Ein durch Phishing kompromittierter Mitarbeiter verschafft Angreifern Zugriff auf das Postfach eines Rüstungsunternehmens: Wie das Kiteworks Email Protection Gateway diese Sicherheitslücke schließt

Ein einziger Klick auf einen gefälschten Microsoft-Sharing-Link reicht heute aus, um einem Angreifer jahrelange Ingenieurskorrespondenz, Bestellungen und exportkontrollierte technische Daten eines Unternehmens preiszugeben – und das ist keineswegs ungewöhnlich. Das ist die unbequeme Lektion aus der Offenlegung der IEH Corporation in dieser Woche, zuerst berichtet von The Register: Die kompromittierten Zugangsdaten eines Mitarbeiters verschafften einem Eindringling dauerhaften Zugriff auf das Microsoft-365-Postfach des Unternehmens.

IEH stellt Hyperboloid-Steckverbinder her, die im PATRIOT-Luftabwehrsystem, AMRAAM, THAAD, der APKWS-Präzisionsrakete und dem MARK-48-Torpedo eingesetzt werden. In der Form-8-K-Meldung an die SEC beschreibt das Unternehmen einen Angreifer, der sich als potenzieller Geschäftspartner ausgab, einen überzeugenden gefälschten Sharing-Link verschickte und so die Microsoft-365-Zugangsdaten eines Mitarbeiters über die nachfolgende Login-Seite abgriff. Von dort aus hatte der Angreifer Zugriff auf „Postfachinhalte, einschließlich E-Mail-Nachrichten, Anhänge, Kundenkommunikation, Bestellungen, ingenieurbezogene Dokumentation und potenziell exportkontrollierte technische Informationen.“ IEH gibt an, keine Hinweise auf das Kopieren oder den Abfluss der Daten gefunden zu haben, aber laut eigener Aussage konnte der Eindringling diese Inhalte während eines nicht näher spezifizierten „Kompromittierungszeitraums“ durchsuchen, bevor das Unternehmen den Vorfall am 4. August entdeckte.

Dies ist keine Geschichte über einen Rüstungszulieferer, der einen Fehler gemacht hat. Credential Phishing überwindet Identitätskontrollen in nahezu jedem Unternehmen, das sich auf eine Login-Aufforderung als letzte Verteidigungslinie verlässt – und Microsoft-365-Tenants sind ein ständiges Ziel, weil ein einziges kompromittiertes Zugangspaar Zugang zu allen Inhalten eines Postfachs verschafft. Bemerkenswert an diesem Vorfall ist die zweite Hälfte der Angriffskette: Sobald der Angreifer im System war, wurde das Postfach selbst zum Tresor. Jede Bestellung, jede technische Zeichnung und jeder technische Austausch, der je dieses Postfach passierte, lag dort im Klartext – ohne weitere Barriere zwischen „eingeloggt“ und „alles lesbar“.

Genau an diesem Punkt ändert das Kiteworks Email Protection Gateway (EPG) den Ausgang. EPG verhindert nicht, dass eine überzeugende Phishing-E-Mail im Posteingang landet. Aber es sorgt dafür, dass kompromittierte Zugangsdaten nicht automatisch zu einem kompromittierten Archiv sensibler Korrespondenz führen, weil vertrauliche Inhalte von vornherein nie als Klartext im nativen Postfach lagen.

wichtige Erkenntnisse

1. Credential Phishing überwindet regelmäßig Identitätskontrollen.

Der IEH-Angreifer gab sich als potenzieller Geschäftspartner aus und erlangte Microsoft-365-Zugangsdaten über eine gefälschte Sharing-Link-Login-Seite – eine Technik, die Passwörter und in vielen Konfigurationen auch schwache oder fehlende Multi-Faktor-Authentifizierung umgeht.

2. Der eigentliche Schaden entsteht nach dem Login, nicht am Login-Bildschirm.

Nach dem Zugriff auf das IEH-Postfach konnte der Angreifer E-Mails, Anhänge, Kundenkommunikation, Bestellungen, technische Dokumentation und potenziell exportkontrollierte technische Daten durchsuchen, weil all dies als Klartext im Postfach gespeichert war.

3. Kiteworks Email Protection Gateway entfernt sensible Inhalte aus der Angriffsfläche des Postfachs.

EPG wendet automatisierte Richtlinien auf jede eingehende und ausgehende Nachricht an, verschlüsselt, quarantänisiert oder leitet sensible und exportkontrollierte Inhalte weiter, sodass sie nicht als ungeschütztes Archiv im nativen Posteingang liegen.

