Was sind E-Mail-Protokolle?

Wir senden und empfangen fast jeden Tag E-Mails und denken selten darüber nach, wie das funktioniert oder ob der Prozess sicher ist. Die Wahl des falschen E-Mail-Protokolls kann jedoch zu Problemen führen, die von begrenztem Speicherplatz auf deinem Computer bis hin zu Datenlecks, dem Verlust des Kundenvertrauens oder blockierten Domains reichen.

Diese Anleitung beschreibt, wie E-Mail-Protokolle funktionieren, erklärt den entscheidenden Unterschied zwischen Funktionalität und Sicherheit und bietet eine Checkliste für KMU.

Ein kurzes E-Mail-Glossar

Die Begriffe rund um E-Mails klingen alle sehr ähnlich, aber die Unterschiede sind wichtig. Hier ist, was wir in dieser Anleitung besprechen werden:

E-Mail-Client: Die Software-Anwendung, die du verwendest, um deine E-Mails zu lesen, zu schreiben und zu verwalten, wie zum Beispiel Outlook, Apple Mail und Proton Mail.

E-Mail-Protokoll: Das Regelwerk, das bestimmt, wie E-Mails im Internet übertragen, empfangen und gespeichert werden. Kernprotokolle wie SMTP, IMAP und POP3 wickeln die mechanische Übertragung von Nachrichten zwischen Servern und Clients ab.

E-Mail-Sicherheitsprotokoll: Eine schützende Standard-Ebene, die auf den E-Mail-Kernprotokollen aufbaut, um die Privatsphäre und Datenintegrität zu gewährleisten. Dazu gehören Verschlüsselungsmethoden wie TLS (für die Übertragung) und S/MIME oder PGP (für Ende-zu-Ende-Inhalte) sowie Mechanismen zur Erkennung von Malware oder Spam.

E-Mail-Authentifizierung: Der Prozess der Überprüfung, ob eine E-Mail tatsächlich von der Domain stammt, die sie angibt zu vertreten. Sie stützt sich auf das Trio aus SPF, DKIM und DMARC, um empfangende Server anzuweisen, ob sie einer Nachricht vertrauen, sie kennzeichnen oder ablehnen sollen, was Spoofing und Phishing verhindert.

E-Mail-Marketing-Tool: Eine Plattform zur Erstellung, zum Senden und zur Nachverfolgung von Massen-E-Mail-Kampagnen wie Mailchimp, HubSpot oder SendGrid. Diese Tools nutzen SMTP zur Zustellung von Nachrichten und hängen stark von einer ordnungsgemäßen E-Mail-Authentifizierung ab, um hohe Zustellraten zu gewährleisten.

E-Mail-Protokolle erklärt

1. Simple Mail Transfer Protocol (SMTP)

Was es ist: Das Standardprotokoll zum Senden von E-Mails. SMTP übernimmt die Übertragung von deinem E-Mail-Client zum Server und zwischen Servern.

Wie es funktioniert: Dein E-Mail-Client verbindet sich mit einem SMTP-Server, authentifiziert sich und übergibt die Nachricht. Der Server leitet sie dann an die Domain des Empfängers weiter. Es ist nicht möglich, eine E-Mail ohne SMTP zu senden.

Sicherheitshinweis: Standard-SMTP sendet Daten im Klartext. Ohne Verschlüsselung (STARTTLS) können sensible Geschäftsdaten abgefangen werden.

2. Internet Message Access Protocol (IMAP)

Was es ist: Der moderne Standard zum Empfangen und Verwalten von E-Mails. IMAP belässt Nachrichten auf dem Server und synchronisiert sie auf allen deinen Geräten.

Wie es funktioniert: Wenn du deine E-Mails auf deinem Smartphone, Laptop oder Tablet überprüfst, ruft IMAP den neuesten Status vom zentralen Server ab. Da die E-Mail auf dem Server gespeichert ist, bleibt der E-Mail-Verlauf sicher, falls ein Laptop verloren geht. Ebenso löscht das Löschen einer E-Mail auf einem Gerät diese überall.

Sicherheitshinweis: Da sich die Daten auf dem Server befinden, sind eine starke Authentifizierung und Verschlüsselung unverzichtbar.

3. Post Office Protocol v3 (POP3)

Was es ist: Ein älteres Protokoll, das E-Mails auf ein einzelnes Gerät herunterlädt und sie in der Regel vom Server löscht.

Wie es funktioniert: Der E-Mail-Client verbindet sich, lädt alle neuen Nachrichten herunter und trennt die Verbindung. Der Server bleibt leer. Dieses Protokoll wird für moderne Unternehmen selten empfohlen; es schafft Datensilos (wenn dein Gerät abstürzt, ist dein E-Mail-Verlauf weg), und da alle E-Mails auf dein Gerät heruntergeladen werden, kann es Speicherplatzprobleme auf deinem Computer verursachen.

Sicherheitshinweis: Der Mangel an serverseitiger Redundanz macht es anfällig für Hardwareausfälle und Diebstahl. Dieses hochriskante Protokoll wird insbesondere für Unternehmen nicht empfohlen.

