E-Mail-Authentifizierungsmethoden: Wie SPF, DKIM und DMARC Ihre Domain schützen
von
Zuletzt aktualisiert: 9 Lesezeit: 9 Minuten
Wichtigste Erkenntnisse
- E-Mail-Authentifizierungsverfahren stellen sicher, dass eine Nachricht tatsächlich von Ihrer Domain stammt und nicht gefälscht wurde.
- SPF, DKIM und DMARC sind die drei wichtigsten. Jedes überprüft etwas anderes, und zusammen funktionieren sie am besten.
- Gemeinsam verhindern sie Spoofing, sorgen dafür, dass Ihre E-Mails nicht im Spam-Ordner landen, und schützen Ihre Marke bei Gmail, Outlook und Yahoo.
- ARC, MTA-STS, TLS-RPT und BIMI erweitern diesen Schutz auf weitergeleitete E-Mails, den verschlüsselten Transport und Markenlogos.
- Ohne diese kann jeder Ihre Domain fälschen, und Sie haben keinen Einblick in deren Nutzung.
- Anhand der DMARC-Berichte lassen sich unbefugte Absender und Fehler weitaus schneller erkennen als bei einer manuellen Überprüfung der DNS-Einträge oder der Header.
E-Mail-Authentifizierungsmethoden sind Protokolle – vor allem SPF, DKIM und DMARC –, mit denen empfangende Server überprüfen können, ob eine Nachricht tatsächlich von Ihrer Domain stammt. Ohne diese Protokolle kann jeder Ihre Absenderadresse fälschen, und Ihre legitimen E-Mails landen mit größerer Wahrscheinlichkeit im Spam-Ordner.
Bei korrekter Konfiguration schützen diese Methoden Ihre Marke vor Identitätsdiebstahl, sorgen dafür, dass legitime E-Mails im Posteingang landen, und zeigen Ihnen genau, wie Ihre Domain genutzt wird. Da Google, Yahoo, Microsoft und Apple mittlerweile eine Authentifizierung für Massenversender vorschreiben, ist die Einrichtung nicht mehr optional. Dieser Leitfaden behandelt die wichtigsten E-Mail-Authentifizierungsmethoden, ihre Funktionsweise, ihren Einfluss auf die Zustellbarkeit und ihre Umsetzung.
Für Teams, die mehrere Domains betreiben oder Versanddienste nutzen, besteht die größte Herausforderung nicht darin, die Einträge einmalig zu veröffentlichen. Vielmehr geht es darum, den Überblick zu behalten, da jedes neue CRM-System, jede neue Marketingplattform, jeder neue Helpdesk oder jede neue regionale Domain die SPF-, DKIM- und DMARC- -Konstellation unter Ihnen verändert.
Was ist E-Mail-Authentifizierung?
Die E-Mail-Authentifizierung umfasst eine Reihe von Verfahren, mit denen überprüft wird, ob eine Nachricht tatsächlich von der angegebenen Domain stammt und während der Übertragung nicht gefälscht wurde. Diese Verfahren – vor allem SPF, DKIM und DMARC – werden als TXT-Einträge im DNS veröffentlicht. Wenn ein empfangender Server eine eingehende Nachricht überprüft, greift er auf diese DNS-Einträge , um die Inhaberschaft der Domain zu bestätigen und zu entscheiden, ob die Nachricht zugestellt, in den Spam-Ordner weitergeleitet oder abgelehnt wird.
Wissenswertes
Die Authentifizierung wird häufig mit drei verwandten Konzepten verwechselt. Bei der Authentifizierung wird überprüft, wer die Nachricht gesendet hat. Bei der Autorisierung wird entschieden, was ein Absender tun darf. Die Verschlüsselung schützt den Inhalt während der Übertragung. Die Reputation des Absenders spiegelt die Versandhistorie und die Beschwerdequoten einer Domain wider. Alle vier Faktoren beeinflussen die Zustellbarkeit, wobei die Authentifizierung die Grundlage bildet, auf der die anderen drei aufbauen.
Wichtige Methoden zur E-Mail-Authentifizierung: SPF, DKIM und DMARC
Dies sind die Verfahren, die die E-Mail-Authentifizierung ermöglichen, wobei jedes einen anderen Teil der Überprüfung abdeckt.