4. Zentrale Prüfprotokolle schließen die von IEH beschriebene Erkennungslücke.

IEH konnte nicht feststellen, wann der Eindringling erstmals Zugriff hatte oder wie lange der „Kompromittierungszeitraum“ andauerte. Das einheitliche, unveränderliche Prüfprotokoll von EPG dokumentiert jede Richtlinienentscheidung zu jeder Nachricht und liefert Sicherheitsteams die forensische Spur, um einen Vorfall schnell einzugrenzen.

5. Auftragnehmer der Defense Industrial Base sind über den eigentlichen Vorfall hinaus Compliance-Risiken ausgesetzt.

Exportkontrollierte technische Daten unterliegen ITAR, und kontrollierte, nicht klassifizierte Informationen unterliegen CMMC 2.0 und NIST 800-171 – Rahmenwerke, die dokumentierte, automatisierte Kontrollen für den Umgang mit sensiblen Daten während der Übertragung erwarten, nicht individuelle Ermessensentscheidungen von Mitarbeitern.

Was bei der IEH Corporation tatsächlich geschah

Die Abläufe beim IEH-Einbruch sind fast schon alltäglich – und genau deshalb so relevant. Ein Angreifer gab sich als potenzieller Geschäftspartner aus und verschickte eine Phishing-E-Mail mit einem gefälschten Microsoft-Sharing-Link. Der Mitarbeiter klickte, landete auf einer überzeugenden Nachbildung der Microsoft-Login-Seite und gab seine Zugangsdaten ein. Diese waren für die Microsoft-365-Umgebung des Unternehmens gültig, und ab diesem Moment hatte der Angreifer denselben Zugriff auf das Postfach wie der legitime Anwender.

IEHs SEC-Meldung beschreibt klar, was dieser Zugriff offenbarte: E-Mails, Anhänge, Kundenkommunikation, Bestellungen, ingenieurbezogene Dokumentation und potenziell exportkontrollierte technische Informationen. Für ein Unternehmen, dessen Steckverbinder in PATRIOT-, AMRAAM-, THAAD-, APKWS- und MARK-48-Systemen verbaut sind, sind „ingenieurbezogene Dokumentation“ und „exportkontrollierte technische Informationen“ keine abstrakten Kategorien. Es handelt sich um Inhalte, die durch ITAR und die Compliance-Vorgaben der Verteidigungsindustrie explizit geschützt werden sollen.

IEH gibt an, den Einbruch am 4. August entdeckt, das Konto gesichert, vom Angreifer eingerichtete bösartige Postfachregeln deaktiviert und Beweise gesichert zu haben. Außerdem habe man keine Hinweise auf das Kopieren oder den Abfluss der abgerufenen Informationen gefunden. Das ist eine nachvollziehbare und ehrliche Offenlegung, weist aber auch auf ein strukturelles Problem bei der Postfach-Sicherheit hin: Das Fehlen von Hinweisen auf Exfiltration ist nicht gleichbedeutend mit dem Nachweis, dass keine Exfiltration stattfand – und die native E-Mail-Protokollierung wurde nicht dafür entwickelt, nachträglich mit forensischer Präzision zu beantworten, „was genau dieses Konto wann angesehen hat“.

Warum Credential Phishing die Identitätsschicht überwindet

Es ist verlockend, nach einem Vorfall wie diesem zu schließen, dass IEH eine bessere MFA oder mehr Mitarbeiterschulungen gebraucht hätte. Beides hilft, aber keines ist für sich allein ausreichend, und keines war der entscheidende Schwachpunkt, der eine Phishing-E-Mail in ein kompromittiertes Postfach mit potenziellen Exportkontrollfolgen verwandelte.

Phishing-Kits, die auf gefälschten Microsoft-Sharing-Links und Device-Code-Flows basieren, sind speziell darauf ausgelegt, Sitzungstoken und Zugangsdaten abzugreifen – und das gelingt nicht nur bei Single-Factor-Logins, sondern zunehmend auch bei schlecht konfigurierter MFA. The Register hat dieses Muster bereits mehrfach dokumentiert: Täglich werden hunderte Microsoft-365-Tenants durch Device-Code-Phishing kompromittiert, und russische staatlich unterstützte Akteure nutzen dieselbe „Half-Click“-E-Mail-Angriffstechnik, wie sie IEH beschreibt. Security-Awareness-Trainings verringern die Klickrate, ändern aber nichts daran, was beim einen Klick von hundert tatsächlich passiert.