Mehr lesen: Was sind SMTP, IMAP und POP3?

SMTP und IMAP dienen gegensätzlichen Zwecken, aber eine funktionierende E-Mail-Einrichtung erfordert beide Protokolle. SMTP sendet Nachrichten aus, während IMAP eingehende Nachrichten abruft. Die meisten modernen E-Mail-Anbieter blenden diese Komplexität aus, und die Software konfiguriert automatisch sowohl die SMTP- als auch die IMAP-Einstellungen im Hintergrund. Du musst selten darüber nachdenken, welches du verwendest – die Software wickelt einfach beide gleichzeitig ab.

E-Mail-Sicherheitsprotokolle

E-Mail-Protokolle übertragen und speichern Nachrichten, aber E-Mail-Sicherheitsprotokolle sind die Systeme, die E-Mails, Absender und Empfänger schützen. Sie lassen sich in zwei Kategorien einteilen: diejenigen, die Daten verschlüsseln, um sie privat zu halten, und diejenigen, die Absender authentifizieren, um deren Identität nachzuweisen.

Verschlüsselungsprotokolle

Transport Layer Security (TLS): Verschlüsselt die Verbindung zwischen Mailservern, während E-Mails durch das Internet übertragen werden. Die meisten modernen E-Mail-Anbieter erzwingen TLS standardmäßig.

STARTTLS: Ein Befehl, der eine bestehende unverschlüsselte Verbindung auf eine sichere TLS-Verbindung upgradet. Wenn die Gegenseite dies nicht unterstützt, fällt die Verbindung auf Klartext zurück, was eine potenzielle Schwachstelle darstellt.

Secure/Multipurpose Internet Mail Extensions (S/MIME): Bietet Ende-zu-Ende-Verschlüsselung und digitale Signaturen auf Nachrichtenebene. Es erfordert, dass sowohl Absender als auch Empfänger digitale Zertifikate austauschen, weshalb es in Unternehmensumgebungen weiter verbreitet ist.

Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG): Eine weitere Methode der Ende-zu-Ende-Verschlüsselung und digitalen Signierung, die eine starke Privatsphäre bietet. Anstelle von Zertifikaten verwendet PGP ein Web-of-Trust-Modell, bei dem Benutzer öffentliche Schlüssel direkt austauschen.

Authentifizierungsprotokolle

Sender Policy Framework (SPF): Ermöglicht es einem Domain-Inhaber, eine Liste autorisierter IP-Adressen zu veröffentlichen, die im Namen dieser Domain E-Mails senden dürfen. Wenn ein empfangender Server eine Nachricht erhält, gleicht er die IP des Absenders mit dieser Liste ab. Wenn die IP nicht darauf steht, schlägt SPF für die E-Mail fehl.

DomainKeys Identified Mail (DKIM): Fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu, die an die sendende Domain gebunden ist. Der empfangende Server überprüft diese Signatur anhand eines in den DNS-Einträgen des Absenders veröffentlichten öffentlichen Schlüssels.

Domain-based Message Authentication, Reporting, and Conformance (DMARC): Verknüpft SPF und DKIM miteinander und gibt Domain-Inhabern die Kontrolle darüber, was passiert, wenn die Authentifizierung fehlschlägt. Über eine DMARC-Richtlinie kannst du empfangende Server anweisen, fehlgeschlagene Nachrichten zu akzeptieren, unter Quarantäne zu stellen oder abzulehnen, und du erhältst Berichte, die anzeigen, wer versucht, unbefugte E-Mails von deiner Domain zu senden.

Warum das für KMU wichtig ist

Ohne zusätzliche Sicherheitsprotokolle auf deinen Kernprotokollen besteht für dich das Risiko von:

1. Spoofing: Angreifer können deine Domain leicht fälschen, um deine Kunden zu betrügen
2. Abfangen: Unverschlüsselter Verkehr ermöglicht es Hackern, E-Mails während der Übertragung zu lesen
3. Blacklisting: Eine schlechte Authentifizierung führt dazu, dass deine Domain als Spam eingestuft wird

Zusammen bilden diese E-Mail-Sicherheitsprotokolle eine mehrschichtige Verteidigung – Verschlüsselung schützt den Inhalt vor neugierigen Blicken, und die Authentifizierung stellt sicher, dass die E-Mail tatsächlich von der Person stammt, von der sie angeblich gesendet wurde.

Wie sich Protokolle auf den Erfolg von E-Mail-Marketing auswirken

Für KMU bringt E-Mail-Marketing eine Besonderheit mit sich: Möglicherweise bist du nicht derjenige, der die E-Mails sendet. Ob du ein Marketing-Tool verwendest oder Kampagnen selbst durchführst, entscheidet darüber, wofür du in Sachen Sicherheit verantwortlich bist.

Wenn du ein Marketing-Tool verwendest

Plattformen wie Mailchimp, HubSpot und SendGrid verwalten die Sendeinfrastruktur, einschließlich SMTP-Servern und Verschlüsselung. Sie können deine Domain jedoch nicht in deinem Namen authentifizieren. Dieser Teil liegt bei dir.

