E-Mail-Sicherheit war noch nie so wichtig wie heute. Du musst jede einzelne E-Mail schützen, die du sendest und empfängst, um ein vertrauenswürdiges und sicheres Unternehmen aufzubauen. Mit den richtigen Techniken für E-Mail-Sicherheit verhinderst du Phishing, Betrug oder Spam und bewahrst deine Kunden davor, Opfer eines Cyberangriffs zu werden.
Es gibt viele Wege, die E-Mails deines Unternehmens und die deiner Kunden zu schützen. Zwei verbreitete Protokolle, die heute die meisten Firmen einsetzen, sind DKIM und DMARC. Fachleute für E-Mail-Sicherheit erkennen diese Systeme sofort, wer ein Unternehmen führt, tut sich mit dem Verständnis dagegen oft schwer.
In diesem Leitfaden bekommst du den kompletten Überblick über DKIM vs. DMARC, damit du beruhigt sein kannst, dass alle deine ausgehenden und eingehenden E-Mails vollständig abgesichert sind.
Was ist DKIM? Die Grundlagen
DKIM, auch bekannt als DomainKeys Identified Mail, ist ein Verfahren für Online-Sicherheit, bei dem E-Mails sowohl von eingehenden als auch von ausgehenden Servern authentifiziert werden. Das schützt den Endnutzer vor möglichen Sicherheitsrisiken über sein Postfach. Das Verfahren funktioniert, indem jede E-Mail eine Signatur erhält.
Diese Signatur ist ein eindeutiges Erkennungsmerkmal, das die E-Mail mit dem Server deiner Domain verbindet. Der Server, der die E-Mail von dir zu deinem Empfänger transportiert, prüft diese Verbindung, stuft deine E-Mail als vertrauenswürdig ein und lässt sie direkt im Posteingang deines Empfängers landen.
Die Rolle von DKIM in der E-Mail-Sicherheit
DKIM einzusetzen ist unverzichtbar, um Betrug, Spam und Phishing-Versuche zu verhindern. DKIM hindert böswillige Nutzer daran, die E-Mail-Domain deines Unternehmens (den Teil der E-Mail-Adresse nach dem „@“) zu verwenden, um sich als du oder als dein Unternehmen auszugeben. Wenn dein Unternehmen DKIM nutzt, landen E-Mails von nicht registrierten Personen, die deine E-Mail-Domain für Betrug an deinen Kunden missbrauchen wollen, direkt im Spam oder werden gar nicht erst zugestellt.
DKIM arbeitet mit anderen Protokollen für E-Mail-Sicherheit wie DMARC und SPF zusammen, um alle E-Mails abzusichern. Im Zusammenspiel dieser Protokolle hat deine E-Mail deutlich weniger Schwachstellen, als wenn du in deiner E-Mail-Strategie nur auf DKIM setzt. Die Verbreitung ist bereits hoch: Von den Domains, die wir testen, signieren 87 % ihre E-Mails mit einem funktionierenden DKIM-Schlüssel, die übrigen 13 % wirken auf empfangende Server also auffällig unauthentifiziert.
Wichtige Funktionen und Vorteile von DKIM
Der größte Vorteil von DKIM ist, dass es außerordentlich sicher und leicht einzurichten ist.
Der Einsatz von DKIM stärkt außerdem das Vertrauen deiner Kundschaft. Wenn es auch nur einer einzigen Person gelingt, sich als deine E-Mail-Domain auszugeben und deine Kunden zu betrügen, kann das das Ende der Reputation deiner Marke sein. Selbst wenn deine Kunden nicht betrogen werden: Eine einzige verdächtige E-Mail genügt, damit viele von ihnen deine E-Mail-Domain komplett auf die Blacklist setzen.
Unsichere E-Mails können dich und deine Kunden viel Geld kosten. Laut dem FBI hat Betrug mit gefälschten Geschäfts-E-Mails die Opfer weltweit rund 50 Milliarden Dollar gekostet.
DKIM einzusetzen ist ein einfacher Weg, all diese Probleme zu vermeiden. Das Protokoll lässt sich leicht implementieren und gehört zu den stabilsten und sichersten Systemen im Bereich E-Mail-Sicherheit.
DKIM wird sogar von Internetanbietern wie Google und Yahoo genutzt, um die Vertrauenswürdigkeit deiner Domain zu bewerten, was dein Vertrauen und deine Reputation bei diesen Anbietern aufbaut. Das macht es wahrscheinlicher, dass deine E-Mails korrekt zugestellt werden.
