Secure Mail Gateways schaffen Ordnung und Sicherheit E-Rechnung mit E-Mail-Security schützen

Anbieter zum Thema

Net at Work GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die E-Rechnung revolutioniert den Rechnungsaustausch, birgt jedoch neue Risiken. Moderne Secure Mail Gateways können auch beim E-Invoicing vor Betrug und Schäden schützen. Zusätzlich bieten sie ganz praktische Vorteile bei der Umsetzung der E-Rechnungspflicht.

Die Pflicht zur E-Rechnung fördert die Digitalisierung der kaufmännischen Abwicklung von Geschäftsprozessen erheblich. Trotz Alternativen wie EDI oder Peppol wird die E-Mail mittelfristig der mit Abstand wichtigste Kanal für den Rechnungsaustausch bleiben und den klassischen Postversand weitgehend ersetzen. Viele Unternehmen streben an, Eingangsrechnungen weitgehend automatisiert zu verarbeiten, um Bearbeitungskosten zu senken, höhere Transparenz über Verbindlichkeiten zu erlangen und Skonti-Vorteile zu ziehen. Hierbei sind Kriterien wie ein korrekter Bestellbezug, die Bekanntheit des Lieferanten oder eine Betragsgrenze entscheidend.

Wie bei der Papierrechnung birgt auch der massenhafte Empfang von E-Rechnungen jedoch erhebliche Risiken für Betrug. Rechnungen können gleichermaßen digital manipuliert oder gefälscht werden. Da die Transaktionskosten für den Versand per E-Mail – anders als beim Postversand – nicht ins Gewicht fallen und zudem die Verschleierung einfacher ist, werden Betrugsformen bei E-Rechnungen deutlich an Gewicht gewinnen. Man denke nur daran, dass Spammer versuchen werden, per formal korrekter E-Rechnung massenhaft Kleinbeträge abzurechnen, die aufgrund der geringen Höhe in der Dunkelverarbeitung durchlaufen und bezahlt werden. Bis der Schwindel auffällt, ist das Geld beiseite geschafft. Auch illegal beschaffte Informationen für Bestelltransaktionen, beispielsweise auf B2B-Marktplätzen, bieten das Datenmaterial zur massenhaften Fälschung von E-Rechnungen, die beim Empfänger viele Prüfungen sauber überstehen würden.

Deshalb muss es das Ziel sein, gefälschte oder manipulierte E-Rechnungen grundsätzlich vom Unternehmen fernzuhalten und sie im besten Fall daran zu hindern, via E-Mail zugestellt zu werden. Genau das können moderne Secure Mail Gateways und bieten dazu allgemeine und E-Rechnungs­spezifische Techniken an.

E-Rechnungen im E-Mail-Traffic sicher erkennen

Eine dafür entscheidende Fähigkeit ist die verlässliche Erkennung von E-Rechnungen als Anhänge im eingehenden Strom an E-Mails. Beispielsweise erkennt das Produkt NoSpamProxy bereits im Standard gängige E-Rechnungsformate wie XRechnung oder ZUGFeRD und kann in der Nachrichtenverfolgung Metadaten wie Rechnungsnummern, Käufer oder Verkäufer ermitteln. So herrscht jederzeit Transparenz über die Gründe für eine Zustellung oder Ablehnung einer E-Mail mit anhängender E-Rechnung.

Durch das sichere Erkennen von E-Mails mit E-Rechnungen im gesamten E-Mail-Traffic können zwei wichtige Wünsche im Zusammenhang mit der E-Rechnung erfüllt werden.

Schnelles Kanalisieren von E-Rechnungen auf definierte Eingangspostfächer

Der erste – vorrangig organisatorische – Wunsch ist die rasche Durchsetzung spezieller E-Mail-Postfächer für E-Rechnungen in der Praxis. Das erfolgt durch die Ablehnung von E-Rechnungen an die falsche E-Mail-Adresse mit entsprechender Benachrichtigung der Absender. Eine solche Ablehnung ist deutlich effektiver als ein internes Routing, da der Aufwand an die Rechnungssteller verlagert wird. Diese lernen schnell, ihre Rechnungen an die richtigen E-Mail-Adressen zu senden. Damit wird sichergestellt, dass alle E-Rechnungen über definierte Eingangspostfächer ins Unternehmen gelangen und so eine Eingangskontrolle mit entsprechenden Prüfungen durchlaufen.

Mindeststandards an die Sicherheit beim E-Mail-Versand durchsetzen

Der zweite Wunsch ist die Ablehnung von E-Mails mit E-Rechnungen über unverschlüsselte E-Mail-Strecken oder ohne digitale Signatur, die bestätigt, dass diese E-Mail unverändert zugestellt wurde. Spammer und andere Cyberkriminelle scheuen in der Regel den Aufwand für eine explizite E-Mail-Verschlüsselung, während sich diese bei verantwortungsbewussten Unternehmen, Organisationen und Verwaltungen als Teil des IT-Grundschutzes immer mehr durchsetzt. Explizite E-Mail-Verschlüsselung und Signaturen sind daher ein wichtiges Indiz für die Echtheit der E-Rechnung. Empfänger sollten zumindest von ihren regelmäßigen Lieferanten eine verschlüsselte und signierte Zustellung verlangen. Schließlich enthalten Rechnungen in der Regel vertrauliche Informationen, die der Sender gesetzlich schützen muss.