Wenn ein Marketing-Tool eine E-Mail über deine Domain sendet, zum Beispiel newsletter@deinefirma.com, überprüft der Server des Empfängers dennoch die Authentifizierungseinträge deiner Domain:

• SPF: Muss die Sende-IPs des Marketing-Tools enthalten, damit der Server des Empfängers weiß, dass diese berechtigt sind, in deinem Namen zu senden.
• DKIM: Das Marketing-Tool signiert die E-Mail mit einem kryptografischen Schlüssel, aber du musst den entsprechenden öffentlichen Schlüssel in deinen DNS-Einträgen veröffentlichen, damit der Empfänger ihn überprüfen kann.
• DMARC: Teilt den empfangenden Servern mit, was zu tun ist, wenn SPF oder DKIM fehlschlagen, und sendet dir Berichte, damit du die unbefugte Nutzung deiner Domain überwachen kannst.

Die meisten seriösen Marketing-Tools führen dich während des Onboardings durch diese DNS-Einrichtung. Wenn deines das nicht tut, ist das ein Warnsignal.

Wenn du deine eigene Kampagne durchführst

Das Senden von Massen-E-Mails von deinem eigenen SMTP-Server überträgt die volle Verantwortung auf dich. Du musst Folgendes tun:

• Konfiguriere deinen SMTP-Server so, dass er TLS/STARTTLS für die verschlüsselte Übertragung verwendet
• Richte SPF-, DKIM- und DMARC-Einträge für deine Domain ein
• Überwache deinen Absenderruf – gemeinsam genutzte oder schlecht verwaltete SMTP-Server sind ein häufiger Weg zum Blacklisting
• Beginne mit einem geringen Sendevolumen und steigere es im Laufe der Zeit langsam, um Vertrauen bei den Posteingangsanbietern aufzubauen

Dieser Ansatz gibt dir mehr Kontrolle, erfordert jedoch deutlich mehr technisches Fachwissen und laufende Wartung. Für die meisten KMU ist ein seriöses Marketing-Tool der sicherere und einfachere Pfad.

Dateneigentum und Geschäftskontinuität

Für ein KMU ist eine E-Mail nicht nur Kommunikation, sondern ein Nachweis über Transaktionen, Vereinbarungen und Kundenbeziehungen.

Die POP3-Falle: Wenn dein Team POP3 verwendet und der Laptop eines Mitarbeiters abstürzt, verlierst du möglicherweise jahrelangen Schriftwechsel dauerhaft, weil die Daten nie auf dem Server gespeichert wurden.

Der IMAP-Vorteil: Indem du E-Mails auf dem Server belässt, stellst du sicher, dass Daten Hardwareausfälle und Mitarbeiterwechsel überstehen. Zudem ermöglicht es Administratoren, die Kommunikation für Compliance-Audits zu archivieren und zu durchsuchen.

Selbst wenn POP3 sich günstiger oder einfacher anfühlt, macht das Risiko, kritische Geschäftsdaten zu verlieren, IMAP zur sichersten Option für ein wachsendes Unternehmen.

Eine Sicherheits-Checkliste für E-Mail-Protokolle für KMU

Bereit, deine E-Mail-Infrastruktur abzusichern? Folge dieser Schritt-für-Schritt-Anleitung:

1. Überprüfe deine aktuelle Einrichtung:
   • Verwendest du TLS/STARTTLS für alle Verbindungen? (Überprüfe deine Anbieter-Einstellungen).
   • Verwendest du immer noch POP3? Wenn ja, plane sofort eine Migration zu IMAP.
2. Implementiere Authentifizierungseinträge:
   • Melde dich bei deinem DNS-Anbieter an.
   • Füge deinen SPF-Eintrag hinzu (schließe alle autorisierten Sende-IPs ein).
   • Erstelle und veröffentliche deinen DKIM-Schlüssel.
   • Richte eine DMARC-Richtlinie ein (beginne mit der Überwachung).
3. Sichere deinen Marketing-Stack:
   • Stelle sicher, dass deine E-Mail-Marketing-Plattform so konfiguriert ist, dass sie über deine benutzerdefinierte E-Mail-Domain und nicht über eine generische Subdomain sendet.
   • Überprüfe, ob deine Domain alle drei Authentifizierungsprüfungen besteht, bevor du Massen-Kampagnen sendest.
4. Testen und überwachen:
   • Sende Test-E-Mails an Gmail, Outlook und Yahoo.
   • Sieh dir die E-Mail-Kopfzeilen an, um zu bestätigen, dass die Authentifizierung erfolgreich war.
   • Abonniere aggregierte DMARC-Berichte, um unbefugte Nutzung zu überwachen.

Warte nicht auf ein Datenleck oder ein Blacklisting-Ereignis, um deine E-Mail-Infrastruktur zu überprüfen. Beginne mit der obigen Checkliste und baue ein System auf, das dein Geschäftswachstum sicher unterstützt.

Benötigst du Hilfe bei der Implementierung von Ende-zu-Ende-Verschlüsselung oder der Absicherung deiner geschäftlichen E-Mails? Entdecke Protons Unternehmenslösungen für Privatsphäre und Sicherheit auf Enterprise-Niveau.