> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/email-security/suspicious-emails.md). # Verdächtige E-Mails Email Security erkennt verdächtige oder schädliche E-Mails in Ihren Postfächern. Das Stoïk SOC prüft jeden Alarm: Auf Ihrer Seite ist keine Aktion erforderlich. Es gibt zwei Arten von E-Mail-Bedrohungen: * **Betrug:** Finanzbetrugsversuche, wie Rechnungsbetrug oder die Vortäuschung einer bekannten Kontaktperson. * **Phishing:** E-Mails, die auf eine Seite verlinken, die eine bekannte Marke imitiert, um Anmeldedaten zu stehlen. ## Alarmtabelle Die Alarme werden in `Email Security` > `Verdächtige E-Mails`. Jede Zeile zeigt: * **Betreff:** die Betreffzeile der E-Mail * **Kritikalität:** Niedrig, Mittel, Hoch oder Kritisch * **Geschützter Benutzer:** das Postfach, das die E-Mail empfangen oder gesendet hat * **Erkennungsdatum:** wann die E-Mail empfangen wurde * **Status:** Offen oder Geschlossen * **Gültigkeit:** Undefiniert, False Positive oder True Positive * **Aktionen:** Keine, Banner und/oder Quarantäne Klicken Sie auf einen Alarm, um seine Details zu öffnen. ## Warnungsdetails ### Informationen * **Erkennungsdatum**: wann die E-Mail empfangen wurde * **Geschützter Benutzer**: das Postfach, das die E-Mail empfangen oder gesendet hat * **Verkehr**: eingehend oder ausgehend * **Postfach**: Microsoft 365 oder Google Workspace * **Typ**: Betrug oder Phishing * **Gründe**: warum die E-Mail markiert wurde (z. B. Vortäuschung eines Benutzers, verdächtige Bankdaten) * **Aktionen**: die vom SOC ergriffenen Maßnahmen (z. B. E-Mail in Quarantäne verschoben, Warnbanner hinzugefügt). Siehe [Behebungsmaßnahmen](/help/help-de/email-security/remediation-actions.md). * **Status**: Offen oder Geschlossen * **Einstufung**: True Positive oder False Positive {% hint style="info" %} Hochverdächtige E-Mails werden nicht gelöscht. Sie werden in einen `Stoïk Quarantine` Ordner verschoben, der beim ersten Quarantänevorgang automatisch im Postfach erstellt wird, sodass sie wiederherstellbar bleiben. {% endhint %} ### Urteil Ein farbiges Banner oben fasst die Bewertung zusammen. Seine Farbe und Überschrift entsprechen der Kritikalität und dem Typ des Alarms. Für einen Betrugsalarm:
KritikalitätÜberschrift
KritischKritischer Betrugsversuch erkannt
HochBetrugsversuch mit hohem Risiko erkannt
MittelVerdächtige Aktivität erkannt
NiedrigGeringfügige Anomalien erkannt
Bei einem Phishing-Alarm lautet die Überschrift statt „Betrug“ „Phishing“ (z. B. „Kritischer Phishing-Versuch erkannt“). Eine kurze Zusammenfassung unter der Überschrift liefert mehr Kontext. ### Angreifer Standardmäßig geschlossen. Es zeigt den Namen des Absenders, die Absenderdomäne und die E-Mail-Adresse des Absenders an. ### E-Mail-Inhalt Die ursprüngliche E-Mail, wie sie im Posteingang angekommen ist: Absender, Empfänger, Betreff, Sendedatum, das vom SOC hinzugefügte Warnbanner, falls vorhanden, und der vollständige Inhalt mit Formatierung, Bildern und Links. Klicken Sie **Erweitern** um sie in einem größeren Fenster zu lesen. Anhänge werden unten aufgeführt. Stoïk analysiert Anhänge (z. B. PDFs) auf Hinweise auf Phishing und Betrug, etwa eingebettete Links oder IBANs, scannt sie jedoch nicht auf Malware. Der Schutz vor schädlichen Dateien beruht auf der Sicherheitslösung, die auf Ihren Geräten installiert ist. ## Aktivitätszeitachse Der Abschnitt Aktivität listet alles auf, was mit dem Alarm passiert ist, beginnend mit dem neuesten Eintrag. ### Alarmbehandlung
SchrittBedeutung
Erstellung der WarnungWann die E-Mail ursprünglich empfangen wurde.
Bestätigung der WarnungWann der Alarm im Stoik-System aufgenommen und bestätigt wurde.
Bearbeitung der WarnungAls ein SOC-Analyst mit der Untersuchung der Warnung begann.
Schließung der WarnungAls die Warnung behoben und geschlossen wurde.
**Erstellung der Warnung** und **Bestätigung der Warnung** erscheinen immer. **Bearbeitung der Warnung** und **Schließung der Warnung** im Verlauf des Alarms erscheinen. {% hint style="info" %} Wenn Email Security erstmals aktiviert wird, werden E-Mails, die bis zu 90 Tage vor der Aktivierung empfangen wurden, gescannt. Bei diesen E-Mails kann die Lücke zwischen **Erstellung der Warnung** und **Bestätigung der Warnung** groß sein. Das ist zu erwarten. {% endhint %} ### Signalprüfungen Jede Prüfung zeigt einen farbigen Punkt: Es wurde ein Problem gefunden, eine Anomalie erkannt oder die Prüfung bestanden.
PrüfungWas sie bewirkt
AbsenderidentitätPrüft, ob der Absender versucht, sich als ein bekannter Kontakt in Ihrer Organisation auszugeben.
KommunikationshistoriePrüft, ob dieser Absender bereits zuvor mit Ihrer Organisation kommuniziert hat.
Ruf des AbsendersÜberprüft die Domäne und E-Mail-Adresse des Absenders anhand bekannter Bedrohungsdatenbanken.
Die Beschreibung jeder Prüfung spiegelt ihr tatsächliches Ergebnis wider. Zum Beispiel, `Ruf des Absenders` lautet „Die Domäne oder E-Mail-Adresse des Absenders stimmt mit bekannten Bedrohungsdatenbanken überein.“ wenn sie markiert ist, und „Die Domäne und E-Mail-Adresse des Absenders wurden in bekannten Bedrohungsdatenbanken nicht gefunden.“ wenn sie bestanden hat. ### SOC-Aktionen, Notizen und E-Mails * **SOC-Aktionen und Aktualisierungen**: Warnbanner, Verschiebungen in die Quarantäne und Änderungen der Gültigkeit (zum Beispiel von **Undefiniert** zu **True Positive**). * **Hinweise des Analysten**: vom Stoïk SOC verfasster Kontext dazu, wie der Alarm untersucht wurde, falls relevant. * **E-Mail-Korrespondenz**: die zwischen Stoïk und Ihrer Organisation zum Alarm ausgetauschten E-Mails. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-de/email-security/suspicious-emails.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.