Stellen Sie sich SPF, DKIM und DMARC als drei Ebenen der Identitätsprüfung vor. SPF bestätigt, dass der sendende Server berechtigt ist, E-Mails für Ihre Domain zu versenden. DKIM bestätigt, dass die Nachricht während der Übertragung nicht verändert wurde. DMARC bestätigt, dass diese Ergebnisse mit der sichtbaren Absenderadresse übereinstimmen, und gibt den Anbietern Anweisungen, wie sie vorgehen sollen, wenn dies nicht der Fall ist.
| Protokoll | Was damit überprüft wird | Warum es wichtig ist | Wichtigste Einschränkung |
|---|---|---|---|
| SPF | Ob die Absender-IP autorisiert ist | Reduziert Spoofing und Missbrauch der Absenderangaben | 10 DNS-Abfragen maximal; wird bei Weiterleitung unterbrochen |
| DKIM | Ob die Nachricht während der Übertragung verändert wurde | Schützt die Integrität der Nachricht | Die angezeigte Absenderadresse wird nicht überprüft |
| DMARC | Ob SPF oder DKIM mit der „From“-Domäne übereinstimmen | Ermöglicht die Durchsetzung von Richtlinien und die Berichterstellung | Erfordert SPF oder DKIM, um zu funktionieren |
| BIMI | Anzeige des Markenlogos bei authentifizierten E-Mails | Stärkt das Vertrauen in die Marke und die Wiedererkennbarkeit im Posteingang | Erfordert DMARC mit p=quarantine oder p=reject |
| MTA-STS | Erzwungene TLS-Transport-Sicherheit | Verhindert Downgrade- und Abhörangriffe | Erfordert das Bereitstellen einer HTTPS-Richtliniendatei |
| TLS-RPT | Meldung von Fehlern bei der TLS-Übertragung | Bietet Einblick in Probleme auf der Transportschicht | JSON-Berichte im Rohformat lassen sich nur schwer manuell auswerten |
| ARC | Authentifizierungskette für weitergeleitete E-Mails | Behält die Authentifizierung bei der Weiterleitung bei | Funktioniert nur, wenn der empfangende Server ARC unterstützt |
SPF (Sender Policy Framework)
Das Sender Policy Framework (SPF) bildet die erste Verteidigungsstufe. SPF verhindert Spoofing, indem es die autorisierten IP-Adressen festlegt, von denen aus E-Mails im Namen einer Domain versendet werden dürfen. Es überprüft ausschließlich den Absender in der „MAIL FROM“-Domain und berücksichtigt nicht die „Von“-Adresse, die der Empfänger sieht, da sich SPF auf den Nachrichtenumschlag („Return-Path“) konzentriert und nicht auf den sichtbaren Header. Eine übereinstimmende IP-Adresse wird akzeptiert; alle anderen werden abgelehnt.
DKIM (DomainKeys Identified Mail)
Während SPF den Absenderserver überprüft, stellt DKIM sicher, dass der Inhalt während der Übertragung nicht manipuliert wurde. Dabei wird mithilfe kryptografischer Schlüssel eine digitale Signatur hinzugefügt: Der Server des Absenders signiert jede Nachricht mit einem privaten Schlüssel und generiert dabei eine DKIM-Signatur , die an die Header angehängt wird, und der empfangende Server ruft den passenden öffentlichen Schlüssel aus dem DNS ab, um sie zu überprüfen. Wenn die Signatur übereinstimmt und der Inhalt unverändert ist, besteht die DKIM-Prüfung, was bestätigt, dass die Nachricht tatsächlich von der angegebenen Domain stammt und unterwegs nicht verändert wurde.
DMARC (Domain-based Message Authentication, Reporting and Conformance)
DMARC ist das Protokoll, das alle Komponenten miteinander verbindet. Es prüft, ob eine eingehende E-Mail die SPF- oder DKIM-Prüfung besteht und ob die bei diesen Prüfungen verwendete Domain mit der Absenderadresse übereinstimmt. Gerade diese Übereinstimmungsanforderung macht DMARC so effektiv bei der Erkennung gefälschter Nachrichten, die allein durch SPF oder DKIM nicht abgefangen werden, und legt fest, welche Maßnahmen das empfangende System bei Fehlern ergreifen soll.
Die DMARC-Richtlinienoptionen werden in einer festgelegten Reihenfolge ausgeführt:
- p=none: Nur Überwachung. Die Nachrichten bleiben davon unberührt, während Sie zusammengefasste Berichte über die Authentifizierungsergebnisse aller Absender erhalten. Dies ist die empfohlene Ausgangsbasis.
