SPF, DKIM und DMARC technisch erklärt

Das Problem: die sichtbare Absenderadresse ist fälschbar

Das klassische E-Mail-Protokoll prüft den Absender nicht. Wer eine Mail verschickt, kann als sichtbaren Absender (den sogenannten From-Header) praktisch jede beliebige Adresse eintragen, auch Ihre. Genau das nutzen Phishing und CEO-Betrug aus: Eine Mail sieht aus, als käme sie von Ihrer Domain, stammt aber von einem fremden Server.

SPF, DKIM und DMARC schließen diese Lücke. Sie sind keine Konkurrenten, sondern drei Bausteine, die aufeinander aufbauen. Vereinfacht:

• SPF legt fest, welche Server überhaupt im Namen Ihrer Domain senden dürfen.
• DKIM versieht jede Mail mit einer kryptografischen Unterschrift, die unterwegs nicht fälschbar ist.
• DMARC verbindet beides mit der sichtbaren Absenderadresse und legt fest, was passiert, wenn die Prüfung scheitert. Zusätzlich liefert es Berichte.

Alle drei werden als DNS-Einträge bei Ihrer Domain hinterlegt. Der empfangende Mailserver liest sie bei jeder eingehenden Nachricht aus und entscheidet danach.

SPF: wer darf in meinem Namen senden

SPF steht für Sender Policy Framework. Sie veröffentlichen als TXT-Eintrag eine Liste der Server, die für Ihre Domain senden dürfen. Empfängt ein Mailserver eine Nachricht, schaut er, ob die sendende IP-Adresse auf dieser Liste steht.

Beispiel: SPF-TXT-Eintrag auf der Domain

Gelesen heißt das: Erlaubt sind die Server hinter den beiden include-Verweisen (hier Microsoft 365 und Hornetsecurity), alles andere wird abgewiesen (-all). Manche Anbieter setzen statt der include-Liste ein redirect auf einen zentral gepflegten Eintrag, das Prinzip bleibt gleich.

Die Mechanismen und Qualifier

Ein SPF-Eintrag besteht aus Mechanismen (was wird geprüft) und einem Qualifier (was passiert bei Treffer). Der letzte Eintrag, meist all, fängt den Rest ab.

Die zwei wichtigen Grenzen von SPF

• SPF prüft den Return-Path, nicht die sichtbare Absenderzeile. Geprüft wird die technische Absenderadresse aus dem Mail-Umschlag, nicht das, was im Postfach als Absender steht. Eine Mail kann SPF bestehen und trotzdem eine gefälschte sichtbare Adresse tragen. Diese Lücke schließt erst DMARC.
• SPF bricht beim Weiterleiten. Leitet ein Server eine Mail weiter, ändert sich die sendende IP, und SPF schlägt fehl. Deshalb darf man sich nie allein auf SPF verlassen.
• Das 10-Lookup-Limit. Ein SPF-Eintrag darf beim Auswerten höchstens zehn DNS-Abfragen auslösen. Jeder include zählt mit. Wird das überschritten, endet die Prüfung mit einem permerror, und SPF wirkt nicht mehr. Darum nur die wirklich nötigen Dienste einbinden.

DKIM: die fälschungssichere Signatur

DKIM steht für DomainKeys Identified Mail. Ihr Mailserver unterschreibt jede ausgehende Nachricht mit einem geheimen Schlüssel. Der passende öffentliche Schlüssel liegt als DNS-Eintrag bei Ihrer Domain. Der Empfänger prüft mit dem öffentlichen Schlüssel, ob die Unterschrift gültig ist. Stimmt sie, ist zweierlei bewiesen: Die Mail stammt wirklich von Ihrer Domain, und sie wurde unterwegs nicht verändert.

Der private Schlüssel bleibt immer auf dem Mailserver. Ohne ihn lässt sich keine gültige Unterschrift erzeugen, deshalb kann ein Angreifer DKIM nicht einfach nachbauen.

