Die Sicherheit von E-Mails stellt sowohl für Unternehmen als auch für Privatpersonen ein immer größeres Problem dar. Angesichts der immer häufiger auftretenden Versuche von E-Mail-Fälschungen und Phishing ist die Einführung von Sicherheitsmaßnahmen zum Schutz der Kommunikationskanäle von entscheidender Bedeutung.

Eines dieser wirksamen Instrumente zum Schutz der E-Mail-Kommunikation ist DMARC (Domain-based Message Authentication Reporting and Conformance). Seine Aufgabe besteht darin, E-Mail-Nachrichten zu authentifizieren und geeignete Maßnahmen gegen unzulässige E-Mails zu ergreifen. Die DMARC-Richtlinie arbeitet in Verbindung mit den Protokollen SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail).

Nehmen wir an, ein Angreifer versucht, eine unzulässige E-Mail von Ihrer Domain „example.com“ zu versenden. Da der von ihm verwendete Server nicht autorisiert ist, schlägt die DMARC-Prüfung der E-Mail fehl. DMARC ermöglicht es dem Domaininhaber, in seinem DMARC-Eintrag festzulegen, welche Maßnahmen der empfangende Server in Bezug auf solche E-Mails, die von seiner Domain versendet werden, ergreifen soll (keine, in Quarantäne verschieben oder ablehnen).

Dieser Artikel soll Ihnen die Komplexität, die Funktionsweise und die Richtlinien von DMARC näherbringen und Ihnen verdeutlichen, welche wichtige Rolle Tags bei der Authentifizierung spielen.

Wie funktioniert DMARC?

Eine einfache Beschreibung der Funktionsweise von DMARC:

1. Nehmen wir an, der empfangende Server erhält eine E-Mail von der Adresse employee@example.com.
2. Das SPF-Protokoll überprüft, ob der Absenderserver berechtigt ist, E-Mails im Namen von example.com zu versenden.
3. DKIM verwendet zudem kryptografische Signaturen, um die Integrität der empfangenen E-Mails zu überprüfen. Es stellt sicher, dass die E-Mail während der Übertragung nicht manipuliert wurde.
4. Anschließend stellt DMARC sicher, dass die in der „From“-Kopfzeile angegebene Domain mit den durch SPF und DKIM überprüften Domains übereinstimmt (in diesem Fall example.com).
5. Wenn die empfangene E-Mail nicht den SPF- und/oder DKIM-Protokollen entspricht, wird sie von DMARC als nicht zulässig markiert.
6. Wenn die E-Mail nicht den DMARC-Vorgaben entspricht, ergreift der empfangende Server Maßnahmen gemäß den Anweisungen, die der Domaininhaber im DMARC-Eintrag festgelegt hat:
   • Die Option „None“ weist das System an, keinerlei Maßnahmen zu ergreifen.
   • Der Spamfilter weist Sie an, die E-Mail in den Spam-Ordner zu verschieben.
   • „Reject“ dient dazu, den Beitrag zurückzuweisen oder vollständig abzulehnen.
7. Der Host-Server ist verpflichtet, dem Domaininhaber Rückmeldung über den E-Mail-Verkehr und etwaige Authentifizierungsfehler (sofern vorhanden) zu übermitteln.

Video: What is DMARC? | DMARC Explained In Plain English | EasyDMARC (EasyDMARC, auf Englisch)

Was ist ein DMARC-Eintrag?

Der DMARC-Eintrag ist ein DNS-Eintrag (Domain Name System), der den empfangenden E-Mail-Servern Anweisungen gibt, wie sie mit nicht autorisierten E-Mails umgehen sollen, die die DMARC-Prüfung nicht bestanden haben. Der DMARC-Eintrag wird in einem festgelegten Format verfasst und in den DNS-Einstellungen der Domain gespeichert. Der Eintrag enthält eindeutige Anweisungen zu folgenden Punkten:

• Die DMARC-Richtlinie (Keine, Quarantäne, Ablehnung)
• Wohin sollen Sie Rückmeldungen zu Authentifizierungsfehlern senden?

Hier ein Beispiel für einen DMARC-Eintrag:

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

Was ist eine DMARC-Richtlinie?