Zweck und Funktionsweise von DMARC
DMARC, auch bekannt als Domain-based Message Authentication Reporting & Conformance, ist ein Ansatz für E-Mail-Sicherheit, der auf den Protokollen SPF und DKIM aufbaut. Im Kern gibt DMARC dem Mailserver eine Vorgabe, wie er mit E-Mails umgehen soll, die von SPF und DKIM abgelehnt wurden.
Mit drei Optionen, die von der vollständigen Ablehnung bis zur vollständigen Zustellung nicht verifizierter E-Mails reichen, kannst du mit DMARC eine eigene Strategie für deine E-Mail-Sicherheit entwerfen. Wenn DMARC Teil deiner E-Mail-Sicherheit ist, hast du deine Reaktion auf Cyberangriffe automatisiert und kannst beruhigt sein, weil du einen Plan hast, um dich gegen böswillige Nutzer zu wehren.
Wie DMARC DKIM ergänzt
DMARC ist die Sicherheits-Policy deiner Domain. Sie legt fest, was mit E-Mails passiert, die bei der SPF- oder DKIM-Authentifizierung durchfallen. Außerdem hilft DMARC Internetanbietern dabei, falsch positive Ergebnisse im Prüfprozess zu erkennen, was die Sicherheit des gesamten Systems verbessert.
DKIM allein sagt dem Server nur, ob eine E-Mail echt ist oder nicht. Es gibt keine Anweisung, was mit der E-Mail geschehen soll, wenn sie diese Prüfung besteht oder nicht besteht. DMARC ist nötig, um mit den Informationen aus DKIM auch etwas anzufangen. Es schafft ein System, das E-Mails in den Spam verschiebt oder ihre Zustellung verweigert, wenn sie die Prüfverfahren nicht bestehen. DKIM und DMARC sind also beide unverzichtbar für ein umfassendes Konzept der E-Mail-Sicherheit.
Genau hier scheitern die meisten Absender. Unsere Benchmark-Daten zeigen: 58 % der Domains, die wir testen, veröffentlichen inzwischen eine DMARC-Policy, 42 % haben dagegen weiterhin gar keine. Ein großer Teil veröffentlicht also DKIM-Signaturen, sagt den Empfängern aber nie, was sie tun sollen, wenn diese Signaturen fehlschlagen.
DKIM vs. DMARC: wichtige Unterschiede und Zusammenspiel
Der wichtigste Unterschied zwischen DKIM und DMARC: Das eine ist ein Sicherheitsprotokoll, das andere eine Sicherheitsstrategie. DKIM ist ein Prüfverfahren, das feststellt, ob E-Mails aus einer überprüfbaren und vertrauenswürdigen Quelle stammen oder nicht. Dieses Protokoll kann nur erkennen, ob eine E-Mail unsicher ist oder nicht. Es kann nicht entscheiden, was danach mit der E-Mail passiert.
DMARC ist eine Sicherheitsstrategie, die festlegt, was mit E-Mails geschieht, die die DKIM-Prüfung bestehen oder nicht bestehen. Dieses System nutzt die Informationen aus der DKIM-Prüfung, um zu entscheiden, welche E-Mails abgewiesen und welche durchgelassen werden.
Diese Verfahren verbessern die E-Mail-Sicherheit gemeinsam, weil sie ein mehrschichtiges System bilden: Es erkennt Schwachstellen und folgt einem Plan, wie damit umzugehen ist, sei es den Versand abzulehnen oder die Nachricht im Postfach deines Empfängers einfach als verdächtig zu kennzeichnen.
DKIM und DMARC für mehr E-Mail-Sicherheit einrichten
Schritt für Schritt: DKIM einrichten
DKIM einzurichten ist einfach, wenn du dich an die folgenden Schritte hältst. Zuerst brauchst du ein Schlüsselpaar. Damit stellst du sicher, dass niemand deine E-Mail-Signatur kopieren kann. Ein öffentlicher Schlüssel kommt in die DNS-Einträge, ein privater Schlüssel bleibt sicher auf dem Server deines E-Mail-Anbieters. Beide Schlüssel arbeiten zusammen, um E-Mails zu authentifizieren und zu verifizieren.
Wie du an diese Schlüssel kommst, hängt von deinem E-Mail-Anbieter ab. Meistens forderst du die DKIM-Schlüssel in den Einstellungen deines Kontos an oder wendest dich direkt an deinen Anbieter. Denk daran, einen E-Mail-Anbieter zu wählen, der DKIM ausdrücklich unterstützt. Das tun längst nicht alle.