- p=Quarantäne: Fehlgeschlagene Nachrichten landen im Spam- oder Junk-Ordner. Verwenden Sie diese Option, sobald Sie sicher sind, dass alle legitimen Absender die Filter passieren.
- p=reject: Fehlerhafte Nachrichten werden auf dem empfangenden Server blockiert. Dies ist die strengste Stufe und schützt Ihre Domain vollständig vor Spoofing.
DMARC generiert außerdem zwei Arten von Berichten: RUA-Gesamtberichte, die die Ergebnisse aller Absender zusammenfassen, und RUF -Forensikberichte, die detaillierte Informationen zu Fehlern auf Nachrichtenebene liefern. Beide werden im XML-Format an die in Ihrem DMARC-Eintrag angegebenen Adressen gesendet.
Weitere Methoden: ARC, MTA-STS, TLS-RPT und BIMI
Das Kern-Trio deckt die meisten Anforderungen ab. Vier weitere Protokolle erweitern den Schutz für spezifische Szenarien: Weiterleitung, verschlüsselter Transport, Transporttransparenz und Markenanzeige.
ARC (Authentifizierte Empfangskette)
Wenn Sie E-Mails über Mailinglisten, Ticket-Systeme oder andere Vermittler weiterleiten, bestehen weitergeleitete Nachrichten die SPF- oder DKIM-Prüfung manchmal nicht. ARC löst dieses Problem, indem es die ursprünglichen Authentifizierungsergebnisse bei jedem Zwischenstopp beibehält. Wenn eine Nachricht einen vertrauenswürdigen Vermittler durchläuft, zeichnet ARC die Ergebnisse bei jedem Schritt auf und erstellt eine kryptografisch signierte Kette, die der Zielserver überprüft, um zu bestätigen, dass die E-Mail ursprünglich authentifiziert wurde – selbst wenn die Weiterleitung die ursprüngliche Signatur beschädigt hat. Dies ist eine häufige Ursache für DMARC-Fehler.
MTA-STS (Mail Transfer Agent Strict Transport Security)
MTA-STS erfordert verschlüsselte SMTP-Verbindungen zwischen Mailservern und verhindert so, dass Angreifer den Datenverkehr bei Man-in-the-Middle-Angriffen abfangen oder auf Klartext herabstufen können. Bei entsprechender Konfiguration weist es die sendenden Server an, TLS -Verschlüsselung verwenden müssen, um E-Mails an Ihre Domain zuzustellen, und die Zustellung verweigern, wenn keine sichere Verbindung hergestellt werden kann.
Gehostete MTA-STS- und TLS-RPT-Dienste vereinfachen die Bereitstellung, da sie das manuelle Hosten von Richtliniendateien und das Auswerten von Transportberichten überflüssig machen. Dies kommt Organisationen aus den Bereichen Finanzen, Gesundheitswesen und dem öffentlichen Sektor zugute, die eine verschlüsselte Datenübertragung als Compliance-Maßnahme benötigen.
TLS-RPT (SMTP-TLS-Berichterstattung)
TLS-RPT bietet Domain-Inhabern Einblick in Zustellungsprobleme im Zusammenhang mit der TLS-Verschlüsselung und zeigt an, wann Nachrichten nicht sicher zugestellt werden konnten. In Verbindung mit MTA-STS hilft es Teams, Downgrade-Angriffe, Fehlkonfigurationen von Richtlinien und Zertifikatsfehler schneller zu erkennen. Ohne diese Funktion treten Verschlüsselungsfehler unbemerkt auf, ohne dass ein Hinweis darauf vorliegt, dass keine sichere Verbindung hergestellt werden konnte.
BIMI (Markenindikatoren zur Nachrichtenidentifizierung)
BIMI zeigt im Posteingang des Empfängers neben authentifizierten Nachrichten ein verifiziertes Markenlogo an und liefert so einen visuellen Nachweis der Legitimität. Damit dies funktioniert, benötigt Ihre Domain eine DMARC-Richtlinie mit mindestens p=quarantineverfügen. Das Logo sorgt für eine bessere Markenwiedererkennung, wodurch Empfänger echte E-Mails sofort identifizieren können, was wiederum die Öffnungsraten steigern kann. BIMI ist zudem ein Ziel für Logo-Spoofing , wenn Domains nicht ordnungsgemäß gesichert sind.
