Eine Spam- oder Phishing-Meldung landet in Ihrem Abuse-Postfach und die Uhr tickt. Sie müssen schnell genug handeln, um Ihren IP-Ruf zu schützen, aber sorgfältig genug, um keinen legitimen Kunden aufgrund eines Fehlalarms zu sperren. Ohne ein schriftliches Runbook wird jede Meldung zu einer Ermessensentscheidung unter Druck, und die Konsistenz leidet.

Was sollten Sie zuerst tun, wenn Sie eine Spam- oder Phishing-Meldung erhalten?

Ihre erste Maßnahme ist die Beweissicherung, bevor Sie irgendetwas anfassen. Meldungen kommen als E-Mails, automatisierte Warnungen oder Tickets an und können verloren gehen oder verändert werden. Speichern Sie die Originalquelle.

  • Speichern Sie die vollständigen E-Mail-Header und den Body als .eml-Datei. Fügen Sie den Absender, den Betreff und den Zeitstempel bei.
  • Wenn die Meldung von einem Dritten stammt (z. B. einem Spam-Trap-Betreiber), speichern Sie die Rohfassung der Nachricht, die er gesendet hat.
  • Machen Sie einen Screenshot der gemeldeten URL und des Seiteninhalts. Wenn die Seite ein Phishing-Kit ist, erfassen Sie den HTML-Quellcode.
  • Notieren Sie die Kundenkonto-ID, die Hauptdomain und den Hosting-Tarif.

Eröffnen Sie ein dediziertes Abuse-Ticket und hängen Sie diese Dateien an. Verlassen Sie sich nicht auf Erinnerungen oder Chat-Protokolle. Wenn die Meldung über ein Webformular eingegangen ist, kopieren Sie die Einreichung in das Ticket.

Wie überprüfen Sie eine Phishing- oder Spam-Meldung, bevor Sie handeln?

Sie müssen bestätigen, dass der gemeldete Inhalt tatsächlich auf der Website Ihres Kunden existiert und kein Fehlalarm ist. Rufen Sie die URL direkt auf und vergleichen Sie sie mit den von Ihnen gesicherten Beweisen. Achten Sie auf Anzeichen einer Kompromittierung: unerwartete Dateien, geänderte Zeitstempel oder unbekannten Code im Document Root.

Wenn sich die Meldung auf ausgehenden Spam bezieht, prüfen Sie Ihre Mail-Logs für das sendende Konto. Ein plötzlicher Anstieg des ausgehenden Volumens oder eine hohe Anzahl zurückgewiesener Nachrichten ist ein Warnsignal. Aber gehen Sie nicht von Schuld aus: Ein kompromittiertes Konto kann Spam ohne Wissen des Kunden versenden.

Dokumentieren Sie Ihre Feststellungen im Ticket. Geben Sie an, ob Sie die Meldung als bestätigt, verdächtig oder unbegründet einstufen. Diese Aufzeichnung ist wichtig, falls der Kunde Einspruch einlegt.

Was sollte eine Kundenbenachrichtigung über eine Spam- oder Phishing-Meldung enthalten?

Benachrichtigen Sie den Kunden, sobald Sie ein bestätigtes oder vermutetes Problem haben. Die Nachricht sollte sachlich, klar und mit einer Frist versehen sein. Vermeiden Sie anklagende Sprache; der Kunde kann Opfer einer Kompromittierung sein.

Hier ist eine Vorlage, die Sie anpassen können:

Betreff: Handlungsbedarf: Abuse-Meldung für [Domain]

Sehr geehrte/r [Kundenname],

wir haben eine Meldung erhalten, dass [Domain] [Phishing-Inhalte hostet / Spam versendet]. Wir haben überprüft, dass [beschreiben, was Sie gefunden haben].

Bitte ergreifen Sie innerhalb von [X Stunden] die folgenden Schritte:

  • Überprüfen Sie Ihre Website auf kompromittierte Dateien oder unbefugten Zugriff.
  • Ändern Sie alle Passwörter, die mit Ihrem Hosting-Konto und allen CMS-Admin-Bereichen verbunden sind.
  • Entfernen Sie alle schädlichen Inhalte und sichern Sie die Website.

Wenn Sie Hilfe benötigen, antworten Sie auf dieses Ticket. Wenn wir nichts von Ihnen hören oder das Problem nicht bis [Frist] behoben ist, können wir die Website sperren, um unser Netzwerk zu schützen.

Mit freundlichen Grüßen,
[Ihr Name]

Wann sollten Sie die Website eines Kunden wegen Spam oder Phishing sperren?

Legen Sie klare Schwellenwerte fest, damit Sperrungen konsistent sind. Bei Phishing handeln Sie schnell: Wenn die Seite live ist und Anmeldedaten sammelt, sperren Sie sofort nach der Beweissicherung. Phishing verursacht direkten Schaden und kann Ihre IPs auf Blacklists bringen.

Bei Spam hängt der Schwellenwert von der Schwere ab. Wenn das Konto des Kunden hochvolumigen Spam versendet oder mehrfach gemeldet wurde, sperren Sie nach einer kurzen Kulanzfrist (z. B. 4 Stunden). Bei einer erstmaligen Meldung mit geringem Volumen geben Sie 24 Stunden zur Behebung.

Dokumentieren Sie immer den Grund für die Sperrung im Ticket. Wenn Sie sperren, ersetzen Sie die Website durch einen Hinweis, der erklärt, warum und wie Sie kontaktiert werden können. Dies reduziert Verwirrung und zeigt, dass Sie reagieren.

Wie behandeln Sie einen Einspruch gegen eine Sperrung?

Einsprüche kommen vor, insbesondere wenn eine Website ohne Wissen des Kunden kompromittiert wurde. Behandeln Sie jeden Einspruch als Chance, es richtig zu machen. Überprüfen Sie die ursprünglichen Beweise und alle neuen Informationen, die der Kunde bereitstellt.

Wenn der Kunde nachweisen kann, dass er die Website bereinigt und gesichert hat, stellen Sie das Konto wieder her. Wenn der Einspruch einen Fehlalarm betrifft, überprüfen Sie erneut. Erwägen Sie, eine schriftliche Erklärung anzufordern, dass er die Website überwachen wird.

Bewahren Sie eine Aufzeichnung des Einspruchsergebnisses auf. Wenn Sie eine Abrechnungsplattform wie Teculiar verwenden, können Sie den Dienst als „niemals automatisch sperren“ kennzeichnen, um automatisierte Aktionen zu verhindern, während ein Einspruch anhängig ist. Die Plattform von Teculiar ermöglicht es Ihnen auch, Support-Tickets und Kundenkommunikation an einem Ort zu verwalten, was hilft, den Audit-Trail intakt zu halten.

Was als Nächstes zu tun ist

  • Schreiben Sie noch heute Ihr Abuse-Runbook und verwenden Sie die obigen Schritte als Ausgangspunkt.
  • Richten Sie eine dedizierte abuse@-E-Mail-Adresse und eine Ticket-Warteschlange für Meldungen ein.
  • Schulen Sie Ihr Support-Personal in Beweissicherung und den Sperrschwellenwerten.
  • Überprüfen Sie Ihre Logs und Backups, um sicherzustellen, dass Sie schnell untersuchen können.

Beginnen Sie damit, jedes System aufzulisten, das Kundendaten enthält und zum Versenden von E-Mails verwendet werden kann.