IT-Sicherheit
SPF / DKIM / DMARC
SPF, DKIM und DMARC sind DNS-basierte Verfahren der E-Mail-Authentifizierung gegen Spoofing: SPF autorisiert Server, DKIM signiert, DMARC setzt die Richtlinie.
- E-Mail-Authentifizierung gegen Spoofing
- SPF: autorisierte Server
- DKIM: Signatur
- DMARC: Alignment + Policy + Reports
- über DNS konfiguriert
SPF, DKIM und DMARC sind drei aufeinander aufbauende, über das DNS konfigurierte Verfahren, die verhindern, dass Fremde unter Ihrer Domain E-Mails versenden (Spoofing). Sie sind die Grundlage gegen Phishing und Business E-Mail Compromise und entscheiden zunehmend über die Zustellbarkeit.
Dieser Artikel erklärt die drei Verfahren einzeln, das entscheidende Zusammenspiel über DMARC-Alignment, den schrittweisen DMARC-Rollout mit Reports, die Anforderungen großer Anbieter an Massenversender, ergänzende Mechanismen sowie die Grenzen wie das Brechen von SPF bei Weiterleitung.
1. SPF: Wer darf senden?
SPF (Sender Policy Framework, RFC 7208) hinterlegt im DNS, welche Server für eine Domain senden dürfen. Der Empfänger prüft, ob die sendende IP autorisiert ist. Wichtig: SPF prüft die technische Absenderadresse (Envelope-From), nicht die für den Empfänger sichtbare. Es gibt ein Limit von zehn DNS-Abfragen, das in Umgebungen mit vielen Cloud-Diensten schnell erreicht ist, und SPF bricht bei Weiterleitung, weil der weiterleitende Server nicht in der Liste steht.
2. DKIM: Signatur der Nachricht
DKIM (DomainKeys Identified Mail, RFC 6376) signiert ausgewählte Kopfzeilen und den Inhalt kryptografisch mit einem privaten Schlüssel; der passende öffentliche Schlüssel liegt im DNS unter einem Selektor. Der Empfänger verifiziert die Signatur. Vorteil gegenüber SPF: Eine DKIM-Signatur übersteht eine Weiterleitung, solange die Nachricht nicht verändert wird. Über mehrere Selektoren lassen sich Schlüssel ohne Unterbrechung rotieren.
3. DMARC: Alignment, Policy, Reports
DMARC verbindet SPF und DKIM und schließt deren entscheidende Lücke. Kern ist das Alignment: Die für den Empfänger sichtbare Absenderdomain (der From-Header) muss mit der per SPF oder DKIM authentifizierten Domain übereinstimmen. Damit nützt es einem Angreifer nichts, SPF für seine eigene Domain zu bestehen, wenn im sichtbaren From eine fremde Domain steht. DMARC legt zudem eine Richtlinie fest (none, quarantine, reject) und liefert Reports (rua) darüber, wer im Namen der Domain sendet.
Die drei DNS-Einträge (Beispiel)
; SPF (am Domain-Stamm)
example.de. TXT "v=spf1 include:_spf.provider.de -all"
; DKIM (je Selektor)
sel1._domainkey.example.de. TXT "v=DKIM1; k=rsa; p=MIGfMA0..."
; DMARC
_dmarc.example.de. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.de"4. Warum SPF allein nicht reicht
Ein verbreitetes Missverständnis: SPF schütze die Domain vor Fälschung. Tatsächlich prüft SPF nur die technische Envelope-Absenderadresse, nicht den sichtbaren From-Header, den der Empfänger liest. Ein Angreifer kann SPF für seine eigene Domain korrekt bestehen und trotzdem im sichtbaren Absender Ihre Domain eintragen. Erst das DMARC-Alignment schließt diese Lücke, weshalb SPF und DKIM allein, ohne DMARC, keinen wirksamen Spoofing-Schutz für die sichtbare Domain bieten.
SPF und DKIM sind die Bausteine, DMARC ist der Schutz. Ohne DMARC-Alignment bleibt die sichtbare Absenderdomain fälschbar, egal wie sauber SPF gesetzt ist.
5. Rollout und Anbieter-Anforderungen
DMARC wird schrittweise scharf gestellt: erst p=none (nur beobachten und Reports sammeln), dann quarantine (verdächtige Mails in den Spam), schließlich reject (Ablehnung), das Ziel. Die Reports zeigen dabei, welche legitimen Versandwege noch nachzuziehen sind, bevor man scharf schaltet. Druck kommt von den großen Anbietern: Google, Yahoo und Microsoft verlangen von Massenversendern (Größenordnung ab einigen tausend Mails pro Tag) SPF, DKIM und einen DMARC-Eintrag, sonst leidet die Zustellung.
6. Ergänzungen und Grenzen
Rund um die drei Kernverfahren gibt es Ergänzungen: ARC bewahrt Authentifizierungsergebnisse über Weiterleitungen hinweg, MTA-STS und TLS-RPT sichern den Transportweg, BIMI zeigt (bei strenger DMARC-Richtlinie) das Marken-Logo im Postfach. Die Grenzen sollte man kennen: SPF/DKIM/DMARC schützen nur die exakte Domain, nicht vor täuschend ähnlichen Lookalike-Domains, sie verschlüsseln keine Inhalte, und bei kompromittierten legitimen Konten greifen sie nicht.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Wirksamer Schutz gegen Fälschung der eigenen Domain (bei reject) | SPF allein schützt die sichtbare Domain nicht (Alignment nötig) |
| DMARC-Reports zeigen den Versand im eigenen Namen | SPF bricht bei Weiterleitung; 10-Lookup-Limit |
| DKIM-Signatur übersteht Weiterleitungen | kein Schutz vor Lookalike-/Tippfehler-Domains |
| Bessere Zustellbarkeit, erfüllt Anbieter-Vorgaben | kein Inhaltsschutz, keine Verschlüsselung |
| über DNS umsetzbar, breit standardisiert | Fehlkonfiguration häufig; Rollout will begleitet werden |
Häufige Fragen zu SPF / DKIM / DMARC
Nein. SPF autorisiert sendende Server, prüft dabei aber nur die technische Envelope-Absenderadresse, nicht den für den Empfänger sichtbaren From-Header. Ein Angreifer kann SPF für seine eigene Domain korrekt bestehen und trotzdem im sichtbaren Absender Ihre Domain eintragen. Erst DMARC verlangt über das Alignment, dass die sichtbare Absenderdomain mit der authentifizierten übereinstimmt. Wirksamer Spoofing-Schutz braucht daher SPF und DKIM in Kombination mit DMARC.
Schrittweise. Man startet mit der Richtlinie p=none: Dabei wird nichts blockiert, aber man erhält Reports (rua) darüber, welche Server im Namen der Domain senden und ob sie SPF/DKIM mit Alignment bestehen. Anhand dieser Reports zieht man alle legitimen Versandwege nach. Erst dann verschärft man auf quarantine (verdächtige Mails in den Spam) und schließlich auf reject (Ablehnung). So vermeidet man, dass legitime Nachrichten beim scharfen Schalten verloren gehen.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
SPF / DKIM / DMARC im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.