E-Mail-Sicherheit
26. Januar 2025
Roger
Die Sicherheit von E-Mails ist ein zentrales Thema für Unternehmen, da täglich Milliarden von E-Mail-Nachrichten versendet und empfangen werden – oft mit sensiblen Inhalten. Angriffe wie Phishing und Spoofing bedrohen nicht nur den Datenschutz, sondern auch die Vertrauenswürdigkeit der Absenderdomain. Genau hier setzen die E-Mail-Sicherheitsprotokolle DKIM und DMARC an: Sie stellen sicher, dass E-Mails authentifiziert und die Absender verifiziert sind und der E-Mail-Verkehr vor Manipulationen geschützt ist.
Diese 3 Funktionen sollten Sie unbedingt aktivieren
Damit DKIM und DMARC jedoch effektiv funktionieren, benötigen sie auch das «Sender Policy Framework», kurz SPF. Diese Methode zur Authentifizierung legt fest, welche Server im Namen einer Domain E-Mails versenden dürfen. SPF, DKIM und DMARC bilden zusammen ein starkes Schutzsystem, das Angreifern die Manipulation von E-Mails deutlich erschwert. In diesem Artikel erläutern wir, weshalb Domaininhaber diese Schutzmassnahmen auf jeden Fall aktivieren sollten.
DMARC – Regeln für nicht authentifizierte E-Mails
DMARC («Domain-based Message Authentication, Reporting and Conformance») bietet eine zusätzliche Schutzschicht und baut auf DKIM und SPF auf, damit diese ihre volle Wirkung entfalten können.
Mit DMARC können Domaininhaber festlegen, wie E-Mails behandelt werden sollen, die die SPF- oder DKIM-Prüfung nicht bestehen. Sie können entscheiden, ob solche E-Mails in den Spam-Ordner verschoben oder direkt abgelehnt werden. Es gibt dazu drei DMARC-Richtlinien:
None (keine): E-Mails werden unabhängig vom Ergebnis der Authentifizierungsprüfung zugestellt und im Posteingang des Empfängers angezeigt. Diese Option ist bei Hostpoint nicht verfügbar.
Quarantine (Quarantäne): E-Mails werden vom Mailserver des Empfängers angenommen, aber in den Spam- oder Junk-Ordner verschoben.
Reject (ablehnen): E-Mails werden vom Mailserver abgelehnt und nicht zugestellt, wobei der Absender in der Regel über die fehlgeschlagene Zustellung informiert wird.
DKIM – Schutz vor E-Mail-Manipulation
DKIM («DomainKeys Identified Mail») ist eine Methode zur E-Mail-Authentifizierung, bei der die E-Mails mit einer digitalen Signatur versehen werden. Diese Signatur ermöglicht es dem Empfänger, zu überprüfen, ob das E-Mail tatsächlich vom Server der Absenderdomain stammt und ob der Inhalt der Nachricht unverändert geblieben ist.
Dafür nutzt DKIM ein asymmetrisches Verschlüsselungsverfahren, das aus zwei Schlüsseln besteht. Wenn ein E-Mail von einer Domain gesendet wird, erstellt der Mailserver des Absenders eine digitale Signatur, die in einem speziellen Header im E-Mail gespeichert wird. Diese Signatur wird mithilfe eines privaten Schlüssels erstellt, der nur dem Absender bekannt ist.
Der empfangende Mailserver wiederum kann den öffentlichen Schlüssel, der in der DNS-Zone der Absenderdomain hinterlegt ist, nutzen, um die Signatur zu überprüfen. Stimmt der von ihm errechnete Hashwert mit dem im E-Mail enthaltenen überein, ist klar, dass die Nachricht authentisch und unverändert ist.
SPF – Schutz vor gefälschten Absendern
Das SPF («Sender Policy Framework») ist ein wichtiger Bestandteil der E-Mail-Authentifizierung und arbeitet Hand in Hand mit DKIM und DMARC, um eine umfassende Sicherheitslösung zu bieten. Mittels SPF wird kontrolliert, ob der sendende Server autorisiert ist, E-Mails im Namen einer bestimmten Domain zu versenden.
Der Inhaber einer Domain hinterlegt einen SPF-Record in der DNS-Zone seiner Domain. Dieser Eintrag («Record») enthält eine Liste von IP-Adressen und Servern, die E-Mails im Namen dieser Domain versenden dürfen. Wenn ein empfangender Mailserver ein E-Mail erhält, überprüft er den SPF-Record der Absenderdomain und vergleicht die IP-Adresse des sendenden Servers mit den zulässigen Adressen im SPF-Record. Wenn die Prüfung erfolgreich ist, gilt dies als Indiz für ein legitimes E-Mail. Andernfalls kann es abgelehnt oder als Spam markiert werden.
Ein SPF-Record schützt somit davor, dass Angreifer E-Mails von nicht authorisierten Servern versenden können, die vorgeben, von einer legitimen Domain zu stammen. Um eine zuverlässige Zustellung von E-Mails sicherzustellen, sollte der gültige Postausgangsserver verwendet werden, der von Webhosting-Anbietern wie Hostpoint vorgegeben wird. Dadurch wird das Risiko reduziert, dass E-Mails aufgrund einer negativen SPF-Prüfung vom Empfänger abgelehnt werden.
Hinweis Hostpoint:
Seit August 2024 aktiviert Hostpoint DMARC automatisch für alle Domains, die einem Webhosting oder einer Cloud Office-Gruppe zugeordnet wurden. In allen anderen Fällen ist eine manuelle Aktivierung möglich. Eine Anleitung zur Aktivierung von DMARC ist hier abrufbar.
Hostpoint Blog
24. Oktober 2024 
PrivacyBee Datenschutzerklärun...
Verschlüsselter Briefkasten
