Schutz gegen gefälschte Mails

Warum das Ihre Website betrifft

Den Absender einer Mail kann jeder frei eintragen, wie bei einem Brief. So kann jemand eine Rechnung mit geänderter Bankverbindung von rechnung@ihre-firma.de an Ihre Kunden schicken, ohne dass Sie davon wissen. Zwei Einträge im DNS, dem öffentlichen Verzeichnis Ihrer Domain, sagen Postfächern, wer in Ihrem Namen senden darf und was mit dem Rest passieren soll. Das lohnt sich auch, wenn Sie über die Domain gar keine Mails verschicken.

Wir lesen beide Einträge im öffentlichen DNS, ohne Ihren Server zu kontaktieren. Wir fragen die Domain ab, auf der Ihre Seite am Ende landet, ohne www. Ist das eine Subdomain wie shop.ihre-firma.de, schauen wir zuerst dort nach und dann bei ihre-firma.de. Läuft eine App unter der Adresse einer Plattform, etwa name.lovable.app, gilt das Ergebnis für die Domain der Plattform. Prüfen Sie dann zusätzlich Ihre Firmendomain.

Wer in Ihrem Namen senden darf (SPF)

SPF ist eine Liste der Server, die Mails für Ihre Domain verschicken dürfen. Es ist ein TXT-Eintrag direkt auf der Domain und beginnt mit v=spf1. Für Google Workspace sieht er so aus:

v=spf1 include:_spf.google.com ~all

Bei Microsoft 365 heißt der Teil include:spf.protection.outlook.com. Nutzen Sie dazu einen Newsletter-Dienst oder ein Rechnungsprogramm, kommt für jeden ein weiteres include dazu. Die genaue Angabe steht in deren Hilfe. Verschicken Sie über die Domain gar keine Mails, reicht diese Zeile:

v=spf1 -all

Wir melden, wenn kein SPF-Eintrag da ist oder wenn er auf +all endet. Mit +all darf jeder senden, der Eintrag schützt dann nicht. Achten Sie außerdem darauf, dass es nur einen SPF-Eintrag gibt. Stehen zwei da, werten Postfächer keinen davon aus.

Was mit Fälschungen passiert (DMARC)

DMARC sagt empfangenden Postfächern, was sie mit Mails tun sollen, die angeblich von Ihnen kommen, aber die Prüfung nicht bestehen. Der Eintrag steht unter _dmarc vor Ihrer Domain. Stellen Sie ihn in drei Schritten scharf. So geht keine echte Mail verloren, etwa von einem Dienst, den Sie im SPF vergessen haben.

1. Beobachten. Nichts wird abgewiesen. Sie bekommen nur Berichte an die Adresse hinter rua. Lassen Sie das zwei bis vier Wochen laufen und sehen Sie nach, wer in Ihrem Namen sendet.

v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.de

2. Aussortieren. Fälschungen landen im Spam-Ordner.

v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-firma.de

3. Abweisen. Fälschungen werden gar nicht zugestellt.

v=DMARC1; p=reject; rua=mailto:dmarc@ihre-firma.de

Fehlt der Eintrag, ist das eine Warnung. Steht er auf p=none, ist es ein Hinweis. Fälschungen werden dann zwar gemeldet, kommen aber weiter an.

Wo Sie die Einträge anlegen

Bei dem Anbieter, bei dem Ihre Domain liegt, in der DNS-Verwaltung. Dort legen Sie einen neuen Eintrag vom Typ TXT an. Als Name tragen Sie für SPF meist @ ein oder lassen das Feld leer, für DMARC _dmarc. Bis die Änderung überall angekommen ist, können ein paar Stunden vergehen. Danach prüfen Sie neu.

Die Mail-Signatur DKIM prüfen wir nicht. Dafür müssten wir den Namen des Schlüssels kennen, und den vergibt nur Ihr Mail-Anbieter. Richten Sie sie trotzdem ein, wenn Ihr Anbieter sie anbietet.

Noch Fragen? Schreiben Sie uns.