Sobald du deine Schlüssel hast, kannst du deinen öffentlichen Schlüssel über DNS-TXT-Einträge auf dem DNS-Server veröffentlichen. Dabei musst du dem Format [selector]._domainkey.[domain] folgen. Der Selector wird dein öffentlicher Schlüssel sein.
Um den privaten Schlüssel kümmert sich in der Regel dein E-Mail-Anbieter: Er legt ihn auf seinen Servern ab, ohne dass du etwas tun musst.
Eine DMARC-Policy entwerfen und ausrollen
Der erste Schritt beim Erstellen deiner DMARC-Policy ist die Entscheidung, wie streng du gegen E-Mails vorgehen willst, die die Prüfung nicht bestehen. Ein beispielhafter DMARC-Eintrag sieht ungefähr so aus:
v=DMARC1; p=quarantine; rua=unspam:emailsecurity@example.com;
Über den Tag „p=“ legst du fest, wie streng durchgesetzt wird. P=none schickt dir einen Bericht über die fehlgeschlagene Prüfung, stellt die E-Mail aber trotzdem zu. P=quarantine stellt die E-Mail ebenfalls zu, markiert sie aber als Spam, sodass der Empfänger im Spam-Ordner nachsehen muss, um sie zu finden. Die härteste Stufe, p=reject, verweigert den Versand der E-Mail automatisch, wenn sie die DMARC- oder SPF-Prüfung nicht besteht.
Der erste Tag „v=DMARC1“ bleibt immer gleich, und der letzte Tag „rua=“ nennt einfach die E-Mail-Adresse, an die dein DMARC-Bericht gehen soll.
Best Practices, um die E-Mail-Authentifizierung mit DKIM und DMARC zu optimieren
Bei der wirksamen Umsetzung von DKIM solltest du einige zentrale Schritte im Kopf behalten. Rotiere deine Schlüsselpaare regelmäßig, um Cyberangriffen zuvorzukommen, die es auf unveränderte Schlüssel abgesehen haben. Prüfe außerdem, ob du die Schritte befolgt hast, die dein E-Mail-Anbieter für die Einrichtung deiner Schlüssel vorgibt. Du kannst nicht immer davon ausgehen, dass er den öffentlichen Schlüssel für dich hinterlegt, auch wenn die meisten Anbieter das tun. Halte deine E-Mail-Sicherheit dauerhaft aufrecht, indem du dein System auf mögliche Schwachstellen testest und deine Strategie für die E-Mail-Authentifizierung entsprechend anpasst. Schnell prüfen kannst du die Gültigkeit deiner Signatur mit einem kostenlosen DKIM-Check, vor und nach dem Wechsel deiner Schlüssel.
Genauso verlangt eine wirksame DMARC-Strategie, dass du vorausschauend handelst und dich an Best Practices hältst. Achte darauf, dass deine Strategie zu den konkreten Anforderungen deiner Marke passt. Nicht jedes Unternehmen muss alle verdächtigen E-Mails ungeprüft abweisen, für manche ist genau das aber notwendig.
Sorge immer dafür, dass deine Sicherheit außerhalb des Postfachs genauso gut ist wie darin. Das heißt: einzigartige Passwörter für alles, was du nutzt, niemals private Informationen in einem öffentlichen WLAN teilen und deine Website absichern.
Fallbeispiele: Erfolgsgeschichten mit DKIM und DMARC
Paypal
PayPal war 2012 eines der Unternehmen, die zusammen mit Yahoo, Microsoft und Google den DMARC-Standard begründet haben. Trent Adams, Vorsitzender von DMARC.org und Leiter der Ökosystem-Sicherheit bei Paypal, hat sich oft zur Wirksamkeit der E-Mail-Sicherheitsrichtlinien von Paypal geäußert. Das Engagement von Adams für PayPal wie für DMARC ist sicher einer der Gründe, warum PayPal bei den Standards für E-Mail-Sicherheit ein Vorreiter ist.
Das Unternehmen hat durch seinen Einsatz für E-Mail-Sicherheit mehr Sicherheit und einen wachsenden Ruf der Vertrauenswürdigkeit gewonnen. Unternehmen im Finanzsektor müssen ein vertrauensvolles und sicheres Verhältnis zu ihren Kunden pflegen, um im Geschäft zu bleiben, und PayPal ist ein hervorragendes Beispiel dafür, wie sich frühe Investitionen in E-Mail-Sicherheit auszahlen.
Strafverfolgungsbehörden
Eine weitere Branche, in der alle E-Mails sicher sein müssen, ist die Strafverfolgung. Nur wenige Tage nach der Einführung sah eine Strafverfolgungsbehörde innerhalb von nur 24 Stunden über 500 E-Mails, die von DKIM abgelehnt und von DMARC gemeldet wurden. Mit diesen Daten deckte sie Angreifer auf, die ihre E-Mail-Domain nutzten, um Nutzer in den ganzen USA anzugreifen.
