microsoft Support”, „CEO Jane Smith” oder einem vertrauenswürdigen CFO stammen, obwohl die tatsächliche E-Mail-Adresse zu einem vom Angreifer kontrollierten Konto gehört. Das ist wichtig, weil viele Nutzer — insbesondere auf mobilen Geräten — den Anzeigenamen bemerken, bevor sie die vollständige E-Mail-Adresse prüfen.

Im Gegensatz zur Domain-Impersonation, bei der Angreifer ähnliche E-Mail-Adressen oder ähnlich aussehende Domains wie M1crosoft.com statt Microsoft.com registrieren, erfordert Display-Name-Spoofing oft keine Kontrolle über die legitime Absenderdomain. Der Angreifer bearbeitet einfach den „From”-Namen, um die Impersonation zu erzeugen. Das macht Display-Name-Spoofing verbreitet bei Phishing, Spear-Phishing, Business Email Compromise und BEC-Kampagnen.

Starke E-Mail-Sicherheitskontrollen sind unerlässlich, weil Display-Name-Spoofing eher auf menschliches Vertrauen als nur auf technische Schwächen abzielt. Ein herkömmlicher E-Mail-Filter kann bösartige Inhalte, Spam oder bekannte schädliche URLs stoppen, aber viele Display-Name-Spoofing-Nachrichten enthalten überhaupt keine Malware. Sie setzen auf Social Engineering: Dringlichkeit, Autorität, Geheimhaltung oder Angst. Deshalb wird Display-Name-Spoofing häufig mit CEO-Betrug, Whaling und Executive-Impersonation in Verbindung gebracht.

Die geschäftlichen Auswirkungen können gravierend sein. Der IC3-Kriminalitätsbericht des FBI hat wiederholt Business Email Compromise als eine der kostspieligsten Formen von Cyberkriminalitätsverlusten identifiziert. Statista und andere Branchenquellen zeigen ebenfalls, dass Phishing nach wie vor ein dominierender initialer Angriffsvektor ist. Ob das Ziel ein CEO, CFO, ein Finanzteam, eine Personalabteilung oder ein MSP ist, der mehrere Kunden verwaltet — Display-Name-Spoofing kann zu Überweisungsbetrug, Credential-Diebstahl, E-Mail-Kompromittierung und Datenexposition führen.

Wie Display-Name-Spoofing bei realen Angriffen funktioniert

Bei einem typischen Display-Name-Spoofing-Angriff erstellt oder kompromittiert der Bedrohungsakteur ein E-Mail-Konto und setzt dann den Anzeigenamen des Absenders so, dass er einer vertrauenswürdigen Person oder Marke entspricht. Der Angreifer kann ein kostenloses Postfach, eine neu registrierte Domain oder eine E-Mail-Adresse verwenden, die auf den ersten Blick glaubwürdig aussieht. Die Absenderdomain mag in keinem Zusammenhang zur Organisation stehen, aber der Anzeigename erzeugt die Illusion von Legitimität.

Manipulation des From-Namens und Absender-Impersonation

Absender-Impersonation tritt auf, wenn Angreifer eine betrügerische E-Mail-Adresse verwenden und dabei einen vertrauenswürdigen Namen anzeigen, wie einen IT-Administrator, einen Finanzmitarbeiter oder eine Führungskraft des Unternehmens. Auf mobilen E-Mail-Clients kann die vollständige Absenderadresse verborgen sein, was diese Nachrichten schwerer erkennbar macht. Angreifer recherchieren möglicherweise auch Mitarbeiter und Organisationen, um überzeugende E-Mails über Rechnungen, Zahlungen, Projekte oder Kontoanfragen zu erstellen.

SPF, DKIM und DMARC können helfen, das Risiko von E-Mail-Spoofing und Impersonation zu reduzieren. SPF identifiziert autorisierte Sendeserver, DKIM hilft, die Authentizität und Integrität von Nachrichten zu überprüfen, und DMARC liefert Anweisungen für den Umgang mit Nachrichten, die die Authentifizierung nicht bestehen. Das regelmäßige Prüfen und Überwachen dieser Einträge kann Organisationen helfen, unautorisierte Absender zu erkennen und die E-Mail-Sicherheit zu stärken.

