Kurz gesagt

  • SPF erlaubt sendende Systeme, DKIM signiert Nachrichten und DMARC bewertet die Ausrichtung.
  • DMARC sollte mit Berichten beginnen und kontrolliert verschärft werden.
  • Alle Versanddienste müssen vor einer Ablehnungsrichtlinie bekannt sein.

SPF, DKIM und DMARC helfen empfangenden Systemen zu prüfen, ob eine E-Mail im Namen Ihrer Domain legitim versendet wurde. Richtig eingeführt erschweren sie Domain-Spoofing. Sie verhindern aber nicht jede betrügerische Nachricht und ersetzen keine Kontosicherheit.

Die Rollen der drei Verfahren

SPF veröffentlicht, welche Systeme für eine Domain senden dürfen. DKIM fügt eine kryptografische Signatur hinzu. DMARC prüft, ob sichtbare Absenderdomain und SPF oder DKIM zusammenpassen und legt den Umgang mit Fehlern fest.

Weiterleitungen und externe Newsletterdienste machen die Praxis komplexer. Deshalb muss der tatsächliche Versand inventarisiert werden.

Sicher ausrollen

Aktivieren Sie DKIM für alle wichtigen Versanddienste und halten Sie SPF unter den technischen DNS-Limits. Starten Sie DMARC mit einer Berichtsrichtlinie. Analysieren Sie legitime und unbekannte Quellen, bevor Sie auf Quarantäne oder Ablehnung wechseln.

Subdomains und nicht verwendete Domains brauchen eine bewusste Richtlinie. Sonst bleiben Umgehungswege offen.

Was zusätzlich nötig ist

MFA, sichere Administratorrollen und kontrollierte Weiterleitungen schützen vor dem Missbrauch echter Postfächer. Zahlungsänderungen brauchen unabhängige Bestätigung.

Konkrete nächste Schritte

  1. Alle legitimen Versanddienste erfassen.
  2. SPF bereinigen und DKIM aktivieren.
  3. DMARC-Berichte sammeln und auswerten.
  4. Richtlinie stufenweise bis Quarantäne oder Ablehnung verschärfen.

vetosec prüft E-Mail-Domänen und setzt Sicherheitskonfigurationen im vereinbarten Umfang um. Zustellbarkeit wird dabei beobachtet, kann aber nicht für jedes externe Empfängersystem garantiert werden.

Passende Inhalte von vetosec

Primärquellen