Wenn Sie sich noch nicht mit E-Mail-Authentifizierung und DMARC-Analysatorsind, gibt es einige DMARC-Regeln, die Sie von heute an befolgen müssen und die sich bei der E-Mail-Authentifizierung als ein entscheidender Faktor erweisen können. Um ein paar der grundlegendsten Regeln zusammenzufassen:
1. Verwenden Sie keine Richtlinie, die keine Authentifizierung zulässt
4. Richten Sie auch SPF-Einträge für Ihre Domäne(n) ein
5. DKIM-Signatur für Ihre Domäne(n) einrichten
Lassen Sie uns nun diese und andere DMARC-Regeln näher betrachten, um Ihre gesamte Authentifizierungsinfrastruktur zu stärken.
Wir haben alle schon von DMARC gehört, aber was ist das eigentlich?
DMARC steht für Domain-based Message Authentication, Reporting & Conformance. Es handelt sich um ein E-Mail-Sicherheitsprotokoll, das sicherstellt, dass Ihre E-Mails vor der Zustellung authentifiziert werden, um Domain-Fälschungen zu minimieren. Es wurde mit dem Ziel entwickelt, Phishing-Angriffe und andere E-Mail-Attacken zu verhindern, indem überprüft wird, ob der Absender einer E-Mail auch wirklich der ist, für den er sich ausgibt.
Wie verwenden Sie DMARC?
Es ist ganz einfach! Zunächst richten Sie in den DNS-Einträgen Ihrer Domäne ein, dass Sie DMARC verwenden möchten. Wenn dann jemand versucht, eine E-Mail von Ihrer Domäne zu senden, ohne DMARC zu verwenden, kann er sie nicht senden, es sei denn, er verfügt über einen öffentlichen Schlüssel, der mit seiner Domäne verbunden ist - was nur möglich ist, wenn er autorisiert ist. Auf diese Weise wird sichergestellt, dass nur legitime E-Mails in den Posteingang des Empfängers gelangen, während gleichzeitig die Möglichkeit besteht, Benachrichtigungen für Nachrichten einzurichten, die von außerhalb des eigenen Netzwerks stammen.
Das Verfahren funktioniert wie folgt:
- Ein Absender erstellt einen DMARC-Eintrag für seine Domäne mit einem SPF-Eintrag und aktiviert die DKIM-Signierung (optional, aber empfohlen) in seinen DNS-Einträgen.
- Wenn eine E-Mail von dieser Domäne versendet wird, enthält sie eine Kopfzeile mit Informationen darüber, welche Einstellungen verwendet wurden und wie sie eingestellt waren. Diese Kopfzeile kann von Empfängern wie Google Mail verwendet werden, um zu prüfen, ob die Nachricht gemäß dem erwarteten Format gesendet wurde oder nicht.
- Wenn es ein Problem mit einer dieser Einstellungen gibt, wird es entweder als "failing" oder "soft failing" gekennzeichnet, je nachdem, ob dies vom Absender beabsichtigt war oder nicht; wenn dies der Fall ist, kann es sein, dass er es ganz ignoriert, bis er die Ursache behoben hat.
Eine Sache, die wir an DMARC lieben, ist, wie einfach es einzurichten ist - es kann in nur wenigen Schritten erledigt werden!
DMARC-Regeln 101 für Unternehmen
Beim Einrichten einer DMARC-Richtlinieeinrichten, sollten Sie einige Regeln beachten. Hier ist eine Liste der 5 wichtigsten DMARC-Regeln:
- Bei der Richtlinie muss es sich um einen TXT-Eintrag handeln, der in Ihrem DNS veröffentlicht sein muss. Wenn Sie keinen TXT-Eintrag in Ihrem DNS haben, haben Sie das Protokoll nicht implementiert.
- Die Richtlinie sollte p=reject oder p=quarantine lauten, wenn Sie Nachrichten blockieren wollen, die nicht authentifiziert sind.
