Sophos Email Security BEC-Schutz 2026: So funktioniert die Abwehr

Sophos Email Security BEC-Schutz setzt genau dort an, wo klassische Spam-Filter versagen: bei gefälschten Zahlungsaufforderungen ohne Malware und ohne verdächtigen Link. Laut FBI-IC3-Jahresbericht 2025 verursachte Business Email Compromise in den USA rund 3,05 Milliarden US-Dollar Schaden – die zweithöchste Kategorie hinter Investment-Betrug und fast hundertmal mehr als Ransomware mit 32,3 Millionen US-Dollar. Der Grund: Ein gefälschter Zahlungsauftrag vom vermeintlichen Geschäftsführer enthält weder eine schädliche Datei noch zwingend einen Link. Sophos Email Security schließt genau diese Lücke mit einer eigenen BEC-Erkennung, die Absenderidentität und Kommunikationsmuster prüft statt nur Anhänge zu scannen. Wie das technisch funktioniert und wo Unternehmen zusätzlich ansetzen müssen, zeigt dieser Überblick.

Warum Spam-Filter bei BEC versagen – und wo Sophos ansetzt

Klassische Filter arbeiten mit Signaturen, URL-Blacklists und Anhang-Scans. Bei BEC greift das ins Leere. Die Nachricht kommt oft von einem echten, aber kompromittierten Postfach. Oder von einer Domain, die dem Original zum Verwechseln ähnlich sieht (Typosquatting, z. B. „cyber-sh0p.eu“ statt „cyber-shop.eu“). Es gibt keine Malware-Signatur zu erkennen und häufig keinen Link, der auf eine bekannte Phishing-Domain zeigt.

Genau deshalb braucht Email Security von Sophos für BEC eine andere Erkennungsebene: eine, die Absenderreputation, Sprachmuster und Domain-Authentizität statt nur den Nachrichteninhalt bewertet – ein Trend, der sich mit zunehmend KI-gestützt formulierten Fake-Mails eher verschärft als abschwächt.

Ein typischer Ablauf: Die Buchhaltung erhält eine Mail, angeblich vom Geschäftsführer auf Dienstreise, mit der dringenden Bitte, eine Lieferantenrechnung auf ein „aktualisiertes“ Konto zu überweisen. Anzeigename und Signatur wirken korrekt, nur die tatsächliche Absenderadresse weicht minimal ab. Ohne Impersonation Protection fällt das im Tagesgeschäft oft nicht auf.

Wie Sophos Email Security BEC-Angriffe erkennt: die vier zentralen Bausteine

Sophos Email Advanced kombiniert mehrere Mechanismen, um Identitätsbetrug zu erkennen, bevor eine Mail den Posteingang erreicht:

• SPF-, DKIM- und DMARC-Auswertung: Prüft, ob der Absenderserver tatsächlich berechtigt ist, im Namen der angegebenen Domain zu versenden, und blockt oder markiert Mails mit fehlgeschlagener Authentifizierung.
• Impersonation Protection: Vergleicht Anzeigename und Absenderadresse mit bekannten internen Kontakten (etwa der Geschäftsführung) und warnt, wenn Name und tatsächliche Adresse nicht zusammenpassen.
• Time-of-Click-URL-Schutz: Prüft Links nicht nur beim Empfang, sondern erneut im Moment des Klicks – relevant, weil Angreifer Zielseiten oft erst nach der Zustellung scharf schalten.
• Attachment Sandboxing: Öffnet Anhänge in einer isolierten Umgebung, um verzögert ausgelöste Schadfunktionen zu erkennen, bevor die Datei den Nutzer erreicht.

Keiner dieser Bausteine wirkt allein zuverlässig gegen BEC – erst die Kombination aus Authentifizierungsprüfung und Identitätsabgleich schließt die Lücke, die reine Anhang-Scanner offen lassen.

Wie schützt Sophos Email Security vor Business Email Compromise?

Sophos Email Security gleicht Absenderadresse und Anzeigename mit bekannten Kontakten ab, prüft SPF/DKIM/DMARC-Authentifizierung und bewertet ungewöhnliche Kommunikationsmuster wie plötzliche Zahlungsanfragen. Verdächtige Mails werden markiert, in Quarantäne verschoben oder blockiert – abhängig von der konfigurierten Richtlinie und dem Schweregrad des Befunds.

Sophos Email Advanced im Funktionsüberblick

Für Unternehmen, die zusätzlich die eigene Domain gegen Missbrauch durch Dritte absichern wollen, bietet sich ergänzend der Sophos DMARC Manager an – er vereinfacht das Erstellen und Durchsetzen strikter DMARC-Richtlinien ohne manuelle DNS-Fehlerquellen.

