Probleme mit Mimecast? Warum ein Automobilunternehmen Proofpoint-API-Schutz hinter seinem Gateway implementierte 

Wichtige Erkenntnisse 

• Ein großes Unternehmen verlängerte seinen Mimecast-Vertrag zunächst aufgrund des Preises und integrierte dann Proofpoint, nachdem Bedrohungen übersehen wurden und das Abuse-Postfach überquoll. 
• Proofpoint Core Email Protection – API deckte die Schwächen von Mimecast auf. 
• Dieser Kunde beweist, dass es nicht notwendig ist, eine bestehende Lösung sofort zu ersetzen. Zunächst wurde eine zusätzliche Schutzebene hinzugefügt und die Ergebnisse überprüft, um die Lösung zum geeigneten Zeitpunkt zu ersetzen. 
• Der Kunde plant nun, Mimecast bei der nächsten Vertragsverlängerung durch Proofpoint zu ersetzen. 

Bei dem betreffenden Unternehmen führte das Versagen von Mimecast zu einer schleichenden Belastung, die mit der Zeit immer stärker spürbar wurde.  

Das große, dezentral organisierte Automobilhandels- und Dienstleistungsunternehmen betreibt hunderte Standorte und hat eine Belegschaft, die sich aus Mitarbeitern der verschiedenen Unternehmensbereiche, Händlern, Vertriebsspezialisten sowie tausenden Mitarbeitern im Kundenkontakt und Servicebereich zusammensetzt. E-Mails sind für die geschäftliche Kommunikation von entscheidender Bedeutung. Doch viele Anwender nutzen E-Mails nur in geringem Umfang: Sie versenden nicht unbedingt hunderte Nachrichten pro Tag, stellen aber dennoch eine große Angriffsfläche dar. 

Als die Vertragsverlängerung für Mimecast anstand, wurde der Vertrag verlängert, da der Preis stimmte. Die operativen Kosten stiegen jedoch weiter an. Phishing-Angriffe kamen so häufig durch, dass das Vertrauen darunter litt. Die Zahl der von Anwendern gemeldeten E-Mails stieg schneller, als die Analysten sie überprüfen konnten. Dadurch wurde das Abuse-Postfach zu einem täglichen Ärgernis für das IT-Team. 

Anstatt sich mit ausreichender E-Mail-Sicherheit zufrieden zu geben, entschied sich das Sicherheitsteam des Unternehmens für einen pragmatischen Schritt. Mimecast sollte vorübergehend beibehalten und dahinter Proofpoint Core Email Protection – API eingesetzt werden. Das Team wollte damit folgende Ziele erreichen:  

• Nachweis für die Schwächen von Mimecast 
• Entlastung von der manuellen Triage des Abuse-Postfachs  

Dank dieses mehrschichtigen Ansatzes konnte der Vertrag mit Proofpoint schneller als erwartet geschlossen und ein klarer Weg zur vollständigen Ablösung von Mimecast eingeschlagen werden. 

„Wir wollten nicht noch mehr Warnmeldungen. Wir wollten vor allem weniger übersehene Bedrohungen und dass die Zeit unserer besten Mitarbeiter nicht mehr für die manuelle Triage von E-Mails verschwendet wird.“ – IT Security Director 

Ein dezentrales Unternehmen mit einer besonderen E-Mail-Situation 

Das Unternehmen ist überregional tätig, verfügt über zahlreiche halbautonome Standorte und beschäftigt eine Vielzahl von Mitarbeitern, von denen viele im Kundenkontakt und im Servicebereich tätig sind. Als E-Mail- und Collaboration-Lösung nutzt das Unternehmen Microsoft 365. Darüber hinaus sind Sicherheitsmaßnahmen erforderlich, die den E-Mail-Verkehr an hunderten Standorten nicht beeinträchtigen. 

