2024: Das Jahr, in dem DMARC zum geschäftlichen Muss wird

Ich kann mit Zuversicht sagen, dass die Welt keine weiteren Sicherheitsprognosen für 2024 braucht. Aber während wir auf das neue Jahr zusteuern, ist es wichtig, Gespräche über die Sicherheitsstrategie zu führen, um unsere Geschäftsprioritäten und unsere Roadmaps zu gestalten.

Im Gespräch mit unseren Red Sift-Kunden, unseren Partnern und den Vordenkern unseres technischen Beirats wird eines deutlich: Weitere DMARC- und Domain-Authentifizierungsanforderungen stehen bevor, und sie werden bald hier sein.

Es fällt mir leicht, die Vorteile von DMARC anzupreisen: bessere Zustellbarkeit, Schutz vor BEC und Phishing, die Möglichkeit, BIMI einzusetzen… die Liste ließe sich beliebig fortsetzen.

Aber eines wird immer deutlicher: 2024 ist DMARC nicht mehr nur „nice to have“. Es wird zum geschäftlichen Muss.

Mit Blick auf 2024 gibt es bereits angekündigte Anforderungen für DMARC, die den meisten Sicherheitsverantwortlichen in der Branche zumindest bekannt sind. Sie reichen von Anforderungen von E-Mail-Anbietern wie Google und Yahoo über solche von Regierungen bis hin zu Anforderungen von Unternehmen für Sicherheitsbewertungen und Cyberversicherungen.

Die bemerkenswerteste Anforderung für 2024 im Bereich DMARC ist die gemeinsame Anforderung von Google und Yahoo, die für alle Organisationen gilt, die mehr als 5.000 E-Mails pro Tag versenden. Um zu verhindern, dass E-Mails nicht wie erwartet zugestellt oder als Spam eingestuft werden, müssen Organisationen:

1. Ihre Domain authentifizieren. Dies erfordert mindestens einen DMARC-Eintrag mit der Richtlinie p=none, SPF und DKIM-Einträge, SPF- oder DKIM-Alignment sowie FCrDNS.
2. Es den Empfängern leicht machen, sich abzumelden. Organisationen, die derzeit einen Abmeldelink in kommerziellen E-Mails haben, müssen bis zum 1. Juni 2024 eine Ein-Klick-Abmeldung implementieren.
3. Die Spam-Raten niedrig halten. Organisationen müssen die in den Postmaster Tools gemeldeten Spam-Raten unter 0,3 % halten.

In unserer Studie haben wir festgestellt, dass mit Stand Dezember 2023 mindestens 33 % der großen Organisationen weltweit diese Anforderungen nicht erfüllen werden, wobei Unternehmen in Korea, Japan, Österreich und Deutschland besonders unvorbereitet sind.

Organisationen, die dies nicht angehen, werden sinkende Zustellraten erleben und Nachrichten, die in Spam-Ordnern landen. Für Unternehmen, die auf E-Mail-Marketing angewiesen sind, um Leads und Umsatz zu generieren, könnten die Auswirkungen davon gewaltig sein.

Use Red Sift’s Investigate tool to see if your DMARC, DKIM, SPF, and BIMI protocols are correctly set up and get actionable steps on how to fix them, if applicable. Check your DMARC record and other key protocols now

Bei Red Sift sehen wir diese Anforderungen als Vorboten dafür, dass E-Mail-Anbieter künftig eine DMARC-Durchsetzung verlangen werden. Indem die Anbieter DMARC-, SPF- und DKIM-Einträge sowie SPF- oder DKIM-Alignment verlangen, legen sie den Grundstein für strengere DMARC-Durchsetzungsrichtlinien. Organisationen sollten bei ihrer DMARC-Konfiguration ambitionierter vorgehen, als es zum 1. Februar 2024 gefordert wird, da ihre Domains auch von einem verbesserten Schutz vor Spoofing und Impersonation durch stärkere DMARC-Richtlinien profitieren werden.

Im Oktober 2023 veröffentlichte die CISA (Cybersecurity & Infrastructure Security Agency) eine neue Phishing-Leitlinie. Dieses Dokument wurde in Zusammenarbeit mit der NSA, dem FBI und dem Multi-State Information Sharing and Analysis Center (MS-ISAC) veröffentlicht, um Phishing-Techniken zu skizzieren und Verteidigern Orientierung zu bieten.

In der Leitlinie stellt die Behörde maßgeschneiderte Empfehlungen vor, um Phishing-Angriffe zu stoppen, die auf das Erlangen von Anmeldedaten und die Installation von Malware abzielen.

Um diese Angriffe abzuwehren, empfiehlt die Behörde zahlreiche grundlegende Schutzmaßnahmen, darunter die Aktivierung von DMARC, SPF und DKIM sowie die Sicherstellung, dass die DMARC-Durchsetzung auf p=reject eingestellt ist.

Am 31. März 2022 veröffentlichte der PCI Security Standards Council (PCI SSC) DSS v4.0. Obwohl diese Anforderungen für Zahlungsdienstleister erst am 31. März 2025 in Kraft treten, nutzen die meisten Organisationen dieses Jahr, um sicherzustellen, dass sie vollständig konform sind.

Eine der neuen Anforderungen in PCI DSS v4.0 betrifft den Phishing-Schutz. Req 5.4.1 verlangt „automatisierte Mechanismen“ zur Erkennung und zum Schutz vor Phishing-Angriffen. Obwohl sich diese Anforderung auf „Prozesse und Mechanismen“ bezieht und nicht auf eine bestimmte Lösung verweist, würden bewährte Verfahren auf die Implementierung von DMARC, SPF und DKIM hindeuten.

Obwohl von den Unternehmen für Sicherheitsbewertungen bisher keine formellen Updates zu DMARC angekündigt wurden, hören wir von unseren Kunden erste Rückmeldungen, dass DMARC in den Augen dieser Institutionen zu einer höheren Priorität wird.

Zum Beispiel berücksichtigt SecurityScorecard derzeit die SPF-Konfiguration in seinem Bewertungssystem. Es ist nicht undenkbar, dass sie bald auch DMARC und DKIM als Teil ihres Bewertungsalgorithmus berücksichtigen werden.

Alles, was wir bisher behandelt haben, kommt zu den bestehenden DMARC-Anforderungen und -Empfehlungen hinzu, die von Aufsichtsbehörden weltweit aufgestellt wurden. Auch wenn die Liste nicht vollständig ist, zeigt sie die globale Aufmerksamkeit für den Schutz vor Phishing, Business Email Compromise (BEC) und exakter Domain-Impersonation.

Die vollständige Liste der Vorgaben und Empfehlungen für DMARC finden Sie hier.

Angesichts der Tatsache, dass E-Mail nach wie vor der wichtigste Angriffsvektor ist und Business Email Compromise allein 2022 für Schäden in Höhe von 2,7 Milliarden US-Dollar verantwortlich war, überrascht es nicht, dass wir eine wachsende Zahl von Vorschriften, Anforderungen und Empfehlungen für bessere E-Mail-Sicherheit beobachten.

To see if your organization is prepared, make sure to check out Red Sift Investigate where you can see if your organization’s DMARC, SPF, DKIM, and other important email security protocols are set up correctly. Check your DMARC record and other key protocols now