Im Zuge der Aufdeckung dieses Angriffs wurden über 43.000 E-Mails von DMARC als „bösartig“ abgewiesen. Das heißt: Zehntausende Menschen waren vor Cyberangriffen geschützt, weil eine einzige Strafverfolgungsbehörde Richtlinien für E-Mail-Sicherheit umgesetzt hat. Diese Behörde nutzte die höchste Stufe der DMARC-Durchsetzung, „p=reject“, damit keine E-Mail versendet werden kann, die die DKIM- oder SPF-Prüfung nicht besteht.
Wenn Sicherheit deine oberste Priorität ist, musst du die höchste Stufe der DMARC-Durchsetzung wählen, damit bösartige E-Mails keine Chance haben, deine Nutzer zu erreichen.
Häufige Fragen zu DKIM und DMARC
Kann ich mehrere DKIM-Einträge haben?
Es gibt viele Gründe, warum du mehrere DKIM-Einträge haben möchtest. Vielleicht arbeitet dein Unternehmen mit externen E-Mail-Dienstleistern und muss belegen, dass auch deren Domains vertrauenswürdig sind. Ein anderer Grund: Du willst deine DKIM-Einträge wechseln, um die Sicherheit deines Unternehmens zu erhöhen. Manche Sicherheitsfachleute empfehlen das, damit böswillige Nutzer deine Sicherheitsprotokolle nie leicht knacken können.
So oder so lautet die Antwort ja, mehrere DKIM-Einträge sind möglich. Dafür musst du für jeden Dienstleister oder jeden zusätzlichen Eintrag ein eigenes DKIM-Schlüsselpaar konfigurieren. Danach folgst du einfach den ursprünglichen Schritten, um dein Schlüsselpaar in deinen DNS-Einträgen und auf deinem Mailserver einzurichten.
Kann ich mein DKIM-Schlüsselpaar selbst erzeugen?
Ja, du kannst dein Schlüsselpaar für DKIM selbst erzeugen. Wenn du dich nicht mit deinem E-Mail-Anbieter abstimmen willst, kannst du deine Schlüssel manuell mit kostenloser Online-Software erstellen.
Diese Programme erzeugen aus deinen Angaben ein eigenes, einzigartiges Schlüsselpaar für deine Domain. Leider musst du dich trotzdem an deinen E-Mail-Anbieter wenden, damit dein privater Schlüssel auf dessen Mailserver hinterlegt wird.
Woran erkenne ich, ob DMARC funktioniert?
Du kommst leicht an regelmäßige Berichte darüber, wie es um dein DMARC steht, und ein kostenloser DMARC-Check zeigt dir, ob dein Eintrag korrekt veröffentlicht ist, bevor du dich auf diese Berichte verlässt. Beim Einrichten deines DMARC-Protokolls trägst du eine RUA-Domain ein, die mit dem System verbunden wird. Das ist die E-Mail-Adresse, an die deine Berichte gehen. Jedes Mal, wenn eine E-Mail von den Protokollen SPF oder DKIM abgelehnt wird, schickt dir das System eine Rückmeldung zum Status dieser E-Mail. So erstellst du sicherere E-Mails, die die Sicherheitsprotokolle bestehen, oder erwischst böswillige Nutzer, die deine Domain fälschen wollen.
Denk daran, dass DMARC ein paar Tage braucht, bis es greift. Erschrick also nicht, wenn deine Ergebnisse nicht sofort da sind.
Fazit: dein E-Mail-Ökosystem absichern
DKIM und DMARC werden seit Jahren von vielen Datenunternehmen erfolgreich gemeinsam eingesetzt. Die beiden Protokolle gehen Hand in Hand und sorgen für sichere E-Mails, die Vertrauen bei deinen Kunden aufbauen.
Dieser Leitfaden hat die Unterschiede zwischen DKIM und DMARC behandelt, wie beide zusammenspielen und wie Unternehmen sie mit großem Erfolg eingesetzt haben. Manchen fällt die Unterscheidung der beiden Verfahren schwer, aber wenn du bis hierher mitgelesen hast, bist du bei beiden wahrscheinlich Experte.
Wenn du dir bei der besten Umsetzung der Protokolle DMARC und DKIM immer noch unsicher bist, ist es vielleicht Zeit, einen Berater für E-Mail-Zustellbarkeit hinzuzuziehen.