Für die E-Mail-Sicherheitsteams ist diese Situation eine große Herausforderung: 

• Viele potenzielle Ziele (Anwender, Standorte, Lieferanten, Drittanbieter) 
• Hohe Variabilität im E-Mail-Verhalten (Vertrieb, Service, Buchhaltung, operatives Geschäft) 
• Ein stetiger Strom von Überprüfungen durch kontinuierliche Meldungen von Anwendern 
• Geringe Toleranz für Unterbrechungen, Zustellverzögerungen von E-Mails sowie False Positives im gesamten Unternehmen 

Für das Unternehmen ist E-Mail-Sicherheit nicht nur eine Frage der Abwehr von Malware. Mindestens ebenso wichtig ist es, die Geschäftsabläufe aufrechtzuerhalten, ohne das Sicherheitsteam zu einem menschlichen Filter zu machen. 

Das Mimecast-Problem: Nicht nur übersehene Bedrohungen, sondern auch zusätzliche Arbeit 

In den ersten Gesprächen beschrieb das Team zwei Problempunkte, die immer wieder auftraten: 

1: Die Erkennungseffizienz von Mimecast erweckte kein Vertrauen 

Mimecast stoppte durchaus viele E-Mail-Bedrohungen. Diejenigen, die dennoch durchkamen, verursachten jedoch jedes Mal zusätzlichen Aufwand: 

• Anwender leiteten verdächtige Nachrichten weiter. 
• Die Analysten untersuchten diese Nachrichten. 
• Immer folgte darauf eine unangenehme Frage: „Warum ist das erneut im Posteingang gelandet?“ 

Dem Team zufolge stand dahinter kein einzelner großer Vorfall, sondern eine schleichende operative Überlastung. Einzeln betrachtet führte keine der übersehenen Bedrohungen sofort zu einer Katastrophe, doch in der Summe kosteten sie Zeit, Aufmerksamkeit und Vertrauen. 

2: Mimecasts Abuse-Postfach war der Flaschenhals 

Das Abuse-Postfach war kein nettes Extra, sondern der zentrale Punkt, an dem von Anwendern gemeldete Bedrohungen zusammenliefen. Richtig eingesetzt kann ein Abuse-Postfach ein effektiver Strom aus Bedrohungssignalen sein. Wenn es jedoch manuell abgearbeitet werden muss, wird es zur Sisyphusarbeit. 

Das Team stand vor folgenden Herausforderungen: 

• Zu viele manuelle Überprüfungen 
• Inkonsistente Priorisierung 
• Risiko für anhaltenden Rückstau unbearbeiteter Meldungen 
• Analysten wurden von wichtigerer Arbeit abgehalten 

Mimecast sollte ersetzt werden, erhielt aber doch erneut den Zuschlag 

Ursprünglich wollte das Team Mimecast sofort ersetzen. Mimecast sollte als sicheres E-Mail-Gateway (SEG) entfernt und stattdessen Proofpoint bereitgestellt werden. 

Als die Verlängerung anstand, machte Mimecast jedoch erhebliche Preiszugeständnisse. Wie bei vielen großen Unternehmen, die zahlreiche Anwender mit einem geringen E-Mail-Aufkommen haben, ist der Kostendruck enorm. Hohe Rabatte können eine Entscheidung hinauszögern, selbst wenn die operativen Probleme offensichtlich sind. Der Kunde verlängerte daher den Vertrag mit Mimecast um ein weiteres Jahr. 

Es gab jedoch Probleme, die Mimecast immer noch nicht lösen konnte. Das galt besonders im Hinblick auf die Überwachung des Abuse-Postfaches, denn das Team traute Mimecast immer noch nicht zu, genügend Bedrohungen abzufangen. Das Unternehmen entschied sich daher für einen anderen Ansatz bei der Evaluierung von Proofpoint. 

Der Wendepunkt: Proofpoint hinter (und nicht anstelle davon) Mimecast 

Anstatt einen abrupten Wechsel zu erzwingen, bot Proofpoint einen sichereren und schnelleren Weg an: Proofpoint Core Email Protection – API sollte hinter Mimecast bereitgestellt werden. 

Dieser Ansatz verhinderte Reibungsverluste und bot dem Kunden folgende Vorteile: 

• Das bestehende Gateway konnte vorübergehend beibehalten werden. 
• Eine zweite Erkennungsebene konnte an den Stellen hinzufügt werden, an denen Mimecast Bedrohungen nicht erkannte. 
• Abläufe im Abuse-Postfach konnten optimiert werden. 
• Es konnte Mehrwert erzielt werden, ohne den E-Mail-Fluss zu verändern. 

