Geschäftliche E-Mail kompromittiert

Kompromittiertes Microsoft-365-Postfach: eindämmen, prüfen, melden.

Ist ein Microsoft-365-Postfach kompromittiert, muss ein Administrator zuerst das Konto sperren oder das Passwort zurücksetzen (das neue nicht per E-Mail senden), die Sitzungen widerrufen, unbekannte Anmeldemethoden und Geräte entfernen und dann berechtigte Apps, Administratorrollen, Weiterleitungen und alle Posteingangsregeln prüfen, auch versteckte. Parallel: Rufen Sie die Bank an, wenn eine Zahlung ausgeführt oder geplant ist, warnen Sie Kunden und Lieferanten telefonisch und prüfen Sie, ob Personendaten betroffen sind — in der Schweiz muss eine Verletzung, die voraussichtlich zu einem hohen Risiko führt, dem EDÖB so rasch als möglich gemeldet werden.

Geprüft am 26. Oktober 2026 von Danilson Ramos · Version 1.0

Meine Lage einschätzen (kostenlos)Vertrauliche Beurteilung anfragen →

Eindämmen (Microsoft-365-Administrator)

Sperren Sie das Konto oder setzen Sie das Passwort zurückSperren ist vorzuziehen. Senden Sie das neue Passwort nicht per E-Mail; App-Passwörter werden nicht automatisch widerrufen.
Widerrufen Sie die SitzungenMelden Sie alle aktiven Sitzungen des Kontos ab.
Entfernen Sie unbekannte MFA-Methoden und GeräteAktivieren und erzwingen Sie dann die Multi-Faktor-Authentifizierung.
Prüfen Sie die berechtigten AppsEntziehen Sie unbekannten Apps die erteilten Zustimmungen.
Prüfen Sie die AdministratorrollenEin kompromittiertes Konto darf keine unnötige Rolle behalten.
Untersuchen Sie Weiterleitungen und RegelnAlle Weiterleitungen des Postfachs und alle Regeln, auch versteckte; löschen Sie Unrechtmässiges. Wurde der Versand gesperrt, entfernen Sie den Benutzer danach aus den eingeschränkten Entitäten.

Parallel (Geschäftsleitung)

Rufen Sie die Bank anWenn eine Zahlung an den Angreifer ausgeführt oder geplant ist: Sperrung oder Rückruf verlangen, mit Datum, Betrag und IBAN.
Warnen Sie Kunden und LieferantenTelefonisch, unter einer bekannten Nummer: Rechnungen und Bankangaben von Ihren Adressen können gefälscht sein.
Sichern Sie SpurenScreenshots der Regeln und Weiterleitungen vor dem Löschen, Header der betrügerischen E-Mails, Protokoll der Schritte mit Uhrzeit.
Prüfen Sie MeldepflichtenPersonendaten: EDÖB, wenn ein hohes Risiko wahrscheinlich ist. Kritische Infrastruktur: BACS innert 24 Stunden. Das sind Beurteilungen, keine Automatismen.

Was Sie vermeiden sollten

Antworten Sie dem Angreifer nicht und warnen Sie ihn nicht vor Ihren Schritten.
Senden Sie das neue Passwort nicht per E-Mail.
Löschen Sie Regeln und Nachrichten nicht, bevor Sie sie dokumentiert haben.
Gehen Sie nicht von einer universellen Frist aus: Schweizer DSG, DSGVO und die Pflicht für kritische Infrastrukturen haben weder dieselbe Schwelle noch dieselbe Frist.

Anzeichen eines kompromittierten Postfachs (Liste von Microsoft)

Das Postfach ist für den Versand gesperrt, oder E-Mails verschwinden.
Posteingangsregeln leiten an unbekannte Adressen weiter oder verschieben Nachrichten nach Notizen, Junk oder RSS.
Verdächtige Elemente in «Gesendete Elemente» oder «Gelöschte Elemente».
Häufige Passwortänderungen oder unerklärliche Sperren.
Eine kürzlich hinzugefügte externe Weiterleitung, eine geänderte Signatur.
Kunden erhalten eine Rechnung mit neuer Bankverbindung.

Die legitimen Wege

Das Vorgehen von Microsoft
Die Microsoft-Learn-Seite beschreibt jeden Schritt und die zugehörigen Administrationsbefehle.
Meldung an den EDÖB (DSG, Art. 24)
Bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko führt, «so rasch als möglich». Der EDÖB kann die Meldung mit Ihrer Zustimmung an das BACS weiterleiten.
DSGVO, falls anwendbar
Meldung an die Aufsichtsbehörde «unverzüglich und möglichst binnen 72 Stunden», ausser das Risiko ist unwahrscheinlich.
Kritische Infrastrukturen (ISG)
Betroffene Betreiberinnen melden bestimmte Cyberangriffe seit dem 1. April 2025 innert 24 Stunden nach Entdeckung dem BACS.
Freiwillige Meldung an das BACS und Anzeige
Für jedes Unternehmen; Anzeige bei der Polizei bei Betrug.

Wann eine Fachperson hilft

Sie haben keinen Administratorzugriff auf den Tenant mehr.
Eine Zahlung wurde umgeleitet oder weitere Postfächer scheinen betroffen.
Daten von Kunden, Patienten oder Mitarbeitenden sind betroffen.
Sie kennen den Einstiegspunkt nicht und befürchten einen dauerhaften Zugriff.
Ein Versicherer, Kunde oder eine Behörde erwartet einen schriftlichen Bericht.

Erweiterter Sicherheitseinsatz

Incident Response mit schriftlichem Umfang

Auf Offerte

Eine vertrauliche Anfrage erlaubt mir, die Lage einzuordnen und Umfang und Festpreis vorzuschlagen. Ich arbeite nur mit schriftlichem Auftrag einer für den Tenant befugten Person.

Umfang, Rules of Engagement und Lieferobjekte schriftlich vor jeder Arbeit
Bestätigte, qualifizierte Ressourcen für den Einsatz
Schlussbericht und Massnahmenplan

Vertrauliche Beurteilung anfragen

Grenzen

Keine Handlung an Ihrem Tenant ohne schriftlichen Auftrag.
Keine Garantie für die Rückholung von Geld: Nur die Bank kann einen Rückruf versuchen.
Die rechtliche Beurteilung einer Meldepflicht bleibt bei Ihrer Organisation und ihrer Beratung; ich liefere Fakten und eine Checkliste.
Keine Handlung ohne ausdrückliche Berechtigung und unterzeichneten Umfang
Keine 24/7-Überwachung

Häufige Fragen

Muss der Vorfall innert 72 Stunden gemeldet werden?

Nicht unbedingt. Das Schweizer DSG verlangt eine Meldung «so rasch als möglich» bei einer Verletzung mit voraussichtlich hohem Risiko. Die 72 Stunden stammen aus der DSGVO, falls sie anwendbar ist. Kritische Infrastrukturen haben eine eigene 24-Stunden-Pflicht gegenüber dem BACS.

Genügt es, das Passwort zu ändern?

Nein. Offene Sitzungen, berechtigte Apps, Weiterleitungsregeln und vom Angreifer hinzugefügte MFA-Methoden können eine Passwortänderung überstehen.

Was sagen wir unseren Kunden?

Telefonisch, unter einer bekannten Nummer: dass ein Postfach kompromittiert wurde und sie nicht auf neue Bankangaben zahlen sollen, ohne mündliche Bestätigung.

Arbeiten Sie direkt in Microsoft 365?

Nur mit schriftlichem Auftrag und definiertem Umfang, oder indem ich Ihren Administrator begleite. Ohne Auftrag liefere ich Analyse und Plan.