DKIM und DMARC: E-Mails als echt ausweisen

Kurz: DKIM signiert ausgehende Mails kryptografisch, DMARC legt fest, was Empfänger mit Mails tun sollen, die SPF oder DKIM nicht bestehen; zusammen erschweren sie gefälschte Absender.

Genauer: Das E-Mail-Protokoll SMTP prüft den Absender von sich aus nicht: Jeder kann „von: chef@firma.de“ schreiben. Drei Verfahren ergänzen sich, damit Empfänger Fälschungen erkennen: SPF, DKIM und DMARC. Sie werden als DNS-Einträge der Absender-Domain veröffentlicht.

Im Detail

SPF in Kürze

SPF listet die Server, die für die Domain Mails senden dürfen. Der Empfänger prüft, ob der einliefernde Server dazugehört. Schwäche: Es betrifft nur die technische Absenderadresse (Envelope) und bricht bei Weiterleitungen.

DKIM: digitale Signatur

Der sendende Mailserver signiert Teile der Nachricht (Kopfzeilen und Text) mit einem privaten Schlüssel. Die Signatur steht im Header DKIM-Signature. Der Empfänger holt den öffentlichen Schlüssel aus dem DNS (Eintrag selector._domainkey.firma.de) und prüft, ob die Nachricht unverändert und von einem berechtigten Absender kam. DKIM überlebt Weiterleitungen meist, solange der Inhalt nicht verändert wird.

DMARC: Regeln und Berichte

DMARC (_dmarc.firma.de) verbindet beides und bestimmt:

v=DMARC1; p=quarantine; rua=mailto:dmarc@firma.de; adkim=s; aspf=s

• Alignment: Der sichtbare Absender (From:) muss zu der Domain passen, die SPF oder DKIM bestätigt.
• Richtlinie p: none (nur beobachten), quarantine (Spam-Ordner), reject (abweisen).
• Berichte (rua): Empfänger schicken Zusammenfassungen, wer in deinem Namen Mails gesendet hat. So findet man vergessene legitime Versender und Betrüger.

Einführung in der Praxis

Beginne mit p=none und lies die Berichte. Stelle alle legitimen Versender (Webshop, Newsletter-Dienst, Ticketsystem) auf SPF/DKIM um, dann auf quarantine und schließlich reject. Große Anbieter wie Google und Yahoo verlangen für Massenversender SPF, DKIM und DMARC. Für Betrachter prüft man Header mit „Authentication-Results“: spf=pass dkim=pass dmarc=pass. Beachte: Diese Verfahren zeigen, dass die Domain stimmt, nicht dass der Absender vertrauenswürdig ist; Phishing von ähnlichen Domains bleibt möglich.

Siehe auch: SPF, Phishing, E-Mails, DNS-Einträge