Für die Anzeige des blauen Häkchens in Gmail ist ein „Verified Mark Certificate“ (VMC) erforderlich, und ein gehostetes BIMI mit VMC-Unterstützung reduziert den manuellen Konfigurationsaufwand. Wenn Sie bereit sind, eines einzurichten, finden Sie in dieser Anleitung die Veröffentlichung eines BIMI-Eintrags erläutert die einzelnen Schritte.
So funktioniert die E-Mail-Authentifizierung
Die Authentifizierung erfolgt als Abfolge automatischer Prüfungen zwischen dem sendenden und dem empfangenden Server. Der gesamte Ablauf sieht wie folgt aus.
- Der Absender versendet eine Nachricht. Ihr Mailserver versendet eine E-Mail im Namen Ihrer Domain.
- Der empfangende Server fragt das DNS ab. Er sucht in den DNS-Einträgen der sendenden Domain nach den SPF-, DKIM- und DMARC-Konfigurationen.
- SPF-Prüfung. Der Server prüft, ob die Absender-IP im SPF-Eintrag der Domain als autorisiert aufgeführt ist. Bei Übereinstimmung gilt die Überprüfung als bestanden.
- DKIM-Prüfung. Der Server ruft den öffentlichen DKIM-Schlüssel aus dem DNS ab und überprüft die kryptografische Signatur in den Nachrichten-Headern. Eine gültige Signatur für unveränderten Inhalt wird akzeptiert.
- DMARC-Übereinstimmungs- und Richtlinienprüfung. DMARC prüft, ob die Domain, die die SPF- oder DKIM-Prüfung bestanden hat, mit der sichtbaren „From“-Domain übereinstimmt. Ist dies nicht der Fall, wendet DMARC die Richtlinie der Domain an: „none“, „quarantine“ oder „reject“.
- Endgültige Zustellentscheidung. Der Anbieter stellt die Nachricht zu, stellt sie unter Quarantäne oder lehnt sie ab und sendet aggregierte DMARC-Berichte an den Domaininhaber zurück.
Warum ist die E-Mail-Authentifizierung wichtig?
Das Unterlassen der Authentifizierung birgt in fünf Bereichen echte geschäftliche Risiken, die sich häufig gegenseitig verstärken. Eine unzureichende Authentifizierung führt selten zu einem einzelnen, isolierten Problem.
Schützt den Ruf Ihrer Marke
Die Authentifizierung verhindert, dass Betrüger Ihre Domain zum Versenden betrügerischer Nachrichten missbrauchen. Wenn Angreifer Ihre Domain fälschen, bringen die Empfänger den Phishing-Versuch mit Ihrer Marke in Verbindung, obwohl Sie damit nichts zu tun hatten. Dies zu verhindern ist entscheidend, um das Vertrauen Ihrer Kunden zu bewahren.
Verhindert Phishing und Spoofing
SPF, DKIM und DMARC arbeiten zusammen, um die Identität eines Absenders zu überprüfen, bevor die Nachricht den Empfänger erreicht. Dadurch wird es wesentlich schwieriger, sich als vertrauenswürdige Marke auszugeben. Ohne diese Überprüfungen können Angreifer Absenderadressen nach Belieben fälschen und „Business Email Compromise“-Kampagnen starten. Der Unterschied zwischen Phishing und Spoofing ist hier von Bedeutung, da die Authentifizierung genau das Spoofing bekämpft, das Phishing überzeugend macht.
Verbessert die Zustellbarkeit von E-Mails
Authentifizierte E-Mails werden von Anbietern wie Gmail oder Outlook seltener als Spam markiert, sodass legitime Nachrichten den Posteingang erreichen. Viele Anbieter verlangen mittlerweile DKIM und DMARC für eine erfolgreiche Zustellung voraus, und die Einhaltung dieser Standards erhöht die Zustellungsraten in den Posteingang.
Erfüllt die Compliance-Anforderungen
Google, Yahoo, Microsoft und Apple schreiben für Domains, die täglich mehr als 5.000 E-Mails versenden, die Verwendung von SPF, DKIM und DMARC vor, wobei Google diese Vorgaben seit November 2025 strikt durchsetzt und nicht konforme E-Mails zurückweist.
