--- title: 'Vertrauenswürdige E-Mails dank SPF & DKIM/DMARC' slug: vertrauenswuerdige-e-mails-dank-spf-dkim-dmarc date: '2020-04-03' author: onlime tags: [DKIM, Mail] image: 'https://www.onlime.ch/uploads/20200402-email-security-lock.jpg' --- Während [SPF](https://en.wikipedia.org/wiki/Sender_Policy_Framework) bereits längst im Einsatz ist und der SPF-Eintrag für alle Domains von Onlime-Kunden automatisch hinterlegt wird, haben wir am 30. März 2020 als Ergänzung auch noch [DKIM](https://en.wikipedia.org/wiki/DomainKeys_Identified_Mail)/[DMARC](https://en.wikipedia.org/wiki/DMARC) eingeführt. **SPF** steht für «Sender Policy Framework» und bezeichnet einen Abwehrmechanismus gegen Spam-Nachrichten. **DKIM** kürzt den Begriff «DomainKeys Identified Mail» ab und steht für einen Standard, mit dem das Fälschen von Absenderdaten in E-Mails – das sogenannte Spoofing – verhindert werden soll. Gleichzeitig soll sichergestellt werden, dass die wesentlichen Teile der E-Mail nicht verändert wurden. **DMARC** steht für «Domain-based Message Authentication, Reporting and Conformance». DMARC baut auf den beiden Techniken SPF und DKIM auf, indem es für eine Absender-Domain festlegt, wie der Empfänger die Authentifizierung von E-Mails durchführen soll und wie im Falle eines Fehlers zu verfahren ist. Es handelt sich hier also um eine weitere Spezifikation, die entwickelt wurde, um den Missbrauch von E-Mails zu reduzieren. ## SPF Mithilfe von SPF definiert die Inhaberin einer Domain, welche Server E-Mails für diese Domain verschicken dürfen und was mit E-Mails geschehen soll, die von einem nicht autorisierten Server stammen. Diese SPF-Regeln werden mittels eines DNS-Eintrags definiert, den die Mailserver des Empfängers beim Entgegennehmen der E-Mail prüfen können. Damit ist sichergestellt, dass E-Mails für die gewünschte Domain nur dann angenommen werden, wenn sie von einem «freigeschalteten» Server stammen. Natürlich vorausgesetzt, der empfangende Server prüft den SPF-Eintrag, was nicht zwingend der Fall sein muss. Die grossen Anbieter wie Google, Yahoo, GMX prüfen den SPF-Eintrag und berücksichtigen das Resultat bei der Berechnung des Spam-scores, also der Wahrscheinlichkeit, ob eine E-Mail als Spam oder Ham eingestuft wird. ### SPF für Onlime-Kunden automatisch aktiv Der für SPF nötige DNS-Eintrag ist für Domains von Onlime-Kunden automatisch hinterlegt und kann bei Bedarf bequem über den DNS-Manager in unserem [Controlpanel](https://my.onlime.ch/) überschrieben werden. Ausserdem prüfen die Mailserver von Onlime GmbH alle eingehenden E-Mails mittels SPF und sorgen so dafür, dass weniger Spam in den Postfächern landet. Der Standard SPF-Eintrag sieht so aus: ``` @ 300 IN TXT "v=spf1 mx include:spf.onlime.ch ~all" ``` Wir empfehlen den Kunden, die definitiv nur E-Mail via unsere Mailserver versenden, diesen Eintrag von «SoftFail» `~all` auf das radikalere «Fail» `-all` anzupassen. Hinweise zur Syntax finden Sie hier: [SPF Record Syntax](https://dmarcian.com/spf-syntax-table/). ## DKIM/DMARC gegen Spoofing und Phishing Neben SPF lässt sich mit DKIM die Vertrauenswürdigkeit von E-Mails weiter verbessern. Unterstützt der Mailserver der Empfängerin nämlich DKIM, kann dieser feststellen, ob die E-Mail von einem Server stammt, den die Absenderin als legitime Quelle definiert hat und ob der Inhalt der E-Mail unterwegs verändert wurde. Ziel dieses Verfahrens ist es, Spammern und Phishern ihre kriminellen Vorhaben zu erschweren. Damit die Empfängerin zweifelsfrei feststellen kann, ob die E-Mail aus legitimer Quelle stammt, wird vom sendenden Mailserver für jede ausgehenden E-Mail eine digitale Signatur («Hash») erstellt. Diese Signatur wird aus einem privaten Schlüssel sowie dem Inhaltstext der E-Mail generiert und im Header der E-Mail abgelegt. Mit dem öffentlichen Schlüssel, der als DNS-Eintrag des Domainnamens abgelegt ist, kann der empfangende Mailserver daraufhin diesen «Hash» verifizieren. Ist die Signatur gültig, stammt die E-Mail tatsächlich von der behaupteten Domain. Ist die Signatur ungültig, wurde die Absenderadresse oder der Inhalt der E-Mail manipuliert. Die Empfängerin kann diese Informationen verwenden, um die Bewertungssysteme und Filtertechniken ihrer Spamfilter wirkungsvoller zu gestalten. ### DKIM für Onlime-Kunden automatisch aktiv E-Mails, die über Onlime-Server verschickt werden, werden automatisch mit dem passenden DKIM-Schlüssel signiert. Der passende DNS-Eintrag ist auf den Nameservern von Onlime GmbH ebenfalls automatisch hinterlegt und kann bei Bedarf bequem über den DNS-Manager in unserem [Controlpanel](https://my.onlime.ch/) überschrieben werden. Ein Standard DKIM- und der zugehörige DMARC-Eintrag sehen so aus: ``` onlime-20200330._domainkey 300 IN TXT "v=DKIM1; k=rsa; p=MIIBIjA..." _dmarc 300 IN TXT "v=DMARC1; p=none;" ``` Um den DKIM-Eintrag brauchen Sie sich nie zu kümmern. Onlime ersetzt die keys regelmässig und passt dabei jeweils den DKIM-Eintrag im DNS an. Wenn Sie aber die DMARC-Richtlinie verschärfen möchten, empfehlen wir Ihnen, den `_dmarc` Eintrag wie folgt zu überschreiben: ``` _dmarc 300 IN TXT "v=DMARC1; p=quarantine; adkim=s; aspf=s;" ``` Verwenden Sie dazu am besten den [DMARC Record Wizard](https://dmarcian.com/dmarc-record-wizard/) von Dmarcian, falls Sie in der Syntax von DMARC nicht geübt sind.