19 DMARC-Mythen, entlarvt von den Experten

Wir leben in einem Zeitalter der Innovation, in dem Automatisierung, künstliche Intelligenz, maschinelles Lernen und andere Technologien unser Leben auf eine Weise verbessern, die sich unsere Vorfahren nur hätten vorstellen können. Aber leider leben wir auch in einem Zeitalter der Fehlinformation, was bedeutet, dass die reale Gefahr besteht, dass Mythen und Falschbehauptungen unsere Fähigkeit sabotieren, diese Technologien zum Besseren zu nutzen.

Ich arbeite seit den Anfängen im Bereich DMARC und habe in diesem Blog tief gegraben, um 19 DMARC-Missverständnisse und regelrechte Mythen zu entlarven, damit Sie DMARC wirklich verstehen und begreifen, warum es für Ihr Unternehmen unerlässlich ist.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist der moderne E-Mail-Authentifizierungsstandard, der von allen großen E-Mail-Servern (Office 365, Google Workspace und kommerziellen Secure Email Gateways (SEGs)) zur Authentifizierung von ausgehenden und eingehenden E-Mails verwendet wird.

Keines der oben genannten SEGs betrachtet bei Zustellentscheidungen ausschließlich SPF und/oder DKIM, da diese nicht genügend Informationen liefern. Sie berücksichtigen stattdessen eine Reihe von Faktoren wie DMARC, Engagement-Rate und so weiter.

Falsch! DMARC-Berichte liefern Ihnen genau die Einblicke in SPF und DKIM, die Sie zur Behebung von Authentifizierungsproblemen benötigen. Die Implementierung eines DMARC-Eintrags im Überwachungsmodus (p=none) ist der erste Schritt jedes DMARC-Projekts und verschafft Ihnen Einblick in Authentifizierungsprobleme bei autorisierten Mail-Streams sowie in Schatten-IT und/oder Spoofing-Aktivitäten.

O365 und Google Workspace prüfen eingehende Mails auf DMARC-Authentifizierung, bieten aber keine DMARC-Transparenz und helfen Ihnen nicht dabei, Ihre eigenen Domains in den DMARC-Enforcement-Modus zu bringen. Sie können auch keine anderen Cloud- oder On-Premise-Dienste authentifizieren, die im Namen Ihres Unternehmens Mails versenden.

Es gibt einen entscheidenden Unterschied zwischen der Unterstützung von DMARC und der tatsächlichen Implementierung von DMARC. Ihr Secure Email Gateway (SEG) erfüllt die erste Funktion, während OnDMARC von Red Sift die zweite übernimmt, indem es Ihre SPF-, DKIM-, DMARC- und BIMI-Einträge hostet – eine Funktion, die von O365, Google Workspace oder anderen DMARC-Anbietern nicht bereitgestellt wird.

DMARC ist mit jedem E-Mail-Gateway kompatibel, unabhängig davon, ob es sich um eine On-Premise- oder Cloud-Lösung handelt. DMARC ist vom eigentlichen Mail-Flow getrennt und stellt einen eigenständigen DNS-Eintrag dar, der sich von MX-Einträgen unterscheidet. Red Sift hat DMARC erfolgreich für Kunden implementiert, die Exchange, O365, Google Workspace und alle kommerziellen E-Mail-Gateways nutzen (z. B. Proofpoint, Mimecast, Ironport, MessageLabs, Barracuda, Sophos usw.).

Auch das ist falsch – tatsächlich gibt DMARC Ihren Marketing-Mails die besten Chancen auf Zustellung, sobald sie ordnungsgemäß authentifiziert sind. Die Herausforderung besteht darin, dass Marketing-Mails ungewollt unter Quarantäne gestellt oder abgelehnt werden können, wenn Sie DMARC implementieren, ohne zuvor alle Marketing-Mails identifiziert und authentifiziert zu haben, und dann zu einer Enforcement-Richtlinie übergehen.

