IONOS Mail Account Hack - Spam-Mails

Hallo zusammen,

Ich habe folgendes Problem:

Eins unserer Mail Business Konten bei IONOS wurde (wieder) gehackt.

Zur Vorgeschichte, das Postfach von kurz@meinedomain.de wurde bereits 2017 gehackt.
Die Ursache wurde damals (vor meiner Zeit als Admin dort) nicht herausgefunden.
Das Passwort wurde gewechselt und damals war dann alles gut.

Im November 2022 wurde das Postfach erneut gehackt.
Bemerkt wurde dies, da man versucht hat, das damit verbundene Steam-Konto zu plündern.
Zudem wurden die Mails von 14 Tagen (POP-Abruf) abgegriffen.
Seit dem wurden immer wieder Mails im gleichen Zusammenhang versendet.
Diese sahen so aus:
Der Betreff stammt aus dem Mail-Diebstahl.
Der Absende-Name wurde gefakt (hier stand unser Mitarbeiter), der Absender war ein beliebiges Konto, dass ich nicht kenne. Hier kamen viele verschiedene Konten zum Einsatz.
Empfänger waren immer aus der Mail-Konversation der ursprünglichen Mail.

Wir haben im November mit IONOS Kontakt aufgenommen und wollten wissen, wann, wo und durch wen das Passwort geändert wurde. Leider kann IONOS das nicht nachvollziehen.

Wir haben darauf hin das Kundencenter von IONOS mit 2FA gesichert und das PW des Postfachs kurz@meinedomain.de geändert. Dies war vorher schon länger als 12 Zeichen und wurde auf ein 20 Zeichen langes von uns geändert.

Nun haben wir allerdings ein neues Problem. In dem Postfach wurde heute eine Bounce-Mail gefunden, die wegen Spamverdacht (550 Message contained spam content
(antispamcloud.spam.objs03) ) von unserem (IONOS-Mailserver) geblockt wurde.


Meine Vermutung, das Postfach wurde schon wieder gehackt, das PW nicht verändert und wurden Mails darüber versendet.
Im Postausgang und in den gesendeten Elementen wurde keine Mail gefunden.
Daher kann ich auch keinen Header von den Mails liefern.
Ich habe heute die Mail-Archivierung bei IONOS für dieses Postfach aktiviert und erhoffe mir davon, dass wir hier eine solche Mail im Ausgang erwischen.

Ich bin ehrlich gesagt etwas verzweifelt, da mir IONOS kein Stück zur Seite steht und ich das Einfallstor nicht finden kann.
Laut IONOS wurde das PW des Postfachs zuletzt 2017 geändert.
Die letzte Änderung habe ich allerdings selbst gemacht, kann also zu 1000% sagen, dass das einfach nur falsch ist.
Das ganze habe ich auch auf https://postmaster-contact.ionos.de/ gemeldet, bin mir aber schon sehr sicher, dass hierbei nichts rumkommt.
Die Clients die der User verwendet: Laptop Win10 mit ESET, iPhone, Terminalserver der komplett abgeschottet ist (auch mit ESET) und der Webmailer von IONOS.

Kennt jemand diese Masche und weis, an welcher Schwachstelle hier angegriffen wurde?
Bisher bekannte Betreffe in den Spam-Mails:

Invoice - Reminder: Your payment is due January 11, 2023
Invoice PO#66343 Ready for payment

Bitte um Eure Hilfe - Vielen Dank und beste Grüße

Um den Versand von E-Mails zu stoppen und weiteren Missbrauch Ihres Postfachs zu verhindern, haben wir für diesen Vertrag den Versand von E-Mails blockiert. Ihr Postfach kann weiterhin eingehende E-Mails empfangen, derzeit jedoch keine versenden.

Details zum Vorfall:

- Absender: thomas.fuchs@quarterly-crossing.com
- Sendedatum: 23.06.2023 21:43:11 UTC
- Anzahl E-Mails: 70
- Anzahl der vom Empfänger abgelehnten E-Mails: 0
- Anzahl der von IONOS als Spam eingestuften E-Mails: 0
- Anzahl der an nicht vorhandene E-Mail-Adressen gesendeten E-Mails: 15
- Anzahl der eingehenden Beschwerden bezüglich Spam: 0
- Herkunftsland der IP: 20.241.x.x (USA)
– Name des Ursprungscomputers: Bug2.is3s51kr4qzenodofko5403ifb.ex.internal.cloudapp.net
- Empfängerdomäne: yahoo.com, aol.com, yahoo.fr, yahoo.com.tw, ​​yahoo.co.id, rogers.com, yahoo.com.hk, yahoo.co.in, yahoo.com.ph, mighotels.com