Phishing-Meldebutton - E-Mail-Weiterleitung & Triage

Sie können den SoSafe Phishing-Meldebutton so konfigurieren, dass gemeldete E-Mails (einschließlich der .EML-Datei) an eine Abuse-Mailbox, an MS Defender und/oder an das SoSafe-eigene Triage-Tool – Threat Inbox – weitergeleitet werden.

Abuse-Mailbox

Kompatibilität

• Outlook: alle APIs werden unterstützt
• Google Workspace: nicht unterstützt

Funktionsweise

Wenn Nutzer verdächtige E-Mails melden, kann der Phishing-Meldebutton diese Nachrichten an eine angegebene Abuse-Mailbox weiterleiten. Das Sandbox-System Ihrer Wahl kann diese Mailbox dann überwachen und eingehende E-Mails auf Bedrohungen wie Phishing-Links oder Malware analysieren. Wird eine Bedrohung erkannt, kann es die entsprechende E-Mail automatisch unter Quarantäne stellen und alle weitergeleiteten Kopien aus den Postfächern der Nutzer entfernen.

Einrichtung

1. Richten Sie eine Abuse-Mailbox in Ihrer Sicherheitslösung ein. Detaillierte Anweisungen finden Sie in der Dokumentation Ihres Anbieters.

2. Navigieren Sie im SoSafe-Manager zu der Seite Phishing-Meldebutton / Meldungsverarbeitung und dann zu dem Abschnitt Abuse Mailbox festlegen. Aktivieren Sie den Schalter.

   

3. Geben Sie die Adresse Ihrer Abuse-Mailbox ein und wählen Sie Speichern aus, um die Änderungen zu bestätigen.

Technische Details

• Weitergeleitete E-Mails enthalten spezielle Header (References und in-reply-to), die auf die ursprüngliche E-Mail verweisen. Dadurch können Sicherheitstools Konversationen nachverfolgen und den Nachrichtenverlauf analysieren.

• Die weitergeleitete E-Mail enthält die ursprüngliche E-Mail nicht als Anhang.

• Stattdessen enthält die weitergeleitete E-Mail grundlegende Metadaten der ursprünglichen E-Mail im Klartext.

MS Defender

Sie können den Phishing-Meldebutton (PRB) in Microsoft Defender integrieren, um darüber Meldungen zu verarbeiten. So können mit dem PRB gemeldete E-Mails in dem Übermittlungen-Dashboard Ihres SOC-Teams in Defender angezeigt werden. Wenn Sie den Microsoft Defender for Office 365 Plan 2 haben, können Sie außerdem eine Automatisierte Untersuchung und Reaktion (AIR) zur Analyse und Reaktion auf die gemeldete E-Mail auslösen. Weitere Informationen finden Sie bei Microsoft: https://learn.microsoft.com/de-de/defender-office-365/air-auto-remediation .

Voraussetzungen und Einschränkungen

Alle APIs, die für den PRB verfügbar sind, werden unterstützt. Allerdings begrenzt Exchange Web Services (EWS) die Größe von Anhängen auf 500 kB, was bedeutet, dass wir die ursprüngliche E-Mail nicht als .eml-Datei anhängen können, wenn sie größer als 500 kB ist. In diesen Fällen werden die Berichte zwar an das Postfach für Benutzerübermittlungen gesendet, aber nicht im Microsoft Defender-Dashboard für Benutzerübermittlungen angezeigt. Es wird daher nicht empfohlen, diese Integration mit der EWS-API zu verwenden.

Microsoft Defender-Übermittlungen funktionieren nicht, wenn Berichte von einem lokalen Postfach oder von außerhalb der Organisation übermittelt werden. Die Melder müssen sich auf derselben Azure-Instanz von MS Defender befinden.

Einrichtung in Microsoft Defender

1. Gehen Sie auf das Microsoft Defender Portal. Gehen Sie dort auf die Seite System / Einstellungen / E-Mail & Zusammenarbeit / Vom Benutzer gemeldete Einstellungen. Sie können auch direkt zu der Seite gehen: https://security.microsoft.com/userSubmissionsReportMessage
2. Stellen Sie sicher, dass die Checkbox Gemeldete Nachrichten in Outlook überwachen aktiviert ist.
3. Wählen Sie Nicht-Microsoft-Add-In-Schaltfläche verwenden aus.