BEC-, Spear-Phishing- und Social-Engineering-Szenarien

Business-Email-Compromise-(BEC)-Angriffe beginnen oft mit einer einfachen Nachricht wie „Sind Sie verfügbar?” oder „Ich brauche Sie, um etwas Vertrauliches zu erledigen.” Diese E-Mails enthalten möglicherweise keine bösartigen Links, Anhänge oder offensichtlichen Warnzeichen. Stattdessen bauen Angreifer durch ein kurzes Gespräch Vertrauen auf, bevor sie Geschenkkarten, Gehaltsänderungen, Überweisungen, Finanzinformationen oder sensible Dokumente anfordern.

Spear-Phishing-Kampagnen können Display-Name-Spoofing nutzen, um Führungskräfte, Administratoren, IT-Teams, Kundendienstmitarbeiter oder andere vertrauenswürdige Kontakte nachzuahmen. Eine Nachricht könnte behaupten, dass ein E-Mail-Passwort abläuft, ein Konto eine Verifizierung erfordert oder ein wichtiges Sicherheitsupdate nötig ist. Ausgefeiltere Kampagnen kombinieren Display-Name-Spoofing mit Domain-Impersonation, ähnlich aussehenden Domains und ähnlichen E-Mail-Adressen, um betrügerische Nachrichten legitim erscheinen zu lassen.

Häufige Ziele, Warnzeichen und geschäftliche Risiken

Display-Name-Spoofing zielt auf Personen ab, die Geldbewegungen autorisieren, auf Zugangsdaten zugreifen oder Geschäftsprozesse beeinflussen können. Finanzteams, Führungskräfte, HR-Personal, IT-Admins, Rechtsabteilungen und MSP-Helpdesks sind häufige Ziele. Ein Angreifer kann sich als CEO ausgeben, um CEO-Betrug zu begehen, als CFO, um Rechnungen umzuleiten, oder als Microsoft-Administrator, um M365-Anmeldedaten zu stehlen. Warnzeichen sind:

• Der Anzeigename stimmt mit einer bekannten Person überein, aber die E-Mail-Adresse ist unbekannt.

• Die Absenderdomain stimmt nicht mit der legitimen Organisation überein.

• Die Nachricht erzeugt Dringlichkeit, Geheimhaltung oder Druck.

• Die Anfrage betrifft Zahlungen, Geschenkkarten, Gehaltsabrechnungen, Bankänderungen oder Zugangsdaten.

• Der Ton oder das Timing sind für den vermeintlichen Absender ungewöhnlich.

• Der E-Mail-Client zeigt nur den Anzeigenamen an, besonders auf mobilen Geräten.

• Die Nachricht kommt von externen Absendern, scheint aber interne Nutzer zu repräsentieren.

• Kontextbanner oder Warnbanner weisen auf einen Erstabsender oder eine externe Quelle hin.

  Die geschäftlichen Risiken sind umfassender als eine einzelne betrügerische Zahlung. Display-Name-Spoofing kann zu Phishing-Credential-Diebstahl, Business Email Compromise, BEC-Zahlungsbetrug, E-Mail-Kompromittierung, Datenverlust, regulatorischer Exposition und Reputationsschaden führen. Whaling-Angriffe gegen Führungskräfte können strategische Pläne, M&A-Gespräche, Rechtsangelegenheiten oder Vorstandskommunikation offenlegen. CEO-Betrug kann auch Buchhaltungskontrollen und Lieferantenvertrauen stören.

Sicherheitsteams sollten Display-Name-Spoofing als mehr als ein Ärgernis behandeln. Es ist oft eine frühe Phase größerer Cyberkriminalitätsoperationen. Indikatoren für eine Kompromittierung können neue Weiterleitungsregeln, verdächtige Login-Standorte, anomale E-Mail-Erkennungswarnungen, ungewöhnliche E-Mail-Adressänderungen in Lieferantendatensätzen oder unerwartete Gespräche zwischen externen Absendern und Finanznutzern sein.

