SPF, DKIM und DMARC einrichten, um gefälschte Absender zu stoppen, ohne echte E-Mails zu blockieren

## Festlegen, wer DNS-Änderungen für E-Mail freigibt und wie man sie rückgängig macht Behandle E-Mail-Authentifizierung als gemeinsam genutzte Infrastruktur. Eine Änderung an einem Eintrag kann Transaktionsnachrichten, Unterstützungssysteme, Marketing, interne Werkzeuge und Dritte betreffen, die dieselbe Domäne verwenden. - Ermittle die Versanddomänen, Unterdomänen, sichtbaren From-Domänen und geschäftskritischen Nachrichtenströme im Umfang. - Benenne einen verantwortlichen Domäneninhaber und einen befugten DNS-Betreiber. - Trenne die Rollen, die eine Änderung vorschlagen, prüfen, genehmigen, veröffentlichen, validieren und überwachen. - Erfasse die aktuellen DNS-Werte, ihre Lebensdauer, Abhängigkeiten und einen geprüften Rücksetzungswert. - Plane Änderungen zu Zeiten, in denen die Verantwortlichen kritischer Ströme die Ergebnisse beobachten können. - Ändere produktive DNS-Einträge nicht ohne ausdrückliche Genehmigung und Wiederherstellungsplan. - Unterbrich die Verschärfung, wenn das Verzeichnis der Versandquellen oder die Zuständigkeitsnachweise unvollständig sind. ## Alle Dienste auflisten, die E-Mails mit der eigenen Domain senden Erstelle das Verzeichnis der Versandquellen, bevor du Authentifizierungseinträge schreibst. Ein fehlender berechtigter Dienst kann dazu führen, dass die Durchsetzung der Richtlinie erwünschte Nachrichten blockiert, während veraltete Berechtigungen die Angriffsfläche für Absenderfälschung vergrößern. - Führe jede Plattform, Anwendung, jeden Weiterleitungsserver, jedes Gerät und jeden Anbieter auf, der über die Domäne sendet. - Erfasse Umschlagabsender, sichtbare From-Domäne, Signaturdomäne, Eigentümer der IP-Adresse und verantwortliches Team. - Unterscheide direkte Absender von Weiterleitungs-, Verteilerlisten- und Übergangspfaden. - Vermerke, welche Quellen mit DKIM signieren können und welche von der SPF-Ausrichtung abhängen. - Entferne stillgelegte Quellen erst, nachdem bestätigt wurde, dass sie keinen berechtigten Nachrichtenverkehr mehr senden. - Erwäge, Gruppen mit unterschiedlichem Risiko oder unterschiedlicher Zuständigkeit auf eigenen Unterdomänen zu trennen. - Verknüpfe das Verzeichnis mit Änderungsaufzeichnungen und Authentifizierungsberichten. ## Einen einzigen korrekten SPF-Eintrag für alle Absender schreiben SPF berechtigt Systeme, eine Domäne als Umschlagabsender zu verwenden. Es bewertet die verbindende Quelle; es signiert keine Inhalte und authentifiziert für sich allein nicht die sichtbare From-Adresse. - Veröffentliche genau eine SPF-Richtlinie für jeden Hostnamen, der eine benötigt. - Fasse alle berechtigten Absender in dieser Richtlinie zusammen, statt doppelte SPF-Einträge zu erstellen. - Verwende nur Mechanismen und Einbindungen, die von den verantwortlichen Versanddiensten unterstützt werden. - Halte Mechanismen mit DNS-Abfragen während der Auswertung innerhalb des SPF-Grenzwerts von 10. - Entferne überflüssige Einbindungen und ungenutzte Absender, bevor du dich dem Grenzwert näherst. - Wähle den abschließenden all-Mechanismus bewusst und verschärfe ihn erst, nachdem die Abdeckung nachgewiesen ist. - Prüfe Syntax, Erweiterungspfade, Anzahl der Abfragen und Ergebnisse repräsentativer Absender. ## DKIM-Signatur für jeden Versanddienst einschalten Mit DKIM kann ein Absender ausgewählte Nachrichteninhalte mit einem privaten Schlüssel signieren, während Empfänger den passenden öffentlichen Schlüssel aus dem DNS abrufen. Eine gültige Signatur zeigt, dass der signierte Inhalt den Transport