SPF, DKIM, DMARC: Die 3 Saulen der E-Mail-Sicherheit erklart

Das Problem: E-Mail wurde ohne Authentifizierung geboren

Als das SMTP-Protokoll in den 80ern erstellt wurde, dachte niemand an Phishing. Jeder konnte eine E-Mail senden mit "Von: bundeskanzler@bundesregierung.de" ohne Verifikation. Vierzig Jahre spater bleibt das Problem: Ohne Schutz kann Ihre Domain in 30 Sekunden von jedem usurpiert werden, der einen SMTP-Server konfigurieren kann.

SPF, DKIM und DMARC sind die 3 aufeinanderfolgenden Antworten auf dieses Problem. Sie erganzen sich: SPF sagt "wer senden darf", DKIM sagt "diese Nachricht wurde nicht verandert", DMARC sagt "was zu tun ist, wenn beide scheitern".

SPF: Wer ist autorisiert zu senden?

SPF (Sender Policy Framework) ist ein DNS-Eintrag, der die Server auflistet, die berechtigt sind, E-Mails fur Ihre Domain zu senden.

Beispiel fur firma.de:

v=spf1 include:_spf.google.com include:mailjet.com -all

Bedeutung: "Nur Google Workspace und Mailjet durfen E-Mails von @firma.de senden. Alle anderen (-all) sind abzulehnen." Wenn ein Empfanger eine E-Mail erhalt, die angeblich von @firma.de kommt, pruft er die IP des Sendeservers. Wenn sie nicht in der Liste ist, ist SPF fail.

DKIM: Die kryptografische Signatur

DKIM (DomainKeys Identified Mail) signiert jede E-Mail mit einem privaten Schlussel. Der Empfanger verifiziert die Signatur mit dem offentlichen Schlussel, der in Ihrem DNS veroffentlicht ist.

Vorteil gegenuber SPF: DKIM garantiert, dass der Inhalt der Nachricht wahrend des Transits nicht verandert wurde. Selbst wenn ein Zwischenserver die E-Mail modifiziert, schlagt die Signatur fehl und wird erkannt.

Typische Konfiguration: Ihr E-Mail-Anbieter (Google, Microsoft 365, Mailjet) generiert ein Schlusselpaar und bittet Sie, den offentlichen Schlussel in einem TXT-Eintrag wie default._domainkey.firma.de zu veroffentlichen.

DMARC: Die entscheidende Richtlinie

DMARC (Domain-based Message Authentication, Reporting & Conformance) koordiniert SPF und DKIM und sagt den Empfangern: "Wenn SPF UND DKIM beide scheitern, hier ist, was zu tun ist."

3 mogliche Richtlinien:

• p=none — nichts tun, nur Berichte senden (Beobachtungsmodus, am Anfang empfohlen)
• p=quarantine — in Quarantane (Spam-Ordner)
• p=reject — direkt ablehnen

Beispiel: v=DMARC1; p=reject; rua=mailto:dmarc@firma.de

Wie Fiabli SPF/DKIM/DMARC nutzt

Wenn Fiabli eine eingehende E-Mail analysiert, ist der erste Schritt, die Authentifizierungsergebnisse aus den Headern (Authentication-Results) zu extrahieren. Die drei Status (pass, fail, none) fliessen in den Risiko-Score ein:

• SPF fail + DKIM fail + DMARC reject → +0,4 auf den Risiko-Score (starker Verdacht)
• SPF pass + DKIM pass + DMARC pass → -0,2 (beruhigend)
• Alles auf none → +0,15 (schlecht konfigurierte Domain, typisch fur kleine Domains oder Usurpation)

Fur Ihre Firmendomain empfehlen wir: SPF strict (-all), DKIM 2048 bit, DMARC reject nach 30 Tagen Beobachtung p=none.

Zum Mitnehmen

SPF, DKIM, DMARC: drei unverzichtbare Schichten. Ohne diese kann Ihre Domain in 30 Sekunden usurpiert werden. Mit diesen wird Phishing, das vorgibt, von Ihrer Domain zu kommen, automatisch von den Empfangern abgelehnt.

Um die Konfiguration Ihrer Domain kostenlos zu uberprufen: MXToolbox DMARC checker. Und um eingehende E-Mails, die diese Prufungen nicht bestehen, automatisch zu analysieren, probieren Sie Fiabli.