Donnerstag, 16:42 Uhr. In der Buchhaltung eines Maschinenbauers mit 80 Beschäftigten geht eine E-Mail ein. Absender: der Geschäftsführer. Betreff: „Vertraulich – bitte heute noch“. Im Text steht, dass eine Beteiligung an einem Zulieferer kurzfristig abgewickelt werden müsse, der Anwalt melde sich gleich, bis dahin bitte absolute Diskretion, auch gegenüber Kollegen. Die Bankverbindung steht im Anhang. Die Adresse in der Absenderzeile stimmt bis auf den letzten Buchstaben, die Signatur ist die gewohnte, sogar die Anrede passt. Die Mitarbeiterin zögert kurz. Der Chef ist auf einer Messe und schwer erreichbar, die Zahlung ist als eilig markiert, und nachfragen möchte sie bei einer „vertraulichen“ Sache nicht. Um 17:10 Uhr geht die Überweisung raus. Diese Situation ist kein Einzelfall.
Der Mythos: „So eine gefälschte Chef-Mail würde bei uns jeder erkennen!“
Diesen Satz höre ich in Schulungen regelmäßig. Er beruht auf einer Annahme, die technisch schlicht falsch ist: dass die Absenderadresse in einer E-Mail etwas beweist. Was dabei oft vergessen wird: Die sichtbare Absenderzeile einer E-Mail ist ein reines Textfeld. Sie wird beim Versand vom Absender selbst gesetzt, so wie der Absender auf einem Briefumschlag. Ohne zusätzliche Schutzmaßnahmen kann jede Person auf der Welt eine Nachricht verschicken, in der Ihre Firmendomain als Absender steht. Der Empfänger sieht davon nichts – er sieht den Namen des Chefs und die vertraute Adresse.