Das ist der zentrale Konstruktionsfehler, wenn man sich allein auf die Identitätsschicht verlässt: Zugriffskontrollen entscheiden, wer hineindarf, aber nicht, was mit den Daten geschieht, sobald jemand – legitimer Anwender oder Angreifer mit gestohlenen Zugangsdaten – im System ist. Ein Phishing-Login und ein legitimer Login sehen für ein Postfach ohne unabhängige Richtlinienebene identisch aus. Die Lösung muss auf die Daten selbst wirken, nicht nur auf die Zugangstür davor.

Die eigentliche Gefahr: Was ein kompromittiertes Postfach preisgibt

Dieser Aspekt des IEH-Vorfalls verdient mehr Aufmerksamkeit. Der Angreifer musste keine Verschlüsselung knacken, keine Firewall überwinden oder sich seitlich durchs Netzwerk bewegen. Er brauchte nur ein Zugangspaar und ein natives Postfach, das jahrelange sensible Korrespondenz als Klartext speicherte – vollständig lesbar, sobald jemand, berechtigt oder nicht, das Postfach öffnete.

Bestellungen offenbaren Lieferantenbeziehungen, Preise und Programmdetails. Technische Dokumentation kann Zeichnungen, Spezifikationen und Testdaten enthalten, die direkt mit Waffensystemen verknüpft sind. Exportkontrollierte technische Informationen sind per Definition Daten, die laut US-Regierung nicht ohne Lizenz an ausländische Personen oder Organisationen gelangen dürfen – und sobald sie in einem kompromittierten Postfach liegen, entzieht sich diese Kontrolle dem Einflussbereich des Unternehmens. Die Formulierung von IEH, „Zugriff auf Postfachinhalte erlangt“, beschreibt die gesamte Geschäftskorrespondenz als unverschlossenen Aktenschrank, sobald die Zugangsdaten eines Mitarbeiters gestohlen werden.

Das ist nicht einzigartig für IEH. So funktionieren Microsoft 365, Google Workspace und alle anderen nativen E-Mail-Plattformen standardmäßig: Das Postfach ist der Speicherort, der Speicherort ist Klartext, und Zugriffskontrolle existiert nur auf der Authentifizierungsebene. Dieses Konzept funktioniert – bis die Authentifizierung versagt. Und Phishing sorgt dafür, dass das regelmäßig passiert.

Wie Kiteworks Email Protection Gateway das Ergebnis verändert

Kiteworks Email Protection Gateway adressiert genau dieses Versagensmuster, indem die Richtlinienkontrolle direkt in den Mailstream verlagert wird – und nicht dem individuellen Ermessen oder den Lücken der Identitätsschicht überlassen bleibt. EPG prüft jede eingehende und ausgehende Nachricht anhand unternehmensspezifischer Richtlinien und verschlüsselt, quarantänisiert, lehnt ab oder leitet weiter – je nach Dateninhalt sowie Absender-, Empfänger- und Nachrichtenattributen. Eine Entscheidung durch den Mitarbeiter ist nicht erforderlich.

In einem Szenario wie bei IEH ist das konkret relevant: Bestellungen, technische Dokumentation und alles mit Exportkontroll- oder CUI-Markierungen werden beim Ein- oder Austritt ins Unternehmen automatisch erkannt und gemäß Richtlinie behandelt – statt unbegrenzt als Klartext im Microsoft-365-Postfach zu verbleiben. EPG kann Microsoft-Purview-Sensitivitätslabels direkt auslesen und die korrekte Behandlung automatisch anwenden. So hängt der Schutz einer Nachricht, die bereits als CUI oder exportkontrolliert klassifiziert ist, nicht davon ab, dass ein Mitarbeiter an die Verschlüsselung denkt – und ein kompromittiertes Konto verschafft Angreifern keinen uneingeschränkten Zugriff mehr.

EPG setzt zudem Digital Rights Management-Kontrollen für geschützte Inhalte bei der Zustellung ein: Nur-Lese-Zugriff, Ablaufzeiten, Download- und Weiterleitungsbeschränkungen sowie automatische Wieder-Verschlüsselung von Antworten, um die Schutzkette aufrechtzuerhalten. Das bedeutet, dass selbst berechtigte Empfänger exportkontrollierte Anhänge nicht einfach außerhalb ihres Unternehmens weiterleiten können – und ein kompromittiertes Konto kann diese Inhalte nicht einfach aus dem Postfach abgreifen, wie es dem Angreifer bei IEH offenbar gelang, weil die geschützten Inhalte hinter Kiteworks-gesteuertem Zugriff liegen und nicht als statische Datei im Posteingang.

