SPF, DKIM und DMARC: So schützen Sie Ihre Domain vor gefälschten Absendern

Warum gefälschte Absender möglich sind

E-Mail wurde so entworfen, dass der angezeigte Absender frei wählbar ist. Das beschreibt auch das Abstract des SPF-Standards: Mails lassen sich auf vielfältige Weise fälschen, weil die Protokolle die Absenderangabe nicht einschränken (RFC 7208). Für Ihren Betrieb bedeutet das: Jemand kann Mails mit Ihrer Domain als Absender versenden, etwa Rechnungen mit falscher Kontonummer, ohne Ihre Systeme zu berühren.

SPF: wer darf für Ihre Domain senden

Beim Sender Policy Framework tragen Sie in einen TXT-Eintrag Ihrer Domain ein, welche Server Mails in Ihrem Namen verschicken dürfen. Empfangende Server vergleichen beim Eintreffen einer Mail den absendenden Server mit dieser Liste (RFC 7208).

Ein Eintrag beginnt mit v=spf1 und endet mit einem Schlusszeichen. Ein Beispiel: v=spf1 include:_spf.beispiel-mailanbieter.de ~all. Den Teil nach include: nennt Ihr Mailanbieter. Das Schlusszeichen entscheidet, wie streng der Eintrag ist: „-all“ erklärt andere Server eindeutig für nicht berechtigt, „~all“ ist eine schwächere Aussage. Ohne abschließendes „all“ gilt der Eintrag als neutral und schützt nicht.

Zwei Regeln führen oft zu Fehlern. Erstens ist die Zahl der Einträge, die DNS-Abfragen auslösen (include, a, mx, ptr, exists, redirect), auf zehn begrenzt; wird sie überschritten, ist das Ergebnis ein Fehler (permerror). Zweitens darf es nur einen SPF-Eintrag je Domain geben.

DKIM: eine Signatur, die der Empfänger prüfen kann

DomainKeys Identified Mail (DKIM) signiert ausgehende Mails mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS. Empfänger rufen ihn ab und prüfen, ob die Mail unterwegs verändert wurde und ob die signierende Domain zur Mail passt (RFC 6376).

Der Schlüssel liegt unter einem Namen nach dem Muster Selektor._domainkey.ihre-domain.de. Den Selektor wählt der Mailanbieter; er steht nur im Kopf einer versendeten Mail. Deshalb kann ein Dritter, auch ein Website-Check, den Namen nicht kennen und nur gängige Selektoren probieren. Die meisten Anbieter schalten DKIM über eine Einstellung im Kundenbereich ein und nennen den DNS-Eintrag, den Sie setzen sollen.

DMARC: was bei einem Fehlschlag passieren soll

DMARC verbindet SPF und DKIM und legt fest, wie Empfänger mit Mails umgehen, die die Prüfung nicht bestehen. Der Eintrag ist ein TXT-Eintrag unter dem Namen _dmarc.ihre-domain.de. Ein Beispiel für den Anfang: v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de.

Das Feld p= nennt die Richtlinie: „none“ bedeutet keine Maßnahme, der Inhaber möchte nur Berichte erhalten; „quarantine“ heißt, nicht bestandene Mails als verdächtig zu behandeln, etwa im Spam-Ordner; „reject“ heißt, sie abzulehnen. Mit rua= geben Sie an, wohin Berichte gesendet werden sollen (RFC 7489).

Sinnvoll ist ein schrittweises Vorgehen: erst „none“ und die Berichte lesen, ob alle eigenen Absender (Mailprogramm, Newsletter-Tool, Kontaktformular, Buchhaltung) bestehen, dann „quarantine“, zuletzt „reject“.

Hinweis zum Stand der Normen: RFC 7489 von 2015 hat den Status „Informational“. Der RFC-Editor führt ihn inzwischen als ersetzt durch RFC 9989, 9990 und 9991 (RFC 9989 beschreibt DMARC nun als Proposed Standard). Die hier gezeigten Grundbegriffe und Richtlinien bleiben gleich.

Häufige Fehler

• Ein zweiter SPF-Eintrag, weil ein neuer Dienst „einfach dazu“ kam. Beide zu einem Eintrag zusammenführen.
• Ein SPF-Eintrag ohne „~all“ oder „-all“ am Ende.
• Vergessene Absender: Newsletter-Dienst, Kontaktformular der Website oder Buchhaltungsprogramm versenden im Namen Ihrer Domain und stehen nicht im SPF-Eintrag.
• DMARC sofort auf „reject“ stellen, bevor geklärt ist, dass alle echten Absender bestehen.
• Weitergeleitete Mails: Bei einer Weiterleitung kann SPF scheitern, weil der weiterleitende Server nicht im Eintrag steht. DKIM bleibt dabei meist gültig. Auch deshalb sollten SPF und DKIM zusammen eingerichtet werden.

Was der Website-Check prüft

Im Sicherheits-Check fragt der Check für die Hauptdomain öffentliche DNS-Einträge ab, so wie es jeder empfangende Mailserver tut. Er verbindet sich nicht mit Ihrem Mailserver und verschickt keine Mails. Die Einzelprüfungen:

• Domain kann E-Mail empfangen: Es ist ein Mailserver (MX) eingetragen.
• SPF-Eintrag schützt vor gefälschten Absendern: genau ein Eintrag, der mit „~all“ oder „-all“ endet und höchstens zehn Abfragen auslöst.
• DKIM-Schlüssel gefunden: Stichprobe gängiger Selektor-Namen. Ein Nicht-Fund ist kein Beweis, dass DKIM fehlt; dann steht „nicht prüfbar“.
• DMARC-Eintrag vorhanden und DMARC weist Fälschungen nicht nur beobachtend ab: Es gibt einen Eintrag, und die Richtlinie ist „quarantine“ oder „reject“.
• Kein CNAME auf dem Hauptnamen: Ein CNAME auf dem Hauptnamen verträgt sich nicht mit anderen Einträgen wie MX und TXT.