Der beste Weg, sich vor diesem möglichen Ergebnis zu schützen, ist die Nutzung von OnDMARC, das alle Quellen von Marketing-E-Mails klar identifiziert und Ihnen ermöglicht, diese mit nur einem Klick zu authentifizieren.

Das ist absolut nicht der Fall – DMARC ist für jede Art von Unternehmen relevant, unabhängig von der Größe! Jedes Unternehmen muss seine legitimen E-Mails authentifizieren und unbefugtes Spoofing sowie die Imitation seiner Domains blockieren – beides lässt sich durch die Implementierung von DMARC im Enforcement-Modus erreichen. OnDMARC bietet Preise und Pakete für Unternehmen jeder Größe und Branche.

DMARC ist tatsächlich ein funktionsübergreifendes Projekt und wird am effizientesten und produktivsten umgesetzt, wenn IT, Sicherheit, Compliance und Marketing (ja, auch Marketing!) zusammenarbeiten. DMARC verhindert zwar böswilliges Spoofing und Phishing, das vertrauenswürdige Domains ausnutzt, identifiziert aber auch Schatten-IT, verbessert die Zustellung legitimer E-Mails und erhöht die Markenwahrnehmung durch BIMI!

Es ist zwar richtig, dass alle DMARC-Projekte mit p=none beginnen sollten. Dies dient dazu, die notwendige Transparenz zu erhalten, um Authentifizierungsänderungen vorzunehmen und den Enforcement-Modus zu erreichen. Manche Nutzer glauben jedoch fälschlicherweise, dass sich ihre Sicherheitslage durch eine DMARC-Richtlinie von „none“ verbessert. Das ist schlicht nicht der Fall – wenn Ihre DMARC-Richtlinie „none“ lautet, können Sie genauso leicht gefälscht werden, als hätten Sie überhaupt keinen DMARC-Eintrag (Sie sehen es lediglich in Ihren Berichten!).

Lassen Sie sich nicht in ein falsches Sicherheitsgefühl wiegen, dass Sie mit einer Richtlinie von „none“ bereits „gut mit DMARC aufgestellt“ sind. Die DMARC-Reise ist erst abgeschlossen, wenn Sie den Enforcement-Modus erreichen – also mindestens eine Quarantäne-Richtlinie (idealerweise Ablehnung) für alle Ihre Organisationsdomains und Subdomains bei pct=100.

Es gibt im Allgemeinen 2 Hauptgründe, warum Unternehmen ihre DMARC-Projekte aufgeben:

1. Manuelle Änderungen an Authentifizierungseinträgen im DNS können zeitaufwändig sein, besonders wenn jedes Mal ein Change-Control-Prozess durchlaufen werden muss. Auch die manuelle SPF-Flattening und -Wartung kann komplex sein, ohne dass der Erfolg garantiert ist.
2. Unsicherheit darüber, ob alle legitimen Mails identifiziert und authentifiziert wurden und nicht von einer DMARC-Richtlinie mit Quarantäne oder Ablehnung betroffen sein werden. (Im Wesentlichen die Sorge, DMARC nicht korrekt implementiert zu haben, und die Befürchtung, dass legitime E-Mails den Posteingang des Nutzers nicht erreichen.)

Es stimmt, dass DMARC ohne die richtigen Werkzeuge eine schwierige Angelegenheit sein kann. Aber mit einem Tool wie OnDMARC erhalten Sie garantiert innerhalb von 6–8 Wochen mindestens eine Richtlinie von p=quarantine bei 100 %, und Sie können sich sicher sein, dass alles korrekt konfiguriert ist.

DMARC ist tatsächlich eine öffentliche Spezifikation, die jeder kostenlos umsetzen kann. Red Sift scannt täglich Millionen von DMARC-Einträgen, und wir stellen dabei fest, dass die meisten Do-it-yourself-DMARC-Projekte bei p=none stehen bleiben und den Enforcement-Modus nie erreichen. Das bedeutet, dass diese Unternehmen weiterhin ungeschützt gegenüber Identitätsdiebstahl, Spoofing und Phishing-Angriffen bleiben.