Auf der Eingangsseite scannt EPG jede Nachricht mit DLP, Antivirus und Advanced Threat Protection, bevor sie einen Mitarbeiter erreicht – und erkennt bekannte bösartige Anhänge und verdächtige Linkmuster, auf die Phishing-Angriffe mit Sharing-Links setzen. All das beseitigt nicht das menschliche Risiko einer überzeugenden Social-Engineering-Attacke. Aber der Angriff muss mehrere Schutzebenen überwinden, um an die wirklich sensiblen Inhalte zu gelangen.

Mehr als Verschlüsselung: Zero Trust Access und forensische Transparenz

Verschlüsselung allein hätte die IEH-Exponierung nicht vollständig verhindert, denn verschlüsselte Inhalte, die jeder mit Postfachzugriff entschlüsseln kann, sind bei einem kompromittierten Konto nicht wirklich geschützt. Die Lücke schließt erst die Kombination aus automatisierter EPG-Verschlüsselung und attributbasierter Zugriffskontrolle, gesteuert nach zero trust architecture: Zugriffsentscheidungen basieren darauf, wer anfragt, was angefragt wird und in welchem Kontext – und werden bei jeder Anfrage neu bewertet, statt mit einem einmaligen Login dauerhaften Zugriff auf sämtliche Postfachinhalte zu gewähren.

Die zweite Lücke, die EPG schließt, ist forensisch. IEHs Meldung gibt offen zu, dass nicht bekannt ist, wann der Angreifer erstmals Zugriff hatte oder wie lange der „Kompromittierungszeitraum“ andauerte – eine übliche und ehrliche Einschränkung nativer Postfachprotokollierung, die nicht für granulare Nachverfolgung entwickelt wurde. Kiteworks EPG protokolliert jede ein- und ausgehende Nachricht in einem einheitlichen, normalisierten, unveränderlichen Prüfprotokoll, das die angewandte Richtlinie, die getroffene Maßnahme und das Zustellungsergebnis für jede Nachricht – sensibel oder nicht – dokumentiert. Dieses Protokoll wird direkt an ein SIEM weitergeleitet, sodass Sicherheitsteams im Fall einer Kompromittierung exakt nachvollziehen können, auf welche Inhalte das Konto zugegriffen hat – statt rückwirkend zuzugeben, dass der Umfang unbekannt ist.

Was das für Auftragnehmer der Defense Industrial Base bedeutet

IEH ist Mitglied der Defense Industrial Base, und diese Mitgliedschaft bringt Compliance-Pflichten mit sich, die bei kommerziellen Vorfällen meist nicht greifen. Exportkontrollierte technische Informationen unterliegen ITAR, das regelt, wie solche Daten zugänglich, gespeichert und übertragen werden dürfen – unabhängig davon, ob tatsächlich ein ausländischer Transfer stattgefunden hat. Kontrollierte, nicht klassifizierte Informationen unterliegen CMMC 2.0 Compliance und den zugrundeliegenden NIST-800-171-Kontrollen, die explizit verlangen, dass Unternehmen nachweisen – nicht nur behaupten –, dass sensible Daten während der Übertragung und im ruhenden Zustand geschützt werden, und zwar mit dokumentierten, revisionssicheren Kontrollen statt mit individuellem Mitarbeiterverhalten.

Ein Postfachvorfall, der technische Dokumentation und potenziell exportkontrollierte Daten offenlegt, schafft für einen DIB-Auftragnehmer weitreichende Probleme: Compliance-Risiken, vertragliche Risiken gegenüber Hauptauftragnehmern und Regierungsstellen sowie potenziell Lizenzprobleme, falls Daten als kontrollierter Export gelten. Automatisierte Richtlinienkontrolle wie durch EPG ist hier nicht nur aus Sicherheitsgründen relevant, sondern entspricht zunehmend auch den Nachweiserwartungen von CMMC 2.0 und ITAR für ein funktionierendes Compliance-Programm. „Wir haben Mitarbeiter geschult, keine Phishing-Links zu klicken“ reicht bei einer tatsächlichen Prüfung selten aus.

