Anti-Spoofing für eigene Domains (SPF, DKIM und DMARC)

Die offene und dezentrale Natur von E-Mails bringt zwar große Vorteile mit sich, doch diese Freiheit macht E-Mails auch leicht missbrauchbar. Beispielsweise kann jeder mit dem Internet verbundene Server eine E-Mail an einen deiner Freunde senden und so tun, als ob sie von dir stammt – ein Angriff, der als E-Mail-Spoofing bekannt ist.

Wir empfehlen allen, die eine eigene Domain mit Proton Mail nutzen, dringend, SPF, DKIM und DMARC einzurichten, um sicherzustellen, dass deine E-Mails ordnungsgemäß zugestellt werden.

Lies weiter, um zu erfahren, wie wir deine eigene Domain vor dieser Art von Angriffen schützen können.

SPF

Der SPF-Eintrag (Sender Policy Framework) teilt der Welt im Grunde mit, welche Hosts oder IPs E-Mails für deine Domain senden dürfen. Wenn Mailserver eine E-Mail erhalten, die vorgibt, von deiner Domain zu stammen, können sie deinen SPF-Eintrag prüfen, um zu sehen, ob der sendende Server enthalten ist.

Auch wenn es nicht erforderlich ist, empfehlen wir dir dringend, einen SPF-Eintrag einzurichten, der Proton Mail beinhaltet.

Dies lässt deine E-Mails nicht nur vertrauenswürdiger erscheinen und verringert die Wahrscheinlichkeit, dass sie in Spam-Ordnern landen, sondern hilft auch dabei, deine Domain vor Angreifern zu schützen, die E-Mails mit gefälschten Kopfzeilen versenden, die so aussehen, als kämen sie von dir.

Logge dich in deinem Browser in dein Proton Mail-Konto ein, gehe zu Einstellungen → Alle Einstellungen → Domainnamen und klicke neben der Domain, für die du einen SPF-Eintrag hinzufügen möchtest, auf Überprüfen.

Wähle den Tab SPF aus. Hier wird der empfohlene SPF-Eintrag angezeigt, den du im Domain-Verwaltungsportal deines Registrars hinzufügen musst. Du kannst auf das kleine Symbol links neben dem Eintrag klicken, um ihn in die Zwischenablage deines Systems zu kopieren.

Der Teil „include:_spf.protonmail.ch“ der Textzeichenfolge bedeutet, dass du Proton Mail-Servern erlaubst, im Namen deiner Domain zu senden. Wenn du einen bestehenden SPF-Eintrag beibehalten möchtest, füge die Textzeichenfolge „include:_spf.protonmail.ch“ einfach rechts neben deinen vorhandenen Eintrag nach dem „v=spf1“ hinzu. Das „mx“ beinhaltet auch die MX-Einträge deiner Domain.

Der Teil „~all“ bedeutet, dass E-Mails, die von Servern gesendet werden, die nicht in der Textzeichenfolge enthalten sind, als SoftFail behandelt werden. Das bedeutet, dass der empfangende Mailserver die E-Mail zwar annimmt, sie jedoch als SPF fehlgeschlagen markiert. Die Alternative ist die Verwendung des Parameters „-all“ (HardFail).

Dies führt dazu, dass die E-Mail abgelehnt wird, was bei legitimen E-Mails zu Zustellungsproblemen führen kann. SPF schlägt beispielsweise oft bei E-Mail-Weiterleitungen fehl, wenn du an Adresse A sendest, die automatisch an Adresse B weitergeleitet wird. Sobald wir erkennen, dass der SPF-Eintrag deiner Domain Proton Mail beinhaltet, zeigt der SPF-Tab ein grünes Häkchen-Symbol an.

DKIM

DomainKeys Identified Mail (DKIM) ist eine Methode zur E-Mail-Authentifizierung, die kryptografisch überprüft, ob eine E-Mail von vertrauenswürdigen Servern gesendet wurde und nicht manipuliert wurde.

Wenn ein Server eine E-Mail über deine Domain sendet, berechnet er im Grunde einen verschlüsselten Hash des E-Mail-Inhalts mithilfe eines privaten Schlüssels (den nur vertrauenswürdige Server kennen) und fügt ihn als DKIM-Signatur zu den E-Mail-Kopfzeilen hinzu.