Zwar hat sich die aktuelle DMARC-Spezifikation seit ihrer ursprünglichen Veröffentlichung im Jahr 2012 nicht wesentlich verändert (wir befinden uns noch immer bei Version 1), doch es gibt Verbesserungen und Innovationen für Unternehmen, die Automatisierung möglichst optimal nutzen möchten, um ihre Mails zu authentifizieren und den vollständigen DMARC-Enforcement-Modus zu erreichen.

OnDMARC baut auf der öffentlichen DMARC-Spezifikation auf und fügt Intelligenz hinzu, die bei einer DIY-Implementierung nicht verfügbar ist. Zum Beispiel ermöglicht unsere Funktion Dynamic DMARC in OnDMARC Unternehmen, ihre SPF-, DKIM-, DMARC- und BIMI-Einträge nach einer einmaligen DNS-Änderung in unserer Konsole zu hosten. Von diesem Zeitpunkt an werden alle Authentifizierungsänderungen in OnDMARC vorgenommen und nicht mehr im DNS.

Wir beziehen außerdem nicht öffentlich zugängliche forensische Daten und integrieren aufschlussreiche Threat Intelligence von mehreren Anbietern, wodurch OnDMARC deutlich wertvoller ist, als DMARC-Berichte manuell zu parsen und daraus Erkenntnisse zu ziehen.

Das wird niemanden überraschen, aber DMARC-Berichte sind nicht für die menschliche Lesbarkeit ausgelegt! Tatsächlich müssen Sie die DMARC-Berichte in irgendeiner Form parsen, um sie sinnvoll zu interpretieren, und dann Reporting, Alarmierung und Interpretation hinzufügen.

Ehrlich gesagt macht es in der heutigen Welt keinen Sinn, DMARC im Alleingang implementieren zu wollen – Sie brauchen eine moderne Lösung wie OnDMARC, die mit einer vollständig automatisierten Lösung die Schwerarbeit der DMARC-Implementierung und -Durchsetzung übernimmt, damit Ihre Domain schnell, einfach, sicher und kosteneffizient geschützt wird.

DMARC-Forensikberichte sind enorm nützlich, um Authentifizierungsprobleme bei legitimen Mail-Streams zu beheben und um bösartige E-Mail-Quellen zu identifizieren. Alle personenbezogenen Informationen sollten jedoch bereits vom ursprünglichen Mailbox-Anbieter aus dem Bericht entfernt werden, und OnDMARC führt eine zweite Schwärzung durch, um sicherzustellen, dass niemals private Daten offengelegt werden.

DMARC-Monitoring und -Transparenz sind heutzutage tatsächlich zu einer Standardleistung geworden, da es viele Anbieter gibt, die DMARC-Berichte im Auftrag einer Domain über eine grafische Oberfläche verarbeiten können. Was jedoch keine Standardleistung ist, ist ein wiederholbarer, sicherer, einfacher und effizienter Prozess, um eine Domain mithilfe der neuesten Innovationen im Bereich gehosteter E-Mail-Authentifizierung und privater Datenkanäle in den Enforcement-Modus zu bringen – eine Spezialität, die einzigartig für OnDMARC ist.

Es ist sicherlich eine Herausforderung, einen SPF-Eintrag in der heutigen Cloud-E-Mail-Welt manuell zu verwalten und auf dem neuesten Stand zu halten. Mit den richtigen Werkzeugen wird dieser Prozess jedoch deutlich einfacher. OnDMARC verfügt über einige wichtige Eigenschaften, die diesen Prozess erheblich erleichtern:

• Klare Identifizierung aller E-Mail-Quellen, sodass Nutzer nie befürchten müssen, einen legitimen für E-Mail genutzten Dienst übersehen zu haben – alle Quellen sind eindeutig gekennzeichnet und durch unsere einzigartige Sender-Intelligence erkennbar.
• Sobald Absender identifiziert wurden, können autorisierte Quellen mit einem Klick über Dynamic SPF authentifiziert werden. Alte, nicht mehr genutzte Dienste können entfernt werden, und der Eintrag lässt sich künftig problemlos verwalten.
• Auch das SPF-Limit von 10 Lookups lässt sich mit Dynamic SPF vermeiden, da der SPF-Eintrag dynamisch geflacht wird und stets syntaktisch korrekt ist.

