Sie warten auf das Briefing eines Kunden. Eine Nachricht kündigt das Dokument an. Anschließend sollen Sie einer Anwendung erlauben, Ihre E-Mails zu lesen. Fragen Sie vor der Zustimmung: Warum braucht diese Anwendung Zugriff auf mein Postfach, damit ich eine Datei ansehen kann?
Eine FBI-Warnung vom 1. September 2026 beschreibt seit Ende 2025 beobachtete Kampagnen: Gefälschte Dateifreigaben nutzen echte Berechtigungsseiten. Zu den Zielen zählen bekannte Persönlichkeiten; das Risiko für Freelancer beziffert die Warnung nicht.
Die Anfrage passt zu einer erwarteten Aufgabe
Ein fiktives Beispiel: Sie gestalten eine Broschüre und Ihr Ansprechpartner soll Fotos schicken. „Hier sind die Bilder“ entspricht Ihrer Erwartung. Sie möchten die Anmeldung abschließen und lesen die angeforderten Berechtigungen womöglich nicht.
Achten Sie auf den Unterschied zwischen Aufgabe und Zugriffsrechten. Ein Foto anzusehen und einer Anwendung das Lesen oder Senden Ihrer E-Mails zu erlauben, sind verschiedene Entscheidungen. Prüfen Sie den Namen der Anwendung und ihre Anforderungen, auch wenn Sie den Anmeldeanbieter erkennen.
Schließen Sie die Seite, wenn die Anfrage überrascht. Kontaktieren Sie den Kunden über einen bereits bekannten Weg, etwa eine gespeicherte Telefonnummer. Fragen Sie nach der Datei und dem verwendeten Dienst. Eine Antwort innerhalb der verdächtigen Unterhaltung ersetzt diese unabhängige Prüfung nicht.
Ein starkes Passwort klärt nicht jede Berechtigung
Verwenden Sie für Ihr Postfach ein eigenes Passwort und aktivieren Sie die Mehrfaktor-Authentifizierung. Die australische Cybersicherheitsbehörde nennt wiederverwendete Passwörter und Phishing als Zugangswege zu kompromittierten Konten und empfiehlt MFA.
Prüfen Sie auch Passkeys, wenn Ihr Anbieter sie unterstützt. Google beschreibt sie als widerstandsfähiger gegen Phishing als Passwörter. Ein geschützter Anmeldevorgang rechtfertigt jedoch keine unklare Zugriffsfreigabe.
Trennen Sie deshalb die Fragen: „Bin ich beim erwarteten Dienst?“ und „Will ich genau dieser Anwendung diese Rechte geben?“ Aus der Gewohnheit, eine Anmeldung zu bestätigen, sollte keine automatische Zustimmung zu App-Berechtigungen werden.
Vereinbaren Sie einen erkennbaren Weg für Projektdateien
Erklären Sie zu Projektbeginn, wo Sie Dateien ablegen und wie Sie neue Fassungen ankündigen. Ihr Kunde kann eine ungewöhnliche Anmeldeaufforderung dann mit dem vereinbarten Ablauf vergleichen.
Ein DocBunker-Ordner kann der gemeinsame Ort für Unterlagen und Rückmeldungen sein: Kunden öffnen den Ordnerlink ohne eigenes Konto. E-Mail bleibt für kurze Nachrichten nutzbar. Unsere Seite zum Kundenportal für Agenturen zeigt diesen Ablauf.
Das garantiert nicht, dass eine Nachricht echt ist. Jeder, der einen aktiven Ordnerlink besitzt, kann ihn verwenden. Bei einem kompromittierten Postfach können auch dort gespeicherte Links offengelegt werden. DocBunker verhindert keine Übernahme Ihres E-Mail-Kontos und holt bereits heruntergeladene Kopien nicht zurück.
Bereits zugestimmt? Prüfen Sie auch verbundene Anwendungen
Für diesen Fall empfiehlt das FBI, den App-Zugriff zu widerrufen: Ein Passwortwechsel allein entfernt diese Berechtigung nicht.
Befolgen Sie das offizielle Wiederherstellungsverfahren Ihres Anbieters. Für Gmail empfiehlt Google die Prüfung von Kontoaktivitäten, Geräten, berechtigten Anwendungen und Weiterleitungsregeln. Informieren Sie bei einem verwalteten Konto die zuständige Sicherheitsstelle. Bewahren Sie die Nachrichtendetails für die Untersuchung auf.
Vereinbaren Sie für das nächste Projekt einen Freigabekanal und eine klare Regel: Eine unerwartete Bitte um Postfachzugriff wird geprüft, bevor jemand „Zulassen“ auswählt. Für einen festen Ort für Korrekturen lesen Sie unseren Beitrag über Ordnerkommentare und Feedback per E-Mail.
