SPF, DKIM und DMARC: die drei Protokolle, die Ihr Postfach schützen (und warum Sie alle drei brauchen)

TL;DR: SPF, DKIM und DMARC - die drei Protokolle, die Ihr Postfach schützen, und warum Sie alle drei brauchen

Warum alle drei wichtig sind:

SPF und DKIM allein reichen nicht aus, um Spoofing zu verhindern. Jedes Protokoll prüft unterschiedliche E-Mail-Header – SPF verifiziert den Return-Path, DKIM validiert die d=-Domain, aber keines der beiden schützt den „From:“-Header, den Empfänger tatsächlich sehen. Angreifer können Ihre Domain fälschen, indem sie „From: ihredomain.com“ setzen, während sie für SPF und DKIM ihre eigene Domain verwenden.

Die drei Protokolle:

• SPF: Verifiziert, dass die IP-Adressen der sendenden Server für Ihre Domain autorisiert sind
• DKIM: Signiert E-Mails kryptografisch, um Authentizität zu bestätigen und Manipulation zu verhindern
• DMARC: Koordiniert SPF und DKIM, um den sichtbaren „From:“-Header zu schützen, und teilt Empfängern mit, wie mit fehlgeschlagenen E-Mails umzugehen ist

Fazit:

DMARC ist unverzichtbar, da es das einzige Protokoll ist, das exaktes Domain-Spoofing verhindert, indem es die Übereinstimmung zwischen SPF/DKIM und der vom Empfänger gesehenen Absenderadresse sicherstellt. Große Anbieter verlangen inzwischen alle drei Protokolle für Massenversender, was dies zur Grundlage moderner E-Mail-Sicherheit macht.

E-Mail bleibt das Rückgrat der Geschäftskommunikation. Sie ist zudem der am häufigsten ausgenutzte Angriffsvektor in der Cybersicherheit – über 90 % der Cyberangriffe beginnen mit einer Phishing-E-Mail oder einer gefälschten Domain.

Wenn Sie sich jemals gefragt haben, warum Ihre legitimen Marketing-E-Mails im Spam-Ordner landen oder wie Angreifer E-Mails versenden können, die scheinbar von Ihrer exakten Domain stammen, liegt die Antwort in drei kritischen E-Mail-Authentifizierungsprotokollen: SPF, DKIM und DMARC.

Zu verstehen, wie diese Protokolle zusammenwirken, ist für jeden unerlässlich, der für E-Mail-Sicherheit, Zustellbarkeit oder den Schutz seiner Organisation vor Business-E-Mail-Compromise-Angriffen verantwortlich ist.

Das Simple Mail Transfer Protocol (SMTP), die Grundlage der E-Mail-Übertragung, wurde 2008 von der Network Working Group offiziell als „inherently insecure“ (von Grund auf unsicher) bezeichnet. Das Protokoll ermöglicht es jedem mit grundlegenden Programmierkenntnissen, eine Domain zu imitieren und betrügerische E-Mails ohne Autorisierung zu versenden.

Dieser grundlegende Mangel bedeutet, dass Angreifer ohne ordnungsgemäße Authentifizierung legitime Domains leicht fälschen können. Das Ergebnis ist eine E-Mail, die völlig legitim aussieht, typische Sicherheitsindikatoren umgeht und direkt im Postfach des Empfängers landet.

Diese drei Protokolle wurden entwickelt, um die Sicherheitslücken von E-Mails zu schließen, doch jedes erfüllt einen eigenen Zweck. Betrachten Sie sie als Verteidigungsebenen, die zusammenarbeiten, um die Identität des Absenders zu verifizieren und vor Identitätsdiebstahl zu schützen.