In regulierten Branchen wie dem Finanzwesen, dem Gesundheitswesen, dem Bildungswesen, dem Einzelhandel und dem öffentlichen Sektor unterstützt die Authentifizierung zudem umfassendere Compliance- und Risikomanagementprogramme. Anforderungen von Google, Microsoft, PCI DSS, DSGVO-konformen Programmen und regionalen behördlichen Vorschriften betrachten SPF, DKIM und DMARC zunehmend als unverzichtbare Kontrollmaßnahmen und nicht mehr nur als bewährte Verfahren.
Bietet Ihnen Transparenz und Kontrolle
Insbesondere DMARC liefert Berichte darüber, wie Ihre Domain zum Versenden von E-Mails genutzt wird. Diese Berichte decken unbefugte Absender, Authentifizierungsfehler und Spoofing-Versuche auf – genau diese Daten bilden die Grundlage für Ihre Maßnahmen. Ohne Authentifizierung haben Sie keinen Einblick in die E-Mail-Leistung oder die Sicherheit Ihrer gesamten Versandinfrastruktur.
Dient als strategischer Vorteil
E-Mail-Anbieter belohnen zunehmend ordnungsgemäß authentifizierte Absender. Unternehmen, die dies richtig umsetzen, stärken das Vertrauen ihrer Empfänger, haben weniger Probleme bei der Zustellung und schützen ihre Versandinfrastruktur vor Missbrauch – wodurch sie sich einen Vorsprung gegenüber Wettbewerbern verschaffen, die dies nicht tun.
So richten Sie die E-Mail-Authentifizierung ein
Die Umsetzung besteht im Wesentlichen darin, die DNS-Einträge zu konfigurieren, anhand derer empfangende Server jede von Ihrer Domain gesendete Nachricht überprüfen. Führen Sie die fünf Schritte der Reihe nach durch – vom ersten TXT-Eintrag bis zur vollständigen Umsetzung.
- Überprüfen Sie Ihre Versandinfrastruktur. Erfassen Sie alle Quellen, die im Namen Ihrer Domain E-Mails versenden: primäre E-Mail-Server, Marketing-Automatisierung, CRM, Helpdesk, Abrechnung sowie alle Transaktionsdienstleister. Die meisten Authentifizierungsfehler lassen sich auf einen übersehenen Absender zurückführen, daher entscheidet dieser Schritt darüber, wie sauber die Bereitstellung ist.
- Veröffentlichen Sie Ihren SPF-Eintrag. Erstellen Sie einen einzigen TXT-Eintrag, in dem alle autorisierten IP-Adressen und Versanddienste aufgeführt sind. Jeder Eintrag zählt zum Limit von 10 Abfragen; wird dieses überschritten, führt dies bei allen Nachrichten zu einem SPF-Fehler.
- Konfigurieren Sie dieDKIM -Signatur. Generieren Sie über Ihren Provider oder Mailserver ein Schlüsselpaar. Der private Schlüssel verbleibt auf dem sendenden Server und signiert ausgehende E-Mails; der öffentliche Schlüssel wird als TXT-Eintrag im DNS hinterlegt, damit Empfänger jede Signatur überprüfen können.
- Fügen Sie Ihren DMARC-Eintrag hinzu. Veröffentlichen Sie einen DMARC-TXT-Eintrag, beginnend mit einer rein überwachenden „p=none“-Richtlinie, damit Sie die Ergebnisse beobachten können, bevor Sie die Richtlinie durchsetzen. Ein grundlegender Eintrag lautet: v=DMARC1; p=none; rua=mailto:[email protected]; fo=1.
- Testen und validieren. Senden Sie Test-E-Mails von jeder in Schritt 1 identifizierten Quelle und überprüfen Sie den „Authentication-Results“-Header auf SPF-, DKIM- und DMARC-Bewertungen.
Häufiger Fehler
Das direkte Kopieren eines Beispiel-SPF- oder DMARC-Eintrags in das DNS. Die obigen Beispiele sind Vorlagen, keine Einträge, die man einfach so übernehmen kann. Eine SPF-Zeile, die Dienste enthält, die Sie nicht nutzen, verschwendet Abfragen im Rahmen der Obergrenze von 10 Abfragen, und ein DMARC-Eintrag, der auf ein Berichts-Postfach verweist, das niemandem gehört, führt dazu, dass die aggregierten Daten ins Leere laufen. Passen Sie beides vor der Veröffentlichung an Ihre eigenen Absender und Berichtsadressen an.
