So funktioniert’s
SMTP, das Protokoll für den Mailversand (RFC 5321), prüft von sich aus nicht, ob ein Absender die angegebene Adresse verwenden darf. Jeder Server kann eine Mail mit From: buchhaltung@example.com einliefern, und ohne weitere Prüfung sieht der Empfänger genau diese Adresse.
Eine Mail hat zwei Absender: die Rücklaufadresse im SMTP-Dialog (Envelope-From) und die sichtbare From-Adresse im Kopf. Angreifer fälschen meist die sichtbare Adresse. SPF prüft nur die Rücklaufadresse, DKIM die Signatur, und erst DMARC verlangt, dass eines davon zur sichtbaren Domain passt.
Daneben gibt es Varianten, gegen die SPF, DKIM und DMARC nichts ausrichten: ein vertrauter Anzeigename vor einer fremden Adresse oder eine ähnlich geschriebene Domain wie examp1e.com.
Warum gefährlich
Gefälschte Mails im Namen eines Kunden dienen für Rechnungsbetrug wie CEO-Fraud oder eine angeblich geänderte Bankverbindung, für Phishing und zum Verteilen von Schadsoftware. Empfänger vertrauen der bekannten Domain; der Schaden trifft Geschäftspartner und den Ruf des Kunden.
Auch die Zustellbarkeit leidet: Gehen viele Beschwerden über gefälschte Mails ein, bewerten Postfachanbieter die Domain schlechter, und Unzustellbarkeitsmeldungen für nie verschickte Mails (Backscatter) füllen das Postfach.
So vermeidest du es
- Für jede Kundendomain SPF mit -all, DKIM mit der eigenen Domain und DMARC einrichten.
- DMARC-Berichte auswerten und die Policy bis p=reject anheben, denn erst dann weisen Empfänger Fälschungen der exakten Domain ab.
- Domains ohne Mailversand mit v=spf1 -all, DMARC p=reject und einem Null-MX (0 .) absichern.
- Neu registrierte ähnliche Domains im Blick behalten und naheliegende Tippfehler-Varianten selbst registrieren.
- Im Team festlegen, dass Zahlungsänderungen per Mail immer über einen zweiten Kanal bestätigt werden.
So erkennt DomainWarn es
Gefälschte Mails selbst sieht DomainWarn nicht, sie landen bei fremden Empfängern; einen eigenen Spoofing-Check gibt es deshalb nicht. Geprüft wird die Schutzschicht: Die Checks SPF, DKIM und DMARC melden fehlende Records, zu freizügige SPF-Records (+all, ?all oder ohne all), ungültige oder zu kurze DKIM-Schlüssel und eine DMARC-Policy, die nur beobachtet. Eine abgeschwächte DMARC-Policy und ein entfernter SPF-Record sind kritische Änderungen.
Ob tatsächlich jemand in deinem Namen sendet, zeigen die DMARC-Berichte: Mit der Berichtsadresse von DomainWarn siehst du jede sendende Quelle mit SPF-, DKIM- und Alignment-Ergebnis, und der DMARC-Assistent trennt Fälschungen ohne jede Authentifizierung vom legitimen Versand. Neu registrierte ähnliche Domains meldet der Check Ähnliche Domains.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.