• SPF (Sender Policy Framework) legt fest, welche Mailserver im Namen Ihrer Domain E-Mails senden dürfen. Sie veröffentlichen einen SPF-Eintrag in Ihrem DNS, der die genehmigten Sendequellen auflistet. Wenn ein empfangender Server Ihre E-Mail erhält, prüft er, ob die sendende IP mit Ihrer autorisierten Liste übereinstimmt. SPF ist einfach zu implementieren, hat aber Einschränkungen. Es funktioniert nicht mehr, wenn E-Mails über Mailinglisten weitergeleitet werden, und es überprüft nicht den tatsächlichen Nachrichteninhalt.
• DKIM (DomainKeys Identified Mail) fügt Ihren E-Mail-Headern eine kryptografische Signatur hinzu und bestätigt, dass die Nachricht während der Übertragung nicht manipuliert wurde. Ihr Mailserver hängt an jede E-Mail eine Signatur mit privatem Schlüssel an, und empfangende Server verwenden Ihren öffentlichen Schlüssel, um die Authentizität zu überprüfen. DKIM löst das Weiterleitungsproblem von SPF und bestätigt die Nachrichtenintegrität. Es ist jedoch komplexer einzurichten, wenn mehrere externe Versender beteiligt sind, und Schlüssel müssen aus Sicherheitsgründen regelmäßig erneuert werden.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) ist das Protokoll, das alles miteinander verbindet. Es baut auf SPF und DKIM auf, um eine Durchsetzungsrichtlinie zu erstellen, die empfangenden Servern genau vorgibt, was bei fehlgeschlagener Authentifizierung zu tun ist. Mit DMARC können Sie Mailserver anweisen, verdächtige Nachrichten unter Quarantäne zu stellen oder sie ganz abzulehnen. Noch wichtiger: DMARC bietet Transparenz durch aggregierte und forensische Berichte, die zeigen, wer E-Mails unter Verwendung Ihrer Domain versendet und ob diese Nachrichten die Authentifizierung bestehen.

SPF und DKIM funktionieren unabhängig voneinander, aber ohne DMARC können sie umgangen werden. Angreifer können Ihre Domain weiterhin auf Weisen fälschen, die einzelne Prüfungen bestehen, aber die Alignment-Anforderungen nicht erfüllen.

DMARC stellt sicher, dass die Domain in der sichtbaren „From“-Adresse mit den Domains übereinstimmt, die durch SPF und DKIM authentifiziert wurden. Nur wenn mindestens einer dieser Mechanismen erfolgreich ist und übereinstimmt, betrachtet DMARC die Nachricht als legitim.

Zusammen bilden diese Protokolle ein vollständiges Authentifizierungsframework, das vor exakter Domain-Imitation schützt, Phishing-Risiken reduziert, die E-Mail-Zustellbarkeit verbessert und umsetzbare Erkenntnisse über Ihr E-Mail-Ökosystem liefert.

Trotz der technischen Komplexität ist die Implementierung dieser Protokolle einfacher, als viele Organisationen annehmen. Der Prozess umfasst die Veröffentlichung von DNS-Einträgen, den schrittweisen Übergang vom Monitoring zur Durchsetzung sowie die Validierung aller legitimen E-Mail-Quellen.

Organisationen, die DMARC ordnungsgemäß implementieren, erreichen in der Regel innerhalb von 6 bis 8 Wochen die vollständige Durchsetzung, wodurch die unbefugte Nutzung ihrer Domains blockiert wird, während legitime E-Mails weiterhin reibungslos zugestellt werden.

Wenn Sie für E-Mail-Sicherheit oder Zustellbarkeit verantwortlich sind, ist es unerlässlich, die technischen Unterschiede zwischen SPF, DKIM und DMARC zu verstehen. Jedes Protokoll adressiert spezifische Schwachstellen, und nur durch die Implementierung aller drei können Sie einen umfassenden Schutz vor E-Mail-basierten Bedrohungen aufbauen.

Sie finden detaillierte Erklärungen zur Funktionsweise jedes Protokolls, häufige Fehlkonfigurationen, die Sie vermeiden sollten, sowie eine praktische Implementierungscheckliste, um noch heute mit dem Schutz Ihrer Domain zu beginnen.