- Wenn Sie mehrere Richtlinien verwenden und für jede unterschiedliche Authentifizierungsstufen einrichten (z. B. "meine Marke" vs. "meine Organisation"), stellen Sie sicher, dass sie alle eindeutige SPF-Einträge und DKIM-Signaturen haben! Andernfalls werden sie alle unter einer Regel zusammengefasst und lassen sich nicht gut synchronisieren.
- DMARC erfordert auch, dass Sie SPF- und/oder DKIM-Einträge für Ihre Domäne einrichten. Diese Regel ist auch dann obligatorisch, wenn Sie DMARC nicht verwenden möchten, da sie dazu beiträgt, Spoofing-Angriffe zu verhindern, bei denen ein Angreifer die E-Mail-Adresse oder den Domänennamen einer anderen Person verwenden kann, um Phishing-E-Mails zu versenden, die legitim erscheinen, aber in Wirklichkeit nicht von einer autorisierten Quelle stammen.
- Eine weitere wichtige DMARC-Regel besagt, dass Sie einen DMARC-Datensatz mit Ihrer E-Mail-Adresse veröffentlichen müssen, damit andere Organisationen Probleme im Zusammenhang mit Ihren E-Mails mit diesem System melden können. Diese werden als DMARC-Berichte bezeichnet.
Zusätzliche DMARC-Regeln für verbesserten Schutz
- Ziehen Sie in Erwägung, eine DMARC-Richtlinie für Ihre geparkten Domains (inaktive Domains) einzurichten, da auch diese von Angreifern gefälscht werden können, um sich erfolgreich als Ihre Marke auszugeben.
- Von der Einrichtung mehrerer SPF- oder DMARC-Einträge für dieselbe Domäne wird dringend abgeraten. Eine einzelne Domäne sollte nur einen SPF- und DMARC-Eintrag enthalten. Sie können jedoch mehr als einen DKIM-Eintrag für dieselbe Domäne konfigurieren, um eine regelmäßige Schlüsselrotation für einen besseren Schutz zu ermöglichen.
- Sie können die Einrichtung einer Richtlinie für Ihre Subdomains überspringen, es sei denn, Sie möchten einen anderen Durchsetzungsmodus für sie implementieren. Der Grund dafür ist, dass DMARC-Richtlinien für Ihre Hauptdomäne automatisch an die Subdomänen vererbt werden.
- Wenn Sie DMARC-Berichte außerhalb Ihrer Domäne erhalten möchten (an eine externe E-Mail-Adresse, die nicht in den Bereich Ihrer eigenen Domäne fällt), müssen Sie die Überprüfung der externen Domäne aktivieren, um den Servern mitzuteilen, dass die externe Domäne dem Empfang dieser Berichte zustimmt.
- Abschließend sei darauf hingewiesen, dass DMARC kein Allheilmittel ist und Sie nicht vor allen Angriffen schützt. Sie müssen ein zuverlässiges Virenschutzprogramm und eine Firewall zusammen mit DMARC einsetzen, um Ihre Sicherheit zu erhöhen.
In welcher Phase Ihres Authentifizierungsprozesses sollten Sie diese DMARC-Regeln implementieren?
Wenn Sie gerade erst anfangen, müssen Sie sich nicht gleich zu Beginn Ihres Authentifizierungsprozesses an alle oben genannten DMARC-Regeln halten. So kann beispielsweise eine p=reject-Richtlinie zu Beginn zu Komplikationen bei der Zustellbarkeit führen. Es wird stattdessen empfohlen, mit einer "none"-Richtlinie zu beginnen, um Ihre E-Mail-Kanäle zu überwachen, bevor Sie sich zur Durchsetzung verpflichten.
An dieser Stelle kann es ein wenig kompliziert werden. Es ist von entscheidender Bedeutung, dass Sie ein Tempo festlegen, das für Sie und Ihr Unternehmen am besten geeignet ist. Beginnen Sie langsam, indem Sie lockere Richtlinien für Ihre Protokolle einführen, damit Sie die volle Kontrolle darüber haben, bis Sie bereit sind, sich für die Durchsetzung zu entscheiden.
