SPF, DKIM und DMARC einfach erklärt

SPF prüft den sendenden Server

SPF veröffentlicht erlaubte Absenderinfrastruktur im DNS. Der empfangende Server prüft die sendende IP-Adresse gegen die Regeln der technischen Absenderdomain, meist aus MAIL FROM. Das ist nicht automatisch die sichtbare Von-Adresse im E-Mail-Programm. Ein SPF-Erfolg belegt daher für sich allein noch nicht, dass diese sichtbare Domain berechtigt verwendet wurde.

Pro geprüfter Domain darf es nicht mehrere konkurrierende SPF-Regeln geben. Bestehende Dienste werden in einer passenden Regel zusammengeführt. Auch das im Standard begrenzte DNS-Abfragebudget muss berücksichtigt werden; viele verschachtelte include-Verweise können die Prüfung scheitern lassen. Kopieren Sie deshalb keinen zusätzlichen SPF-Eintrag ungeprüft neben einen vorhandenen.

DKIM prüft eine Signatur

Bei DKIM signiert der versendende Dienst ausgewählte Kopfzeilen und den Nachrichtenkörper. Ein öffentlicher Schlüssel im DNS ermöglicht die Prüfung. Die Signatur nennt unter anderem eine Domain und einen Selektor, über den der passende Schlüssel gefunden wird. Verschiedene Versanddienste können dadurch eigene Schlüssel verwenden. DKIM verschlüsselt den Nachrichteninhalt dabei nicht.

DMARC bezieht die sichtbare Absenderdomain ein

DMARC verlangt, dass mindestens ein erfolgreicher Prüfweg – SPF oder DKIM – auch zur Domain der sichtbaren Von-Adresse passt. Diese Zuordnung heißt Alignment; wie eng sie ausfallen muss, hängt vom gewählten Modus ab. Deshalb kann SPF erfolgreich sein, während DMARC scheitert, wenn SPF eine andere Domain bestätigt und keine passende DKIM-Signatur besteht.

Über die Richtlinie gibt der Domaininhaber vor, wie empfangende Systeme mit fehlgeschlagener DMARC-Prüfung umgehen sollen: beobachten, in Quarantäne behandeln oder ablehnen. Die tatsächliche Behandlung liegt beim Empfänger. Berichte können bei der Auswertung helfen. Sie ersetzen weder die Prüfung jeder legitimen Versandquelle noch eine Garantie für die Zustellung im Posteingang.

Beispiel: Die vergessene Rechnungssoftware

Angenommen, ein Unternehmen prüft nur Outlook und den Newsletter. Beide bestehen die Tests. Nach einer strengeren DMARC-Regel fallen jedoch Rechnungen auf, die eine weitere Plattform unter derselben Von-Domain verschickt. Der Fehler lag in der unvollständigen Bestandsaufnahme. Ob der Dienst einen eigenen Rücksendeweg oder DKIM mit Ihrer Domain unterstützt, muss vor der Umstellung geklärt werden.

Erfassen Sie für jede Versandquelle Verantwortliche, verwendete Von-Domain, technische Absenderdomain, DKIM-Domain und ein Testergebnis. Dazu zählen auch Drucker, Ticketsystem, Kontaktformular und CRM. Bei Weiterleitungen oder Mailinglisten lohnt sich ein eigener Test, weil sich Versandweg oder Nachrichteninhalt ändern können.

So bereiten Sie die Umstellung vor

• Alle Versanddienste erfassen und veraltete Einträge einem verantwortlichen Ansprechpartner zuordnen.
• SPF und DKIM anhand der Vorgaben der tatsächlich genutzten Anbieter konfigurieren.
• Testnachrichten jedes Dienstes empfangen und die Authentication-Results des eigenen, vertrauenswürdigen Empfangssystems prüfen.
• Mit einer Beobachtungsphase beginnen, Berichte auswerten und Fehler legitimer Absender beheben.
• Eine strengere Richtlinie erst nach den Tests freigeben; Zuständigkeit für spätere neue Versanddienste festlegen.

Was weiterhin geprüft werden muss

Eine authentifizierte Nachricht kann trotzdem betrügerisch sein, etwa wenn ein echtes Konto übernommen wurde. Ähnlich geschriebene fremde Domains sind ebenfalls ein eigener Fall. Schulen Sie Mitarbeitende deshalb weiterhin im Umgang mit Zahlungsänderungen und ungewöhnlichen Anfragen. SPF, DKIM und DMARC sind ein Teil des E-Mail-Betriebs; sie ersetzen keine Kontosicherheit und keine nachvollziehbaren Freigabeprozesse.