Somit musste niemand mehr für eine umfassende Migration argumentieren, nur um echte Verbesserungen zu erzielen. Das Sicherheitsteam konnte sich zunächst auf den Nachweis positiver Ergebnisse konzentrieren. 

Es folgte ein Proof of Concept (POC), der genügend Beweise lieferte, um die interne Diskussion maßgeblich zu beeinflussen. 

Der Moment der Wahrheit: Proofpoint erkannte vieles, das von Mimecast übersehen wurde 

Während des POC erkannte Proofpoint verdächtige und schädliche E-Mails, die Mimecast bereits passiert hatten. Das war aus zwei Gründen wichtig: 

1. Validierung: Das Team bildete sich die Lücken nicht ein. 
2. Dringlichkeit: Proofpoint war nicht nur in der Theorie ein Upgrade, sondern erkannte echte Nachrichten in der Unternehmensumgebung. 

Dies erklärt, warum der Vertrag früher als erwartet abgeschlossen wurde. Der POC zeigte nicht nur besseren Schutz, sondern Schutz an genau den Stellen, an denen Mimecast versagte. 

Die Lösung für das Abuse-Postfach: von manueller Triage zum verwalteten Workflow 

An dieser Stelle kommt wird die Geschichte vielen Sicherheitsteams vertraut vorkommen. Die meisten Sicherheitsverantwortlichen wünschen sich kein zusätzliches Dashboard, sondern dass weniger Stunden für repetitive, wenig ertragreiche Aufgaben aufgewendet werden müssen. Das gilt vor allem dann, wenn diese Aufgaben durch gemeldete verdächtige E-Mails entstehen, die sich letztlich als harmlos erweisen. 

Vor der Implementierung von Proofpoint handhabte das Team das Abuse-Postfach ähnlich wie in vielen anderen Mimecast-Umgebungen: 

• Eine verdächtige E-Mail wird von einem Anwender weitergeleitet. 
• Ein Analyst öffnet sie, untersucht sie und trifft eine Entscheidung. 
• Der Analyst antwortet darauf oder führt eine Behebung durch. 

Dieser Ablauf wiederholt sich dutzende bis hunderte Male. In einem verteilten Unternehmen mit vielen Standorten kann dies täglich zu einer enormen Belastung werden. 

Mit Proofpoint konnte der Kunde auf Workflow-basierte Triage umsteigen: 

• Klarere Klassifizierung und Priorisierung 
• Weniger Entscheidungen aus dem Bauch heraus 
• Geringerer Rückstau 
• Analysten verbringen mehr Zeit mit Aufgaben, die tatsächlich Risiken minimieren 

Die Folge war nicht nur eine schnellere Verarbeitung, sondern ein ganz anderer operativer Modus. Das Team investierte weniger Zeit in Detektivarbeit und mehr Zeit in die Prävention wiederkehrender Risiken. 

Der entscheidende Faktor: Personenzentrierte Angriffe verursachen Mehraufwand 

Die Erfahrung des Kunden deckt sich mit dem, was Sicherheitsteams sehr häufig beobachten: Die größten E-Mail-Bedrohungen sind heute immer noch personenzentriert.  

Der Verizon Data Breach Investigations Report 2025 (DBIR, Untersuchungsbericht zu Datenkompromittierungen) wird oft zitiert, um zu zeigen, dass fast 60 % der Datenkompromittierungen mit einer menschlichen Komponente einhergehen (Fehler, Manipulation oder Missbrauch). Dies ist deshalb von Bedeutung, weil durch Bedrohungen, die durch Mitarbeiter verursacht werden, Arbeitsaufwand entsteht, der wiederum von anderen Mitarbeitern bewältigt werden muss. Die Teams müssen Untersuchungen durchführen, Anmeldedaten zurücksetzen, Postfächer durchsuchen, mit Anwendern kommunizieren und Vorfälle dokumentieren.  