unverändert überstanden hat, und weist die Signaturdomäne aus. - Erzeuge nach dem unterstützten Verfahren jedes Absenders einen eigenen Selektor und ein eigenes Schlüsselpaar. - Bevorzuge starke Schlüssel, etwa 2048-Bit-Schlüssel, wenn Absender und DNS-Dienst sie unterstützen. - Veröffentliche den genauen Eintrag des öffentlichen Schlüssels am vom Absender vorgegebenen Selektorort. - Schütze private Schlüssel und lege sie niemals im DNS, in Unterstützungsvorgängen, gemeinsamen Dokumenten oder Protokolldateien ab. - Aktiviere die Signatur erst, nachdem der öffentliche Eintrag korrekt aufgelöst wird. - Sende eine echte Prüfnachricht und kontrolliere Selektor, Signaturdomäne, Signaturergebnis und Abdeckung der Kopfzeilen. - Plane eine selektorbasierte Schlüsselrotation, damit der neue Schlüssel bestätigt werden kann, bevor der alte außer Betrieb geht. ## DMARC zuerst nur beobachtend starten und die Berichte lesen DMARC prüft, ob die sichtbare From-Domäne mit einer erfolgreichen SPF- oder DKIM-Identität ausgerichtet ist, und wendet anschließend die veröffentlichte Richtlinie des Domäneninhabers an. Eine erfolgreiche Authentifizierung ohne Ausrichtung kann DMARC weiterhin nicht bestehen. - Bestätige, dass jeder berechtigte Strom über SPF, DKIM oder beide ausgerichtet ist. - Prüfe, ob eine lockere oder strikte Ausrichtung zur Domänenstruktur und zum Risiko passt. - Veröffentliche am erforderlichen Richtlinien-Hostnamen einen DMARC-Eintrag mit einem befugten Berichtsziel. - Beginne mit einer Richtlinie zur Beobachtung, während berechtigte und unberechtigte Quellen ermittelt werden. - Schütze die Berichtspostfächer und beschränke den Zugriff, da Berichte Einzelheiten der Infrastruktur offenlegen können. - Ordne Fehler nach Quelle, Authentifizierungsergebnis, Ausrichtung, Volumen und geschäftlich Verantwortlichem. - Wechsle erst zur Durchsetzung, wenn alle wichtigen berechtigten Ströme erfasst sind. ## DMARC schrittweise verschärfen, ohne echte E-Mails zu blockieren Wechsle von der Beobachtung erst dann zu Quarantäne und Ablehnung, wenn Nachweise zeigen, dass berechtigte Nachrichten weiterhin ausgerichtet sind. Durchsetzung ist eine Entscheidung zur Risikosteuerung und keine einmalige Aufgabe zur Formatierung von DNS-Einträgen. - Lege für jede Stufe Kriterien für Erfolgsquote, unbekannte Quellen und geschäftliche Auswirkungen fest. - Behebe Fehler berechtigter Quellen, bevor die Strenge der Richtlinie erhöht wird. - Verwende einen begrenzten Durchsetzungsanteil, wenn dies unterstützt wird und zur Risikominderung beiträgt. - Überwache nach jeder Änderung aggregierte Berichte, Zustellfehler, Unterstützungsvorfälle und den Zustand kritischer Ströme. - Halte während des gesamten Übergangs eine dokumentierte Rücksetzungsrichtlinie bereit. - Hole eine verantwortliche Genehmigung ein, bevor die Durchsetzung erhöht oder der Ausrichtungsmodus geändert wird. - Halte an und untersuche den Fall, wenn berechtigte Nachrichten abgelehnt, unter Quarantäne gestellt oder unerwartet nicht authentifiziert werden. ## Nach jeder Änderung DNS-Einträge und echte Test-E-Mails prüfen Bestätige sowohl die Veröffentlichung der Einträge als auch das tatsächliche Nachrichtenverhalten. Ein syntaktisch gültiger DNS-Eintrag beweist weder, dass jeder Absender ihn verwendet, noch dass die DMARC-Ausrichtung gelingt. - Frage nach der DNS-Verbreitung die autoritativen DNS-Server nach SPF, DKIM-Selektoren und DMARC ab. - Prüfe auf doppelte Einträge, abgeschnittene Werte, falsche Hostnamen und unbeabsichtigt geerbte Richtlinien. - Sende Prüfnachrichten über jeden repräsentativen produktiven