4. Stellen Sie sicher, dass in dem Bereich Ziel des gemeldeten Elements die Auswahl auf Microsoft und mein Berichtspostfach steht.
5. Geben Sie unter Fügen Sie ein Exchange Online-Postfach hinzu, an das gemeldete Elemente gesendet werden sollen das Postfach ein, das Sie verwenden möchten.

Einrichtung im SoSafe Manager

Gehen Sie im SoSafe Manager auf die Seite Phishing-Meldebutton / Meldungsverarbeitung. Scrollen Sie dort runter bis zum Bereich Microsoft Defender E-Mails und aktivieren Sie den Schalter. Geben Sie dann das zuvor verwendete SecOps-Postfach unter MS Defender E-Mail-Adresse ein. Wählen Sie Speichern aus, um die Änderungen zu bestätigen.

Threat Inbox

Threat Inbox dient als zentrale Anlaufstelle für die Triage von Meldungen, die Ihre Nutzer über den SoSafe Phishing-Meldebutton (PRB) einreichen. Anstatt Meldungen über einen herkömmlichen E-Mail-Posteingang zu verwalten, bietet Threat Inbox eine dedizierte Umgebung, in der Sie Meldungen durchsuchen und filtern, potenzielle Bedrohungen prüfen und klassifizieren und Maßnahmen dagegen ergreifen können. Außerdem können Sie den Mitarbeitenden, die eine E-Mail gemeldet haben, aussagekräftiges Feedback geben und so sicheres Verhalten im gesamten Unternehmen fördern.

Threat Inbox kann Ihnen außerdem Arbeit in der Warteschlange abnehmen. Die KI-Analyse schlägt für jede eingehende Meldung ein Label vor. Die Postfachbereinigung verschiebt eine gemeldete E-Mail aus dem Posteingang der empfangenden Person und kann bei Google Workspace zusätzlich den Absender blockieren. Beide Funktionen sind optional und bleiben deaktiviert, bis Sie sie einschalten.

Hauptfunktionen

Mithilfe von Threat Inbox können Sie gemeldete E-Mails direkt im SoSafe Manager eingehend untersuchen und auf Ihre Erkenntnisse reagieren.

• Detailansichten: Zugriff auf übergeordnete Kontextinformationen, darunter die Identität des Meldenden, den Zeitstempel und die vollständigen Absenderdaten.

• Analyse der technischen Details: Ansicht der vollständigen E-Mail-Header, Link-Ziele und Anhangsdetails.

• Dateiinspektion: Bei E-Mails mit Anhängen können Sie einfach Dateidetails anzeigen und Datei-Hashes kopieren, um diese in Ihren internen Sicherheitstools weiter abzugleichen.

• KI-Analyse: Wenn Sie die KI-Analyse aktiviert haben, erhält jede Meldung ein vorgeschlagenes Label (Unbedenklich, Spam oder Schädlich), das Sie prüfen können. Die Vorschläge sind unverbindlich. Die endgültige Entscheidung treffen Sie.

• Nachvollziehbare Begründung: Wenn Sie eine Meldung öffnen, sehen Sie in verständlicher Sprache und bezogen auf genau diese E-Mail, warum die KI zu ihrem Vorschlag gekommen ist.

• Postfachbereinigung: Wenn Sie eine Google Workspace- oder Microsoft-Integration verbunden haben, können Sie direkt auf die E-Mail selbst reagieren, statt nur den Vorgang zu dokumentieren. Verschieben Sie die E-Mail aus dem Posteingang der empfangenden Person in den Spam-Ordner oder Papierkorb Ihres Anbieters und blockieren Sie bei Google Workspace den Absender oder die Absenderdomain.

• Weniger Aufwand mit gemeldeten E-Mails: Falls Sie bisher gezögert haben, den SoSafe Phishing-Meldebutton einzuführen, können Sie das jetzt tun. Threat Inbox bietet einen klaren Ablauf, um gemeldete E-Mails ohne zusätzlichen Aufwand zu verwalten.

Intelligente Filter & Triage

Damit Ihr Team den Überblick behält, bietet Threat Inbox verschiedene Ansichten, mit denen Sie die kritischsten Bedrohungen priorisieren können. Außerdem können Sie die Warteschlange sortieren, durchsuchen und mehrere Meldungen auf einmal bearbeiten.

