Sicherheitsprüfung für Subdomains
Entdecken Sie Schwachstellen bei der E-Mail-Authentifizierung in all Ihren Subdomains und Ihrer Versandinfrastruktur – bevor Angreifer diese ausnutzen. Wir ermitteln Ihre Subdomains und überprüfen anschließend bei jeder einzelne die SPF-, DKIM- und DMARC-Einstellungen (einschließlich übertragener Richtlinien).So funktioniert der Subdomain-Sicherheitschecker
Subdomains sind die am häufigsten übersehene Angriffsfläche in der E-Mail-Sicherheit. Dieses Tool ermittelt sie, überprüft jede einzelne auf DMARC-, SPF- und DKIM-Abdeckung und kennzeichnet diejenigen, die für Spoofing anfällig sind.
1
Geben Sie Ihre Root-Domain ein
Geben Sie Ihre primäre Domain ein (z. B. company.com). Der Scanner ermittelt Subdomains anhand öffentlicher „Certificate Transparency“-Protokolle und durch Abfrage gängiger Namen in den Bereichen E-Mail, Marketing, Support, Entwicklung und Transaktionen.
2
Authentifizierungsprüfungen werden durchgeführt
Jede aufgelöste Subdomain wird auf einen gültigen SPF-Eintrag, DKIM-Signaturen bei gängigen Selektoren und ihre gültige DMARC-Richtlinie überprüft – einschließlich des von der übergeordneten Domain geerbten Schutzes sp= oder p=.
3
Erstellen Sie eine nach Prioritäten geordnete Aufgabenliste
Sehen Sie, welche Subdomains anfällig sind und welche verbessert werden müssen, und erhalten Sie konkrete Maßnahmen zur Behebung der Probleme, sortiert nach ihrem Risiko – damit Ihr Team genau weiß, was zuerst behoben werden muss.
Warum die E-Mail-Sicherheit bei Subdomains wichtig ist
Unternehmen sichern in der Regel ihre Root-Domain ab, lassen Subdomains jedoch ungeschützt. Angreifer wissen das – und nutzen die E-Mail-Infrastruktur von Subdomains aktiv aus, um Filter zu umgehen und vertrauenswürdige Marken zu imitieren.
Subdomains können unabhängig voneinander gefälscht werden
Eine DMARC-Richtlinie für Ihre Root-Domain bewirkt Folgendes: nicht Subdomains automatisch schützen. Ohne Vererbung oder einen eigenen Eintrag können Angreifer ungehindert E-Mails von
So schützen Sie Subdomains →
support.yourdomain.com, mail.yourdomain.com, und vieles mehr.p=none verschafft Angreifern freie Hand
Ein DMARC-Eintrag mit
DMARC p=none verstehen →
p=none Es werden lediglich Überwachungen durchgeführt – gefälschte E-Mails werden weder blockiert noch unter Quarantäne gestellt. Subdomains, die im Überwachungsmodus verbleiben, sind aus Sicht der Zustellbarkeit praktisch ungeschützt.Erklärung zur Vererbung von Subdomains
Wenn eine Subdomain keinen DMARC-Eintrag hat, greifen die Empfänger auf die DMARC-Einträge der Root-Domain zurück.
Leitfaden zur DMARC-Richtlinie für Subdomains →
sp=, oder dessen p= falls es keine gibt sp=. Die meisten Organisationen legen nie fest sp=, daher berechnet dieses Tool für jede Subdomain die tatsächlich wirksame Richtlinie.Häufige Sicherheitslücken bei E-Mails mit Subdomains
Dies sind die häufigsten Schwachstellen, die unser Scanner in der Infrastruktur von Subdomains aufdeckt – und wie man sie jeweils beheben kann.
Kein DMARC-Eintrag
DMARC fehlt auf der Subdomain
Die wichtigste Erkenntnis: Ohne einen DMARC-Eintrag – und ohne eine übergeordnete Richtlinie, die durchgesetzt wird und von der die Subdomain erbt – kann jeder E-Mails von der Subdomain versenden, und diese werden ohne Authentifizierung durchgelassen. Die empfangenden Server haben keine Richtlinie, die sie durchsetzen könnten.
