SPF, DKIM und DMARC Massenmailing unterliegt neuen Regeln

Anbieter zum Thema

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Wer täglich mehr als 5.000 Mails versenden will, kommt ab sofort um die Implementierung neuer Verfahren gegen Spam und Phishing nicht herum. Auch Unternehmen müssen diese Authentifizierungs-Methoden kennen. Und auf kurz oder lang werden die Maßnahmen auch die „normalen“ Mail-Nutzer betreffen.

Zum 1. April haben u.a. Google und Yahoo neue Vorschriften für die Zustellung von Mails eingeführt, um Spam- und Phishing-Versuche einzudämmen. Erstmalig angekündigt hatten sie das bereits im Oktober vergangenen Jahres, im Februar trat eine erste Stufe in Kraft. Die Änderungen gelten zunächst nur für Massenversender, die täglich mehr als 5.000 Emails versenden. Sie müssen die E-Mail-Authentifizierungsprotokolle SPF, DKIM und DMARC implementiert haben. SPF verhindert Domain-Spoofing, kann aber nicht vor E-Mail-Betrug schützen. DKIM überprüft die Legitimität eines Absenders, Hacker können aber immer noch die sichtbare Absenderadresse ändern.

Dreh und Angelpunkt bei der Authentifizierung ist daher das nun verbindliche DMARC, das für „Domain-based Message Authentication, Reporting, and Conformance“ steht. Dieses Protokoll nutzt und verbessert DKIM und SPF und soll sowohl E-Mail-Spoofing als auch Phishing verhindern. DMARC prüft, ob die sichtbare Absenderadresse einer E-Mail mit der Domain in der Absenderadresse (für SPF) und dem DKIM-Header (für DKIM) übereinstimmt. Es definiert zudem, wie E-Mail-Empfänger mit Nachrichten umgehen sollen, die durch die Authentifizierungsprüfungen fallen und veranlasst den empfangenden Server zur Berichterstattung an den Absender.

Eindeutige Verbesserung der E-Mail-Sicherheit

Massen-Mailer müssen einen DMARC-Eintrag erstellen und die gewünschte Richtlinie entsprechend Ihren Anforderungen definieren. Das sei durchaus anspruchsvoll, es wird zwischen drei Richtlinien zur Überwachung, für die Quarantäne sowie für die Zurückweisung von Nachrichten. Google gibt dazu Anleitungen, Massenmailer Rapidmail will es seinen Anwendern in wenigen Minuten umsetzen, andere Unternehmen wie der E-Mail-Sicherheitsanbieter Proofpoint, PowerDMARC oder EasyDMARC offerieren automatisierte Lösungen dafür.

„DMARC-Protokolle stellen einen eindeutigen Fortschritt bei der Verbesserung der E-Mail-Sicherheit dar, aber wenn sie nicht verstanden oder umgesetzt werden, können sie auch erhebliche Auswirkungen auf den Unternehmenserfolg haben“, kommentierte Gerasim Hovhannisyan, CEO von EasyDMARC. „Es ist wichtig, dass E-Mail-Anbieter ihre Bemühungen verstärken, um das Bewusstsein für diese Änderungen zu schärfen und auf die potenziellen Risiken für Unternehmen hinzuweisen, wenn sie sich nicht an die sich entwickelnden Cybersicherheitsstandards halten.“

SPF, DKIM und DMARC: Die großen Unbekannten

Offenbar braucht es tatsächlich ein verschärftes Bewusstsein, denn eine Studie im Auftrag des Unternehmens fand heraus, dass trotz Warnung der großen E-Mail-Anbieter in DACH aktuell nur 32 Prozent der Anwender die entsprechenden Sicherheitsmaßnahmen eingeführt haben. Lediglich neun Prozent bezeichnen sich selbst als mit den E-Mail-Authentifizierungsprotokollen SPF, DKIM und DMARC „sehr vertraut“ und 25 Prozent als „etwas vertraut“. 32 Prozent gaben zu, keinen blassen Schimmer zu haben, wovon überhaupt die Rede ist.

Proofpoint hat in einer eigenen Umfrage herausgefunden, dass nur sechs Prozent alle Krankenhäuser von DMARC Ahnung haben. „94 Prozent der führenden deutschen Krankenhäuser, die DMARC nicht auf der ‚Reject‘-Stufe implementieren, setzen andere Organisationen – nicht zuletzt andere Krankenhäuser, Lieferanten und Patienten – einem sehr hohen Risiko aus, Opfer von E-Mail-basierter Cyberkriminalität zu werden“, so Miro Mitrovic, Area Vice President für die DACH-Region bei Proofpoint. Das sei äußerst bedauerlich, zumal DMARC weder teuer noch unbekannt sei. „Angesichts der Sensibilität der Daten, mit denen Krankenhäuser zu tun haben, ist das Ergebnis unserer Analyse besonders schockierend. Unseres Wissens schneidet keine andere Branche so schlecht ab wie das Gesundheitswesen.“

„Es ist zwar ermutigend, dass unter IT-Fachleuten ein breiter Konsens über die potenziellen Auswirkungen dieser Standards besteht, doch die Diskrepanz zwischen Akzeptanz und Umsetzung unterstreicht einen entscheidenden Bereich, in dem Verbesserungen möglich sind“, bestätigt Hovhannisyan.

(ID:50000483)