Kurzfassung
- SPF legt fest, welche Systeme eine Domain beim Mailversand verwenden dürfen.
- DKIM versieht Nachrichten mit einer prüfbaren Domain-Signatur.
- DMARC verbindet die Ergebnisse mit einer Richtlinie und optionalen Berichten.
- Eine strenge Richtlinie hilft gegen Domain-Spoofing, ist aber keine vollständige Sicherheitsgarantie.
Wie SPF, DKIM und DMARC zusammenspielen
SPF veröffentlicht im DNS, welche sendenden Systeme eine Domain in bestimmten SMTP-Identitäten verwenden dürfen. DKIM ergänzt E-Mails um eine digitale Signatur, deren öffentlicher Schlüssel über DNS geprüft wird.
DMARC prüft zusätzlich, ob die sichtbare Absenderdomain zu einem erfolgreichen SPF- oder DKIM-Ergebnis passt. Die Domain-Inhaberin kann veröffentlichen, wie Empfänger mit nicht passenden Nachrichten umgehen sollen, und Berichte anfordern.
Was p=none, p=quarantine und p=reject bedeuten
- p=none
- Beobachtungsmodus: Empfänger erhalten keine DMARC-Anweisung zur Quarantäne oder Ablehnung. Berichte helfen, legitime Absender zu erfassen.
- p=quarantine
- Verdächtige Nachrichten sollen als auffällig behandelt werden, häufig im Spam- oder Quarantänebereich.
- p=reject
- Nicht ausgerichtete Nachrichten sollen bereits bei der Annahme abgewiesen werden.
Die Richtlinie sollte nicht blind verschärft werden: Nicht erfasste legitime Versanddienste können sonst Zustellprobleme verursachen. Der DMARC-Standard sieht deshalb auch prozentuale und untergeordnete Richtlinien vor.
Warum p=reject wichtig, aber nicht allmächtig ist
Das Bundesamt für Cybersicherheit hält fest, dass eine strikte DMARC-Richtlinie den Missbrauch der eigenen Identität einschränken kann, ihn jedoch nicht vollständig verhindert. Angreifer können ähnlich aussehende Domains, kompromittierte legitime Konten oder andere Täuschungswege nutzen.
DMARC ist deshalb ein Baustein. Kontoschutz, Mehrfaktor-Authentisierung, Schulung, saubere Prozesse und eine Reaktion auf Vorfälle bleiben ebenfalls notwendig.
Ein sicherer Einführungsweg in fünf Schritten
- Absender inventarisieren.Mailanbieter, Newsletter, Rechnungssoftware, Supportsysteme und technische Dienste erfassen.
- SPF und DKIM bereinigen.Nur tatsächlich benötigte Systeme autorisieren und Signaturen für alle wichtigen Versandwege aktivieren.
- DMARC beobachtend starten.Mit p=none und einer kontrollierten Berichtadresse echte Versandquellen prüfen.
- Fehler beheben.Nicht ausgerichtete legitime Dienste korrigieren, statt sie vorschnell zu blockieren.
- Schrittweise verschärfen.Erst nach stabiler Beobachtung auf quarantine und danach gegebenenfalls reject erhöhen.
Was MUITEM dabei sehen kann – und was nicht
Ein passiver MUITEM-Check kann öffentlich veröffentlichte SPF- und DMARC-TXT-Einträge erkennen und ihre grundlegende Struktur bewerten. Er sieht keine vertraulichen DMARC-Berichte, keine Mailserver-Protokolle und keine tatsächlichen Zustellraten.
Das Ergebnis ist damit eine priorisierte Momentaufnahme öffentlicher Signale, keine Zertifizierung und kein Nachweis, dass eine gesamte Mailumgebung sicher ist.