Sicherheit im Verein: Die fünf Stellen, an denen es wirklich schiefgeht

"Bei uns gibt es doch nichts zu holen." Diesen Satz hören wir oft, und er beruht auf einem Missverständnis. Angreifer suchen selten gezielt nach einem bestimmten Verein. Sie suchen nach Postfächern, aus denen sich Spam versenden lässt, nach Mitgliederlisten, die sich weiterverkaufen lassen, und nach Bankverbindungen für gefälschte Rechnungen. Ein Verein mit 300 Mitgliedern ist dafür genauso interessant wie ein kleines Unternehmen, hat aber selten jemanden, der sich zuständig fühlt.

Die gute Nachricht: Die Wege hinein sind fast immer dieselben fünf. Wer die kennt, hat den Großteil des Risikos abgedeckt.

1. Das wiederverwendete Passwort

Der mit Abstand häufigste Weg. Nicht, weil jemand euer Passwort knackt, sondern weil es längst in einer fremden Datenpanne aufgetaucht ist. Irgendein Onlineshop wurde gehackt, dort stand dieselbe Kombination aus E-Mail-Adresse und Passwort, die auch für das Vereinspostfach gilt. Automatisierte Programme probieren solche Listen millionenfach durch.

Was hilft: Für jeden Dienst ein eigenes Passwort. Weil sich das niemand merken kann, gehört ein Passwortmanager dazu. In Mailtory ist dafür ein Tresor eingebaut, in dem der Vorstand gemeinsame Zugangsdaten ablegen kann, verschlüsselt und gezielt für einzelne Personen freigegeben. Ob ihr den nutzt oder einen externen Manager, ist zweitrangig. Wichtig ist nur, dass Passwörter nicht mehr in einer Excel-Tabelle oder auf einem Zettel im Vereinsheim stehen.

Auf unserer Seite läuft dazu ein Schutz mit, um den ihr euch nicht kümmern müsst: Nach fünf Fehlversuchen wird die jeweilige IP-Adresse für eine Stunde gesperrt. Passwörter selbst speichern wir grundsätzlich nur als nicht umkehrbaren Hash, wir könnten sie also selbst dann nicht auslesen, wenn wir wollten.

2. Der fehlende zweite Faktor

Wenn Punkt 1 trotzdem passiert, entscheidet der zweite Faktor darüber, ob daraus ein Vorfall wird. Ein gestohlenes Passwort allein reicht dann nämlich nicht mehr aus.

Was hilft: Zwei-Faktor-Anmeldung, mindestens für alle Vorstandskonten. In Mailtory habt ihr zwei Möglichkeiten:

• Authenticator-App (TOTP): der Sechs-Ziffern-Code aus einer App auf dem Handy. Funktioniert überall, kostet nichts.
• Passkeys: Anmeldung per Fingerabdruck oder Gesichtserkennung, ohne Passwort. Bequemer als eine App und technisch gegen Phishing immun, weil ein Passkey nur auf der echten Mailtory-Seite funktioniert.

Ein Hinweis aus der Praxis: Wenn ihr zwischen beiden wählen könnt, nehmt nicht die Variante "Code per E-Mail". Wer Zugriff auf das Postfach hat, hat sonst beide Faktoren auf einmal.

3. Der Vorstandswechsel, der nie aufgeräumt wurde

Die Kassiererin ist vor zwei Jahren ausgeschieden, ihr Zugang existiert noch. Der frühere Webmaster bekommt weiterhin alle Mails an den Verteiler. Solche Karteileichen fallen im Alltag niemandem auf, sind aber genau die Konten, die niemand überwacht.

Was hilft: Einmal im Jahr, am besten direkt nach der Mitgliederversammlung, die Liste der Zugänge durchgehen: Wer hat noch Zugriff, und braucht diese Person ihn noch? In der Benutzerverwaltung seht ihr auf einen Blick, wann sich jemand zuletzt angemeldet hat. Konten, die seit über einem Jahr ungenutzt sind, sind fast immer Altlasten. Und denkt an die Weiterleitungen, die überleben einen Vorstandswechsel erfahrungsgemäß am längsten.