Der empfangende Server verifiziert den E-Mail-Inhalt, indem er den entsprechenden öffentlichen Schlüssel in den DNS-Einträgen deiner Domain nachschlägt, den verschlüsselten Hash entschlüsselt und einen neuen Hash basierend auf dem erhaltenen E-Mail-Inhalt berechnet. Anschließend vergleicht er den entschlüsselten Hash mit dem neuen Hash. Wenn sie übereinstimmen, wurde die E-Mail nicht manipuliert und DKIM gilt als erfolgreich. Andernfalls schlägt DKIM fehl und die E-Mail wird als verdächtig behandelt.

Mehr über DKIM-Verwaltung erfahren(neues Fenster)

Wir verwenden CNAME-Einträge, um die automatische Rotation von DKIM-Schlüsseln zu verwalten, was ein anerkannter Sicherheitsstandard ist. Wir bitten dich, drei CNAME-Einträge hinzuzufügen und beizubehalten. Dies stellt sicher, dass immer ein aktiver Schlüssel vorhanden ist, um einen unterbrechungsfreien Dienst zu gewährleisten, während die anderen Schlüssel regelmäßig zur Verbesserung der Sicherheit automatisch zurückgezogen und neu erstellt werden.

Das klingt alles kompliziert, aber die Implementierung von DKIM für deine Domain ist in Proton Mail ganz einfach. Es dauert ein paar Stunden, deine eigene Domain zu verifizieren, wenn du zum ersten Mal ihre DNS-Einträge für die Verwendung mit Proton Mail änderst. Sobald deine eigene Domain verifiziert ist, generiert Proton Mail die Hostnamen und Werte, die du für das DNS-Portal deiner Domain benötigst. Danach werden die für die automatische DKIM-Schlüsselrotation erforderlichen CNAME-Einträge erstellt.

Wir senden dir eine E-Mail-Benachrichtigung, um dich darüber zu informieren, dass deine eigene Domain, Hostnamen und Werte bereit sind.

Neue Benutzer

Logge dich in deinem Browser in dein Proton Mail-Konto ein, gehe zu Einstellungen → Alle Einstellungen → Organisation → Domainnamen → Aktionen-Spalte → Überprüfen-Button neben der Domain, für die du einen DKIM-Eintrag hinzufügen möchtest.

Wähle den Tab „DKIM“ aus. Hier siehst du die drei Hostnamen und Werte, die du in deinen DNS-Einstellungen der Domain hinzufügen musst.

Sobald du diese Einträge hinzugefügt hast, kümmert sich Proton Mail um den Rest. Gemäß aktuellen Sicherheitsstandards generieren wir alle sechs Monate einen neuen 2048-Bit-Schlüssel und verwenden ihn, um deine E-Mails zu signieren.

Die CNAME-Einträge, die du in den DNS-Einstellungen deiner Domain hinzufügst, müssen exakt mit denen übereinstimmen, die in deinem Einrichtungsassistenten angezeigt werden. Sobald wir diese Einträge in deinem DNS erkennen, zeigt der DKIM-Tab ein grünes Häkchen-Symbol an. Wir benachrichtigen dich dann und beginnen damit, ausgehende E-Mails von deiner eigenen Domain mit DKIM zu signieren, genau wie wir es für andere Proton Mail-Adressen tun.

WICHTIG: Einige Registrar akzeptieren keine CNAME-Werte mit einem Punkt am Ende (während andere diesen erfordern). Wenn dein Registrar deine CNAME-Einträge nicht akzeptiert, lösche den Punkt am Ende jedes CNAME-Werts und versuche es erneut.

Benutzer, die derzeit die manuelle DKIM-Schlüsselrotation verwenden

Wir raten jedem, der derzeit die manuelle DKIM-Schlüsselrotation verwendet, dringend dazu, auf das neue automatische Schlüsselrotationssystem umzusteigen. Dies entfernt nicht nur die Notwendigkeit, deine Schlüssel manuell zu rotieren, sondern aktualisiert auch automatisch deine Schlüsselstärke (falls du 1024-Bit-Schlüssel verwendet hast).

Wenn du zuvor eine manuelle DKIM-Schlüsselrotation für deine Domain mithilfe eines TXT-Eintrags konfiguriert hast, musst du diesen Eintrag aus den DNS-Einstellungen entfernen, bevor du die CNAME-Einträge eingibst.

