E-Mail- & Fraud — Untersuchungsreferenz.

E-Mail-Triage-Workflow

1. Original .eml holen. Forwarded Kopien verlieren Header. User bitten "als Anhang senden" oder aus Journaling ziehen.
2. Header-Analyse.
   • Return-Path vs From Mismatch = Display-Name-Spoofing.
   • Authentication-Results: ideal spf=pass dkim=pass dmarc=pass; dmarc=fail = unauthorisierter Sender, selbst wenn SPF/DKIM einzeln passen.
   • Received:-Chain bottom-up lesen. Erster Hop = tatsächliche Sender-IP. ASN des ersten Hops verrät Origin-Kontext.
   • Message-ID-Format oft produktspezifisch. Mismatched Format + behaupteter Sender = gefälscht.
3. URL-Pivot — charakterisieren ohne Operator zu warnen.
   • Submit zu urlscan.io, VirusTotal — kann Operator benachrichtigen. Private Modes nutzen wenn verfügbar.
   • Via Tor oder rotierendem Residential-Proxy ziehen, um Angreifer-IP-Allow-List / One-Time-Use-Logik zu umgehen.
   • Curl mit Non-Standard-UA zuerst; viele Landing-Pages servieren UA-abhängigen Content, um sich vor Sandboxes zu verstecken.
4. Attachment-Detonation. Cuckoo / Hybrid Analysis / disposable VM. Office-Docs: oletools (olevba, oleid) für Makros ohne Ausführung.
5. Victim-Impact-Assessment. Hat jemand geklickt? Set-MessageTrace in Exchange Online oder Äquivalent. URL-Click aufgezeichnet von Safe-Links wenn aktiv. Credential eingegeben = Account-Takeover-Protokoll aktiv.
6. Containment. Org-weiter Quarantine via Exchange-/Workspace-Transport-Rule mit Subject + Sender-Muster. URL am Proxy + DNS-Sinkhole blocken.

Fraud — Account-Dimension

• Login-History. Neue Geo, neues Device, Impossible-Travel (Login aus Land A um 10:00, Land B um 10:05).
• Auth-Methoden-Änderungen. 2FA deaktiviert, Passwort geändert, Recovery-E-Mail/-Phone geändert — alle in kurzem Fenster = Takeover-Signal.
• Verhaltens-Baseline-Drift. Action-Mix (vorher nur gelesen, jetzt Bulk-Exports), Session-Länge, Time-of-Day-Muster.
• Account-Friend-/Referral-Missbrauch. Plötzlich neue Accounts erstellt aus dieser IP, die alle Referral-Bonus voneinander erhielten.

Fraud — Device-Dimension

• Device-Fingerprint-Kontinuität. Gleiches Canvas-Hash, Audio-Context, Font-Liste, WebGL-Params = gleicher Browser. Plötzliche Major-Änderungen mitten in Session = Session-Hijack oder neues Device.
• Geolocation-Konsistenz. IP-Geo + Browser-Timezone + OS-Locale sollten zusammenpassen. Accept-Language: en-US + IP in Russland + Timezone +03:00 = verdächtig.
• Browser-Attribut-Drift. User-Agent behauptet Windows 10, aber JS detektiert macOS — Bot/Proxy.
• TLS-Fingerprint (JA3/JA4). Meiste legitime Clients produzieren ein kleines Fingerprint-Set. Neues JA4 von bekanntem User-Account = andere Software spricht.

Fraud — Payment-Dimension

• Velocity. N Transaktionen pro Minute überschreiten Baseline. Per-User, per-Karte, per-IP, per-Shipping-Adresse.
• BIN-Missbrauch. Karten-BIN aus Land mismatched zur behaupteten Billing-Adresse.
• Shipping-Missbrauch. Gleiche Shipping-Adresse über viele Accounts; Reshipper-bekannte Adresse.
• 3DS-Missbrauch. Forced-Frictionless-Transaktionen (Merchant akzeptiert trotz 3DS-Challenge-Failure).
• Processor-Signale. Stripe Radar, Adyen RevenueProtect emittieren Risk-Scores. Als Input behandeln, nicht als Wahrheit.