Für Datensätze, die mit zunehmender Nutzung von SaaS-Plattformen die Suchgrenze überschreiten, bietet ein SPF-Flattening-Tool sorgt automatisch dafür, dass sie innerhalb der Grenzen bleiben. Sobald die Einträge live sind, verwenden Sie einen Domain-Analysator , um die gesamte SPF-, DKIM- und DMARC-Konfiguration in Sekundenschnelle zu überprüfen.
| Aufgabe | Protokoll | Erforderlich | Werkzeug |
|---|---|---|---|
| Alle Quellen für den E-Mail-Versand überprüfen | Alle | Ja | Manuelle Berichte oder DMARC-Berichte |
| SPF-TXT-Eintrag im DNS veröffentlichen | SPF | Ja | SPF-Generator oder PowerSPF |
| DKIM-Signatur konfigurieren und Schlüssel veröffentlichen | DKIM | Ja | DKIM-Generator oder gehostetes DKIM |
| DMARC-Eintrag mit „p=none“ veröffentlichen | DMARC | Ja | DMARC-Generator |
| DMARC-Berichte überprüfen und Fehler beheben | DMARC | Ja | PowerDMARC-Dashboard |
| DMARC in Quarantäne verschieben und anschließend ablehnen | DMARC | Empfohlen | Assistent zur Durchsetzung |
| MTA-STS und TLS-RPT bereitstellen | MTA-STS / TLS-RPT | Empfohlen | Gehostetes MTA-STS / TLS-RPT |
| BIMI mit VMC oder CMC einrichten | BIMI | Optional | PowerBIMI / VMC-Unterstützung |
Häufige Fehler bei der Authentifizierung und wie man sie behebt
Fehler treten in der Regel auf, wenn sich die Versandumgebung ändert. Neue SaaS-Tools, regionale Absender, Weiterleitungsdienste und DNS-Änderungen wirken sich alle auf SPF, DKIM, DMARC und die Transportsicherheit aus. Im Folgenden werden die häufigsten Szenarien und deren Lösungen aufgeführt.
| Misserfolg | So beheben Sie das Problem |
|---|---|
| SPF führt mehr als 10 DNS-Abfragen durch | Nutzen Sie SPF-Flattening oder automatisierte Verwaltung, um den Grenzwert einzuhalten, ohne bestehende Datensätze zu überschreiben. |
| Drittabsender nicht in der SPF-Eintragung enthalten | Die Absenderquellen überprüfen und den Include-Mechanismus für den fehlenden Dienst hinzufügen |
| DKIM-Selektor fehlt oder ist veraltet | DKIM-Schlüssel rotieren und überwachen; den Signatur-Selektor an den im DNS angegebenen anpassen |
| DMARC-Abgleich fehlgeschlagen | Stimmen Sie den SPF-Return-Path oder die DKIM-Signaturdomäne mit der sichtbaren „Von“-Domäne ab |
| Weitergeleitete E-Mails bestehen die Authentifizierung nicht | Setzen Sie ARC ein, sofern dies unterstützt wird, um die Ergebnisse bei der Weiterleitung über Zwischenstellen zu erhalten |
| Fehler bei der TLS-Übertragung | Setzen Sie MTA-STS ein, um eine verschlüsselte Zustellung sicherzustellen, und überwachen Sie TLS-RPT, um Fehler zu lokalisieren. |
| SPF oder DKIM werden bestanden, DMARC jedoch nicht | Die authentifizierte Domäne stimmt nicht mit der „Von“-Domäne überein; überprüfen Sie den Abgleichmodus und die Signaturdomäne. |
Best Practices für die E-Mail-Authentifizierung
Die Veröffentlichung der Datensätze ist der erste Schritt. Um die Authentifizierung langfristig auf einem hohen Sicherheitsniveau zu halten, sind einige regelmäßig zu beachtende Gewohnheiten erforderlich.
Beginnen Sie mit der Überwachung, dann setzen Sie die Vorschriften durch.
Beginnen Sie mit „p=none“, um Daten zu sammeln, ohne die Zustellung zu beeinträchtigen. Analysieren Sie die Berichte, um alle legitimen Absender zu identifizieren, beheben Sie Fehlkonfigurationen und wechseln Sie dann schrittweise zu „p=quarantine“ und „p=reject“, sobald das Vertrauen wächst.
