Wie sich False Positives in der E-Mail-Sicherheit verringern lassen

Dr. Martin J. Krämer, CISO-Advisor bei KnowBe4

Wenn es um E-Mail-Sicherheit geht, liegt der Fokus meist auf den gefährlichen Nachrichten, die durch die Filter rutschen – den sogenannten „False Negatives“. Doch legitime E-Mails, die fälschlicherweise als bösartig markiert und blockiert werden, stören den Betriebsablauf ebenso empfindlich.

Warum die Reduzierung von False Positives so wichtig ist

Übermäßig sensible Filterregeln unterbrechen tägliche Arbeitsabläufe und zwingen Administratoren dazu, unnötig viele blockierte Nachrichten manuell zu überprüfen. Eine gezielte Reduzierung von False Positives bietet daher weitreichende Vorteile:

• Schutz der Produktivität: Wichtige Geschäftskommunikation wird ohne unnötige Verzögerungen zugestellt.
• Entlastung der IT-Teams: Der manuelle Aufwand für die Untersuchung und Freigabe von Nachrichten sinkt drastisch.
• Fokus auf echte Bedrohungen: Durch das Herausfiltern von „Rauschen“ können sich Sicherheitsteams auf die Aktivitäten konzentrieren, die sofortiges Handeln erfordern.
• Stärkung des Vertrauens: Mitarbeiter vertrauen verlässlichen Systemen eher. Fehlalarme hingegen untergraben das Vertrauen und verleiten Nutzer dazu, Warnungen zu ignorieren oder riskante Workarounds zu suchen.

Die Grenzen statischer Filter und der Wert von Kontext

Während statische Filterregeln bei immer überzeugenderen Phishing-Angriffen oft dazu führen, dass alltägliche Geschäftskommunikation als verdächtig eingestuft wird, erfordert die moderne Bedrohungslandschaft einen intelligenteren Ansatz. Angreifer ahmen zunehmend vertrauenswürdige Domänen, das Verhalten von Absendern und die Struktur von Nachrichten nach. Statische Regeln behandeln ähnliche Signale jedoch stets gleich, ohne den Kontext zu berücksichtigen – so wird beispielsweise eine neue Domäne blockiert, unabhängig davon, ob sie einem bekannten Partner oder einem Angreifer gehört. Zudem verändern sich Kommunikationsgewohnheiten ständig: Lieferanten wechseln ihre Domänen und Teams tauschen neue Dateitypen aus.

Best Practices: Intelligente und adaptive Kontrollen

Um Fehlerkennungen effektiv zu reduzieren, ohne die Sicherheit zu schwächen, sollten Unternehmen auf adaptive Kontrollen setzen. Die wichtigsten Bausteine hierfür sind:

• Kontextbezogene Erkennung nutzen: Die Analyse von historischem Nutzerverhalten, Kommunikationshäufigkeit und Verhaltensmustern hilft Systemen, echte Anomalien viel präziser von Routinetätigkeiten zu unterscheiden.
• Ein- und ausgehende Kontrollen kombinieren: Wenn reinen Eingangssystemen der Kontext fehlt, müssen sie strenger blockieren. Ausgehende Sicherheitskontrollen liefern diesen fehlenden Kontext, indem sie analysieren, wer typischerweise mit wem kommuniziert und welche Daten versendet werden. So müssen eingehende Filter nicht überkorrigieren.
• Reibungsverluste für Nutzer minimieren: Anstatt Nachrichten kategorisch zu blockieren, können Systeme bei ungewöhnlichen, aber nicht zwingend bösartigen Interaktionen gezielte Warnungen ausgeben oder zusätzliche Verifizierungen verlangen.

Menschliches Verhalten und Security Awareness

Mitarbeiter spielen bei der Reduzierung von False Positives eine wichtige aktive Rolle zum einen durch Nutzer-Feedback als Lernquelle. Sie melden E-Mails und liefern dadurch direkte Einblicke in Bedrohungen, die bestehende Kontrollen umgangen haben. Diese Berichte erzeugen eine Feedbackschleife, mit der die Erkennungsgenauigkeit stetig weiter geschärft werden kann. Zum anderen durch „In-the-moment“-Coaching. Wird eine Nachricht unkommentiert blockiert, stiftet das Verunsicherung, klare, kontextbezogene Hinweise helfen den Nutzern stattdessen, Risiken in Echtzeit besser einzuschätzen und aus der Situation zu lernen.

Fazit

Fehlerkennungen treten meist in Mustern auf, nicht als isolierte Vorfälle. Die Reduzierung von False Positives bedeutet keinesfalls, die Sicherheitskontrollen aufzuweichen – es geht vielmehr darum, im entscheidenden Moment präzisere, verhaltensbasierte Entscheidungen zu treffen. Um Workflow-Unterbrechungen zu vermeiden, müssen Unternehmen kontextbasierte, adaptive technische Kontrollen mit Security Awareness Training, Echtzeit-Coaching und kontinuierlicher Erfolgsmessung kombinieren. Nur wenn intelligente Systeme und geschulte Mitarbeiter Hand in Hand arbeiten, lässt sich ein starkes Vertrauensverhältnis aufbauen und der Schutz vor echten Bedrohungen maximieren.

Weitere Artikel

Quantum Route Redirect: Microsoft 365 Nutzer als Phishing-Opfer Starker Anstieg der Phishing-Angriffe um 54 % „Exotic Lilly“ – Initial Access Broker Gruppe setzt auf Social Engineering Prognosen für 2022 der Cybersecurity-Experten von KnowBe4