Fügen Sie einen DMARC-TXT-Eintrag unter
_dmarc.subdomain.yourdomain.com mit mindestens p=quarantine.
DMARC p=none
Die Richtlinien sind zu schwach, um Spoofing zu verhindern
Eine Politik der
p=none bedeutet: ausschließlich Überwachungsmodus. Gefälschte E-Mails gelangen weiterhin in die Posteingänge – die Richtlinie erstellt Berichte, leitet jedoch keine Durchsetzungsmaßnahmen ein.Aufrüstung auf
p=quarantine Sobald Sie Ihre Berichte durchgesehen haben, fahren Sie fort mit p=reject.
Kein SPF-Eintrag
Fehlender SPF auf der Subdomain
Ohne SPF können empfangende Mailserver nicht überprüfen, ob der sendende Server zum Versand von E-Mails über die Subdomain berechtigt ist. Dies ist für die DMARC-Ausrichtung und die grundlegende Zustellbarkeit erforderlich.
Fügen Sie einen TXT-Eintrag für die Subdomain hinzu:
v=spf1 include:youresp.com ~all - Verwenden Sie die in der Dokumentation Ihres ESP angegebene Include-Datei.
Schutz nur durch Vererbung
Auf die übergeordnete Richtlinie zurückgreifen
Eine Subdomain, die über keine eigenen Einträge verfügt, aber von der Root-Domain abgedeckt wird
sp=reject ist vor Spoofing geschützt – verfügt jedoch über keine Berichterstellung und keine explizite Kontrolle und kann eigene legitime E-Mails zur Ablehnung führen, wenn sie nicht korrekt konfiguriert ist.Veröffentlichen Sie für jede sendende Subdomain einen eigenen DMARC-Eintrag, anstatt sich auf die Vererbung zu verlassen.
Häufig gestellte Fragen
Schützt die DMARC-Richtlinie meiner Root-Domain auch Subdomains?
Nicht automatisch. Eine DMARC-Richtlinie gilt genau für die Domain, auf der sie veröffentlicht wurde. Subdomains fallen nur dann unter die Richtlinie der Root-Domain, wenn der Root-Eintrag ein „subdomain-policy“-Tag enthält –
sp=quarantine oder sp=reject. Falls es keine gibt, sp=, greifen die Empfänger auf die Stammverzeichnis-Datei zurück p= für Subdomains. In jedem Fall hat eine Subdomain mit eigenem DMARC-Eintrag immer Vorrang vor der übergeordneten Domain. Dieses Tool ermittelt die tatsächlich geltende Richtlinie für Sie.Was ist Subdomain-Spoofing und wie funktioniert es?
Dies ist der Fall, wenn ein Angreifer die „Von“-Adresse mithilfe einer Subdomain Ihrer Domain fälscht – zum Beispiel
[email protected]. Wenn für diese Subdomain keine wirksamen DMARC-Maßnahmen gelten, gibt es für empfangende Server keine Richtlinie, die sie dazu anweist, die Nachricht abzulehnen. Da die Subdomain mit einer vertrauenswürdigen Marke in Verbindung steht, sind diese Angriffe bei Mitarbeitern, Kunden und Partnern in hohem Maße erfolgreich.Wie erkennt der Scanner meine Subdomains?
Zwei Ansätze, kombiniert. Zunächst durchsuchen wir öffentliche Certificate-Transparency-Protokolle (crt.sh) nach Namen, für die TLS-Zertifikate ausgestellt wurden. Anschließend überprüfen wir aktiv eine kuratierte Liste gängiger E-Mail- und Infrastruktur-Subdomains über DNS. Danach prüfen wir, welche Namen tatsächlich aufgelöst werden. Die Ermittlung ist niemals vollständig – rein interne oder brandneue Subdomains werden möglicherweise nicht erfasst –, doch sie deckt die Angriffsfläche auf, die die meisten Organisationen übersehen.
