SPF legt erlaubte Versandwege fest.
Ein SPF-Eintrag nennt die Systeme, die für eine Domain E-Mails versenden dürfen. Empfangende Server können dadurch prüfen, ob die technische Versandquelle zur Domain passt.
Problematisch wird es, wenn im Laufe der Jahre Newsletter-Dienste, Scanner, Cloud-Anwendungen und alte Mailserver hinzukommen. Ein unübersichtlicher SPF-Eintrag kann fehlerhaft werden oder legitime Systeme vergessen.
DKIM schützt die Integrität einer Nachricht.
DKIM versieht ausgehende E-Mails mit einer kryptografischen Signatur. Der empfangende Server kann über einen öffentlichen Schlüssel im DNS prüfen, ob die signierten Bestandteile der Nachricht unverändert sind und ob die Signatur zur Domain gehört.
DKIM ersetzt SPF nicht. Beide Verfahren betrachten unterschiedliche Merkmale des Mailtransports.
DMARC verbindet Prüfung und Richtlinie.
DMARC bewertet, ob die sichtbare Absenderdomain zu den Ergebnissen von SPF oder DKIM passt. Zusätzlich kann der Domaininhaber festlegen, wie Empfänger mit nicht passenden Nachrichten umgehen sollen und Berichte anfordern.
Diese Berichte sind besonders wertvoll, weil sie sichtbar machen, welche legitimen und unerwarteten Systeme im Namen der eigenen Domain versenden.
Nicht sofort auf die strengste Richtlinie springen.
Eine strenge DMARC-Richtlinie sollte erst gesetzt werden, wenn legitime Versandquellen bekannt und korrekt ausgerichtet sind. Sonst können auch echte Nachrichten abgewiesen werden.
Eine betreute E-Mail-Sicherheit betrachtet deshalb DNS-Einträge, Mailfluss und laufende Änderungen gemeinsam statt nur drei Records einmalig zu setzen.
Alignment ist der entscheidende DMARC-Begriff.
DMARC betrachtet nicht nur, ob SPF oder DKIM irgendwo erfolgreich waren. Entscheidend ist, ob das erfolgreiche Ergebnis zur Domain passt, die der Empfänger im sichtbaren Absender sieht. Dieses sogenannte Alignment verhindert, dass eine technisch gültige fremde Domain eine Fälschung legitimiert.
Gerade bei externen Versanddiensten muss deshalb geprüft werden, welche Domain tatsächlich für SPF und DKIM verwendet wird.
Berichte zuerst beobachten.
DMARC-Berichte zeigen, welche Systeme E-Mails im Namen der Domain versenden und wie Empfänger diese Nachrichten bewerten. In einer Beobachtungsphase lassen sich dadurch vergessene Newsletter, Multifunktionsgeräte oder Fachanwendungen erkennen.
Erst wenn legitime Quellen vollständig bekannt sind, lässt sich eine strengere Richtlinie mit geringerem Risiko einführen.
Subdomains nicht übersehen.
Unternehmen nutzen häufig zusätzliche Subdomains für Newsletter, Anwendungen oder Systemnachrichten. Diese können eigene Regeln benötigen oder von der Richtlinie der Hauptdomain erfasst werden.
Eine saubere Bestandsaufnahme sollte deshalb nicht nur die Hauptdomain betrachten, sondern alle tatsächlich genutzten Versanddomains und deren Zweck dokumentieren.
Änderungen gehören in einen festen Prozess.
Ein neuer Cloud-Dienst darf nicht einfach E-Mails versenden, ohne die bestehende Authentifizierung zu berücksichtigen. Vor der Inbetriebnahme sollte geklärt werden, welche DNS-Einträge, DKIM-Schlüssel und Absenderdomains erforderlich sind.
Damit bleibt die Mailauthentifizierung nachvollziehbar und wird nicht mit jeder neuen Anwendung schrittweise unübersichtlicher.