VBSpam Q3 2026: Warum authentifizierte E-Mails kein Sicherheitsbeweis sind

Eine E-Mail, die technisch sauber authentifiziert ist, ist nicht automatisch harmlos. Die Berichte zum VBSpam-Vergleichstest von Virus Bulletin für das dritte Quartal 2026 zeigen Phishing-Kampagnen, die vertrauenswürdig wirkende Versandwege mit mehrstufiger URL-Tarnung kombinierten. Der schädliche Teil wurde dabei erst später im Browser sichtbar – und entzieht sich damit einer Prüfung, die nur Absender oder den ersten Link bewertet.

Der Test lief nach einem AMTSO-Testplan 16 Tage und umfasste 103.969 E-Mails, darunter 103.380 Spam-Nachrichten. 13

SPF, DKIM und DMARC prüfen nicht die Ungefährlichkeit einer Mail

SPF, DKIM und DMARC helfen dabei, Teile des Versandwegs und die Domain-Ausrichtung einer E-Mail zu überprüfen. Daraus folgt jedoch nicht, dass ihr Inhalt unbedenklich ist, ein Link zu einer sicheren Seite führt oder die nach mehreren Weiterleitungen erreichte Zielseite legitim ist.

Genau diese Lücke nutzten die beschriebenen Angriffe aus: Die Zustellung erfolgte über authentifizierte oder zumindest vertrauenswürdig wirkende Infrastruktur. Die eigentliche Täuschung lag in einem Web-Ablauf, der etwa Browser, Zeitzone, Standort oder den Zeitpunkt des Aufrufs bewerten konnte, bevor er eine Zielseite auslieferte. 35

Drei Muster aus den berichteten Phishing-Kampagnen

Mahnungs-Mail über Amazon SES

Eine deutschsprachige Kampagne setzte auf das Thema einer überfälligen Zahlung. Sie wurde über Amazon SES verschickt und nutzte eine DKIM-ausgerichtete Domain. Statt eines klassischen schädlichen Anhangs enthielt die HTML-Mail laut den Berichten Tarn-Markup, versteckten Text, ein Iframe mit Größe null und verschleiertes JavaScript. 35

Der verlinkte Ablauf überprüfte den Besucher: Er erfasste Browser- und Zeitzoneninformationen, führte eine verdeckte POST-Anfrage aus und leitete passende Besucher zu OpenSea weiter. Dies wurde als Hinweis auf getarnten Krypto- oder NFT-Betrug eingeordnet. Eine bloße Kontrolle der ursprünglichen Nachricht oder URL konnte den Ablauf daher weniger aussagekräftig erscheinen lassen. 35

Gefälschte Verlängerungen für McAfee und TotalAV

Eine niederländischsprachige Kampagne gab sich als McAfee beziehungsweise TotalAV aus. Sie warnte vor „631 gefährlichen Viren“ und warb für eine vergünstigte Verlängerung. Der Köder beruhte auf Social Engineering in HTML – nicht auf einem herkömmlichen bösartigen Anhang. 35

Die entscheidende Umgehungstechnik war die bedingte Auslieferung: Je nach Zeitpunkt, Standort oder vermeintlichem Opferprofil konnte die Zielseite variieren. Für automatisierte Scanner ist das problematisch, weil sie statt der für das Ziel bestimmten Seite eine harmlose Seite, einen Fehler oder einen anderen Weiterleitungspfad erhalten können. Als Ziel wurde Abo-Betrug genannt. 35

BCR-S.A.-Imitation mit PSD2-Vorwand

Eine rumänischsprachige Phishing-Mail imitierte BCR S.A. und behauptete, eine PSD2-Einwilligung müsse erneuert werden. PSD2 ist die EU-Richtlinie für Zahlungsdienste; der Vorwand einer angeblich zwingenden Zustimmung passt deshalb in einen vertrauten Bankkontext. Die Zieladresse wurde laut Bericht über eine IPv6-gemappte Adresse verschleiert – eine Technik, die URL-Parser und Scanner vor zusätzliche Herausforderungen stellen kann. 3