Sollte ich DMARC auch für Subdomains hinzufügen, von denen keine E-Mails versendet werden?
Ja. Subdomains, die keine E-Mails versenden, werden häufig gerade deshalb angegriffen, weil Unternehmen davon ausgehen, dass sie keinen Schutz benötigen. Für eine Subdomain, die niemals E-Mails versendet, veröffentlichen Sie einen DMARC-Eintrag mit
p=reject und einen SPF-Eintrag mit dem folgenden Inhalt: v=spf1 -all. Dadurch werden Empfänger angewiesen, alle Nachrichten zurückzuweisen, die vorgeben, von diesem Absender zu stammen.Was bedeutet „Gefährdet“ in den Ergebnissen?
„Anfällig“ bedeutet, dass für den Namen keine wirksame DMARC-Durchsetzung vorliegt – es gibt weder einen DMARC-Eintrag noch eine durchgesetzte übergeordnete Richtlinie, oder die wirksame Richtlinie lautet
p=none (nur Überwachung). Gefälschte E-Mails von dieser Adresse können in den Posteingang gelangen. „Warnung“ bedeutet, dass die Richtlinie zwar durchgesetzt wird, sich jedoch ausschließlich auf die übergeordnete Richtlinie stützt, kein SPF vorhanden ist oder sie anderweitig unvollständig ist. „Sicher“ bedeutet, dass sie über einen eigenen DMARC-Eintrag unter p=quarantine oder p=reject.Ist die DKIM-Erkennung eindeutig?
Nein. DKIM-Schlüssel sind unter selektorspezifischen Namen hinterlegt, die wir nicht aus dem DNS abfragen können. Daher überprüfen wir eine kleine Auswahl gängiger Selektoren. „Erkannt“ ist zuverlässig, aber „Nicht erkannt“ bedeutet lediglich, dass keiner der gängigen Selektoren übereinstimmte – ein benutzerdefinierter Selektor könnte dennoch im Einsatz sein. Aus diesem Grund stuft DKIM eine Subdomain in diesem Tool nicht automatisch als anfällig ein.
Wie kann ich alle meine Subdomains auf einmal schützen?
Für eine sofortige, umfassende Abdeckung
sp=reject im DMARC-Eintrag Ihrer Root-Domain – dieser gilt für alle Subdomains, die keine eigene Richtlinie haben. Konfigurieren Sie anschließend für jede sendende Subdomain die entsprechenden SPF-, DKIM- und eigenen DMARC-Einträge. Mit einer gehosteten Plattform wie PowerDMARC können Sie alle Richtlinien zentral verwalten, werden benachrichtigt, wenn neue Subdomains hinzukommen, und erhalten eine Anleitung zur p=reject sicher mithilfe von aggregierten und forensischen Berichten.Weitere kostenlose Tools zur E-Mail-Authentifizierung
Überprüfen Sie Ihren gesamten E-Mail-Authentifizierungs-Stack mit der kostenlosen Tool-Suite von PowerDMARC.
DMARC-Prüfer
Überprüfen Sie Ihren DMARC-Eintrag und Ihre Durchsetzungsrichtlinie.
DMARC prüfen →SPF-Datensatz-Prüfer
Überprüfen Sie Ihren SPF-Eintrag auf autorisierte Absender.
SPF prüfen →DKIM-Prüfer
DKIM-Einträge für beliebige Domains abrufen und überprüfen.
DKIM prüfen →Absender-Reputation
Ermitteln Sie den vollständigen Status der E-Mail-Authentifizierung einer Domain.
Reputation prüfen →Schützen Sie jede Subdomain mit PowerDMARC
Verwalten Sie DMARC-Richtlinien zentral für alle Ihre Domains und Subdomains, erhalten Sie forensische Warnmeldungen in Echtzeit und setzen Sie die Richtlinien ohne großen Aufwand durch.
