Ein Sender Policy Framework (SPF) funktioniert wie ein Türsteher in deiner Lobby. Du stellst eine Gästeliste bereit, und der Türsteher begrüßt diejenigen, die auf der Liste stehen, während alle anderen darauf warten müssen, ob er sie hereinlässt oder abweist.
Als Kleinunternehmer kennst du zum Beispiel in der Regel die Namen deiner Kunden und Lieferanten sowie ihre Logos, Mitarbeiter und anderen Merkmale. Bei einem E-Mail-Austausch gibt es jedoch keine visuellen Hinweise auf Legitimität.
Die Marketingleiter mittelständischer Unternehmen kennen möglicherweise nur eine Handvoll Kunden und Lieferanten persönlich. Stattdessen verlassen sie sich auf die Mitarbeiter am Empfang, die eine Vorauswahl der Anrufe und Besucher treffen und nur diejenigen durchlassen, deren Anliegen nicht von anderen Mitarbeitern bearbeitet werden können.
Um mit dem CEO oder der Inhaberin eines internationalen Import-/Exportunternehmens zu sprechen, muss man dagegen im Voraus einen Termin vereinbaren. Darüber hinaus muss jeder, der einen Termin erhält, auch ein wichtiges Anliegen haben, welches das gesamte Unternehmen betrifft und um das sich unbedingt der CEO selbst kümmern muss – wie beispielsweise ein VIP-Kunde mit einem komplizierten Vertrag.
In jeder dieser Situationen müssen Unternehmen eine Möglichkeit haben, echte Absender zu erkennen. Andernfalls könnte der Ruf deines Unternehmens erheblichen Schaden erleiden, wenn Spammer, Betrüger oder Bots sich für dich ausgeben und Zugriff auf deine Kundenliste oder deinen E-Mail-Server erhalten. Dein Sender Policy Framework verschafft dir diese Unterscheidungsmöglichkeit.
Erfahre mehr über SPF-Einträge, einschließlich Antworten auf Fragen wie „Was ist ein SPF-Eintrag?“ und „Wie erstellt man einen SPF-Eintrag?“, damit du diese Sicherheitsmaßnahme für dein eigenes Unternehmen nutzen kannst.
Was sind „Sender Policy Framework“-Einträge?
Ein SPF-Eintrag ist im Wesentlichen ein digitales System zur Identitätsverifizierung für deine E-Mails. Es handelt sich um einen bestimmten Textcode (TXT), der den DNS-Einträgen deiner Domain hinzugefügt wird und im Hintergrund E-Mail-Absender authentifiziert und sicherstellt, dass sie von autorisierten IP-Adressen stammen.
Bei richtiger Konfiguration informiert dieser Eintrag die empfangenden E-Mail-Server darüber, dass die E-Mail von legitimen Quellen stammt, die berechtigt sind, E-Mails von bestimmten Domains zu senden.
Die SPF-Authentifizierung funktioniert, indem eine Liste zugelassener IP-Adressen und Servernamen erstellt wird, die E-Mails über deine Domain versenden dürfen. Wenn jemand eine E-Mail erhält, die vorgibt, von deiner Domain zu stammen, überprüft der E-Mail-Server automatisch diesen SPF-Eintrag, um zu verifizieren, ob der sendende Server auf deiner genehmigten Liste steht.
So funktioniert jedes Element:
- Absenderidentifikation: Der SPF-Eintrag ermöglicht es den Empfängerservern, zu bestätigen, dass eine E-Mail tatsächlich von einer autorisierten Quelle stammt und nicht von jemandem, der versucht, deine Domain zu „spoofen“ oder fälschen. Diese Überprüfung erfolgt unsichtbar während der E-Mail-Lieferung.
- Absenderverifizierung: E-Mail-Systeme können automatisch überprüfen, ob die IP-Adresse des sendenden Mailservers mit der in deinem SPF-Eintrag aufgeführten übereinstimmt. So wird verhindert, dass nicht autorisierte Server erfolgreich deine Domain in E-Mails imitieren.