Suche. Durchsuchen Sie die Warteschlange nach E-Mail-Betreff, nach der E-Mail-Adresse der meldenden Person oder nach Datum.

Mehrere Meldungen auf einmal bearbeiten. Wählen Sie mehrere Meldungen über die Checkboxen aus und bearbeiten Sie sie in einem Schritt, statt jede einzeln zu öffnen. Wenn Sie alle auswählen, gilt die Auswahl nur für die Meldungen, die dem aktuell aktiven Filter entsprechen, nicht für die gesamte Warteschlange. Sie sehen, wie viele Meldungen ausgewählt sind, und bestätigen die Aktion, bevor sie ausgeführt wird. Jede meldende Person erhält eine Feedback-E-Mail, sofern Feedback aktiviert ist, und ein von Ihnen hinzugefügter Kommentar wird in alle diese E-Mails übernommen. Sie können die Einstufung einer Meldung auch nach der Bearbeitung noch ändern. Die meldende Person erhält dann eine weitere Feedback-E-Mail. Die .EML-Datei können Sie auch nach der Bearbeitung weiterhin herunterladen.

Nach KI-Analyse filtern. Wenn Sie die KI-Analyse aktiviert haben, können Sie die Warteschlange außerdem nach Label filtern und direkt alle als Schädlich gekennzeichneten Meldungen aufrufen. Diese Filter werden nur angezeigt, solange die KI-Analyse aktiviert ist. Wenn Sie sie deaktivieren, verschwinden die Filter und die oben genannten Ansichten verhalten sich genau wie zuvor.

Wenn Sie die KI-Analyse aktivieren, analysiert Threat Inbox auch alle bereits vorhandenen Meldungen nachträglich.

Die KI-Analyse ist optional und bleibt deaktiviert, bis Sie sie einschalten.

Wenn sie aktiviert ist, werden aus einer gemeldeten E-Mail zunächst alle personenbezogenen Daten entfernt. Anschließend werden mehrere Datenpunkte aus dem verbleibenden Inhalt, darunter Absender, Links und Anhänge, mit branchenüblichen Threat-Intelligence-Datenbanken abgeglichen. In den meisten Fällen reicht das aus, um festzustellen, ob eine E-Mail unbedenklich, Spam oder schädlich ist.

Danach prüft eine datenschutzorientierte KI-Schicht das Ergebnis, um die Aussagekraft zu erhöhen, wenn Reputationsdaten allein nicht eindeutig sind.

Das Ergebnis ist immer ein Vorschlag: ein Label Unbedenklich, Spam oder Schädlich. Ihr Team prüft den Vorschlag und bestätigt ihn beim Bearbeiten der Meldung. Wenn Sie anderer Meinung sind, stufen Sie die Meldung selbst ein.

Den Feedback-Kreislauf schließen

Das Geben von Feedback an Nutzer macht aus einem abgeschlossenen Ticket eine Lernerfahrung und motiviert zu weiteren Meldungen. Wenn Sie bei einer Meldung auf Bearbeiten klicken, ordnen Sie die E-Mail einer von drei Kategorien zu: Unbedenklich, Spam oder Schädlich.

Wenn die KI-Analyse aktiviert ist, trägt jede Meldung in Ihrer Warteschlange beim Öffnen bereits ein vorgeschlagenes Label: Unbedenklich, Spam oder Schädlich. Das Label ist ein Vorschlag der KI und wurde noch nicht bestätigt. Sobald Sie die Meldung bearbeiten, ist die Einstufung Ihre Entscheidung. Sie können den Vorschlag übernehmen oder eine andere Einstufung wählen.

• Automatisiertes Feedback: Jede Einstufung ist mit einer individuellen Feedback-E-Mail verknüpft, die den Mitarbeitenden die Einstufung erläutert. Feedback-E-Mails basieren auf einheitlichen Vorlagen, und Sie können beim Bearbeiten einen Kommentar für die meldende Person hinzufügen.

• Verhaltensverstärkung: Das Versenden dieser Updates sorgt dafür, dass sich Nutzer gehört und wertgeschätzt fühlen, was die Melderate langfristig stärkt und die Datenqualität verbessert.

