SPF, DKIM und DMARC: E-Mail-Authentifizierung gegen Phishing

E-Mail wurde nie mit Authentifizierung im Kopf entworfen: MAIL FROM und der From:-Header lassen sich beliebig setzen. SPF, DKIM und DMARC sind die drei aufeinander aufbauenden Standards, mit denen ein empfangender Server entscheiden kann, ob eine Nachricht wirklich von Ihrer Domain stammt — und sie sind die wirksamste technische Maßnahme gegen Domain-Spoofing beim Phishing.

Die drei Schichten

Die Standards lösen unterschiedliche Probleme und sind für den gemeinsamen Einsatz gedacht.

• SPF (Sender Policy Framework) legt fest, welche IP-Adressen für eine Domain senden dürfen.
• DKIM (DomainKeys Identified Mail) signiert Nachrichten kryptografisch, sodass Manipulation und Fälschung erkennbar werden.
• DMARC verbindet beides, erzwingt die Ausrichtung auf die sichtbare From:-Domain, sagt Empfängern, was bei einem Fehlschlag zu tun ist — und liefert Ihnen Berichte.

SPF

SPF ist ein einzelner DNS-TXT-Eintrag mit den autorisierten Absendern. Der Empfänger prüft die verbindende IP gegen den SPF-Eintrag der Return-Path-Domain (Envelope).

example.com.  IN  TXT  "v=spf1 include:_spf.google.com ip4:198.51.100.10 -all"

• include: zieht die autorisierten Absender einer anderen Domain hinzu (etwa Ihres Versanddienstleisters).
• -all ist ein hartes Fail (alles nicht Gelistete ablehnen); ~all ist ein weiches Fail.
• SPF erlaubt höchstens 10 DNS-Abfragen — darüber gibt es permerror, also stark verschachtelte Includes konsequent abflachen.

Schwäche von SPF: Es prüft den Envelope-Absender, nicht den From:-Header, den die Nutzerin sieht. Für sich allein verhindert es kein Spoofing des Anzeigenamens.

DKIM

DKIM fügt eine Signatur über ausgewählte Header und den Textkörper hinzu, erzeugt mit einem privaten Schlüssel des Absenders. Der öffentliche Schlüssel steht unter einem Selektor im DNS.

selector1._domainkey.example.com.  IN  TXT
  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..."

Eine signierte Nachricht trägt einen Header wie:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=selector1;
  h=from:to:subject:date; bh=...; b=...

Weil die Signatur Weiterleitungen übersteht, ist DKIM robuster als SPF. Verwenden Sie 2048-Bit-Schlüssel und rotieren Sie Selektoren regelmäßig.

DMARC und Ausrichtung

In DMARC steckt die Richtlinie. Es verlangt, dass SPF oder DKIM nicht nur bestehen, sondern auch mit der Domain im sichtbaren From:-Header ausgerichtet sind.

_dmarc.example.com.  IN  TXT
  "v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"

• SPF-Ausrichtung vergleicht die From:-Domain mit der Return-Path-Domain.
• DKIM-Ausrichtung vergleicht die From:-Domain mit dem d= in der Signatur.
• p= ist die Richtlinie: none (beobachten), quarantine oder reject.
• adkim/aspf setzen den Ausrichtungsmodus: s (strikt, exakte Übereinstimmung) oder r (entspannt, gleiche organisatorische Domain).

Eine Nachricht besteht DMARC, wenn mindestens eines von SPF oder DKIM besteht und ausgerichtet ist. Deshalb bricht Weiterleitung häufig SPF, überlebt aber über DKIM.

Der Ablauf beim Empfänger

1. Verbindende IP gegen den SPF-Eintrag des Return-Path prüfen
2. DKIM-Signature gegen den öffentlichen Selektor-Schlüssel verifizieren
3. DMARC: ist ein bestehender Mechanismus mit der From:-Domain ausgerichtet?
4. Wenn nicht → p=-Richtlinie anwenden (reject / quarantine)
5. Aggregat- (rua) und optionale Forensik-Berichte (ruf) senden

Typische Fehlerbilder

• SPF mit zu vielen Lookups — include:-Ketten zusammenfassen, wo stabil lieber ip4/ip6.
• Fehlende Subdomains — Angreifer fälschen mail.example.com, wenn nur die Apex-Domain abgedeckt ist. _dmarc-Einträge für Subdomains anlegen oder die Organisationsrichtlinie mit sp= nutzen.
• Drittanbieter als Absender — Rechnungstools, CRMs und Marketingplattformen brauchen SPF-Includes und DKIM-Schlüssel, sonst scheitern sie an DMARC.
• Direkt auf p=reject springen — immer mit p=none beginnen, die Aggregatberichte lesen, legitime Absender in Ordnung bringen, dann anziehen.

Eine DMARC-Richtlinie p=reject auf einer gut überwachten Domain bedeutet, dass ein Angreifer keine Post mehr als Sie an DMARC-beachtende Empfänger senden kann. Damit fällt der überzeugendste Phishing-Vektor weg: die exakte Domain-Fälschung.

Wie GottaPhish hilft

SPF, DKIM und DMARC unterbinden das Spoofing Ihrer Domain, doch Angreifer weichen einfach auf ähnlich aussehende Domains, Anzeigenamen-Tricks und kompromittierte Dritte aus. GottaPhish und sein Expertenteam adressieren genau dieses Restrisiko: realistische Simulationen mit eben diesen Techniken — verwandte Domains, Absender mit lockerer Ausrichtung, Randfälle weitergeleiteter Post — plus Dashboards, die zeigen, wer geklickt hat und welche Kontrolle was abgefangen hat. Unsere Fachleute unterstützen bei der Einrichtung, entwerfen Szenarien passend zu Ihrer Authentifizierungslage und helfen beim Deuten der Ergebnisse, damit Sie sowohl DNS-Korrekturen als auch gezielte Schulung priorisieren können.