Sophos Email Security einführen: 4 Schritte in der Praxis

1. Bestandsaufnahme: Aktuelle SPF/DKIM/DMARC-Einträge der eigenen Domain prüfen – viele KMU haben DMARC gar nicht oder nur im Monitoring-Modus (p=none) aktiv.
2. Pilotbetrieb: Sophos Email Security zunächst im Beobachtungsmodus für eine Abteilung schalten, um Fehlalarme zu identifizieren, bevor Regeln unternehmensweit greifen.
3. Impersonation-Liste pflegen: Geschäftsführung, Buchhaltung und Einkauf als geschützte Kontakte hinterlegen – das sind die klassischen BEC-Zielpersonen.
4. DMARC schrittweise verschärfen: Von p=none über p=quarantine bis p=reject, jeweils mit Auswertung der Reports zwischen den Stufen.

Der komplette Rollout dauert je nach Mailvolumen und Altlasten in der DNS-Konfiguration meist zwei bis vier Wochen bis zur produktiven p=reject-Stufe. Welche Sophos-Email-Bausteine für die eigene Postfachanzahl sinnvoll sind, klärt der Produktberater in wenigen Minuten.

Technik allein reicht nicht: organisatorische Ergänzung

Auch die beste Filtertechnik erkennt nicht jede Social-Engineering-Variante – etwa wenn ein Angreifer per Telefon nachfasst, nachdem die Mail bereits zugestellt wurde. Zwei Maßnahmen ergänzen die technische Ebene:

• Ein Vier-Augen-Prinzip bei Zahlungsänderungen und neuen Bankverbindungen, unabhängig vom Kommunikationskanal.
• Regelmäßiges Security-Awareness-Training, das BEC-Szenarien simuliert statt nur generisches Phishing zu behandeln.

Einen tieferen Einblick in Angriffsmuster und organisatorische Gegenmaßnahmen liefert unser Ratgeber zu Business Email Compromise.

Häufige Fragen zu Sophos Email Security und BEC

Was kostet Sophos Email Advanced?

Der Netto-Listenpreis liegt ab 53,57 Euro pro Nutzer (Stand Juli 2026), abgerechnet pro Lizenz mit Staffelpreisen nach Nutzeranzahl. Den genauen Preis für die eigene Nutzerzahl liefert der Produktberater.

Ersetzt Sophos Email Security ein Awareness-Training?

Nein. Die Lösung reduziert die Zahl der Mails, die überhaupt im Posteingang landen, ersetzt aber nicht das Erkennen manipulativer Nachrichten durch Mitarbeitende – insbesondere bei Angriffen über andere Kanäle wie Telefon oder Messenger.

Funktioniert Sophos Email Security mit Microsoft 365 und Google Workspace?

Ja, die Lösung lässt sich als API-basierter Schutz zusätzlich zu bestehenden Microsoft-365- oder Google-Workspace-Postfächern einrichten, ohne den Mail-Fluss über einen separaten Gateway umzuleiten.

Was ist der Unterschied zwischen Sophos Email Advanced und Sophos DMARC Manager?

Sophos Email Advanced filtert eingehende Mails am eigenen Postfach. Der Sophos DMARC Manager schützt umgekehrt die eigene Domain davor, dass Dritte sie für Absenderfälschung nach außen missbrauchen – beide Ebenen ergänzen sich.

Reicht SPF/DKIM/DMARC allein gegen BEC?

Nein. Die Protokolle verhindern Domain-Spoofing, schützen aber nicht vor Angriffen aus kompromittierten, technisch legitimen Postfächern oder von Domains mit minimal abweichender Schreibweise. Deshalb ist die zusätzliche Impersonation Protection notwendig.

Wie schnell erkennt Sophos Email Security eine verdächtige Mail?

Die Prüfung läuft automatisiert beim Mailempfang und dauert in der Regel wenige Sekunden. Bei unklaren Fällen greift zusätzlich die Time-of-Click-Prüfung erneut, wenn ein Link tatsächlich angeklickt wird – ohne spürbare Verzögerung für den Nutzer.

Fazit: Identitätsprüfung schlägt reine Inhaltsfilterung

BEC-Angriffe umgehen klassische Spam-Filter, weil sie selten Malware oder eindeutig bösartige Links enthalten. Sophos Email Security setzt deshalb bei der Absenderidentität an – über Protokoll-Authentifizierung und Impersonation Protection statt reiner Inhaltsprüfung. Wie hoch ist das BEC-Risiko in Ihrem Unternehmen, wenn Zahlungsänderungen aktuell nur per Mail bestätigt werden?