IETF fordert das Ende des ARC-Experiments: Was das für die E-Mail-Authentifizierung bedeutet

Die IETF hat einen Entwurf veröffentlicht, der empfiehlt, ARC (Authenticated Received Chain) nach einem zehnjährigen Experiment als „Obsolete“ (veraltet) zu kennzeichnen. ARC wurde entwickelt, um die E-Mail-Authentifizierung zu erhalten, wenn Intermediäre wie Mailinglisten und Weiterleitungen Nachrichten veränderten, konnte jedoch mangels eines internetweiten Reputationssystems keine skalierbare Lösung liefern. Die Erkenntnisse aus dem Experiment werden in DKIM2 einfließen, den Nachfolger von DKIM der nächsten Generation.

Für Unternehmen bedeutet dies, sich weiterhin auf SPF, DKIM und DMARC als Grundlage der E-Mail-Sicherheit zu konzentrieren, die weiterhin verpflichtende Anforderungen der großen Postfach-Anbieter bleiben.

Red Sift OnDMARC hilft Unternehmen dabei, innerhalb von 6-8 Wochen eine vollständige DMARC-Durchsetzung zu erreichen und schützt so vor Spoofing und Phishing, während gleichzeitig die E-Mail-Zustellbarkeit über alle Intermediäre und Weiterleitungsszenarien hinweg gewährleistet bleibt.

Die Internet Engineering Task Force (IETF) hat einen Entwurf veröffentlicht, der den Abschluss des ARC-Experiments (Authenticated Received Chain) fordert und empfiehlt, RFC8617 als „Obsolete“ zu kennzeichnen. Damit endet ein zehnjähriges Bemühen, eine der hartnäckigsten Herausforderungen der E-Mail-Authentifizierung zu lösen: was passiert, wenn legitime Intermediäre Nachrichten verändern und dadurch DMARC brechen.

Nach der Einführung von DMARC, die SPF und DKIM mit Absenderdomains in Einklang brachte und eine Richtliniendurchsetzung ermöglichte, trat eine kritische Lücke zutage: Weiterleitungen und Änderungen durch Mailinglisten unterbrachen häufig die Authentifizierung, wodurch legitime E-Mails die DMARC-Prüfung nicht bestanden.

ARC wurde als experimentelles Protokoll eingeführt, um dieses Problem zu lösen, indem eine kryptografische „Nachweiskette“ für E-Mails geschaffen wurde. Das Konzept war einfach: Jeder Intermediär, der eine Nachricht verarbeitete (Mailinglisten, Weiterleitungen, Gateways), konnte:

1. Die von ihm beobachteten Authentifizierungsergebnisse aufzeichnen
2. Diese Beobachtungen kryptografisch signieren
3. Eine überprüfbare Kette erstellen, die zeigt, was entlang des Nachrichtenpfads geschah

Ziel war es, nachgelagerten Empfängern zu ermöglichen zu erkennen, dass die aktuelle Authentifizierung zwar möglicherweise fehlgeschlagen ist, die Nachricht beim ursprünglichen Versand jedoch legitim war.

ARC definierte drei Header-Felder, die Intermediäre den Nachrichten hinzufügen konnten:

• ARC-Authentication-Results: Welche Authentifizierungsergebnisse der Intermediär beobachtet hat
• ARC-Message-Signature: Eine Signatur der Nachricht und vorheriger ARC-Header
• ARC-Seal: Eine Signatur, die die gesamte Kette zusammenbindet

Jeder Handler würde seinen eigenen Satz dieser Header hinzufügen und so eine Kette aufbauen, die nachgelagerte Auswerter überprüfen konnten. War die Kette gültig, konnten Empfänger möglicherweise darauf vertrauen, dass die Nachricht trotz aktueller Authentifizierungsfehler legitim war.

Nach 10 Jahren praktischer Erfahrung nennt der IETF-Entwurf mehrere entscheidende Gründe dafür, warum ARC seine Ziele nicht erreichte:

ARC konnte verifizieren, dass Intermediäre an der Kette beteiligt waren, aber es konnte kein Vertrauen vermitteln. Ohne eine Möglichkeit festzustellen, welche der Tausenden potenziellen Intermediäre vertrauenswürdig sind, konnten Empfänger DMARC-Fehler nicht sicher allein auf Basis von ARC überschreiben. Ad-hoc-Zulassungslisten erwiesen sich als unzureichend und kostspielig in der Pflege.

ARC zeigte, dass eine Nachricht verändert wurde, aber nicht, was geändert wurde oder warum. Dies überließ die Interpretation vollständig den Auswertern und deren Fähigkeit, die Reputation von Intermediären einzuschätzen – eine Belastung, die sich im internetweiten Maßstab als operativ unpraktikabel erwies.

Die Trennung von „Verifizierung“ und „Vertrauen“ schuf Risiken. Angreifer konnten Nachrichten über nachsichtige oder kompromittierte Intermediäre leiten, um eine günstigere Behandlung zu erlangen und das System dadurch effektiv auszutricksen.

