Leitfäden
Verständliche Leitfäden zu E-Mail-Authentifizierung, DNS, Zertifikaten, Subdomains, Sicherheits-Headern und Lookalike-Domains, mit Verweisen auf BSI und BSIG, für alle, die Websites betreiben und Befunde beheben.
- E-Mail
DKIM und DMARC für Brevo: Ihre Versanddomain authentifizieren
Den Brevo-Code, die zwei DKIM-Einträge und den DMARC-Eintrag veröffentlichen, die eigenen DMARC-Berichte behalten und prüfen, dass Brevo mit Ihrer Domain signiert.
- Methode
Cyber Essentials von außen gesehen: was das Internet zeigt
Welche Anforderungen von Cyber Essentials aus dem Internet sichtbare Spuren hinterlassen, wie Sie sie vor der Prüfung kontrollieren und was das Schema nicht abdeckt.
- E-Mail
DKIM, SPF und DMARC für Google Workspace: die vollständige Einrichtung
DKIM in der Google Admin-Konsole aktivieren, die richtigen SPF- und DMARC-Einträge veröffentlichen, echte Nachrichten prüfen und die üblichen Fehler vermeiden.
- E-Mail
DKIM und DMARC für Mailchimp: Ihre Versanddomain authentifizieren
Die zwei CNAME-Einträge und den DMARC-Eintrag von Mailchimp veröffentlichen, prüfen, dass Kampagnen mit Ihrer Domain signiert sind, und DMARC-Ausfälle vermeiden.
- E-Mail
DKIM, SPF und DMARC für Microsoft 365: die vollständige Einrichtung
Die zwei DKIM-CNAME-Einträge von Microsoft 365 veröffentlichen, die Signatur im Defender-Portal aktivieren, SPF und DMARC ergänzen und eine echte Nachricht prüfen.
- Methode
Passiver und aktiver Scan: was jeder findet und wann Sie ihn brauchen
Der Unterschied zwischen passivem Audit und aktivem Schwachstellenscan, was jeder sieht und was nicht, die Risiken aktiver Tests und wie man beides sicher kombiniert.
- Methode
Angriffsfläche überwachen als kleines Unternehmen: was zählt
Was Angreifer von Ihrem Unternehmen sehen, bevor sie etwas versuchen, die sieben Bereiche zum Beobachten, in welchem Takt, und wie es ohne Sicherheitsteam geht.
- E-Mail
Von p=none zu p=reject, ohne eine einzige E-Mail zu verlieren
Der sichere Weg zu einer durchgesetzten DMARC-Richtlinie: was Sie bei jedem Schritt prüfen, wie pct und sp wirken, wie lange Sie warten und was bei Fehlern hilft.
- Web
Offene Ports: Datenbanken und Remote Desktop im Internet
Welche Dienste nie dem ganzen Internet antworten sollten, wie Angreifer sie in Minuten finden, wie Sie Ihre Angriffsfläche ohne Scan sehen und jeden Port schließen.
- E-Mail
MTA-STS und TLS-RPT: E-Mails an Sie kommen wirklich verschlüsselt an
Warum Verschlüsselung zwischen Mailservern unbemerkt wegfallen kann, wie MTA-STS und TLS-Berichte das verhindern und aufdecken, und wie Sie beides einrichten.
- Methode
NIS2 für den Mittelstand: was die Richtlinie wirklich verlangt
Wen NIS2 erfasst, der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen, die Maßnahmen, die 24-Stunden-Frist und wo Sie anfangen.
- E-Mail
DMARC-Berichte lesen: wer E-Mails in Ihrem Namen sendet
Was in den XML-Dateien von Google, Microsoft und anderen steht, wie Sie eigene Dienste von Fälschern unterscheiden und welche Zeilen Sie vor p=reject beheben.
- Methode
API-Schlüssel auf GitHub geleakt: finden und richtig reagieren
Warum Passwörter und Schlüssel in öffentlichen Repositorys landen, wie Angreifer sie in Minuten finden, und die richtige Reihenfolge: erst widerrufen, dann aufräumen.
- Methode
Lieferantensicherheit nach NIS2: ein praktischer Einstieg
Was Artikel 21 zu Ihren Lieferanten verlangt, wie Sie die wichtigen auflisten, was Sie von außen prüfen können, ohne zu fragen, und wann ein Fragebogen sinnvoll ist.
- Zertifikate
Certificate-Transparency-Logs für die eigene Domain beobachten
Jedes öffentliche Zertifikat steht in einem Log. So finden Sie damit vergessene Subdomains, bemerken unerwartete Ausstellungen und sehen Abläufe kommen.
- DNS
DNSSEC und CAA: zwei Einträge, die nichts kosten
Wovor DNSSEC schützt, warum eine fehlerhafte Einrichtung schlimmer ist als keine, wie CAA die Ausstellung von Zertifikaten begrenzt und wie Sie beides einschalten.
- Lookalike-Domains
Lookalike-Domains: Phishing erkennen, bevor die erste E-Mail kommt
Wie Typosquatting funktioniert, zehn Arten, einen Domainnamen abzuwandeln, warum die Registrierung das früheste Warnsignal ist und was dann zu tun ist, auch bei .de.
- Web
Die sechs Sicherheits-Header, die jede Website setzen sollte
Welche HTTP-Header das Risiko wirklich senken, wogegen jeder schützt, die genauen Werte und die Fehler, die eine Content-Security-Policy nutzlos machen.
- E-Mail
SPF, DKIM und DMARC, erklärt für alle, die Websites betreiben
Was die drei Einträge zur E-Mail-Authentifizierung tun, wie sie zusammenspielen, was das BSI dazu sagt und mit welchen Einträgen niemand mehr in Ihrem Namen sendet.
- Subdomains
Übernahme von Subdomains: wenn ein vergessener CNAME Fremden gehört
Warum ein DNS-Eintrag auf einen gekündigten Cloud-Dienst Fremde unter Ihrer Domain veröffentlichen lässt, wie Sie solche Einträge finden und sie entfernen.