Diese Verpflichtung bleibt bestehen, aber der Prüfmechanismus hat sich geändert. Die Level-2-Anforderungen von CMMC 2.0 sahen ursprünglich eine Drittanbieter-Prüfung vor – eine Certified Third-Party Assessment Organization sollte die Kontrollen prüfen, nicht das Unternehmen selbst. Am 13. Juli 2026 wurde diese Anforderung vom Verteidigungsministerium auf unbestimmte Zeit ausgesetzt und eine 60-tägige Überprüfung eingeleitet. Damit bleibt die NIST-800-171-Selbstbewertung auf absehbare Zeit die einzige Kontrolle für DIB-Auftragnehmer. Das macht Vorfälle wie den von IEH für die Compliance-Diskussion noch relevanter: Ohne geplanten Prüfer, der Audit Logging und Zugriffskontrollen tatsächlich verifiziert, bewerten Unternehmen wieder sich selbst – und eine selbstberichtete Punktzahl kann nie beantworten, „wie lange war dieses Konto kompromittiert“.

IEHs Bericht nennt keinen Täter, und es gibt keine Hinweise auf einen bestimmten staatlichen Akteur. Aber das Muster ist eines, das Geheimdienste im vergangenen Jahr wiederholt hervorgehoben haben: Russische, staatlich unterstützte Gruppen haben ähnliche E-Mail-basierte Angriffstechniken gegen westliche Ziele angepasst, und die Five-Eyes-Allianz hat separat gewarnt, dass China verstärkt Kontakte über LinkedIn im Verteidigungsumfeld anwirbt. Ob der Angreifer in diesem Fall ein Krimineller mit Wiederverkaufsinteresse oder gezielter vorging – die Exponierung für das Unternehmen bleibt gleich: Technische Dokumentation und exportkontrollierte Daten im Postfach sind für jeden Angreifer wertvoll, der eindringt. Genau deshalb braucht der Inhalt selbst eine Governance, die unabhängig davon ist, wer gerade eingeloggt ist.

Eine E-Mail-Sicherheitsstrategie aufbauen, die den nächsten Phishing-Angriff übersteht

Keine Kontrolle verhindert, dass ein Mitarbeiter auf einen überzeugenden Phishing-Link klickt. Das realistische Ziel ist, dass dieser Klick nicht zu der Art von Exponierung führt, wie sie IEH offenlegen musste. Das bedeutet: Starke Identitätskontrollen und phishing-resistente MFA, wo möglich, kombiniert mit einer Richtlinienebene, die die Inhalte selbst steuert – sodass ein kompromittiertes Login nicht gleichbedeutend mit einem kompromittierten Archiv von Bestellungen und technischen Daten ist.

Organisationen, die CUI, exportkontrollierte Daten oder andere regulierte Inhalte verarbeiten, sollten das Postfach selbst als Asset mit eigener Zugriffsgovernance betrachten – nicht nur als Ziel, das durch ein Passwort geschützt ist. Das bedeutet: Automatisierte Klassifizierung und Verschlüsselung sensibler Nachrichten, DRM-Kontrollen darüber, was Empfänger – berechtigt oder nicht – mit empfangenen Inhalten tun können, eingehende Scans, die bösartige Anhänge abfangen, bevor ein Mitarbeiter klicken kann, und zentrale, unveränderliche Protokollierung, die die Frage „was hat dieses Konto wann abgerufen“ in Stunden beantworten kann – statt diese Frage in einer SEC-Meldung offen zu lassen.

Kiteworks Secure Email, erweitert um das Email Protection Gateway, bringt diese Governance in den bestehenden Mailstream – ohne dass sich für Mitarbeiter beim Senden und Empfangen von Nachrichten im Alltag etwas ändert. Der Schutz hängt also nicht davon ab, dass jemand daran denkt, ihn zu aktivieren. Für Auftragnehmer, die an PATRIOT, AMRAAM, THAAD oder anderen Programmen mit Exportkontroll-Risiko beteiligt sind, ist das der Unterschied zwischen einem Phishing-Klick als ärgerlichem Vorfall und einer SEC-Offenlegung mit potenziellen ITAR- und CMMC-Folgen.

Erfahren Sie mehr darüber, wie Sie die Lücke zwischen kompromittierten Zugangsdaten und einem kompromittierten Archiv sensibler Korrespondenz schließen können – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Schützen Sie Ihre sensiblen Inhalte mit E-Mail-Sicherheit
• Kurzüberblick So optimieren Sie E-Mail-Governance, Compliance und Content-Schutz
• Kurzüberblick Mehr Transparenz und automatisierter Schutz aller sensiblen E-Mails
• Kurzüberblick Kiteworks Secure Email mit dem Email Protection Gateway (EPG) erweitern
• Blogbeitrag Warum TLS allein für Ihre E-Mail-Verschlüsselungsstrategie nicht ausreicht