Während die meisten modernen E-Mail-Gateways DMARC als Standard für die E-Mail-Authentifizierung verwenden, gibt es noch eine lange Reihe von Altsystemen, die weiterhin SPF als primäres Kriterium für die Mail-Filterung nutzen.

Wird das Limit von 10 Lookups überschritten, ist Ihr Eintrag technisch gesehen fehlerhaft, wenn ein empfangendes Postfach die SPF-Prüfung durchführt. Wenn Ihr DMARC-Eintrag außerdem im Enforcement-Modus (Quarantäne oder Ablehnung) ist, laufen Sie Gefahr, dass Mails blockiert werden, die auch nicht mit DKIM signiert sind. Ihre legitimen E-Mails haben die besten Zustellungschancen, wenn sie sowohl mit SPF als auch mit DKIM korrekt authentifiziert werden und der SPF-Eintrag nicht mehr als 10 Lookups enthält.

Es besteht ein großer Unterschied zwischen einer DMARC-Richtlinie von „none“ (der am wenigsten sicheren Einstellung, die die meisten Domains plagt und ungeschützt lässt) und einem DMARC-Eintrag im Enforcement-Modus (einer Richtlinie von Quarantäne oder Ablehnung). Das bloße „Einschalten“ von DMARC mit einer Richtlinie von „none“ ist ein notwendiger erster Schritt, verbessert aber Ihre Sicherheitslage in keiner Weise und schützt Ihre Domain auch nicht vor Identitätsmissbrauch (es gibt keine Auszeichnungen dafür, einfach nur „anzutreten“!).

Um Ihre DMARC-Reise abzuschließen, müssen Sie eine Richtlinie von Quarantäne oder Ablehnung bei pct=100 erreichen. Andernfalls lassen Sie Ihre Domain weiterhin weit offen für Spoofing und Phishing.

Red Sift hat Kunden mit Tausenden von Domains, die in OnDMARC überwacht und geschützt werden. Nur weil Sie ein umfangreiches Domain-Portfolio haben, sollten Sie sich nicht davon abhalten lassen, ein DMARC-Projekt zu starten. Tatsächlich bedeutet es, wenn Sie mehr ungeschützte Domains haben, dass Sie ein leichtes Ziel sind, wenn Sie DMARC nicht im Enforcement-Modus nutzen. Das Problem einfach zu ignorieren, weil man viele Domains hat, ist also keine Lösung. *Domain-Erkennung*

OnDMARC bietet Preise und Pakete, die für Unternehmen jeder Größe, Behörden oder gemeinnützige Organisationen geeignet sind. Tatsächlich können Sie direkt über unsere Website kaufen, wenn Sie weniger als 50 Mitarbeiter haben. Wir nutzen Automatisierung so umfassend wie möglich, sodass unsere Kunden von unserer Effizienz und unseren Skaleneffekten profitieren können.

Nicht versendende Domains können genauso gefälscht werden wie versendende Domains und sind besonders attraktive Köder, wenn sie bekannte Marken, Websites, Personen und Unternehmen für Phishing- und Identitätsdiebstahl-E-Mails ausnutzen. Empfänger böswilliger E-Mails von einer nicht versendenden Domain werden nicht unbedingt erkennen oder verstehen, dass die Absenderdomain nicht für den E-Mail-Versand konfiguriert ist – sie werden einfach glauben, dass die Nachricht von Ihnen stammt, wenn sie überzeugend genug ist und legitim aussieht, wodurch Ihre gesamte Marke und Ihr Ruf gefährdet werden.

Da haben Sie es also – eine Übersicht über alle DMARC-Mythen und -Legenden, vollständig entlarvt. Aber verlassen Sie sich nicht nur auf unser Wort – probieren Sie OnDMARC doch einfach selbst aus! Melden Sie sich heute für Ihre kostenlose Testversion an!