Glossar
DMARC, SPF und DKIM
Auch: DMARC, SPF, DKIM, SPF-Record, E-Mail-Authentifizierung
SPF, DKIM und DMARC sind drei Verfahren, mit denen Empfänger prüfen, ob eine E-Mail wirklich von der angegebenen Domain stammt. SPF nennt die erlaubten Server, DKIM signiert die Nachricht und DMARC legt fest, was bei einem Fehlschlag geschieht.
Das Problem dahinter
Die Absenderadresse einer E-Mail lässt sich fälschen, ohne dass dazu ein Zugang nötig ist. Angreifer nutzen das, um in Ihrem Namen Rechnungen oder Zahlungsaufforderungen an Kunden zu senden. SPF, DKIM und DMARC sind drei Verfahren, mit denen ein Empfänger prüfen kann, ob eine Nachricht wirklich von Ihrer Domain stammt.
Die drei Verfahren
- SPF ist ein Eintrag in Ihrem DNS. Er listet die Server auf, die für Ihre Domain senden dürfen. Mails von anderen Servern fallen bei der Prüfung durch.
- DKIM versieht jede ausgehende Mail mit einer digitalen Signatur. Der Empfänger prüft sie mit einem öffentlichen Schlüssel aus Ihrem DNS. So fällt auf, wenn eine Mail unterwegs verändert wurde.
- DMARC verbindet beides und legt fest, was bei einem Fehlschlag geschehen soll: nichts tun, in den Spam schieben oder ablehnen. Außerdem schickt es Berichte darüber, wer in Ihrem Namen sendet.
Umsetzung in Microsoft 365
SPF ist meist schon eingetragen und muss alle Absender enthalten, die für Sie senden, etwa einen Newsletter-Dienst. DKIM ist in Microsoft 365 je Domain einzuschalten und wird nicht von allein aktiv. DMARC beginnt man am besten im Beobachtungsmodus, liest einige Wochen lang die Berichte und verschärft dann schrittweise bis zur Ablehnung. Wer sofort auf Ablehnung stellt, riskiert, dass eigene legitime Mails verloren gehen.
Wo es oft hakt
Vergessene Absender wie die Buchhaltungssoftware oder ein altes Formular werden beim ersten Durchlauf übersehen. Mehrere SPF-Einträge für dieselbe Domain sind ungültig. Auch gibt es für SPF eine Obergrenze an DNS-Abfragen, die bei vielen eingebundenen Diensten schnell erreicht ist.
Einordnung
Die Verfahren schützen nicht Ihr Postfach, sondern Ihren Absendernamen. Sie ergänzen die Identitätssicherheit für Ihre Konten: Das eine verhindert, dass Fremde in Ihrem Namen senden, das andere, dass sie sich in Ihre Konten einloggen. Wie ein gehärteter Tenant als Ganzes aussieht, steht unter Microsoft 365 Fortress AI.
Wo Sie stehen
Ob Ihre Domain geschützt ist, zeigt eine Abfrage der DNS-Einträge. Der Sicherheitscheck ist der Einstieg für den Rest des Tenants.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.