- Rückpfadüberprüfung: SPF bietet einen vertrauenswürdigen Weg zurück zur authentischen Quelle, falls Empfänger Fragen zu deiner Nachricht oder Bedenken hinsichtlich der Nutzung ihrer Informationen haben, was die Rechenschaftspflicht erhöht.
Durch Implementieren von SPF-Einträgen teilst du der Welt genau mit, welche Server berechtigt sind, E-Mails im Namen deiner Domain zu versenden. Dadurch wird eine entscheidende erste Ebene der E-Mail-Sicherheit und Absender-Authentifizierung geschaffen.
Einschränkungen von SPF: Was SPF nicht leisten kann
Während Sender Policy Framework (SPF)-Datensätze Domain-Inhabern helfen, ihre E-Mail-Kommunikation zu sichern, hat dieses E-Mail-Authentifizierungsprotokoll Einschränkungen, die man kennen muss. SPF allein ist keine vollständige Sicherheitslösung.
Zu den Einschränkungen zählen:
- Keine Verschlüsselungsfunktionen: Wenn empfangende Mailserver eine SPF-Authentifizierung durchführen, überprüfen sie nur die Authentizität des Absenders, tun aber nichts, um den tatsächlichen Inhalt deiner Nachrichten zu schützen. Jeder, der deine E-Mails abfängt, kann sie weiterhin lesen, wenn du keine zusätzliche Verschlüsselung verwendest.
- Keine Datenschutz-Features: Diese Aufzeichnungen verbergen keine E-Mail-Metadaten und schützen keine sensiblen Informationen in deinen Nachrichten. Sie überprüfen einfach, ob eine E-Mail von einem autorisierten Mailserver stammt.
- Probleme bei der Weiterleitung: Wenn jemand deine E-Mail weiterleitet, schlägt die SPF-Validierung fehl, weil die IP-Adresse des weiterleitenden Servers als neuer Absender fungiert. Das bedeutet, dass legitime weitergeleitete Nachrichten möglicherweise als verdächtig eingestuft werden.
- Keine Berichtsfunktion: Im Gegensatz zu fortgeschritteneren Protokollen generiert SPF keine Berichte darüber, wer versucht, deine Domain zu fälschen. Es bietet auch keine Analysen zu Zustellproblemen im Zusammenhang mit der Authentifizierung.
- Unzureichend als eigenständige Lösung: Die DNS-Abfrage, die bei SPF-Prüfungen durchgeführt wird, ist nur eine Ebene der E-Mail-Sicherheit. Geschickte Angreifer können Wege finden, den alleinigen SPF-Schutz zu umgehen, weshalb Experten empfehlen, ihn für einen umfassenden Schutz zusammen mit DKIM und DMARC zu implementieren.
- Eingeschränkter Schutzumfang: SPF überprüft nur den sendenden Server, nicht den tatsächlichen Inhalt der E-Mails. Das bedeutet, dass Phishing-Angriffe mit schädlichen Inhalten die SPF-Prüfungen dennoch bestehen können, wenn sie von autorisierten Servern gesendet werden.
Was musst du über SPF wissen?
Durch die Implementierung von SPF-Einträgen wird den E-Mail-Servern der Empfänger mitgeteilt, dass deine Nachricht kein Spoofing betreibt, nicht spammt und nicht versucht, sie zu betrügen. Indem du dir die Zeit nimmst, SPF-Einträge in deine Domain-Einstellungen zu integrieren, schaffst du einen Verifizierungsprozess, der das Vertrauen erhöht und den Widerstand gegen deine Nachrichten verringert.
Wenn Nachrichten behaupten, von deiner SPF-geschützten Domain zu kommen, aber von nicht autorisierten Servern gesendet werden, schlagen sie bei den SPF-Authentifizierungsprüfungen fehl, was sowohl deinen Markenruf als auch deine Empfänger vor potenziellen Betrugsversuchen schützt.
Dieses Verifizierungssystem ist besonders wichtig für den Umgang mit eingehenden E-Mails, da es eine zusätzliche Sicherheitsebene bietet, bevor Nachrichten in die Inbox gelangen.