Wie man Display-Name-Spoofing-Versuche erkennt und untersucht

Das Erkennen von Display-Name-Spoofing erfordert eine Kombination aus Identitätsanalyse, Inhaltsprüfung, Absenderreputation und Verhaltenskontext. Grundlegende Authentifizierungskontrollen wie SPF, DKIM und DMARC sind wichtig für die E-Mail-Sicherheit, aber sie verhindern Display-Name-Spoofing nicht vollständig, weil der Angreifer möglicherweise nicht die Absenderdomain direkt spooft. Die E-Mail kann die Authentifizierung für die eigene Domain des Angreifers bestehen und dabei dennoch einen täuschenden Anzeigenamen verwenden.

Technische Erkennungssignale

Moderne E-Mail-Sicherheitswerkzeuge prüfen mehrere Signale, um Display-Name-Spoofing und Absender-Impersonation zu identifizieren, darunter den sichtbaren Anzeigenamen, die Absenderdomain, die Reply-To-Adresse, die Authentifizierungsergebnisse, die Nachrichten-Header und das historische Absenderverhalten. Organisationen können E-Mail-Authentifizierungs- und Sicherheitskontrollen nutzen, um verdächtige Nachrichten zu erkennen, legitime Absender zu überprüfen und das Risiko von Domain- und Identitäts-Impersonation zu reduzieren.

Administratoren können auch Anti-Phishing-Richtlinien konfigurieren, um Führungskräfte, Mitarbeiter, wichtige Nutzer und vertrauenswürdige Domains vor Impersonation-Versuchen zu schützen. Korrekt konfigurierte SPF-, DKIM- und DMARC-Einträge bieten eine zusätzliche Schutzschicht, indem sie empfangenden Mailservern helfen zu überprüfen, ob Nachrichten autorisiert sind, eine Domain zu verwenden. Regelmäßige Überwachung und Authentifizierungsprüfungen können Organisationen helfen, Konfigurationsprobleme, unautorisierte Absender und potenzielle Spoofing-Versuche zu erkennen, bevor sie Nutzer beeinträchtigen. Die Erkennung sollte Folgendes umfassen:

• Vergleich des Anzeigenamens mit bekannten internen Nutzern.
• Prüfung, ob die E-Mail-Adresse zuvor mit dem Empfänger kommuniziert hat.
• Prüfung der Domain, E-Mail-Adresse, Reputation und Authentifizierungsergebnisse des Absenders auf Anzeichen von Impersonation.
• Identifizierung ähnlicher E-Mail-Adressen und Domain-Impersonation-Versuche.
• Anwendung fortschrittlicher Inhaltsanalyse auf Sprache, Absicht und Zahlungsanfragen.
• Einsatz von maschinellem Lernen und Verhaltensanalyse, um verdächtige Nachrichten zu identifizieren.
• Korrelation von Threat Intelligence mit bekannter Phishing-Infrastruktur.

Untersuchungs-Workflow für Sicherheitsteams

Wenn eine Display-Name-Spoofing-Warnung erscheint, sollten Ermittler die Nachrichten-Header bewahren und die wahre E-Mail-Adresse, den Reply-To-Pfad, die Absenderdomain und die Authentifizierungsergebnisse bestätigen. Sie sollten nach verwandten Nachrichten über alle Postfächer hinweg suchen, insbesondere jenen, die an Finanzen, HR, Führungskräfte und kritische Nutzer gesendet wurden. Eine E-Mail-Verkehrsanalyse kann aufzeigen, ob derselbe Angreifer mehrere interne Nutzer kontaktiert oder BEC über Abteilungen hinweg versucht hat.

Sicherheitsteams sollten auch überprüfen, ob ein Empfänger geantwortet, einen Link angeklickt, bösartige Inhalte geöffnet oder Zahlungsdetails geändert hat. Wenn Zugangsdaten eingegeben wurden, sollte der Fall als mögliche E-Mail-Kompromittierung behandelt und das betroffene E-Mail-Konto auf Weiterleitungsregeln, OAuth-Berechtigungen, Postfachregeln und verdächtige Logins untersucht werden. Wenn Geld überwiesen wurde, kann eine Eskalation an die Rechtsabteilung, Bankpartner, Versicherer und möglicherweise das FBI erforderlich sein.

Für MSPs sollte die Untersuchung mandantenweite Suchen über verwaltete Kunden hinweg umfassen, wenn eine Kampagne aktiv ist. Display-Name-Spoofing wiederholt sich oft über Branchen hinweg, und ein Phishing-Köder kann gegen mehrere Organisationen wiederverwendet werden.

Best Practices zur Verhinderung von Display-Name-Spoofing

Das Verhindern von Display-Name-Spoofing erfordert mehrschichtige E-Mail-Sicherheit, klare Richtlinien und Mitarbeiterbewusstsein. Keine einzelne Kontrolle kann jeden Impersonation-Versuch stoppen, besonders wenn Angreifer Social Engineering und saubere Infrastruktur nutzen.

Beginnen Sie mit Authentifizierung und Domain-Governance. Konfigurieren Sie SPF, DKIM und DMARC für legitime Domains, überwachen Sie benutzerdefinierte Domains und reduzieren Sie die Möglichkeiten für Domain-Impersonation. Auch wenn diese Kontrollen Display-Name-Spoofing nicht eliminieren, stärken sie die allgemeine E-Mail-Sicherheit und helfen, Missbrauch Ihrer Absenderdomain zu erkennen.

Aktivieren Sie als Nächstes den Nutzer-Impersonation-Schutz in Microsoft Defender for Office 365 oder vergleichbaren Plattformen. Schützen Sie Führungskräfte, Finanzverantwortliche, IT-Administratoren und andere kritische Nutzer. Konfigurieren Sie Anti-Phish-Richtlinieneinstellungen für Absender-Impersonation, Domain-Impersonation und Postfach-Intelligence. Verwenden Sie vertrauenswürdige Absender und vertrauenswürdige Domains mit Bedacht; die übermäßige Nutzung von vertrauenswürdigen Absendern oder vertrauenswürdigen Domains kann den Schutz gegen Display-Name-Spoofing schwächen, wenn Angreifer angenommenes Vertrauen ausnutzen. Organisationen sollten außerdem Kontextbanner und Warnbanner für externe Absender, Erstkontakte und Nachrichten einsetzen, bei denen der Anzeigename einem internen Nutzer ähnelt. Diese Banner sind besonders nützlich auf mobilen Geräten, wo die vollständige E-Mail-Adresse verborgen sein kann. Beispielsweise kann ein Banner mit dem Hinweis „Dieser Absender ist außerhalb Ihrer Organisation” CEO-Betrug, Whaling und Spear-Phishing-Versuche unterbrechen, bevor ein Nutzer reagiert.

Weitere Best Practices sind:

• Fordern Sie Out-of-Band-Verifizierung für Zahlungsänderungen, Überweisungen und sensible Anfragen.
• Schulen Sie Mitarbeiter darin, die vollständige E-Mail-Adresse zu prüfen, nicht nur den Anzeigenamen.
• Simulieren Sie Phishing- und Spear-Phishing-Szenarien mit CEO-Betrug und BEC.
• Optimieren Sie E-Mail-Filterrichtlinien, um Impersonation zu erkennen, ohne legitimes Geschäft zu blockieren.
• Nutzen Sie Betrugserkennung und anomale E-Mail-Erkennung für Finanz-Workflows.
• Überwachen Sie auf Indikatoren einer Kompromittierung nach verdächtigen Antworten oder Credential-Eingaben.
• Wenden Sie maschinelles Lernen, Threat Intelligence und fortschrittliche Inhaltsanalyse an, wo verfügbar.
• Pflegen Sie schnelle Meldeprozesse für vermutetes Display-Name-Spoofing.

Der stärkste Schutz gegen Display-Name-Spoofing kombiniert Technologie, Richtlinien und Kultur: authentifizierte Domains, Microsoft Defender for Office 365 oder gleichwertige Kontrollen, gut abgestimmte Anti-Phish-Richtlinieneinstellungen, klare Genehmigungsprozesse und Nutzer, die verstehen, wie Impersonation, Business Email Compromise, BEC, Whaling, Spear-Phishing und CEO-Betrug tatsächlich funktionieren.