Pfad an mehrere Empfangsumgebungen. - Untersuche Nachrichtenkopfzeilen auf SPF, DKIM, DMARC, Domänen, Selektoren und Ausrichtungsergebnisse. - Prüfe gewöhnliche Nachrichten und wichtige Varianten wie weitergeleitete oder über einen Weiterleitungsserver gesendete Nachrichten. - Erfasse Prüfpfad, Zeitstempel, Ergebnis, Nachweis und Prüfer. - Wiederhole die Prüfung nach jeder Änderung an Absender, DNS, Weiterleitung oder Signatur. ## Ursachen von SPF-, DKIM- oder DMARC-Fehlern anhand von Belegen finden Stelle die Diagnose anhand von Authentifizierungsergebnissen, DNS-Antworten, Nachrichtenkopfzeilen und Änderungshistorie. Bearbeite Einträge nicht so lange weiter, bis zufällig eine Prüfung besteht. - Untersuche bei dauerhaften SPF-Fehlern doppelte Richtlinien, Syntax, rekursive Einbindungen und den Grenzwert von 10 Abfragen. - Untersuche bei DKIM-Fehlern Selektornamen, kopiertes Schlüsselmaterial, Signaturstatus, Kanonisierung und Nachrichtenänderungen. - Vergleiche bei DMARC-Fehlern die sichtbare From-Domäne mit den SPF- und DKIM-Identitäten. - Ermittle bei blockierten berechtigten Nachrichten die genaue Quelle, bevor du die Richtlinie lockerst. - Setze die kleinste verantwortliche Änderung zurück, wenn ein produktiver Strom beeinträchtigt wird. - Prüfe nach jeder Korrektur den fehlerhaften Pfad und einen unbeeinflussten Kontrollpfad erneut. - Bewahre Nachweise zu Ursache und Behebung für künftige Änderungen auf. ## Nicht nur Prüfergebnisse, sondern auch Rückläufer und Spam-Einordnung beobachten SPF, DKIM und DMARC verringern Identitätsmissbrauch und erfüllen wichtige Prüfungen der Empfänger, garantieren aber keine Ablage im Posteingang. Reputation und Reaktion der Empfänger bleiben eigenständige Signale. - Überwache Erfolgsquoten der Authentifizierung zusammen mit Ablehnungen, Zurückstellungen, Spam-Einstufung, Beschwerden und Rückläufern. - Pflege korrekte Empfängerlisten und entferne ungültige oder dauerhaft fehlschlagende Adressen. - Halte Volumen und Versandmuster im Einklang mit der etablierten Reputation der Domäne. - Verwende eine ehrliche Absenderidentität, relevante Inhalte und eine klare Möglichkeit, nicht erforderliche Nachrichten abzubestellen. - Untersuche plötzliche Veränderungen nach Domäne, Strom, Empfänger, Inhalt und Bereitstellungsereignis. - Behandle weder den schrittweisen Versandaufbau noch eine bestandene Authentifizierungsprüfung als Beleg für eine gesunde Reputation. - Unterbrich riskante Ströme, wenn Nachweise auf anhaltenden Schaden hindeuten. ## Absender und DKIM-Schlüssel in festem Rhythmus überprüfen und erneuern Die Authentifizierung verschlechtert sich, wenn Dienste wechseln, Schlüssel altern, Verantwortliche ausscheiden oder neue Absender die Prüfung umgehen. Pflege sie als wiederkehrende Kontrolle statt als abgeschlossenes Einrichtungsprojekt. - Prüfe das Verzeichnis der Versandquellen, DNS-Einträge, DMARC-Berichte und Zuständigkeiten in einem festgelegten Rhythmus. - Rotiere DKIM-Selektoren und Schlüssel mit einer Überschneidungszeit, die gültige Signaturen erhält. - Prüfe die Anzahl der SPF-Abfragen erneut, sobald sich eine Einbindung oder ein Versanddienst ändert. - Verfolge Richtlinienänderungen, Genehmigungen, veröffentlichte Werte, Prüfnachweise und Ergebnisse von Rücksetzungen. - Warne bei neuen Quellen, sinkenden Erfolgsquoten, fehlenden Berichten und plötzlichen Ausrichtungsfehlern. - Entferne veraltete Berechtigungen, nachdem bestätigt wurde, dass der zugehörige Strom inaktiv ist. - Bewerte Grenzen von Unterdomänen und Durchsetzung neu, wenn sich Risiko, Volumen oder geschäftliche Nutzung ändern.