Eine Kundin ruft Sie wütend an: Sie hat eine Rechnung Ihres Unternehmens erhalten, mit einer Kontonummer, die nicht Ihre ist. Die E-Mail trug Ihre Adresse, Ihre Signatur, Ihr Logo. Sie haben nichts verschickt, und niemand ist in Ihre Mailbox eingedrungen.
Dieses Szenario erfordert keinen einzigen Hackerangriff. Es nutzt eine Schwäche aus, die dem E-Mail-System von Anfang an eigen ist, und drei Einstellungen setzen ihr ein Ende. Man muss dabei allerdings bis zum Ende gehen, denn die in der Suisse romande am weitesten verbreitete Konfiguration erweckt den Anschein von Schutz, ohne wirklich etwas zu blockieren.
Warum kann jeder in Ihrem Namen schreiben?
E-Mail wurde zu einer Zeit entwickelt, in der sich die wenigen verbundenen Netzwerke gegenseitig vertrauten. Niemand hatte an Betrug gedacht. Die Folge: Das Feld «Absender» einer Nachricht ist reiner Text, den der Versender frei ausfüllen kann.
Ein einfaches Bild verdeutlicht das. Auf einem Briefumschlag schreiben Sie auf der Rückseite die Absenderadresse Ihrer Wahl. Die Post prüft nichts. Sie befördert den Umschlag, und die Empfängerin liest, was Sie eingetragen haben. E-Mail funktioniert genau nach demselben Prinzip.
Ein Betrüger kann also von seinem eigenen Server aus eine Nachricht
versenden, die [email protected] anzeigt. Dafür braucht er
keinen Zugang zu Ihrer Mailbox. Genau das macht diese Technik so einfach
zugänglich und so verbreitet, sowohl beim
CEO-Betrug als auch bei gefälschten
Rechnungs-E-Mails.
SPF, DKIM und DMARC wurden dem E-Mail-System nachträglich hinzugefügt, um diese Schwäche zu beheben. Sie erlauben dem empfangenden Server, eine einfache Frage zu stellen: Kommt diese Nachricht wirklich von dort, wo sie zu kommen behauptet?
SPF: die Liste der berechtigten Absender
SPF beantwortet nur eine Frage: Welche Server dürfen E-Mails für Ihre Domain versenden?
Stellen Sie sich vor, Sie hinterlegen an der Rezeption Ihres Gebäudes die Liste der Personen, die berechtigt sind, Ihre Post abzuholen. Wer erscheint, ohne auf der Liste zu stehen, wird abgewiesen. SPF ist genau diese Liste, veröffentlicht in der DNS-Zone Ihrer Domain, also dem öffentlichen Verzeichnis, das dem Internet mitteilt, wo Ihre Website und Ihre Mailbox zu finden sind.
Konkret tragen Sie dort die Server Ihres E-Mail-Hosters ein, jene Ihres Newsletter-Tools, jene Ihrer Rechnungssoftware. Trifft anderswo eine Nachricht ein, die vorgibt, von Ihnen zu stammen, prüft der empfangende Server diese Liste und stellt fest, dass der tatsächliche Absender nicht darauf steht.
SPF hat eine bekannte Grenze: Es prüft den versendenden Server, nicht den Inhalt. Und es funktioniert nicht mehr, wenn eine Nachricht automatisch weitergeleitet wird, etwa durch eine Umleitung. Deshalb kommt es nie allein zum Einsatz.
DKIM: die Signatur, die die Unverändertheit beweist
DKIM fügt der Nachricht eine elektronische Signatur hinzu, unsichtbar für die lesende Person, berechnet von Ihrem Server im Moment des Versands.
Die physische Entsprechung ist das Wachssiegel auf einem Brief. Es beweist zweierlei: dass der Brief tatsächlich von der Person stammt, die das Siegel besitzt, und dass der Umschlag unterwegs nicht geöffnet wurde. Ändert jemand auch nur eine einzige Zeile der Nachricht, stimmt die Signatur nicht mehr.
Der öffentliche Schlüssel, mit dem diese Signatur überprüft werden kann, wird ebenfalls in Ihrer DNS-Zone veröffentlicht. Der empfangende Server ruft ihn ab, wiederholt die Berechnung und vergleicht das Ergebnis. In der Praxis erzeugt Ihr E-Mail-Hoster diese Schlüssel für Sie; Ihre Aufgabe besteht darin, sie korrekt zu veröffentlichen, und dasselbe für jeden Drittdienst zu tun, der in Ihrem Namen versendet.
DMARC: die Entscheidung, und vor allem die Berichte
SPF und DKIM stellen nur fest. Sie entscheiden nichts. Eine Nachricht, die beide Prüfungen nicht besteht, kann durchaus im Posteingang der Empfängerin landen, im Hauptordner inklusive, wenn nichts festlegt, was damit geschehen soll.
DMARC schliesst diese Lücke. Es ist ein Eintrag, ebenfalls in der DNS-Zone, der zwei Fragen beantwortet: Was mit Nachrichten geschehen soll, die durchfallen, und an wen ein Bericht über die Vorgänge gesendet werden soll.
| Regel | Was passiert | Verwendung |
|---|---|---|
p=none | Nichts. Die Nachricht wird normal zugestellt | Nur für die Beobachtungsphase |
p=quarantine | Die Nachricht landet im Spam-Ordner | Zwischenschritt bei der Verschärfung |
p=reject | Die Nachricht wird abgelehnt, sie kommt nie an | Endziel |
Der nützlichste Teil von DMARC wird oft übersehen: die Berichte. Wenn Sie eine Zieladresse angeben, erhalten Sie jeden Tag von den grossen E-Mail-Anbietern eine Zusammenfassung der weltweit mit Ihrer Domain als Absender versendeten Nachrichten samt Testergebnissen. Damit können Sie sowohl Fälschungsversuche als auch Ihre eigenen falsch konfigurierten Dienste entdecken.