Absenderreputation ist auch bei E-Rechnungen der Schlüssel zur Gefahrenabwehr

Bewährte Techniken zur Absender­reputations­bewertung erlauben es generell, schnell, sicher und effizient typische Angriffsmethoden wie CEOFraud oder Business Email Compromise (BEC) sowie Phishing oder Scamming zu erkennen. So ermöglicht beispielsweise das Sender Policy Framework (SPF) eine Überprüfung, ob die sendende IP-Adresse überhaupt berechtigt ist, im Namen der Domain E-Mails zu versenden. DKIM (Domain Keys Identified Mail) stellt sicher, dass die E-Mail während der Übertragung nicht manipuliert wurde. DMARC (Domain-based Message Authentication, Reporting & Conformance) kombiniert SPF und DKIM, um betrügerische Rechnungen zu blockieren und Berichte über fehlgeschlagene Authentifizierungsversuche bereitzustellen. DNS-based Authentication of Named Entities (DANE) schützt vor Missbrauch trotz TLS-Verschlüsselung und ARC (Authenticated Received Chain) konserviert die Ergebnisse der durch SPF, DKIM und DMARC vorgenommenen E-Mail-Authentifizierung aller beteiligten Server.

Diese fünf aufeinander abgestimmten Verfahren bieten höchste Sicherheit in der E-Mail-Kommunikation insgesamt und natürlich auch beim E-Rechnungsempfang. Sie sollten von einem guten Secure E-Mail Gateway vollständig genutzt werden. Als Ergänzung kennen selbstlernende Systeme zum Allow-Listing die typischen Versandwege von Rechnungen und können ungewöhnliche Abweichungen rasch aufdecken.

In jeder Neuerung liegen Chancen – auch für Cyberkriminelle

Wie jede Neuerung wird auch bei der Einführung der E-Rechnung versucht werden, die Unsicherheit oder Unbedarftheit von Usern auszunutzen. Beispielsweise werden Angreifer E-Mails mit Links versenden, die zum Download der vermeintlichen E-Rechnung auffordern, aber auf Schadcode verweisen. Wer das richtige Mail Gateway einsetzt, erkennt diese Angriffsformen bereits vor der Zustellung oder kann durch URL-Safeguarding Links zum Zeitpunkt des Klickens erneut auf Gefahren untersuchen und ggf. den Zugriff verhindern. Auch wenn Usern vermeintliche E-Rechnungen in potenziell gefährlichen Dateiformaten angeboten werden, wird ein gutes Mail Security Gateway dies erkennen. Beispielsweise kann bei einem verdächtigen ZUGFeRD-PDF dem User auch ein per Content Disarming & Reconstruction (CDR) in ein sicheres PDF umgewandelter Anhang angeboten werden. Zuverlässige Secure Mail Gateways bieten per se viele Mechanismen zum Schutz der E-Mail-Kommunikation und zahlen sich so beim E-Rechnungsempfang doppelt aus.

Wann, wenn nicht jetzt?

Die E-Rechnungspflicht ist somit ein guter Anlass, sich mit der Sicherheit seiner E-Mail-Kommunikation zu beschäftigen und vielleicht eine in die Jahre gekommene Lösung durch eine moderne Lösung oder einen verlässlichen Cloud Service zu ersetzen.

Dabei gilt es nicht nur, seinen E-Mail-Eingang sicher zu gestalten. Es geht vielmehr auch darum, die eigene Reputation als Sender hochzuhalten. Schließlich sollen die eigenen Ausgangsrechnungen ihr Ziel sicher und verlässlich erreichen. Dazu gehört neben den allgemeinen Hygienefaktoren mit Blick auf SPF, DKIM, DMARC, DANE und ARC auch die Kontrolle, über welche E-Mail-Konten und Domains wiederum E-Rechnungen das eigene Haus verlassen. So kann man effizient unterbinden, dass unautorisiert E-Rechnungen gestellt werden.

Moderne Lösungen zur E-Mail-Sicherheit lassen sich heute innerhalb kürzester Zeit in hoher Qualität mit niedrigen Kosten als Cloud Service oder On-Premises-Lösung beziehen. Wenn sie dann auch noch ‚Made in Germany‘ sind, bieten sie nicht nur verlässlich Schutz, sondern stärken zudem die digitale Souveränität des Unternehmens auch in der internationalen Unwegsamkeit.

Über den Autor: Stefan Cink ist Director Business and Professional Services bei Net at Work.

(ID:50347632)