SPF, DKIM und DMARC

SPF, DKIM oder DMARC

Alle drei Begriffe stehen für Methoden um Spam-Emails einzudämmen bzw. den Missbrauch der Absender-Domain zu verhindern..

Email mit Fehlermeldung zu SPF, DKIM oder DMARC erhalten?
Hier ist eine Erklärung zu den Fehlercodes

Kontrollieren Sie ihre Einstellungen gemäss der Anleitung unten.
Wenn Sie Hilfe benötigen, so erstellen Sie bitte ein Ticket im Kundenportal.

Häufige Fehler

• Es gibt * TXT DNS-Einträge. Diese Einträge liefern auch bei Anfragen zu SPF/DKIM/DMARC Antworten - allerdings sind diese nicht gültig.
  Diese * Einträge sind fast sicher falsch, vermutlich ist @ gemeint.
  
  
• Es gibt doppelte DNS-Einträge für SPF/DKIM/DMARC. 
  Entfernen Sie die doppelten Einträge
  
  
• Es gibt zwar SPF und/oder DKIM Einträge aber keinen oder einen "none" DMARC-Eintrag.
  Erstellen Sie einen DMARC-Eintrag.

Überblick

SPF, DKIM und DMARC sind DNS-basierte Verfahren.
Mit ihnen prüft ein empfangender Mailserver, ob eine E-Mail wirklich von der angegebenen Domain stammt.
Sie schützen vor Spoofing und Phishing und verbessern die Zustellbarkeit.

SPF (Sender Policy Framework)

• Zweck: Legt fest, welche Server (IP-Adressen) Mails für eine Domain versenden dürfen.
• Funktion: Ein TXT-Record listet die erlaubten IPs und Hosts. Der Empfänger vergleicht die IP des sendenden Servers mit dieser Liste.
• Geprüft wird: die Envelope-Absenderadresse (Return-Path / MAIL FROM), nicht der sichtbare From:-Header.
• DNS-Beispiel: v=spf1 a mx ip4:81.201.202.0/26 ip4:81.201.201.0/25 ~all
• Grenzen: Funktioniert nicht bei Weiterleitungen. Maximal 10 DNS-Lookups.

DKIM (DomainKeys Identified Mail)

• Zweck: Stellt sicher, dass eine Mail unterwegs nicht verändert wurde und von einer bestimmten Domain signiert ist.
• Funktion: Der sendende Server signiert Header und Body mit einem privaten Schlüssel. Der öffentliche Schlüssel liegt im DNS unter <selector>._domainkey.deine-domain.ch.
• Geprüft wird: die signierende Domain (d= in der Signatur). Sie kann vom From: abweichen.
• Vorteil: Übersteht Weiterleitungen, solange der Inhalt unverändert bleibt.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

• Zweck: Verknüpft SPF und DKIM mit dem sichtbaren Absender (From:). Legt fest, was bei einem Fehlschlag passieren soll und liefert Berichte.
• Funktion: Eine Mail besteht DMARC, wenn SPF oder DKIM besteht und die geprüfte Domain zum From: passt (Alignment).
• DNS-Beispiel: TXT unter _dmarc.deine-domain.ch mit  v=DMARC1; p=reject;
• Policies:
  • p=none: nur Monitoring, keine Massnahme wegen DMARC - Nicht empfohlen, schützt den Absender From: nicht.
  • p=quarantine: Mail landet im Spam-Ordner
  • p=reject: Mail wird abgelehnt - Empfohlen
• Berichte: rua liefert tägliche Aggregate-Berichte, die zeigen, wer im Namen der Domain sendet. Nicht alle Provider schicken solche Berichte.
  

Zusammenspiel DMARC

Verhalten je nach SPF-Ergebnis

*Wenn SPF „hard“ fehlschlägt, kann die E-Mail bereits auf der SMTP-Ebene abgelehnt werden. Dies kann die DMARC- und DKIM-Auswertung verhindern.

Empfohlene Einführung

1. SPF und DKIM für alle legitimen Versandquellen einrichten (Mailserver, M365, Newsletter-Tool, CRM usw.).
2. DMARC mit p=none und rua aktivieren und die Berichte 2–4 Wochen auswerten.
3. Nicht alignte Quellen korrigieren, z. B. eigenen DKIM-Key beim Dienst hinterlegen oder eigene Bounce-Domain einrichten.
4. Auf p=reject umstellen

BIMI
BIMI zeigt ihr Logo beim Empfänger an. Dies ist kein direkter Schutz, steigert aber das Vertrauen beim Empfänger. Vor BIMI müssen zuerst SPF, DKIM und DMARC eingerichtet werden.
Eine Anleitung zu BIMI ist hier.

Beachten

• SPF und DKIM allein verhindern keine gefälschten From:-Adressen.
  Ein Angreifer kann mit eigener Domain SPF und DKIM bestehen und trotzdem From: chef@deine-domain.ch setzen. Erst DMARC mit quarantine oder reject unterbindet das.
  
  
• Erstellen Sie keine * Einträge für SPF, DKIM oder DMARC. Benutzen Sie das oben beschriebene Format.
  
  
• Wenn der Mailserver mehrere Domains benutzt (Mailserver-Alias), so müssen im DNS-Server jeder Domain die entsprechenden SPF, DKIM und DMARC-Einträge stehen - üblicherweise die gleichen.
  
  
• Benutzer von Konten @rhone.ch @mailcenter.ch oder @oberwallis.ch sollten als Postausgang den Mailserver mx.rhone.ch verwenden.
  
  
• Benutzen Sie jimdo.com oder wixdns.net als Nameserver? Dann empfehlen wir die Verwendung unserer Nameserver.
  
  
• DMARC Einträge sind, ohne Angaben, auch für Subdomains gültig.
  
  
• SPF-Einträge müssen für jede Subdomain erstellt werden.
  
  
• DKIM muss für alle Sender-Domains, auch Aliase erstellt werden.
  
  
• BIMI ist optional und wird aktuell wenig verwendet.