Domain und DNS

Was wir prüfen

Neben dem Mail-Schutz lesen wir öffentliche DNS-Einträge Ihrer Domain und die Datei /.well-known/security.txt, die für Sicherheitsmeldungen gedacht ist. Ob die Domain mit DNSSEC signiert ist, fragen wir über DNS-over-HTTPS bei Cloudflare ab. Auf Adressen einer Plattform wie xyz.lovable.app prüfen wir CAA, DNSSEC und Mail nicht, die gehören der Plattform.

CAA, DNSSEC, security.txt und MTA-STS sind Hinweise und fließen nicht in die Note ein, sie fehlen auch bei vielen großen Seiten. Eine Adresse, die Fremde übernehmen können, kostet dagegen so viel wie ein offener Schlüssel, ein SPF-Eintrag mit zu vielen Abfragen so viel wie ein fehlender.

Verwaiste Weiterleitung (Übernahme der Adresse)

Zeigt Ihre Adresse per CNAME auf einen Dienst wie GitHub Pages, Heroku, Amazon S3 oder Shopify und gibt es das Ziel dort nicht mehr, kann jemand anderes es anlegen. Dann liefert er unter Ihrer Adresse eigene Inhalte aus, etwa eine Phishing-Seite. Wir melden das nur, wenn der Dienst seine eindeutige Fehlerseite zeigt, und dann als kritischen Befund.

So beheben Sie es: Löschen Sie den CNAME-Eintrag bei Ihrem Domain-Anbieter, wenn Sie den Dienst nicht mehr nutzen, oder legen Sie das Ziel dort wieder an.

Wer Zertifikate ausstellen darf (CAA)

Ohne CAA-Eintrag darf jede Zertifizierungsstelle ein Zertifikat für Ihre Domain ausstellen. Der Eintrag beschränkt das auf die Stellen, die Sie nutzen.

firma.de.  CAA  0 issue "letsencrypt.org"
firma.de.  CAA  0 iodef "mailto:security@firma.de"

DNSSEC

DNSSEC signiert die Antworten Ihres Nameservers, damit sie unterwegs nicht gefälscht werden können. Das BSI empfiehlt es. Bei den meisten Domain-Anbietern ist es ein Schalter in den Domain-Einstellungen.

Kontakt für Sicherheitsmeldungen (security.txt)

Die Datei /.well-known/security.txt (RFC 9116) sagt Sicherheitsforschern, wohin sie eine gefundene Lücke melden. Für NIS2-Einrichtungen und Hersteller nach dem Cyber Resilience Act gehört ein geregelter Meldeweg ohnehin dazu.

Contact: mailto:security@firma.de
Expires: 2027-10-31T00:00:00.000Z
Preferred-Languages: de, en

SPF mit zu vielen DNS-Abfragen

Ein SPF-Eintrag darf beim Prüfen höchstens 10 DNS-Abfragen auslösen (RFC 7208), gezählt werden include, a, mx, ptr, exists und redirect, auch in eingebundenen Einträgen. Darüber werten viele Postfächer den Eintrag als Fehler. Entfernen Sie Dienste, die nicht mehr in Ihrem Namen senden, oder fassen Sie Einträge zusammen.

Verschlüsselte Zustellung an Ihre Firma (MTA-STS)

Mailserver verschlüsseln untereinander nur, wenn beide Seiten es anbieten. Ein Angreifer im Netz kann das Angebot unterdrücken und Mails an Ihre Firma mitlesen. MTA-STS oder DANE legen fest, dass nur verschlüsselt zugestellt wird. Wir melden den Hinweis nur, wenn Ihre Domain Mails empfängt (MX-Eintrag) und beides fehlt.

_mta-sts.firma.de.  TXT  "v=STSv1; id=20261026"

# https://mta-sts.firma.de/.well-known/mta-sts.txt
version: STSv1
mode: enforce
mx: firma-de.mail.protection.outlook.com
max_age: 604800

Noch Fragen? Schreiben Sie uns.