• Flexibilität für Administratoren: Während das Feedback standardmäßig automatisch versendet wird, um Ihrem Team Zeit zu sparen, können Sie dies in bestimmten Fällen ganz einfach deaktivieren, indem Sie das Kästchen Feedback-E-Mail an Melder senden deaktivieren.

Während eine Einstufung nur eine Entscheidung dokumentiert, wirkt die Postfachbereinigung auf die E-Mail selbst.

Welche Aktionen die Postfachbereinigung ausführen kann, hängt davon ab, ob Ihre Organisation Microsoft 365 oder Google Workspace nutzt. Nicht jede der folgenden Aktionen ist daher in jeder Umgebung verfügbar. Über eine Meldung in Threat Inbox können Sie:

• Die E-Mail aus dem Posteingang der empfangenden Person verschieben. Als Spam eingestufte E-Mails werden in den Spam-Ordner Ihres Anbieters verschoben (Spam in Gmail, Junk-E-Mail in Outlook). Schädliche E-Mails werden in den Papierkorb Ihres Anbieters verschoben (Papierkorb in Gmail, Gelöschte Elemente in Outlook). SoSafe legt keine eigenen Ordner an. Die E-Mail wird verschoben und nicht von SoSafe gelöscht. Für den jeweiligen Ordner gelten anschließend jedoch die üblichen Regeln Ihres Anbieters, einschließlich einer eventuellen automatischen Löschung.

• Den Absender blockieren*, sodass weitere E-Mails von dieser Adresse Ihre Nutzer nicht mehr erreichen.

• Die Absenderdomain blockieren*, sodass weitere E-Mails von dieser Domain Ihre Nutzer nicht mehr erreichen.

*Nur Google Workspace.

Eine Einschränkung sollten Sie kennen, bevor Sie sich darauf verlassen: Die Postfachbereinigung erfasst nur die gemeldete Kopie und durchsucht nicht die gesamte Organisation. Wurde dieselbe E-Mail an fünfzig Personen zugestellt und von einer Person gemeldet, wirkt die Postfachbereinigung nur auf die Kopie dieser einen Person.

Die Postfachbereinigung lösen Sie selbst für eine einzelne Meldung aus.

Einrichtung. Verbinden Sie die Integration für die Postfachbereinigung unter Einstellungen / Integrationen. Es kann jeweils nur eine Integration für die Postfachbereinigung verbunden sein. Die benötigten Berechtigungen werden Ihnen im Zustimmungsdialog Ihrer E-Mail-Umgebung angezeigt, wenn Sie die Verbindung genehmigen.

Nutzung. Wenn Sie eine Meldung bearbeiten, wählen Sie im Bearbeitungsfenster oder in der Detailansicht der Meldung die gewünschten Aktionen der Postfachbereinigung aus. Die Postfachbereinigung wird nur für die Meldungen ausgeführt, für die Sie sie auswählen.

Die Postfachbereinigung ist nicht dasselbe wie die Einstellung E-Mails endgültig löschen unter Phishing-Meldebutton / Allgemeine Einstellungen. Diese Einstellung wirkt auf jede Meldung zum Zeitpunkt der Meldung und löscht die E-Mail. Die Postfachbereinigung wirkt auf eine einzelne Meldung, nachdem diese geprüft wurde, und verschiebt die E-Mail. Wenn Sie Meldungen zusätzlich an eine Abuse-Mailbox weiterleiten, prüfen Sie, ob Ihre Sandbox weiterhin auf den Spam-Ordner und den Papierkorb Ihres Anbieters zugreifen kann.

Wenn Sie Threat Inbox deaktivieren, werden alle gemeldeten E-Mails und alle Einstufungen endgültig gelöscht. Vorher werden Sie um Bestätigung gebeten.

Um auf den Hub zuzugreifen, navigieren Sie im SoSafe Manager zu Phishing-Meldebutton / Threat Inbox. Falls das Feature noch nicht aktiv ist, finden Sie direkt auf dieser Seite einen Aktivierungsschalter.

Obwohl Threat Inbox als umfassende Lösung konzipiert ist, wissen wir, dass viele Teams externe Ticket-Systeme nutzen. Wenn Sie Meldungen lieber über Tools wie Jira oder ServiceNow triagieren möchten, können Sie diese unter Einstellungen / Integrationen konfigurieren.