Halten Sie die SPF-Einträge auf dem neuesten Stand und innerhalb der zulässigen Grenzen
Aktualisieren Sie Ihren SPF-Eintrag jedes Mal, wenn Sie einen Versanddienst hinzufügen oder entfernen, da ein veralteter Eintrag dazu führt, dass legitime E-Mails nicht zugestellt werden. Achten Sie bei wachsendem Systemumfang auf die Obergrenze von 10 Lookups, da eine Überschreitung dazu führt, dass der gesamte SPF-Prüfung für jede Nachricht fehlschlägt. Unternehmen, die viele SaaS-Plattformen betreiben, sollten die SPF-Komplexität kontinuierlich überwachen und automatisierte Verwaltung oder Vereinfachung einsetzen, um Fehler zu vermeiden, wenn die Anzahl der Absender zunimmt.
DKIM-Schlüssel regelmäßig rotieren
Das Regenerieren von DKIM-Schlüsseln verringert das Risiko einer Kompromittierung der Schlüssel. Es wird empfohlen, dies alle 6 bis 12 Monate durchzuführen – oder sofort, wenn Sie den Verdacht haben, dass der private Schlüssel offengelegt wurde.
Häufig gestellte Fragen
Benötige ich SPF, DKIM und DMARC, wenn ich einen E-Mail-Dienstleister nutze?
Ja. Die meisten E-Mail-Dienstleister nutzen eine gemeinsame Versandinfrastruktur für viele Kunden, sodass Ihre Domain durch die Standardeinstellungen möglicherweise nicht vollständig authentifiziert wird. Sie veröffentlichen Ihre eigenen SPF-, DKIM- und DMARC-Einträge; der E-Mail-Dienstleister unterstützt Sie bei der Konfiguration der DKIM-Signatur.
Welches Protokoll sollte ich zuerst einrichten?
Zuerst SPF, dann DKIM, dann DMARC mit p=none. Da DMARC für seine Funktion auf die Ergebnisse von SPF oder DKIM angewiesen ist, bringt es nichts, DMARC als Erstes zu veröffentlichen, wenn die beiden anderen noch nicht eingerichtet sind – es gibt dann keinen Bezugspunkt, an dem man die Ergebnisse abgleichen kann.
Was ist der Unterschied zwischen Authentifizierung und Verschlüsselung?
Die Authentifizierung überprüft, wer eine Nachricht gesendet hat und ob sie verändert wurde. Die Verschlüsselung schützt den Inhalt während der Übertragung. MTA-STS und TLS-RPT kümmern sich um die Verschlüsselung; SPF, DKIM und DMARC um die Identitätsprüfung.
Warum scheitern meine weitergeleiteten E-Mails bei der Authentifizierung?
Die Weiterleitung über Mailinglisten oder Ticketingsysteme kann die ursprüngliche SPF- oder DKIM-Signatur beschädigen. ARC bewahrt die ursprünglichen Ergebnisse bei jedem Schritt der Weiterleitung, sodass ein empfangender Server, der ARC unterstützt, der Nachricht weiterhin vertrauen kann.
Wie lange dauert es, bis die Authentifizierung wirksam wird?
DNS-Änderungen werden je nach TTL innerhalb von Minuten bis zu einigen Stunden weitergegeben. Es dauert einige Tage bis zu einigen Wochen, bis aussagekräftige DMARC-Berichtsdaten über alle Ihre Absenderquellen hinweg vorliegen.
Kann ich direkt zu „p=reject“ springen?
Davon wird dringend abgeraten. Ohne eine Überwachungsphase bei p=none können Sie nicht erkennen, welche legitimen Absender Probleme haben, und wenn Sie vorschnell auf „Ablehnen“ umschalten, können dadurch Ihre eigenen Rechnungen und Transaktions-E-Mails blockiert werden.
Experte für Cybersicherheit, Geschäftsführer bei PowerDMARC
Maitham ist ein Tech-Unternehmer, Cybersecurity-Experte, CEO und Gründer von PowerDMARC mit mehr als 15 Jahren Branchenerfahrung. Maitham hat einen Global MBA von der University of Manchester und verschiedene berufliche Zertifizierungen, darunter CISSP, CISM, CRISC und ISC2 CCSP.
Neueste Beiträge von Maitham Al Lawati (alle anzeigen)