Wenn Sie DMARC für Ihre Domain einrichten und durchsetzen, werden die empfangenden Server über die Anweisungen Ihrer Domain informiert. Sie wissen dann, ob Sie möchten, dass nicht autorisierte E-Mails abgelehnt oder unter Quarantäne gestellt werden. Diese Informationen nutzen sie, um entsprechende Maßnahmen zu ergreifen, wenn sie eine E-Mail erhalten, die die DMARC-Prüfung nicht besteht.

Im Folgenden sind die drei Richtlinien aufgeführt, die im DMARC-Eintrag festgelegt werden können:

p=none Die „none“-Richtlinie bedeutet, dass der Domaininhaber wünscht, dass der empfangende Server fehlgeschlagene E-Mails unverändert beibehält, sie in das Postfach des Empfängers zustellt und keinerlei Maßnahmen ergreift. Die „none“-Richtlinie wird vor allem bei neuen Domains zu Überwachungszwecken verwendet. Die gewonnenen Daten sind bei der Ersteinrichtung von DMARC von großem Nutzen.

p=quarantine

Die Quarantäne-Richtlinie gibt an, dass der Domaininhaber wünscht, dass der Zielserver nicht autorisierte E-Mails in den Spam- oder Junk-Ordner weiterleitet. Diese Richtlinie trägt dazu bei, ein angemessenes Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit herzustellen.

p=reject

Dies ist die strengste der drei Richtlinien und verlangt, dass der empfangende Server fehlgeschlagene E-Mails unverzüglich zurückweist. Nicht zulässige E-Mails werden an den Absender zurückgesendet.

Die vom Domaininhaber gewählte Richtlinie hängt vollständig vom Reifegrad der E-Mail-Authentifizierungseinstellungen ab. Zu Beginn ist es ratsam, mit der Einstellung „Keine Richtlinie“ zu beginnen, um detaillierte Daten und Erkenntnisse zu gewinnen. Schließlich können Domaininhaber von „Keine Richtlinie“ auf „Quarantäne“ und anschließend auf „Ablehnung“ umstellen.

DMARC-Tags

DMARC-Tags sind verschiedene Parameter innerhalb des DMARC-Eintrags, die zur besseren Anpassung und Kontrolle verwendet werden. Jedem einzelnen Tag ist eine bestimmte Funktion zugeordnet. Sehen wir uns die am häufigsten verwendeten DMARC-Tags und deren Zweck an:

• Tag „Version (v)“: Wie der Name schon sagt, bezeichnet dieses Tag die Version des DMARC-Protokolls. Zum Beispiel DMARC1.
• Tag „Richtlinie (p)“: Legt die Richtlinie fest, die der Domaininhaber auf dem Host-Server befolgen muss (keine, Quarantäne, Ablehnung).

• E-Mail-Adressen für Berichte (rua) – Tag: Dieses Tag legt die E-Mail-Adresse für die zusammengefassten Berichte fest.

• Tag „Berichtsintervall (ri)“: Mit diesem Tag legen Sie das Intervall für den Versand der zusammengefassten Berichte fest.
• E-Mail-Adressen für Rückmeldungen (ruf) – Tag: Legt fest, wohin der empfangende Server die Rückmeldungen senden soll.
• Tag „Report Format (rf)“: Dieses Tag dient zur Festlegung des Formats des forensischen Berichts.
• Tag „Forensic Reporting Options (fo)“: Dieses Tag legt fest, wie forensische Berichte erstellt und dem Domaininhaber angezeigt werden sollen.
• Tag „Subdomain-Richtlinie (sp)“: Dieses Tag dient zur Festlegung der Richtlinien für Subdomains.
• aspf-Tag: Legt den SPF-Abgleichmodus fest. Es kann zwischen dem lockeren und dem strengen Modus gewählt werden.
• DKIM-Tag: Legt den DKIM-Überprüfungsmodus fest. Im „lockeren“ Modus besteht jede Subdomain der „From“-Domain die DKIM-Prüfung. Im „strengen“ Modus besteht nur die exakte Übereinstimmung mit der „From“-Domain die DKIM-Prüfung.
• Prozent (pct) – Tag: Dieser Tag gibt den genauen prozentualen Anteil der gefilterten E-Mails an.

• E-Mail-Zustellung
• DNS
• Phishing
• Anleitungen