SPF, DKIM und DMARC verständlich erklärt

SPF, DKIM und DMARC sind komplementäre E-Mail-Authentifizierungsmechanismen, die über DNS veröffentlicht werden. Sie helfen einem empfangenden E-Mail-System bei der Beurteilung, ob eine Nachricht mit der Domain verknüpft ist, die es angeblich verwendet. Sie können erfolgreiches Spoofing reduzieren und bessere Beweise für Filterentscheidungen liefern, aber sie machen nicht jede Nachricht sicher oder garantieren die Platzierung im Posteingang.

Die drei Kontrollen lösen verschiedene Teile des Problems: SPF autorisiert die Sendeinfrastruktur, DKIM fügt eine kryptografische Signatur hinzu und DMARC prüft die Ausrichtung mit der sichtbaren Absenderdomäne beim Definieren von Richtlinien und Berichten.

SPF: Welche Server dürfen für die Domäne senden?

Sender Policy Framework ist ein TXT-Eintrag, der autorisierte Sendequellen beschreibt. Während der Zustellung überprüft der Empfänger den Verbindungsserver und wertet die SPF-Richtlinie für die entsprechende Umschlagdomäne aus. Ein Ergebnis kann je nach Datensatz und Suche erfolgreich sein, nicht bestehen oder nicht schlüssig sein.

SPF hat wichtige Grenzen. Der Nachrichtentext wird nicht signiert und die normale Weiterleitung kann den Verbindungsserver ändern, sodass SPF nicht mehr weitergeleitet wird. DNS-Lookup-Limits spielen auch eine Rolle, wenn viele Include-Mechanismen verwendet werden. Ein Hostname sollte nicht mehrere unabhängige SPF-Einträge veröffentlichen. Autorisierte Quellen müssen in einer gültigen Richtlinie zusammengefasst werden.

DKIM: eine überprüfbare digitale Signatur

DomainKeys Identified Mail verwendet einen privaten Schlüssel auf dem sendenden System, um ausgewählte Header und einen Body-Hash zu signieren. Der passende öffentliche Schlüssel wird im DNS unter einem Selektor veröffentlicht, der es einer Domain ermöglicht, Schlüssel zu rotieren oder mehr als eine Sendeplattform zu unterstützen.

Der empfangende Server ruft diesen öffentlichen Schlüssel ab und überprüft die Signatur. Ein gültiges Ergebnis liefert den Beweis, dass der signierte Inhalt nach dem Signieren nicht verändert wurde und dass der Unterzeichner den mit der Domäne verknüpften privaten Schlüssel kontrolliert hat. DKIM verschlüsselt die Nachricht nicht und beweist nicht, dass ihr Inhalt ehrlich ist.

DMARC: Ausrichtung, Richtlinie und Berichterstattung

Domänenbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformität verbindet die Authentifizierung mit der im From-Header sichtbaren Domäne. Eine Nachricht besteht DMARC, wenn ein abgeglichenes SPF- oder abgeglichenes DKIM-Ergebnis bestanden wird. Ausrichtung bedeutet, dass die authentifizierte Domäne ordnungsgemäß mit der sichtbaren Absenderdomäne verknüpft ist.

• p=none fordert die Überwachung an, ohne die Empfänger aufzufordern, allein aufgrund von DMARC in Quarantäne zu gehen oder abzulehnen.
• p=quarantine fordert Empfänger auf, fehlgeschlagene E-Mails als verdächtig zu behandeln.
• p=reject fordert Empfänger auf, fehlgeschlagene E-Mails abzulehnen.

Berichte zusammenfassen kann legitime Sendedienste und unbefugte Aktivitäten aufdecken. Sie können technische Identifikatoren enthalten und sollten entsprechend gehandhabt werden. Wenn Sie ohne Bestandsaufnahme und Überwachung direkt auf „Ablehnen“ umsteigen, können gültige Absender blockiert werden.

Wie die drei Mechanismen zusammenarbeiten

Angenommen, ein Unternehmen versendet Rechnungen über seine E-Mail-Plattform und Newsletter über einen separaten Dienst. Beides muss im Authentifizierungsdesign dargestellt werden. SPF kann ihre Sendeinfrastruktur autorisieren, jede Plattform kann mit DKIM signieren und DMARC bewertet, ob mindestens eine Weiterleitungsmethode mit der sichtbaren Domäne übereinstimmt.

Die Weiterleitung zeigt, warum mehr als eine Methode nützlich ist. Der Weiterleitungsserver ist möglicherweise nicht durch die ursprüngliche SPF-Richtlinie autorisiert, während eine DKIM-Signatur bestehen bleiben kann, wenn die Nachricht nicht geändert wird. Mailinglisten und Gateways können Nachrichten ändern, daher müssen die Ergebnisse anhand realer Berichte und Datenverkehr beurteilt werden.

Häufige Konfigurationsfehler

• Veröffentlichen von zwei SPF-Einträgen unter demselben Hostnamen anstelle eines kombinierten Datensatzes.
• Kopieren eines SPF-Includes, eines DKIM-Schlüssels oder eines Selektors von einem anderen Anbieter.
• Belassen eines alten Sendedienstes nach seiner Einstellung autorisiert.
• Veröffentlichen von DKIM im falschen Hostnamen oder mit einem abgeschnittenen Schlüssel.
• Durchsetzung der DMARC-Ablehnung vor der Identifizierung aller legitimen Absender.
• Angenommen, die Authentifizierung behebt fehlerhafte Listen, unerwünschte Inhalte, kompromittierte Konten oder einen beschädigten Ruf.

Werte müssen vom tatsächlichen E-Mail-Anbieter und der aktuellen Sendearchitektur stammen. Ein Datensatz, der für ein Konto oder einen Anbieter korrekt ist, ist keine universelle Vorlage.

Eine sichere Implementierungssequenz

1. Inventarisieren Sie jede legitime Quelle, die über die Domäne sendet.
2. Veröffentlichen Sie eine gültige SPF-Richtlinie und aktivieren Sie DKIM für jeden unterstützten Absender.
3. Testen Sie echte Nachrichten und überprüfen Sie Authentifizierungsergebnisse.
4. Veröffentlichen Sie DMARC im Überwachungsmodus mit geeigneten Berichten.
5. Überprüfen Sie Berichte, korrigieren Sie vergessene Absender und erhöhen Sie dann die Durchsetzung schrittweise, wenn Beweise dafür vorliegen.

Informationen zum Geschäftskontext finden Sie unter warum Unternehmen professionelle E-Mails auf ihrer eigenen Domain verwenden. Die Authentifizierung unterstützt diese Identität; Es ersetzt nicht die Postfachsicherheit, Benutzerschulung, Filterung oder sorgfältige Sendepraktiken.

Häufig gestellte Fragen

Brauche ich alle drei?

Für eine ausgereifte Domain-E-Mail-Einrichtung bieten sie zusammen eine stärkere Abdeckung als einzeln. Genaue Support- und Rollout-Schritte hängen vom tatsächlichen Anbieter ab.

Wird DMARC jede Phishing-Nachricht stoppen?

Nein. Es trägt dazu bei, die Nutzung Ihrer Domain zu schützen, Angreifer können jedoch ähnliche Domains, kompromittierte Konten oder Inhalte verwenden, die Ihre Adresse nicht direkt imitieren.