Das Symptom
Der Vorfall ist scheinbar erledigt: neues Passwort, alle Geräte abgemeldet, zwei
Faktoren eingerichtet. Trotzdem stimmt etwas nicht. Bestätigungsmails von
Diensten, bei denen jemand ein Passwort zurückgesetzt hat, kommen nie an. Ein
Geschäftspartner bekommt eine perfekt getimte Antwort auf einen Vorgang, von dem
man selbst nichts weiß. Oder man merkt schlicht: Ausgerechnet die Mails, auf die
es ankam, sind nicht im Posteingang – dafür liegen sie im Ordner „RSS-Abonnements“,
in den seit Jahren niemand geschaut hat.
Die „Layer 8“-Wahrheit
Ein Passwort ist die Antwort auf die Frage „Wer darf hier hinein?“. Eine
Weiterleitungsregel ist die Antwort auf die Frage „Was tut dieses Postfach mit
ankommender Post?“. Das sind zwei verschiedene Fragen, und der Passwortwechsel
beantwortet nur die erste neu. Die Regel bleibt, weil sie zum Postfach gehört und
nicht zur Anmeldung. Sie läuft auf dem Server, sie läuft rund um die Uhr, und sie
braucht die Gegenseite nicht dabei.
Microsoft nennt das beim Namen und benutzt dafür ein Wort, das die Sache genau
trifft: Persistenzmechanismus. Nachdem sich ein Angreifer Zugriff verschafft hat,
versucht er sich festzusetzen, um drinzubleiben oder nach seiner Entdeckung erneut
Zugriff zu erlangen. Daraus folgt zweierlei. Erstens ist die Regel kein Detail am
Rand des Aufräumens, sondern der eigentliche Schaden, wenn man sie übersieht.
Zweitens ergibt sich die Reihenfolge von selbst, und Microsoft schreibt sie auch
so hin: erst den Zugang blockieren – Kennwort, Sitzungen –, dann die Regeln. Wer
zuerst die Regel löscht, während der Zugang noch offen ist, hat eine Minute lang
recht gehabt.
Der dritte Punkt ist der, an dem die meisten scheitern: Man sucht an einer Stelle
und es gibt drei. Die Regelliste, die man kennt. Die ausgeblendeten Regeln, die
man nur mit dem passenden Schalter zu sehen bekommt. Und die Weiterleitung auf
Postfachebene, die in keiner Regelliste steht, sondern in den Eigenschaften des
Postfachs. Und weil all das im Postfach liegt und nicht auf dem Gerät, ist die
Sache mit dem neu aufgesetzten Rechner erledigt, bevor sie anfängt – Microsoft
sagt ausdrücklich, dass ein neuer Computer nicht hilft, weil sich beim ersten
Verbinden alles wieder aus der Cloud herunterlädt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Zuerst den Zugang schließen, dann die Regel entfernen
Microsoft stellt die Reihenfolge ausdrücklich auf: Nachdem der Angreifer Zugriff erlangt hat, müsse man den Zugriff so schnell wie möglich blockieren; danach werden bekannte Methoden abgearbeitet, die es dem Angreifer ermöglichen könnten, die Persistenz aufrechtzuerhalten und später die Kontrolle wiederzuerlangen. Kennwort und Sitzungen sind Schritt 1 und 2, die Weiterleitungen Schritt 6. Wer diese Reihenfolge tauscht, räumt auf, während jemand danebensteht.
2.Die Weiterleitung auf Postfachebene prüfen
Das ist die Stelle, die in keiner Regelliste auftaucht. Ein nicht leerer Wert bei ForwardingAddress bedeutet laut Microsoft Weiterleitung an einen internen Empfänger, ein nicht leerer Wert bei ForwardingSmtpAddress Weiterleitung an einen externen Empfänger. Im privaten Postfach heißt dieselbe Einstellung meist schlicht „Weiterleitung“ und steht in den Einstellungen unter E-Mail.
Get-Mailbox -Identity <Identity> | Format-List Forwarding*Address,DeliverTo*
3.Alle Posteingangsregeln auflisten – auch die ausgeblendeten
Microsoft nennt den Zweck des Schalters selbst: alle Posteingangsregeln einschließlich ausgeblendeter Regeln auf solche prüfen, die Nachrichten ohne Wissen des Benutzers umleiten oder weiterleiten. Interessant sind die Werte RedirectTo, ForwardTo und ForwardAsAttachmentTo – jeder nicht leere Wert ist eine Adresse, an die Post geht.
Get-InboxRule -Mailbox <Identity> -IncludeHidden | Format-List Name,Enabled,RedirectTo,Forward*,Identity
4.Verdächtige Regeln vollständig ansehen, bevor man sie löscht
Der Identity-Wert aus der Liste führt zur vollständigen Regel. Das lohnt sich, weil aus den Bedingungen hervorgeht, was mitgelesen werden sollte – Regeln, die auf Stichworte wie den Namen einer Bank oder das Wort Rechnung reagieren, sind ein anderes Problem als eine pauschale Weiterleitung. Und es ist die einzige Gelegenheit, den Wortlaut zu sichern, bevor er weg ist.
Get-InboxRule -Identity '<Identity>' -IncludeHidden | Format-List
5.Auch die Regeln suchen, die Post verstecken statt weiterleiten
Microsoft führt als Symptom eines kompromittierten Kontos nicht nur Regeln auf, die automatisch an unbekannte Adressen weiterleiten, sondern ebenso Regeln, die Nachrichten in die Ordner Notizen, Junk-E-Mail oder RSS-Abonnements verschieben. Der Zweck ist derselbe wie beim Wegräumen: Man soll die Warnmails des Anbieters und die Rücksetzbestätigungen anderer Dienste nicht sehen.
6.Die übrigen Spuren im Postfach durchgehen
Microsoft nennt als weitere Symptome verdächtige Nachrichten in den Ordnern Gesendete Elemente und Gelöschte Elemente, geänderte Kontaktdaten und verdächtige E-Mail-Signaturen, etwa eine gefälschte Banksignatur. Die eigene Signatur ist ein beliebter Ort, weil sie in jeder Antwort mitgeht und niemand sie liest, der sie täglich sieht.
7.Nach ein paar Tagen ein zweites Mal nachsehen
Das ist kein Misstrauen gegen die eigene Arbeit, sondern folgt direkt aus Microsofts Einordnung: Der Sinn eines Persistenzmechanismus ist, nach der Entdeckung wieder Zugriff zu erlangen. Ist die Regel wieder da oder steht eine neue Adresse in den Weiterleitungseinstellungen, war der Zugang noch offen – dann beginnt man wieder bei Kennwort und Sitzungen, statt nur die Regel erneut zu löschen.
8.Im privaten Postfach ohne PowerShell dieselben drei Orte prüfen
Die Befehle oben sind das Werkzeug für Exchange Online. Wer ein privates Konto hat, sucht dieselben drei Dinge in der Weboberfläche: die Weiterleitungseinstellung des Kontos, die Regelliste und die Antwortadresse. Das BSI beschreibt genau diesen Prüfschritt für Privatleute – kontrollieren, ob Einstellungen verändert wurden, kritisch wären zum Beispiel automatische Weiterleitungen von Nachrichten an fremde E-Mail-Adressen.