Wenn Ihr Gateway zu viele Bedrohungen übersieht, müssen Sie also mit erhöhtem Arbeitsaufwand für Ihre Analysten sowie mit Geschäftsunterbrechungen rechnen. 

Wirtschaftlichkeit 

Einer der eher praktischen Gründe, warum sich das Unternehmen für Proofpoint entschieden hat, war die Tatsache, dass unser Lizenzmodell genau zu seiner Personalsituation passte. Das Unternehmen hatte eine große Anzahl von Anwendern, die vergleichsweise wenige E-Mails senden und empfangen. Daher war der Preis ein entscheidender Faktor. 

Der Proofpoint-Ansatz für Anwender mit geringem E-Mail-Aufkommen rechtfertigte die Investition trotz der weiterhin genutzten Mimecast-Lösung. Bei der Evaluierung von Proofpoint wurden nicht nur die Gesamtkosten des Mimecast-Gateways berücksichtigt, sondern auch günstige Einzellösungen, die speziell für die Überwachung des Abuse-Postfachs konzipiert sind und „zu einem Bruchteil der Kosten“ erhältlich sind. 

Proofpoint hat schließlich dennoch überzeugt, da unser Angebot über die reine Überwachung des Abuse-Postfachs hinausgeht und unsere Plattform noch weitere Vorteile bietet: 

• Überwachung des Abuse-Postfachs und Erkennung nach der Zustellung hinter Mimecast 
• Messbarer Erfolg durch das POC 
• Ein Schritt auf dem Weg zu umfassenderem Schutz 

Das Ergebnis 

Am Ende des Evaluierungszyklus schloss der Kunde mit Proofpoint einen Vertrag ab, um die Lösung im Anschluss an Mimecast bereitzustellen. Dieser Ansatz bot einen sofortigen Mehrwert, ohne einen riskanten Wechsel erzwingen zu müssen.  

Die kurzfristigen Erfolge waren offensichtlich: 

• Erkennung von Bedrohungen, die Mimecast übersah 
• Geringe Anzahl manueller Überprüfungen des Abuse-Postfachs  
• Wiederherstellung des Vertrauens in die alltägliche Sicherheit 
• Microsoft 365 ist weiterhin zentral 

Besonders wichtig ist, dass der Kunde nun eine klare Roadmap hat. Wenn die Verlängerung mit Mimecast erneut ansteht, plant das Unternehmen, zum Gateway-Modell von Proofpoint zu wechseln. 

Was Mimecast-Kunden daraus lernen können 

Wenn Sie Mimecast-Kunde sind, sollten Sie sich folgende Fragen stellen: 

• Melden Anwender Bedrohungen, die „hätten gestoppt werden müssen“? 
• Ist Ihr Abuse-Postfach ständig überlastet und Ursache für Stress? 
• Verlängern Sie Ihren Vertrag nur wegen der Rabatte, selbst wenn die operativen Belastungen zunehmen? 
• Sind Sie hin- und hergerissen zwischen Veränderung (kompletter Austausch) und Stillstand (alles beim Alten belassen)? 

Unser Kunde hat bewiesen, dass es eine dritte Option gibt: Zunächst wird eine weitere Schutzebene eingeführt, dann werden die Ergebnisse nachgewiesen und schließlich wird zu einem selbst gewählten Zeitpunkt gewechselt. 

Möchten Sie den von Mimecast übersehenen Bedrohungen auch nicht länger hinterherlaufen? 

Wenn Mimecast weiterhin Phishing-E-Mails durchlässt, die Überprüfung des Abuse-Postfachs wertvolle Zeit Ihres Teams in Anspruch nimmt oder Sie Ihre Umgebung ohne riskanten Wechsel modernisieren möchten, wenden Sie sich gerne an uns. 

Kontaktieren Sie Proofpoint, um zu erfahren, wie Sie Proofpoint Core Email Protection – API hinter Ihrem bestehenden Gateway einsetzen, damit Erkennungslücken geschlossen und die Arbeitsabläufe von Analysten optimiert werden können. 

Warum Proofpoint die erste Wahl für E-Mail-Sicherheit ist, erfahren Sie in unserem E-Book Intelligenter und schneller E-Mail-Schutz.