Du musst deine DNS-Einstellungen mit CNAME-Einträgen rekonfigurieren, da sie es uns ermöglichen, die automatische Schlüsselrotation einzurichten, während dein aktueller TXT-Eintrag dies nicht tut.

Sobald du diesen TXT-Eintrag gelöscht hast, kannst du den Anweisungen für neue Benutzer folgen. DKIM hört auf, deine E-Mails zu signieren, sobald du den TXT-Eintrag löschst. Um den DKIM-Schutz aufrechtzuerhalten, solltest du deine CNAME-Hostnamen und -Werte sofort in deine DNS-Einstellungen eingeben.

DMARC

Während du dich (oben) über SPF und DKIM informiert hast, hast du dich vielleicht gefragt, wie der empfangende Server mit einer E-Mail umgeht, die die Prüfungen nicht besteht. Hier kommt Domain-based Message Authentication, Reporting, and Conformance (DMARC) ins Spiel.

DMARC ermöglicht es dem Domaininhaber festzulegen, was mit fehlgeschlagenen E-Mails passieren soll, und Feedback zu erhalten, wenn diese ankommen. Grundsätzlich gibt es drei Aktionen, die empfangende Server ergreifen können, wenn BEIDE Prüfungen (SPF und DKIM) fehlschlagen: none, quarantine und reject.

Logge dich in deinem Browser in dein Proton Mail-Konto ein und gehe zu Einstellungen → Einstellungen öffnen → Organisation → Domainnamen → Aktionen Spalte → Überprüfen-Button neben der Domain, für die du einen DMARC-Eintrag hinzufügen möchtest.

Kopiere den DMARC-TXT-Hostnamen und die Wert-Zeichenfolge und füge sie deiner Domain in der Domain-Verwaltungskonsole deines Registrars hinzu.

Der Wert „p=“ spezifiziert die Aktion für E-Mails, die DMARC nicht bestehen. Hier sind die verfügbaren Aktionen:

• p=quarantine: Bittet die Empfängerplattformen darum, nicht autorisierte E-Mails als Spam zu markieren oder unter Quarantäne zu stellen.
• p=reject: Bittet die Empfängerplattformen darum, nicht autorisierte E-Mails abzulehnen.
• p=none: Führe keine Quarantäne durch und lehne keine nicht autorisierten E-Mails ab. Normalerweise verwenden Nutzer diese Richtlinie nur zur Fehlerbehebung oder zum Testen.

Die Standardeinstellung ist none. Um jedoch deine Sicherheit zu verbessern, empfehlen wir, diesen Wert auf p=quarantine zu setzen.

Sobald du dir sicher bist, dass deine legitimen E-Mails DMARC bestehen, möchtest du es vielleicht aggressiver auf p=reject setzen. Wir empfehlen dies, wenn du glaubst, dass du wahrscheinlich Ziel von E-Mail-Spoofing bist. Yahoo, PayPal und eBay verwenden beispielsweise p=reject, um zu verhindern, dass sich Spammer als sie ausgeben.

Ein weiterer Parameter ist rua=, der eine E-Mail-Adresse angibt, an die andere E-Mail-Dienste aggregierte Berichte senden können, damit du sehen kannst, wie viele deiner E-Mails bei DMARC fehlschlagen.

Bitte bedenke jedoch, dass die Wahl aggressiverer DMARC-Aktionen Risiken birgt. Wenn du beispielsweise an eine Mailingliste sendest, die dann an einzelne Empfänger weiterleitet, führt dies dazu, dass SPF fehlschlägt. Ärgerlicherweise ändern manche Mailinglisten auch den Inhalt der E-Mail, was DKIM beschädigt und DMARC fehlschlagen lässt, was bei einer auf quarantine oder reject gesetzten DMARC-Richtlinie zu Zustellungsproblemen führt. Deshalb ist DMARC standardmäßig auf none gesetzt.

Test-E-Mail

Sobald du eine eigene Domain eingerichtet hast, kannst du sie testen, indem du eine E-Mail mit Mail Tester(neues Fenster) versendest.

Sende einfach eine E-Mail über deine eigene Domainadresse an die eindeutige Adresse, die auf der Mail-Tester-Webseite angezeigt wird. Überprüfe dann deinen Spam-Score.

Wenn du SPF und DKIM beide korrekt eingestellt hast, solltest du 10/10 Punkte erreichen können!