Einführung in die E-Mail-Authentifizierung

Jeden Tag werden weltweit Milliarden E-Mails versendet — und ein erheblicher Teil davon ist betrügerisch. Phishing-Angriffe, CEO-Fraud, Rechnungsmanipulation und Marken-Identitätsdiebstahl gehören zu den schädlichsten Cyberbedrohungen, denen Unternehmen heute ausgesetzt sind. Das grundlegende Problem? E-Mail wurde nie mit Authentifizierung im Sinn entwickelt.

Das ursprüngliche SMTP-Protokoll (Simple Mail Transfer Protocol), das 1982 entwickelt wurde, erlaubt es jedem, eine E-Mail zu senden, die vorgibt, von einer beliebigen Adresse zu stammen. Es gibt keinen eingebauten Mechanismus, um zu überprüfen, ob der Absender tatsächlich der ist, der er vorgibt zu sein. Das entspricht einem Postsystem, in dem jeder eine beliebige Absenderadresse auf einen Umschlag schreiben kann.

Die Auswirkungen in der Praxis

• Finanzielle Verluste: Business Email Compromise (BEC) verursachte allein 2023 über 2,7 Milliarden Dollar an Verlusten (FBI IC3 Report).
• Markenschaden: Wenn Angreifer Phishing-E-Mails über Ihre Domain versenden, verlieren Ihre Kunden das Vertrauen — obwohl Sie nichts falsch gemacht haben.
• Zustellbarkeit: Ohne ordnungsgemäße Authentifizierung werden legitime E-Mails von Ihrer Domain eher als Spam markiert oder komplett abgelehnt.
• Rechtliche Haftung: In einigen Rechtsräumen können Organisationen für das Fehlen angemessener E-Mail-Sicherheitsmaßnahmen haftbar gemacht werden.

Die Authentifizierungs-Triade

Drei Technologien arbeiten zusammen, um das E-Mail-Authentifizierungsproblem zu lösen:

1. SPF (Sender Policy Framework): Legt fest, welche Mailserver berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden.
2. DKIM (DomainKeys Identified Mail): Fügt E-Mails eine kryptographische Signatur hinzu und beweist, dass sie während der Übertragung nicht manipuliert wurden.
3. DMARC (Domain-based Message Authentication, Reporting & Conformance): Verbindet SPF und DKIM mit einer Policy, die Empfängern mitteilt, was mit nicht-authentifizierten E-Mails geschehen soll, und liefert Berichte.

Stellen Sie es sich wie Flughafensicherheit vor: SPF ist die zugelassene Airline-Liste (wer darf Flüge durchführen), DKIM ist das manipulationssichere Siegel am Gepäck (beweist, dass nichts verändert wurde), und DMARC ist die Sicherheitsrichtlinie, die bestimmt, was passiert, wenn etwas nicht stimmt.

Das Verständnis, wie diese drei Protokolle zusammenspielen, ist entscheidend für eine korrekte Implementierung. Hier der vollständige Ablauf beim Empfang einer E-Mail:

Authentifizierungsablauf Schritt für Schritt

1. Absender sendet E-Mail: Der sendende Mailserver verbindet sich über SMTP mit dem empfangenden Mailserver. Die E-Mail enthält Envelope-Informationen (MAIL FROM) und Nachrichten-Header (From:).
2. SPF Check: Der empfangende Server fragt den SPF DNS Record für die Domain im MAIL FROM (Envelope Sender) ab. Er prüft, ob die IP-Adresse des sendenden Servers als autorisiert gelistet ist.
3. DKIM Check: Der empfangende Server sucht nach einem DKIM-Signature Header in der E-Mail. Falls vorhanden, ruft er den Public Key aus dem DNS des Absenders ab und verifiziert die kryptographische Signatur.
4. DMARC Check: Der empfangende Server fragt den DMARC DNS Record für die Domain im From:-Header (der sichtbare Absender) ab. Dann prüft er:
   • Hat SPF bestanden UND ist die SPF-Domain mit der From:-Domain aligned?
   • Hat DKIM bestanden UND ist die DKIM-Domain mit der From:-Domain aligned?
   • Wenn mindestens eines davon zutrifft, ist DMARC bestanden.
5. Policy Enforcement: Wenn DMARC fehlschlägt, folgt der empfangende Server der DMARC Policy: none (nur überwachen), quarantine (als verdächtig markieren) oder reject (E-Mail blockieren).
6. Reporting: Der empfangende Server sendet Aggregate Reports (XML) an den Domain-Inhaber zurück, die detailliert auflisten, welche E-Mails die Authentifizierung bestanden oder nicht bestanden haben.