Öffentlicher DKIM-Schlüssel im DNS (über einen Selector adressiert)

Signatur-Kopfzeile in der gesendeten Mail

Die wichtigen Felder

DMARC: Regel und Berichte

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es macht zwei Dinge. Erstens legt es fest, was ein Empfänger mit Mails tun soll, die die Prüfung nicht bestehen. Zweitens schickt es Ihnen Berichte darüber, wer im Namen Ihrer Domain sendet. Damit wird DMARC zum Bindeglied zwischen SPF, DKIM und der sichtbaren Absenderadresse.

DMARC-Eintrag (immer auf dem Namen _dmarc)

Die wichtigen Parameter

Der sichere Weg zu p=reject

Eine scharfe DMARC-Richtlinie schaltet man nicht sofort, sondern in Stufen. So weist man keine legitimen Mails ab, die man übersehen hat:

• p=none. Start. Es wird nichts abgewiesen, aber die Berichte zeigen, welche Dienste tatsächlich in Ihrem Namen senden.
• p=quarantine. Auffällige Mails landen im Spam. Optional zunächst mit pct= für einen Teil der Mails.
• p=reject. Das Ziel. Gefälschte Mails werden abgewiesen, bevor sie zugestellt werden. Erst hier schützt DMARC wirklich.

Das Zusammenspiel: Alignment

Der Schlüsselbegriff bei DMARC heißt Alignment, zu Deutsch Übereinstimmung. DMARC besteht nur, wenn SPF oder DKIM nicht nur technisch bestehen, sondern die dabei bestätigte Domain auch zur sichtbaren Absenderadresse (dem From-Header) passt. Genau das verhindert die eingangs beschriebene Fälschung.

So läuft die Prüfung beim Empfänger ab:

Es genügt also, dass einer der beiden Mechanismen besteht und ausgerichtet ist. Deshalb ist DKIM beim Weiterleiten so wertvoll: Selbst wenn SPF dabei bricht, trägt die DKIM-Signatur die Mail durch. Aus diesem Grund gehören immer alle drei zusammen, nie nur SPF allein.

Über die drei hinaus: MTA-STS, TLS-RPT und BIMI

SPF, DKIM und DMARC sichern die Echtheit. Drei weitere Standards ergänzen sie, und unser Domain-Check prüft sie gleich mit:

• MTA-STS erzwingt, dass Mails an Ihre Domain verschlüsselt übertragen werden, und verhindert ein heimliches Herabstufen der Verbindung.
• TLS-RPT liefert Berichte über fehlgeschlagene verschlüsselte Zustellungen, ein Frühwarnsystem für Transportprobleme.
• BIMI kann bei korrekt eingerichtetem DMARC (p=quarantine oder reject) Ihr Logo neben der Mail anzeigen, ein sichtbares Echtheitssignal.
• ARC hilft Mailinglisten und Weiterleitern, die ursprüngliche Authentifizierung zu erhalten, wenn SPF unterwegs bricht.

Die häufigsten Fehler in der Praxis

• Zwei SPF-Einträge auf einer Domain. Erlaubt ist genau einer. Ein zweiter führt zu einem permerror, SPF fällt komplett aus. Mehrere Dienste werden über include in einen Eintrag zusammengeführt.
• Das 10-Lookup-Limit gerissen. Zu viele include-Verweise lassen SPF kippen, oft unbemerkt. Schlank halten und prüfen.
• DMARC dauerhaft auf p=none. Beliebter Trugschluss: Der Eintrag existiert, schützt aber nicht. Nur quarantine oder reject weisen Fälschungen ab.
• Subdomains vergessen. Ohne sp= und ohne eigenen Schutz lassen sich Subdomains weiter fälschen. Auch ungenutzte Versand-Subdomains absichern.
• DKIM nicht ausgerichtet. Ein Dienstleister signiert mit seiner eigenen Domain statt mit Ihrer. DKIM besteht technisch, ist aber nicht aligned, DMARC scheitert trotzdem.
• Schlüssel nie rotiert. Alte oder zu kurze DKIM-Schlüssel bleiben jahrelang stehen. 2048 Bit und regelmäßige Rotation sind Standard.