E-Mail-Spoofing

So funktioniert es

Einfaches SMTP erlaubt es, jede beliebige „Von“-Adresse zu setzen. Spoofing wird blockiert, wenn empfangende Server SPF (welche Absender erlaubt sind), DKIM (eine kryptografische Signatur) und DMARC (was bei Fehlschlag zu tun ist) prüfen können, aber nur, wenn Ihre Domain diese Einträge veröffentlicht und durchsetzt.

Bezug zur Brand-Impersonation

E-Mail-Spoofing ist Brand-Impersonation im Postfach. Selbst mit striktem DMARC auf Ihrer Hauptdomain weichen Angreifer auf Lookalike-Domains aus, und genau hier setzen Monitoring und Takedowns an.

So hilft nebty

Unser E-Mail-Spoofing-Leitfaden erklärt die einzusetzenden Schutzmechanismen, und nebty überwacht die Lookalike-Domains, auf die Angreifer ausweichen, wenn Ihre echte Domain geschützt ist, bereit für einen Takedown auf Abruf.

Wie die drei Einträge zusammenwirken

Die drei E-Mail-Authentifizierungseinträge decken je eine andere Lücke ab und wirken nur zusammen. SPF listet die Server, die für Ihre Domain senden dürfen, sodass ein Empfänger eine Nachricht von anderswo ablehnen kann. DKIM fügt eine kryptografische Signatur hinzu, sodass ein Empfänger bestätigen kann, dass die Nachricht nicht verändert wurde und wirklich von Ihrer Domain kam. DMARC verbindet beides: Es sagt Empfängern, was bei Fehlschlag beider Prüfungen zu tun ist, und meldet, wer als Sie sendet. Der häufige Fehler ist, DMARC im Monitor-Modus zu veröffentlichen und nie auf reject zu wechseln, was den Missbrauch protokolliert, ohne ihn zu stoppen. Selbst bei voller Durchsetzung haben Sie nur Ihre exakte Domain geschützt; Angreifer antworten mit Lookalike-Domains, und diese zu entfernen ist Sache von Monitoring und Takedowns. Unser E-Mail-Spoofing-Leitfaden führt durch die Einrichtung.

Ein konkretes Beispiel

Die Buchhaltung eines Lieferanten von Solara Finance erhält eine Mail von [email protected]: Die Bankverbindung für künftige Zahlungen habe sich geändert. Die Adresse ist die echte, Buchstabe für Buchstabe, denn der Angreifer hat den From-Header gefälscht. Solara Finance hatte SPF und DKIM veröffentlicht, DMARC aber im Monitor-Modus gelassen. Die empfangenden Server sahen die fehlgeschlagenen Prüfungen und stellten die Mail trotzdem zu. Ein Quartal und eine umgeleitete Zahlung später steht die Richtlinie auf reject, und dieselbe Fälschung prallt ab, statt anzukommen.

Erkennen & Abwehren

1. Veröffentlichen Sie SPF und DKIM und stellen Sie DMARC dann vom Monitor-Modus auf reject. Der Monitor-Modus dokumentiert den Missbrauch nur; reject stoppt ihn.
2. Lesen Sie die DMARC-Aggregat-Reports. Sie zeigen jeden Server, der unter Ihrer Domain sendet, und finden so Angreifer wie auch vergessene legitime Absender, bevor die Durchsetzung sie aussperrt.
3. Rechnen Sie damit, dass Angreifer auf Lookalike-Absender-Domains ausweichen, sobald Ihre eigene Domain geschlossen ist, und decken Sie diese Lücke mit Domain Monitoring ab.

Häufige Fragen