Wichtige Punkte, die du über SPF wissen solltest:
- Überprüfung von IP-Adressen: Ein SPF-Eintrag ist im Wesentlichen eine veröffentlichte Liste von IP-Adressen, die autorisiert sind, E-Mails im Namen deiner Domain zu senden, und E-Mail-Anbietern klare Anweisungen zur Behandlung deiner ausgehenden Nachrichten gibt.
- Verbesserte Zustellung: Dein SPF-Eintrag bietet eine Schutzebene, die dafür sorgt, dass deine legitimen Nachrichten eher in der Inbox des vorgesehenen Empfängers landen, anstatt als Spam markiert zu werden.
- Keine Verschlüsselungsfunktion: Während SPF die Authentizität des Absenders überprüft, verschlüsselt es weder den Inhalt deiner Nachricht noch bietet es Datenschutz für die darin enthaltenen Informationen.
- Sichtbarkeit der Header: Die Ergebnisse der SPF-Überprüfung erscheinen in den vollständigen Headern deiner E-Mail-Nachrichten, sodass Empfänger die Authentifizierung bei Bedarf manuell überprüfen können.
- Vertrauenssignalisierung: Die SPF-Domain, die in deinem „include“-Mechanismus an erster Stelle steht, zeigt, dass du die Mindestvorkehrungen getroffen hast, um sowohl deine Geschäftsdaten als auch deine Empfänger vor potenziellen E-Mail-Bedrohungen zu schützen.
SPF vs. DMARC vs. DKIM
Die Internet Engineering Task Force veröffentlichte im April 2014 das aktuelle SPF-Protokoll in RFC 7208. Ziel war es, einen Konsens darüber zu schaffen, der verhindert, dass Hacker und Phisher E-Mails versenden können, die angeblich von einer bekannten, vertrauenswürdigen Organisation stammen.
Dieser Konsens wurde zu „spf1“, und ab diesem Zeitpunkt wurde „v=spf1“ das Standardformat für die Anfangsanweisung jedes SPF-Eintrags. Die Weiterleitung einer Nachricht macht das SPF jedoch ungültig. Dadurch kommen zwei weitere Strategien ins Spiel: DKIM und DMARC.
Was ist DKIM?
DKIM ist das Akronym für DomainKeys Identified Mail. Wie SPF ist auch DKIM ein TXT-Eintrag im DNS. DKIM-Einträge bleiben jedoch auch bei der Weiterleitung gültig. Die aktuellen DKIM-Standards entstanden aus den Bemühungen von Yahoo! und Cisco, die jeweils ihre eigenen E-Mail-Autorisierungsstandards entwickelten.
Stelle dir DKIM als das Wachssiegel vor, mit dem früher offizielle Dokumente versiegelt wurden. Diese Wachssiegel waren erkennbar. Wenn ein Brief ankam und das Siegel fehlte oder beschädigt war, wurde er nicht als vertrauenswürdig angesehen.
Alle ausgehenden E-Mail-Server verfügen über eine zweiteilige DKIM: den privaten DKIM-Schlüssel und einen öffentlichen Schlüssel. Alle Eingangsserver greifen auf den öffentlichen Teil dieses Schlüssels zu. Wenn du eine E-Mail sendest, führt der empfangende E-Mail-Server eine Suche im DNS-TXT-Eintrag durch.
Wenn dieser E-Mail-Server deinen öffentlichen DKIM-Schlüssel findet, öffnet er die DKIM-Signatur. Wenn die Signatur in der Nachricht mit der Signatur übereinstimmt, die du in deinem DNS hinterlegt hast, betrachtet der empfangende E-Mail-Server diese Nachricht als gültig. Andernfalls wird die Nachricht als unzustellbar abgelehnt, was bedeutet, dass sie die Inbox des beabsichtigten Empfängers bzw. der Empfängerin nicht erreicht.
Stattdessen wird sie möglicherweise nicht zugestellt, landet im Spam- oder einem anderen Ordner, den die Benutzer für solche Nachrichten eingerichtet haben.
Das richtige Format für DKIM-Einträge sieht folgendermaßen aus:
