Was unterscheidet SPF, DKIM und DMARC?

SPF legt fest, welche Server im Namen Ihrer Domain versenden dürfen. DKIM setzt eine digitale Signatur auf die E-Mail selbst, sodass Änderungen unterwegs auffallen. DMARC verbindet beide mit der sichtbaren Absenderadresse und teilt dem Empfänger mit, was bei einer fehlgeschlagenen Prüfung zu tun ist. Alle drei sind nötig; einzeln sind sie unvollständig.

Warum genügt ein SPF-Eintrag mit Tilde nicht?

Eine Tilde bedeutet Softfail: Der Empfänger darf die Nachricht annehmen und allenfalls kennzeichnen. In der Praxis kommt solche Post schlicht an. Ein Bindestrich bedeutet Hardfail und ist die klare Anweisung abzuweisen. Beginnen Sie während der Einführung mit einem Softfail und verschärfen Sie, sobald Sie sicher sind, dass alle versendenden Quellen bekannt sind.

Verliere ich mit DMARC auf reject legitime E-Mails?

Dieses Risiko besteht, wenn Sie zu schnell verschärfen. Deshalb lautet der Weg, mit einer Richtlinie von none samt Berichterstattung zu beginnen. Sie erhalten dann Übersichten aller Parteien, die in Ihrem Namen versenden, erkennen die vergessenen Quellen und verschärfen erst danach.

Gilt das auch für Domains, mit denen ich nicht maile?

Gerade für diese Domains. Eine geparkte oder ungenutzte Domain ohne Einträge ist ein attraktives Mittel für Phishing, denn niemand bemerkt, dass in ihrem Namen Post versendet wird. Versehen Sie diese mit einem SPF-Eintrag, der nichts erlaubt, und einer DMARC-Richtlinie auf reject.

Wie verhindert man E-Mail-Spoofing mit SPF und DMARC?

Fehlen SPF, DKIM und DMARC oder sind sie zu nachgiebig eingestellt, kann jeder E-Mails versenden, die von Ihrer Domain zu stammen scheinen. Empfangende Server haben dann keine Möglichkeit, die Fälschung festzustellen. Die Folge ist Phishing, das Ihren Namen trägt, gerichtet an Ihre Kunden und Ihre eigenen Mitarbeiter.

Das E-Mail-Protokoll wurde in einer Zeit entworfen, in der die beteiligten Parteien einander vertrauten. Eine Absenderadresse einzutragen ist deshalb nicht schwieriger, als einen Namen auf einen Umschlag zu schreiben: Es wird nichts geprüft, sofern Sie das nicht selbst einrichten. Im Folgenden lesen Sie, mit welchen drei Einträgen Sie das einrichten, in welcher Reihenfolge und warum eine halb ausgefüllte Konfiguration wenig bringt.

Was ist E-Mail-Spoofing?

E-Mail-Spoofing ist das Versenden von E-Mails mit gefälschter Absenderadresse. Ein Angreifer, der Post mit rechnung@ihrefirma.de als Absender versendet, braucht dafür keinen Zugang zu Ihren Systemen; er trägt diesen Wert beim Versand schlicht ein.

Ob das gelingt, hängt vollständig davon ab, was im DNS über Ihre Domain steht. Drei Einträge geben gemeinsam die Antwort. SPF nennt, welche Server im Namen Ihrer Domain versenden dürfen. DKIM fügt ausgehender Post eine digitale Signatur hinzu, sodass der Empfänger prüfen kann, dass die Nachricht von Ihnen stammt und unterwegs nicht verändert wurde. DMARC verbindet diese beiden mit der Adresse, die der Empfänger tatsächlich sieht, und sagt dazu, was bei einer fehlgeschlagenen Prüfung geschehen soll.

Ohne diese Einträge steht der empfangende Server vor einer unmöglichen Frage. Er sieht Post, die vorgibt, von Ihnen zu stammen, und hat keinerlei Möglichkeit, das zu überprüfen. Im Zweifel stellt er zu, denn Post abzuweisen, die echt ist, ist aus seiner Sicht das größere Problem.

Wie richtet man SPF, DKIM und DMARC ein?

Verwundbar:

ihrefirma.de.    TXT    "v=spf1 include:_spf.anbieter.de ~all"

Das sieht gepflegt aus und genügt dennoch nicht. Die Tilde in ~all bedeutet Softfail: Der Empfänger darf die Post annehmen und allenfalls kennzeichnen, und in der Praxis kommt sie schlicht an. Wichtiger ist, was fehlt. Es gibt keine DKIM-Signatur und keinen DMARC-Eintrag, wodurch niemand weiß, was bei einer fehlgeschlagenen Prüfung geschehen soll.

Und es gibt eine Feinheit, die die SPF-Prüfung weitgehend umgehbar macht: SPF sieht auf die Adresse im Umschlag, nicht auf die Adresse, die der Empfänger in seinem Postfach sieht. Ein Angreifer kann eine Umschlagadresse seiner eigenen Domain verwenden, womit SPF ordentlich besteht, und zugleich im sichtbaren From-Feld Ihre Adresse eintragen. Ohne DMARC wird dieser Unterschied nirgends geprüft.

Sicher:

; Welche Server versenden dürfen; Hardfail für den Rest
ihrefirma.de.               TXT  "v=spf1 include:_spf.anbieter.de -all"

; Öffentlicher Schlüssel für die Signatur
sel1._domainkey.ihrefirma.de.   TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

; Verbindet beide mit der sichtbaren Absenderadresse
_dmarc.ihrefirma.de.        TXT  "v=DMARC1; p=reject; adkim=s; aspf=s;
                                   rua=mailto:dmarc@ihrefirma.de; pct=100"

Nun schließt sich das Ganze. -all weist Empfänger an, Post von anderen Servern abzuweisen. Die DKIM-Signatur macht eine Manipulation unterwegs sichtbar. Und DMARC mit p=reject sagt, was bei einem Fehlschlag geschehen soll, während adkim=s und aspf=s erzwingen, dass die geprüfte Domain genau mit der sichtbaren Absenderadresse übereinstimmt, also genau die Lücke schließen, die SPF allein offenlässt. Die rua-Adresse liefert Ihnen regelmäßige Übersichten darüber, wer in Ihrem Namen versendet.

Die Reihenfolge der Einführung ist dabei entscheidend. Beginnen Sie mit p=none und Berichterstattung, sammeln Sie einige Wochen Daten, erkennen Sie alle legitimen versendenden Parteien, Newsletter, Rechnungssysteme, Bewerbungsplattformen, Ihr Buchhaltungspaket, und verschärfen Sie erst danach über quarantine zu reject.

Die Zahl der DNS-Abfragen in einem SPF-Eintrag ist auf zehn begrenzt. Wird diese Grenze überschritten, etwa weil im Lauf der Jahre immer wieder ein include hinzukam, ist der Eintrag ungültig, und der Schutz entfällt vollständig. Prüfen Sie diese Zahl nach jeder Änderung.

Welche Auswirkungen hat E-Mail-Spoofing?

Der Schweregrad wird als mittel bis hoch bewertet, wobei der Zusammenhang Ihrer Organisation stark ins Gewicht fällt. Die Schwachstelle steckt nicht in Ihrer Anwendung, sondern in dem Vertrauen, das mit Ihrem Namen verbunden ist.

Der häufigste Missbrauch ist Phishing gegen Ihre eigenen Kunden. Eine E-Mail, die tatsächlich von Ihrer Domain zu stammen scheint, mit Ihrem Erscheinungsbild und einem glaubwürdigen Anlass, erzielt deutlich höhere Reaktionsquoten als eine Nachricht von einer fremden Adresse. Der Schaden entsteht bei Ihren Kunden, der Reputationsschaden landet bei Ihnen.

Daneben gibt es die interne Variante, die in der Praxis am meisten kostet. Eine Nachricht, die von der Geschäftsführung oder der Finanzabteilung zu stammen scheint und um eine eilige Zahlung oder eine Änderung der Bankverbindung bittet, ist der Kern dessen, was als CEO-Betrug bezeichnet wird. Mitarbeiter sind geschult, auf abweichende Absenderadressen zu achten, doch hier stimmt die Adresse.

Es gibt zudem eine mittelbare Folge. Wird Ihre Domain großflächig zum Versand unerwünschter Post missbraucht, kann ihr Ansehen bei empfangenden Parteien sinken, wodurch Ihre eigene legitime E-Mail schlechter zugestellt wird.

Wie spürt man E-Mail-Spoofing auf?

Die Prüfung beginnt mit dem Abruf der DNS-Einträge der Domain. Gibt es einen SPF-Eintrag, und endet er auf -all oder auf das nachgiebigere ~all? Gibt es einen DMARC-Eintrag, und steht die Richtlinie auf none, quarantine oder reject? Ist ein DKIM-Selector im Einsatz, und welche Schlüssellänge hat dieser?

Danach folgt die praktische Prüfung: Es wird eine Nachricht mit der Domain als Absender von einem Server versendet, der nicht in den Einträgen steht, um zu sehen, ob sie zugestellt wird. Auch die Subdomains erhalten Aufmerksamkeit, denn sie fallen nicht automatisch unter die Richtlinie der Hauptdomain, sofern das nicht ausdrücklich geregelt ist. Ebenso werden geparkte und ungenutzte Domains betrachtet, denn diese haben oft gar keine Einträge und sind gerade deshalb attraktiv. Schließlich wird die Zahl der DNS-Abfragen im SPF-Eintrag gezählt, denn eine Überschreitung macht den Eintrag stillschweigend ungültig. AssistSec bezieht diese Prüfung in die Erfassung Ihrer externen Angriffsfläche ein, denn eine gut abgesicherte Anwendung hilft wenig gegen einen Angriff, der über den Namen Ihrer Organisation hereinkommt.