SPF, DKIM und DMARC

Spammer benutzen oft Email-Adressen von anderen zum Versand der Spam-Mails.

Um zu verhindern, dadurch selbst auf die Blacklist zu kommen, gibt es einige Möglichkeiten.

Drei wirkungsvolle AntiSpam Maßnahmen sind: SPF, DKIM und DMARC einrichten.

Der SPF-Eintrag im DNS der entsprechenden Domain ist ein erstes Sicherheitsmerkmal, mit welchem man überprüfen kann, ob ein Mailsender auch berechtigt ist, Mails der Absende-Domain zu versenden.

SPF einrichten

SPF lässt sich sehr leicht und schnell implementieren, sofern Sie den DNS-Eintrag Ihrer Domäne verwalten können. Es wird einfach ein zusätzlicher TXT-Record angelegt, wie z.B. dieser:

v=spf1 mx a ~all

In diesem Beipiel werden alle Mails, die nicht von einem Server stammen, deren IP sich in Ihren MX-Einträgen befindet, mit einem sog. Softfail zwar durchgelassen, aber als SPAM markiert. Setzten Sie ein – vor den Parameter all, wird die Nachricht abgelehnt:

v=spf1 mx a -all

Wenn Sie über einen Proxy bzw. Smarthost versenden, können Sie auch diesen authorisieren:

v=spf1 mx a include:ihr-smarthost-server.de ~all

SPF ist die erste Stufe zur Email-Sicherheit.

Mit DKIM werden E-Mail-Header und Body digital signiert um die Authentizität des Absenders zu garantieren. Mails werden also nicht verschlüsselt oder deren Inhalt digital unterschieben, vielmehr wird im Header ein Hashwert  (DKIM-Signature) hinterlegt, der vom Empfänger dekodiert werden kann. Dadurch wird die Echtheit des Senders (also des Smarthosts/Mailservers) und des Inhaltes (Manipulationsschutz) bestätigt.

DKIM einrichten

Die Sophos UTM unterstützt das Verfahren DomainKeys Identified Mail (DKIM) und kann bei ausgehenden Mails dem Header automatisch die digitale Signatur hinzufügen.

Hierzu wird zuvor ein Schlüsselpaar erstellt. Der öffentliche Schlüssel wird im DNS-Eintrag als TXT-Record hinterlegt. Der private Schlüssel wird in der Sophos UTM hinterlegt.

Natürlich unterstützen auch andere Mail-Proxies dieses Verfahren.

DMARC, ist eine Spezifikation, die entwickelt wurde, um Missbrauch von E-Mails zu reduzieren. Sie versucht, einige seit langem bestehende Unzulänglichkeiten im Zusammenhang mit Authentifizierungsproblemen beim E-Mail-Versand zu beheben.

DMARC baut auf den bekannten Techniken SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) auf, indem es festlegt, wie der Empfänger von E-Mails die Authentifizierung durchführt.

Während die vorgenannten Techniken beschreiben, wer eine Mail versenden darf (SPF) bzw. dass diese Mail in bestimmter Weise unverändert vom Absender stammt (DKIM), kann der Absender nach der DMARC-Spezifikation zusätzlich festlegen, auf welche Art der Empfänger mit einer Mail umgeht, die in einem oder beiden Fällen nicht den Anforderungen entspricht.

Sofern der Empfänger einer E-Mail die DMARC-Spezifikation anwendet, ist dadurch eine konsistente Überprüfung der Authentizität dieser E-Mail gesichert. (Quelle: wikipedia)