Jeder kann in deinem Namen E-Mails senden. Hier ist der Grund

E-Mail wurde entworfen, lange bevor sich jemand Sorgen über Fälschungen machte. Wenn eine Nachricht ankommt, ist die Zeile „Von“ nur Text, den der Absender eingetippt hat. Im ursprünglichen Entwurf prüft niemand sie.

So kann jemand deinen Kunden eine Rechnung schicken, die aussieht, als käme sie von dir.

Die drei Einträge, die das beheben

Deine Domain kann drei kurze Hinweise in ihrem DNS veröffentlichen, dem öffentlichen Adressbuch deiner Domain. Mailserver lesen sie, bevor sie einer Nachricht vertrauen.

• SPF nennt die Dienste, die E-Mails für deine Domain senden dürfen, etwa dein E-Mail-Anbieter und dein Newsletter-Tool.
• DKIM fügt jeder Nachricht eine Signatur hinzu, damit ein Mailserver erkennen kann, dass sie wirklich von dir stammt und unterwegs nicht verändert wurde.
• DMARC legt fest, was Mailserver mit einer Nachricht tun sollen, die diese Prüfungen nicht besteht, etwa sie in den Spam-Ordner legen oder ablehnen, und wohin Berichte gesendet werden.

Mit allen dreien und DMARC auf quarantine oder reject landet eine gefälschte Nachricht von deiner Domain im Spam oder wird zurückgewiesen.

Warum es schiefgeht

Die meisten Domains haben SPF, aber kein DMARC, oder DMARC steht auf „none“. Das beobachtet nur und blockiert nie. Andere nennen in SPF so viele Dienste, dass sie das Limit für Abfragen überschreiten, und der Eintrag funktioniert nicht mehr.

Auch eine Domain, die nie E-Mails sendet, ist nicht automatisch sicher. Mailserver bewerten die Domain in der Zeile „Von“, nicht ob dort ein Postfach existiert. Eine stille Domain ohne Regeln lässt sich deshalb leicht fälschen, und du siehst die Rückläufer nie. Es braucht drei Einträge, um sie zu schließen: eine DMARC-Regel auf reject, einen SPF-Eintrag, der keine Absender erlaubt (v=spf1 -all), und einen leeren Eintrag für den Mailserver (0 .).

Ein Scan liest diese Einträge genauso, wie ein Mailserver es tut. So kann er dir genau sagen, welcher fehlt oder schwach ist.