Die Anzahl potenzieller Weiterleiter und Intermediäre ist enorm und ständig im Wandel. Die Pflege von Reputationsdaten für all diese erwies sich als unrealistisch, und nach 10 Jahren entstand kein internetweites Reputationssystem – und ein solches ist auch nicht geplant.

Das Weiterleitungsproblem, das ARC motivierte, bleibt real. Wenn Nachrichten über Mailinglisten oder automatische Weiterleitungsregeln weitergeleitet werden:

• SPF schlägt fehl, da die Weiterleitungsinfrastruktur als sendende IP erscheint
• DKIM schlägt häufig fehl, wenn Weiterleiter Header oder Nachrichteninhalte verändern
• DMARC schlägt infolgedessen fehl und blockiert möglicherweise legitime E-Mails

Der IETF-Entwurf macht jedoch deutlich, dass der Ansatz von ARC – das Vertrauen auf die Reputation von Intermediären ohne ein skalierbares Vertrauensframework – nicht die Lösung ist.

Stattdessen werden die nützlichen Elemente von ARC (signierte Aussagen über die Verarbeitung) in DKIM2 einfließen, den vorgeschlagenen Nachfolger von DKIM. DKIM2 soll Replay-Angriffe, moderne Routing-Muster und die Behandlung durch Intermediäre umfassender adressieren, ohne parallele Signaturketten oder Hop-für-Hop-Reputationssysteme zu erfordern.

• Weiterhin auf SPF, DKIM und DMARC konzentrieren: Die Grundlagen haben sich nicht geändert. SPF, DKIM und DMARC bleiben die Basis der E-Mail-Authentifizierung und werden von großen Postfach-Anbietern wie Google, Yahoo und Microsoft für Massenversender verlangt.
• Keine neuen ARC-Implementierungen einführen: Der IETF-Entwurf empfiehlt, dass ARC zwischen unterschiedlichen Absendern und Empfängern nicht mehr eingesetzt oder als verlässlich betrachtet werden sollte. Jede verbleibende ARC-Verarbeitung sollte nur als diagnostisch behandelt werden. Hinweis: Sofern Ihr Unternehmen keine Mail-Infrastruktur aufbaut, ist dies vermutlich nicht relevant.
• Auf DKIM2 vorbereiten: Während sich DKIM2 weiterentwickelt und die Erkenntnisse aus dem ARC-Experiment einbezieht, sollten Unternehmen über die Weiterentwicklung der E-Mail-Authentifizierungsstandards informiert bleiben.
• Starke DMARC-Durchsetzung beibehalten: Unabhängig vom Weiterleitungsproblem bleibt DMARC im Enforcement-Modus (p=reject oder p=quarantine) der wirksamste Schutz gegen exaktes Domain-Spoofing und Phishing-Angriffe.

Red Sift OnDMARC konzentriert sich auf das, was Unternehmen heute benötigen: schnelle, zuverlässige Bereitstellung von SPF, DKIM und DMARC zum Schutz vor Spoofing und zur Aufrechterhaltung der Zustellbarkeit.

• Schnelle Bereitstellung: Die meisten Unternehmen erreichen dank automatisierter Anleitung und Echtzeit-Tests über Red Sift Investigate innerhalb von 6-8 Wochen die vollständige DMARC-Durchsetzung
• Dynamisches SPF: Umgehen Sie das 10-Lookup-Limit ohne Makros und gewährleisten Sie so Zustellbarkeit auch bei komplexen Sendeinfrastrukturen
• Automatisierte Verwaltung: Steuern Sie SPF-, DKIM-, DMARC-, BIMI- und MTA-STS-Einträge über ein einziges Dashboard mit nur einer DNS-Änderung
• DNS Guardian: Kontinuierliche Überwachung auf DNS-Fehlkonfigurationen und Subdomain-Angriffe, die DMARC umgehen
• KI-gestützte Fehlerbehebung: Red Sift Radar löst Authentifizierungsprobleme dank LLM-gestützter Erkenntnisse 10-mal schneller
• Klare Übersicht: Echtzeit-Dashboards verwandeln komplexe DMARC-Berichte in umsetzbare Erkenntnisse

Warum Unternehmen sich für Red Sift entscheiden

Red Sift OnDMARC ist die in EMEA bestbewertete DMARC-Lösung mit einer G2-Bewertung von 4,9/5 und wird von über 1.200 Unternehmen genutzt, darunter Save the Children, ZoomInfo, Wise und Holland & Barrett.

Unser preisgekröntes Customer-Success-Team begleitet Sie durch jeden Schritt, von der Implementierung bis zur vollständigen Durchsetzung, und stellt sicher, dass Sie schnell Schutz erreichen, ohne die Zustellung legitimer E-Mails zu beeinträchtigen.

Der Abschluss des ARC-Experiments bestätigt, was Sicherheitsteams bereits wissen: Wirksame E-Mail-Authentifizierung beginnt mit korrekt implementiertem SPF, DKIM und DMARC.

Red Sift OnDMARC macht dies für Unternehmen jeder Größe erreichbar, mit Automatisierung auf Enterprise-Niveau, fachkundiger Beratung und erstklassiger Technologie.