Viele Betrugsversuche beginnen mit einer E-Mail, die scheinbar von der eigenen Geschäftsleitung, einem Lieferanten oder der Bank stammt. Ohne Schutz kann jeder eine solche Absenderadresse verwenden. SPF, DKIM und DMARC machen das deutlich schwieriger und gehören deshalb zur Grundausstattung jeder Domain.
Die drei Bausteine
SPF (Sender Policy Framework) listet im DNS die Server, die E-Mails für die Domain versenden dürfen. DKIM (DomainKeys Identified Mail) signiert ausgehende Nachrichten, sodass der Empfänger prüfen kann, dass sie unterwegs nicht verändert wurden und von der Domain stammen. DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet beides mit der sichtbaren Absenderadresse und legt eine Richtlinie fest.
Die Richtlinien
Mit p=none werden fehlschlagende E-Mails nur gemeldet, nicht blockiert. Mit p=quarantine landen sie im Spam, mit p=reject werden sie abgewiesen. Die DMARC-Berichte zeigen, welche Systeme im Namen der Domain senden, auch solche, die man vergessen hat, etwa ein Newsletter-Tool oder ein Rechnungssystem.
Einführung ohne Zustellprobleme
Der sichere Weg beginnt mit p=none und der Auswertung der Berichte über einige Wochen. Danach werden alle legitimen Absender in SPF und DKIM aufgenommen und die Richtlinie schrittweise verschärft. Seit 2024 verlangen grosse Postfachanbieter wie Google und Yahoo von Massenversendern SPF, DKIM und einen DMARC-Eintrag; für alle anderen ist es eine Frage des Schutzes der eigenen Marke.
Einordnung
Fehlende oder lasche DMARC-Einträge gehören zu den häufigsten Funden beim Attack Surface Management. Sie schützen nicht vor jedem Phishing, verhindern aber, dass die eigene Domain dafür missbraucht wird. Zusammen mit Mehrfaktor-Authentifizierung gehört DMARC zu den wirksamsten Massnahmen pro investierter Stunde.