4. Die gefälschte Rechnung

Der teuerste Angriff auf Vereine braucht keinerlei Technik. Es kommt eine E-Mail, scheinbar von der Vorsitzenden, mit der Bitte, kurzfristig eine Rechnung zu überweisen. Oder von einem bekannten Lieferanten, dessen Bankverbindung sich angeblich geändert hat. Beides ist im Ehrenamt erschreckend erfolgreich, weil man sich kennt und niemand den Umstand machen will, nachzufragen.

Was hilft: Eine einzige Regel, die ihr im Vorstand einmal beschließt und dann konsequent einhaltet: Jede Änderung einer Bankverbindung und jede unerwartete Zahlungsaufforderung wird über einen zweiten Kanal bestätigt, per Telefon, nicht per Antwortmail. Das kostet zwei Minuten und ist wirksamer als jede Software.

Technisch flankieren wir das, indem eure Domain mit den gängigen Absender-Prüfverfahren (SPF, DKIM und DMARC) ausgestattet ist. Die sorgen dafür, dass sich Fremde nicht ohne Weiteres als eure Vereinsadresse ausgeben können. Eingehend markieren wir außerdem Mails von externen Absendern, die Anhänge enthalten, mit einem sichtbaren Warnhinweis.

5. Die vergessene Weiterleitung

Ein Punkt, den man selten auf solchen Listen findet, der aber in der Praxis häufig vorkommt: Weiterleitungen auf private Adressen. Vereinspost landet dann dauerhaft in einem privaten Freemail-Postfach, auf das der Verein keinerlei Zugriff und keinen Einblick hat. Beim nächsten Vorstandswechsel merkt es niemand, und datenschutzrechtlich ist es heikel, wenn Mitgliederdaten so das Haus verlassen.

Was hilft: Prüft in der Weiterleitungsübersicht, welche Ziele außerhalb eurer Vereinsdomain liegen, und ob die alle noch gewollt sind. Für gemeinsam genutzte Adressen wie vorstand@ ist ein Abteilungspostfach, auf das mehrere Personen direkt zugreifen, meist die bessere Lösung als eine Weiterleitung an drei Privatadressen.

Auf technischer Seite haben wir hier zuletzt nachgeschärft: Weiterleitungen leiten Unzustellbarkeitsmeldungen jetzt grundsätzlich nicht mehr weiter, und der Versand an einzelne Anbieter ist mengenmäßig begrenzt. Das verhindert, dass eine unglücklich konfigurierte Weiterleitung eine Kettenreaktion auslösen und die Zustellbarkeit eurer Vereinsmails beschädigen kann.

Was wir im Hintergrund übernehmen

Vieles davon müsst ihr gar nicht selbst im Blick haben. Ohne Anspruch auf Vollständigkeit:

• Verschlüsselte Übertragung für alle Zugriffe und alle Postfächer
• Verschlüsselte Speicherung sensibler Daten in der Datenbank, dazu haben wir einen eigenen Artikel geschrieben
• Strikte Trennung der Vereine untereinander: Jede Datenabfrage ist an euren Verein gebunden, ein Verein kann die Daten eines anderen nicht sehen
• Spam- und Virenfilter, automatische Sperrung auffälliger Zugriffsversuche
• Laufende Aktualisierung der eingesetzten Software und regelmäßige Überprüfung auf bekannte Schwachstellen

Der realistische Anfang

Wenn ihr nach diesem Artikel nur eines tut, dann Punkt 2: Zwei-Faktor-Anmeldung für die Vorstandskonten. Das dauert pro Person etwa fünf Minuten und verhindert den mit Abstand häufigsten Weg, auf dem Vereinsdaten abhandenkommen.

Und wenn ihr eine halbe Stunde übrig habt, nehmt euch danach die Zugangsliste und die Weiterleitungen vor. Erfahrungsgemäß findet sich dort mehr, als man vermutet.

Mehr zu Datenschutz und Sicherheit bei Mailtory →