Die Falle: ein DMARC, das nichts verhindert
Hier kommt der häufigste Fehler, und er betrifft praktisch jedes KMU, das einen ersten Schritt unternommen hat.
Ein Dienstleister richtet die drei Einträge ein. Das Häkchen ist gesetzt, die
Geschäftsleitung hält das Thema für erledigt. Ein schneller Test bestätigt,
dass DMARC tatsächlich vorhanden ist. Nur ist die Regel auf p=none
eingestellt, dem empfohlenen Startwert, um nichts zu beschädigen, und
niemand ist je zurückgekehrt, um ihn zu ändern.
Eine betrügerische E-Mail mit Ihrer Adresse fällt bei SPF und bei DKIM durch, und sie wird trotzdem zugestellt, bei Ihrer Kundschaft. Die Regel none sagt dem empfangenden Server wörtlich, nichts Besonderes zu unternehmen. DMARC zu besitzen ist also nicht die Frage; die Frage ist, in welchem Modus es eingestellt ist.
Diese Beobachtungsphase hat einen echten Nutzen, sie soll aber nur wenige Wochen dauern, gerade genug Zeit, um die Berichte zu lesen. Bleibt sie drei Jahre bestehen, bewirkt sie nur eines: ein falsches Sicherheitsgefühl.
Wie steigert man die Strenge, ohne die eigenen E-Mails zu blockieren?
Warum nicht direkt zu reject übergehen? Weil das Risiko real ist und sich
gegen Sie selbst richten kann.
Fast jedes Unternehmen versendet E-Mails von mehr Stellen aus, als es denkt: das Hauptpostfach, die Rechnungssoftware, die im Namen der Buchhaltung Rechnungen versendet, die Newsletter-Plattform, das CRM, das Kundinnen und Kunden nachfasst, das Kontaktformular der Website, manchmal ein Werkzeug für elektronische Signaturen oder Terminvereinbarungen. Jedes davon versendet in Ihrem Namen.
Verschärfen Sie die Regel und haben dabei eines davon vergessen, werden dessen Nachrichten schlicht abgelehnt. Ihre Rechnungen bleiben aus. Niemand warnt Sie, denn eine Ablehnung ist aus Sicht des fachlichen Absenders lautlos. Sie merken es erst durch Nachfragen von Kundinnen und Kunden, die nichts erhalten haben.
Erfassen Sie zuerst schriftlich alle Werkzeuge, die im Namen Ihres Unternehmens E-Mails versenden, indem Sie Buchhaltung, Marketing und Verwaltung befragen. Veröffentlichen Sie DMARC anschliessend mit p=none und einer Berichtsadresse, und lesen Sie diese Berichte mehrere Wochen lang: Sie zeigen Absender, die niemand genannt hatte. Wechseln Sie dann zu quarantine, beobachten Sie weiter, und gehen Sie schliesslich zu reject über. Die nützliche Arbeit ist die Erfassung, nicht die Konfigurationszeile.
Diese Vorgehensweise ist für jedes KMU machbar und kostet nichts als Aufmerksamkeit. Sie erfordert nur, nicht beim ersten Schritt aufzuhören, was genau dort ist, wo die meisten Unternehmen aufhören.
Was schützen SPF, DKIM und DMARC tatsächlich?
Eine strikte Regel hat sehr konkrete Wirkungen. Sie verhindert, dass ein Betrüger Ihren Kundinnen und Kunden von Ihrer exakten Adresse aus eine falsche Kontonummer mitteilt. Sie beseitigt die glaubwürdigste Variante des CEO-Betrugs, jene, bei der die Nachricht scheinbar von der Geschäftsleitung selbst stammt. Sie verringert zudem die Schäden einer E-Mail-Kompromittierung, indem sie die ausnutzbaren Kanäle einschränkt.
Sie bewirkt nicht alles. Ein Angreifer kann eine Ihrer Domain ähnliche Domain registrieren, mit einem fehlenden Buchstaben, und diese für seine eigenen Zwecke einwandfrei authentifizieren. Er kann den Namen Ihres Direktors von einer kostenlosen Adresse aus anzeigen. Und all das schützt nicht Ihren Posteingang, der andere Massnahmen erfordert, die in den 10 wichtigsten Massnahmen behandelt werden.
Um zu erfahren, wo Sie stehen, fragt unser E-Mail-Prüfwerkzeug die DNS-Zone Ihrer Domain ab und zeigt Ihnen, ob die drei Schutzmechanismen vorhanden sind und in welchem Modus DMARC eingestellt ist. Das ist der ehrliche Ausgangspunkt.
Es bleibt die Umsetzung. Eine DNS-Zone zu ändern ist an sich nicht schwierig, aber es ist ein Vorgang, bei dem sich ein Fehler sofort auszahlt, in Nachrichten, die nicht mehr ankommen. Alle Absender zu erfassen, technische Berichte zu interpretieren und den richtigen Moment für die Verschärfung zu wählen, erfordert zu wissen, wo man hinschauen muss. Diese Einstellungen bilden ein solides Fundament, sie ersetzen keine Prüfung Ihrer tatsächlichen Lage. Sich für diesen bestimmten Schritt begleiten zu lassen, kostet weniger als eine Woche blockierter Rechnungen.
Die weiteren vorrangigen Massnahmen sind im Themenbereich Bewährte Praktiken zusammengefasst, und der Cyber-Check-up ordnet Sie in wenigen Minuten ein.