E-Mail-Spoofing verhindern: niemand sendet mehr in Ihrem Namen

E-Mail wurde ohne jede Prüfung des Absenders entworfen. Die Adresse im Feld Von tippt ein, wer die Nachricht verschickt, genau wie den Absender auf einem Briefumschlag. Deshalb kann ein Fremder „Bitte überweisen Sie diese Rechnung auf unser neues Konto“ von buchhaltung@ihre-domain.de versenden, ohne je Ihre Server zu berühren. Das ist Spoofing, und bei den meisten Domains kleiner Unternehmen funktioniert es heute noch.

Die Abhilfe ist keine Software auf Ihren Rechnern. Es sind drei Einträge im DNS Ihrer Domain, die den empfangenden Servern sagen, woran sie Ihre echten E-Mails erkennen und was mit dem Rest geschehen soll.

1. SPF: die Liste der erlaubten Server

SPF ist ein TXT-Eintrag auf Ihrer Domain, der die Server nennt, die für sie senden dürfen:

v=spf1 include:_spf.google.com include:spf.brevo.com -all

Ein Eintrag pro Domain, höchstens zehn DNS-Abfragen und ein Ende, das etwas aussagt: -all (den Rest ablehnen) oder ~all (den Rest als verdächtig behandeln). Ein Eintrag mit +all erlaubt das ganze Internet und ist schlimmer als keiner. Der SPF-Generator schreibt den Eintrag aus der Liste Ihrer Dienste.

SPF allein verhindert kein Spoofing: Es prüft die verborgene Umschlagadresse, nicht das Von-Feld, das Menschen lesen.

2. DKIM: eine Signatur auf jeder Nachricht

DKIM versieht jede Nachricht mit einer kryptografischen Signatur, erzeugt mit einem Schlüssel, dessen öffentliche Hälfte in Ihrem DNS steht. Der Empfänger prüft die Signatur und weiß, dass die Nachricht von jemandem mit Ihrem Schlüssel stammt und unterwegs nicht verändert wurde. Jeder Versanddienst (Microsoft 365, Google Workspace, Ihr Newsletter-Tool) hat eigene DKIM-Einträge: siehe die Leitfäden zu Microsoft 365, Google Workspace, Brevo und Mailchimp.

3. DMARC: die Regel, die beides an das Von-Feld bindet

DMARC ist es, was Spoofing tatsächlich stoppt. Es verlangt, dass SPF oder DKIM für die Domain im Von-Feld bestehen, und sagt den Empfängern, was zu tun ist, wenn keines besteht:

v=DMARC1; p=reject; rua=mailto:dmarc@ihre-domain.de

p=none beobachtet nur. p=quarantine schickt Fälschungen in den Spam. p=reject lehnt sie ab. Beginnen Sie mit none und einer Berichtsadresse, lesen Sie die Berichte, bis alle echten Dienste bestehen, und verschärfen Sie dann: Von p=none zu p=reject beschreibt die Schritte. Der DMARC-Generator schreibt den Eintrag.

Die großen Postfachanbieter verlangen das inzwischen ohnehin: Gmail und Yahoo fordern von Massenversendern SPF, DKIM und einen DMARC-Eintrag, und Microsoft lehnt Großversender ohne sie ab.

Was DMARC nicht verhindert

Ähnliche Domains. ihre-domain-rechnungen.de oder ihre-dornain.de (mit rn statt m) gehören dem Angreifer, der sie einwandfrei authentifizieren kann. Behalten Sie sie im Blick: Ähnliche Domains.
Gefälschte Anzeigenamen. „Ihr Geschäftsführer“ <gf.name@gmail.com>: Die Domain gehört Gmail, und sie besteht. Hier helfen nur Schulung und die Gewohnheit, die Adresse zu prüfen.
Ein echtes, gehacktes Postfach. Was von Ihrem eigenen Konto ausgeht, besteht jede Prüfung.

Jemand fälscht Ihre Adresse: was Sie heute tun

Spoofing von einem gehackten Konto unterscheiden. Lassen Sie sich eine der Nachrichten als Anhang weiterleiten und lesen Sie die Kopfzeilen mit dem E-Mail-Header-Analyzer. Kam sie von den Servern Ihres Anbieters mit Ihrer DKIM-Signatur, ist ein Konto kompromittiert: Passwort ändern, Zwei-Faktor-Anmeldung einschalten, nach Weiterleitungsregeln suchen, die Sie nicht angelegt haben.
Bei Spoofing Ihren DMARC-Eintrag prüfen. Kein Eintrag oder p=none: Deshalb wird die Fälschung zugestellt. Der DMARC-Check zeigt, was Sie veröffentlichen.
Die Empfänger warnen. Kunden und Lieferanten zuerst, mit einer einfachen Regel: „Wir ändern Bankverbindungen nie per E-Mail.“
DMARC so schnell verschärfen, wie die Berichte es erlauben. Kennen Sie bereits alle Versanddienste, kann p=quarantine noch in derselben Woche folgen.
Unzustellbarkeitsmeldungen für nie verschickte E-Mails sind die Nebenwirkung des Spoofings. Sie hören auf, wenn die Empfänger die Fälschungen schon an der Tür ablehnen.

Der kostenlose SPF-, DKIM- und DMARC-Check prüft alle drei Einträge Ihrer Domain auf einmal.