SPF, DKIM und DMARC erklärt: So verhindern Sie, dass Ihre Domain gefälscht wird

01Das Problem: E-Mail hat keine eingebaute Identitätsprüfung

Das ursprüngliche E-Mail-System erlaubt es dem Absender, in die Zeile „Von“ jede beliebige Adresse zu schreiben. Angreifer nutzen das, um gefälschte Rechnungen, Passwort-Zurücksetzungen und „dringende“ Anfragen zu versenden, die aussehen, als kämen sie von Ihrem Unternehmen. Die Nachrichten werden nicht von Ihren Servern gestohlen, sie werden schlicht gefälscht.

Drei DNS-Einträge schließen diese Lücke. Sie tragen sie einmal bei Ihrem DNS-Anbieter ein, und empfangende Mailserver wie Gmail und Outlook prüfen sie bei jeder Nachricht.

02SPF: Wer darf für Sie senden

SPF ist eine Liste der Server, die E-Mails für Ihre Domain senden dürfen. Es ist ein einzelner TXT-Eintrag auf der Domain selbst.

v=spf1 include:_spf.mx.cloudflare.net -all

Von links nach rechts gelesen: SPF Version 1 verwenden, dem vertrauen, was das include nennt, und -all bedeutet „alle anderen ablehnen“. ~all ist die mildere Variante, die andere Post als verdächtig markiert, statt sie abzulehnen.

03DKIM: eine Signatur auf jeder Nachricht

Mit DKIM signiert Ihr E-Mail-Anbieter jede ausgehende Nachricht mit einem privaten Schlüssel. Der passende öffentliche Schlüssel liegt in Ihrem DNS, sodass der Empfänger prüfen kann, dass die Nachricht nicht verändert wurde und wirklich über Ihren Anbieter lief. Diesen Eintrag schreiben Sie normalerweise nicht selbst: Ihr Anbieter nennt Ihnen den genauen Namen und Wert zum Einfügen.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: die Richtlinie, die alles verbindet

DMARC teilt Empfängern mit, was sie tun sollen, wenn eine Nachricht die SPF- und DKIM-Prüfungen im Einklang mit der sichtbaren „Von“-Domain nicht besteht, und wohin Berichte darüber gehen.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: nur beobachten und Berichte senden. Nichts wird blockiert.
• p=quarantine: verdächtige Post landet im Spam.
• p=reject: gefälschte Post wird vollständig abgelehnt.

05Prüfen Sie Ihre eigene Domain

Geben Sie unten Ihre Domain ein. Die Prüfung läuft in Ihrem Browser gegen öffentliches DNS, es wird nichts gespeichert.

06Ein sicherer Einführungsplan

1. Ergänzen oder korrigieren Sie Ihren SPF-Eintrag mit ~all.
2. Aktivieren Sie DKIM bei Ihrem E-Mail-Anbieter und veröffentlichen Sie den gelieferten Eintrag.
3. Fügen Sie DMARC mit p=none und einer Berichtsadresse hinzu, die Sie lesen.
4. Nach zwei bis vier Wochen sauberer Berichte wechseln Sie zu p=quarantine.
5. Wenn Sie sicher sind, wechseln Sie zu p=reject und ändern SPF auf -all.