Ein angeblich notwendiger Schritt im Bankprozess erzeugt Zeitdruck und eignet sich damit besonders für den Diebstahl von Zugangsdaten. 3

Warum statische Prüfungen an Grenzen stoßen

Die Beispiele verdeutlichen, dass die Phishing-Logik zunehmend nicht mehr in der E-Mail selbst steckt. Absender und Authentifizierung können plausibel wirken, die Absicht eines Links kann zunächst verborgen bleiben. Erst der Browser löst den entscheidenden Ablauf aus:

• HTML und JavaScript verschleiern die Struktur der Nachricht.
• Weiterleitungsketten trennen den zugestellten Link vom endgültigen Ziel.
• Prüfungen von Browser, Zeitzone, Standort und Zeitpunkt können echte Ziele von automatisierten Analysesystemen unterscheiden.
• Bedingte Antworten halten schädliche Inhalte möglicherweise von einfachen Sandboxes oder Reputationsprüfungen fern. 35

Die Konsequenz für Unternehmen ist nicht, auf E-Mail-Authentifizierung zu verzichten. SPF, DKIM und DMARC bleiben wichtige Schutzmechanismen – sie müssen aber als ein Signal unter mehreren bewertet werden, neben Inhaltsanalyse, Absenderreputation, Link-Verhalten und Risiko der Zielseite. 35

Was E-Mail-Sicherheit zusätzlich leisten muss

Ein belastbarer Schutz sollte den gesamten Weg einer Nachricht und ihres Links untersuchen:

1. Verschleierte URLs normalisieren: Ungewöhnliche Adressformen vor Reputations- oder Richtlinienprüfungen dekodieren und in eine einheitliche Form überführen.
2. Vollständige Redirect-Ketten verfolgen: Nicht nur den ersten Link, sondern jeden Sprung und die finale Zielseite bewerten.
3. Browser-Verhalten analysieren: Bedingte Weiterleitungen, Fingerprinting, verdeckte Requests und weitere erst nach Ausführung sichtbare Merkmale erkennen.
4. Authentifizierung richtig einordnen: SPF, DKIM und DMARC dürfen Hinweise auf schädliche Inhalte oder riskante Zielseiten nicht überstimmen.
5. Fehlalarme mitmessen: Ein Filter, der Angriffe stoppt, aber legitime Mails blockiert, schafft ein eigenes Betriebsrisiko. 35

Große Unterschiede bei den gemeldeten Testergebnissen

Bei den gemeldeten Gesamtwerten erzielten die stärksten Produkte sehr hohe Erkennungsraten, die Ergebnisse fielen jedoch nicht einheitlich aus. Net at Work NoSpamProxy erreichte 99,995 Punkte ohne Fehlalarme. Bitdefender GravityZone Premium kam auf 99,994, SEPPmail.cloudfilter auf 99,985. Für Rspamd wurden 62,5 % berichtet. 35

Diese Werte gelten für diesen konkreten Vergleichstest und sind keine allgemeingültige Zusage für jede IT-Umgebung. Die große Differenz unterstreicht dennoch die praktische Lehre: Gegen authentifiziert wirkende Absender, verschleierte URLs und bedingte Browser-Abläufe ist eine mehrschichtige Prüfung nötig – kein einzelnes Schutzsignal genügt. 135

Fazit

Die Berichte zum VBSpam-Test Q3 2026 beschreiben ein Phishing-Modell mit klarer Arbeitsteilung: Bei der Zustellung sieht die E-Mail akzeptabel aus, der Betrug wird erst sichtbar, wenn der Browser eines ausgewählten Empfängers bestimmte Bedingungen erfüllt. Absenderauthentifizierung bleibt notwendige Sicherheitsgrundlage. Die Vertrauensentscheidung muss jedoch die gesamte Weiterleitungskette und das Verhalten der finalen Web-Seite einbeziehen. 35