Die E-Mail ist ein fester Bestandteil des digitalen Marketings und der Kommunikation in Organisationen. Sie hat sich ihre Nische erobert und einen Platz im Herzen der Kunden gesichert. Sie steckt im Kern zahlreicher Abläufe, über viele Geräte und Umgebungen hinweg.
Mit weltweit über 4 Milliarden aktiven E-Mail-Nutzern (Stand 2024) eröffnet E-Mail-Marketing Unternehmen goldene Verkaufschancen und bietet leider auch eine große Angriffsfläche. Seit ihrer Einführung ist die E-Mail ein Dauerziel für Cyberangriffe. Und die Lage wird jedes Jahr schlechter. Sieh dir nur die aktuellen Zahlen an:
- Fast 60 % der Organisationen sind wöchentlich oder täglich von Phishing-Versuchen betroffen.
- Täglich werden über 3 Milliarden Phishing-E-Mails verschickt.
- 35 % der Ransomware-Angriffe kommen per E-Mail.
- Cyberangriffe kosten Unternehmen weltweit Milliarden von Dollar.
Die Forschung zeigt einen beunruhigenden Anstieg E-Mail-basierter Cyberbedrohungen. Phishing-Kampagnen nehmen erschreckend zu, ebenso das Abgreifen sensibler Daten, Maschen nach dem Muster Business E-Mail Compromise (BEC) und alle möglichen ausgefeilten, teils KI-gestützten Betrugsformen.
Die Bedrohung ist real und wächst. Weil sich Cyberbedrohungen ständig weiterentwickeln, zählen starke Maßnahmen für die E-Mail-Sicherheit mehr denn je. Egal wie groß dein Unternehmen ist: Diese Bedrohungen zu bekämpfen hat oberste Priorität.
Die gute Nachricht ist einfach. Du stehst damit nicht allein. Es gibt bewährte Werkzeuge, um deine E-Mail-Sicherheit zu stärken. Die E-Mail-Authentifizierung ist eines davon. Sie ist ein entscheidender Schutzmechanismus für E-Mail-Kanäle und besteht aus mehreren regelmäßig aktualisierten Protokollen, die eine sichere Umgebung schaffen.
Sehen wir uns an, was dieser Schutzmechanismus ist, warum er in deinem E-Mail-Marketing wichtig ist und welche Best Practices für die E-Mail-Authentifizierung gelten.
Was ist E-Mail-Authentifizierung?
E-Mail-Authentifizierung bezeichnet technische Lösungen und Standards, mit denen digitale Korrespondenz geprüft und verifiziert wird. Es ist ein mehrstufiger Prozess, der die Legitimität und Integrität der Absenderquelle und der technischen Seite der Nachricht bestätigt.
Die E-Mail-Authentifizierung erlaubt dem empfangenden Mailserver, drei entscheidende Kriterien zu klären: ob der digitale Newsletter aus einer vertrauenswürdigen Quelle stammt, ob die Nachricht von der Person kommt, die im Feld „From“ steht, und ob die E-Mail bei der Übertragung verändert wurde.
In der Praxis nutzen Unternehmen technische Standards, um diese Prüfung möglich zu machen. Sie hinterlegen bestimmte Einstellungen auf ihren DNS-Servern, die SMTP ergänzen und Mailservern helfen zu entscheiden, was mit eingehender digitaler Korrespondenz geschehen soll. Fünf zentrale Standards bilden die E-Mail-Authentifizierung. Sehen wir sie uns genauer an.
Arten der E-Mail-Authentifizierung
Die E-Mail-Authentifizierung stützt sich auf mehrere bewährte, weit verbreitete Standards: SPF, DKIM, DMARC, ARC und BIMI. Fehlen sie oder sind sie falsch eingerichtet, wird der empfangende Mailserver misstrauisch und behandelt die E-Mail mit Vorsicht. Verschaffe dir zu jedem ein Grundverständnis, um zu sehen, wie sie Cyberbedrohungen abwehren und für ein gesundes Umfeld im E-Mail-Kanal sorgen.
Die Verbreitung ist allerdings ungleich. Von den Domains, die wir prüfen, veröffentlichen 90 % einen gültigen SPF-Eintrag und 87 % signieren ihre Mails mit einem funktionierenden DKIM-Schlüssel, aber nur 58 % veröffentlichen eine DMARC-Policy: 42 % haben gar keine. Anders gesagt: Die meisten Absender decken die ersten beiden Ebenen ab und hören genau vor der Ebene auf, die beide zusammenbindet.
SPF
Sender Policy Framework gehört zu den bekanntesten, anerkanntesten und am weitesten verbreiteten Standards der E-Mail-Authentifizierung. Es ist ein komplexer, leistungsfähiger Mechanismus, der domainbasierte Prüfungen überhaupt erst eingeführt hat.
Der Hauptzweck von SPF ist es, den Absender des digitalen Newsletters zu verifizieren. Der Standard gibt E-Mail-Marketern, Organisationen und Domain-Inhabern Werkzeuge an die Hand, um eine Liste bestimmter IP-Adressen oder Quellen zu veröffentlichen, die in ihrem Namen Mails versenden dürfen.
Beim Versand wird die IP des sendenden Hosts in die Return-Path-Adresse geschrieben. Der empfangende Mailserver schlägt die autorisierten Versandquellen zu dieser IP nach. Steht sie auf der Allowlist, gilt die Nachricht als validiert. Andernfalls besteht sie die SPF-Prüfung nicht und wird als verdächtig markiert.
DKIM
DomainKeys Identified Mail ist ein weiterer verbreiteter Standard der E-Mail-Authentifizierung, den viele Unternehmen in ihren E-Mail-Kanälen einsetzen, um sie abzusichern. Er stellt sicher, dass sich der Inhalt der E-Mail bei der Übertragung nicht verändert hat.
DKIM holt das Maximum aus Kryptografie heraus. Für jede Nachricht erzeugt es ein gesichertes Paar aus öffentlichem und privatem Schlüssel. Der private Schlüssel verschlüsselt die Nachrichten-Header und erzeugt einen eindeutigen Signatur-Hash, der den Headern hinzugefügt wird. Nur der ESP (die E-Mail-Versandplattform) oder die signierende Instanz kennt den privaten Schlüssel.
Der zugehörige öffentliche Schlüssel liegt im DNS der Domain. Der empfangende Server kann ihn abrufen und die Signatur prüfen, indem er den Hash entschlüsselt. Gelingt das, übernimmt die signierende Domain die Verantwortung für den Inhalt, der damit vertrauenswürdig ist. Andernfalls könnte die Nachricht beschädigt sein.
DMARC
Domain-based Message Authentication, Reporting, and Conformance ist das dritte weit verbreitete Protokoll der E-Mail-Authentifizierung und bekämpft E-Mail-Spoofing. Es baut auf den beiden vorherigen Standards SPF und DKIM auf, führt sie in einem gemeinsamen Framework zusammen und verstärkt damit ipso facto deren Schutzwirkung. Im Kern gleicht es das, was diese Standards prüfen, mit dem Header ab, den der Endnutzer erhält, und stellt sicher, dass die Domain im Feld „From“ verifiziert ist.
Das Beste daran: DMARC erlaubt Inhabern, im DNS eine Policy für Nachrichten festzulegen, die die Authentifizierung nicht bestehen. Sie enthält Anweisungen, was der empfangende Mailserver mit den Nachrichten tun soll.
Obendrein erzeugt der empfangende Server einen Bericht und schickt ihn an den Absender (den Domain-Inhaber) zurück, mit Informationen zu Nachrichten, die die Authentifizierungsprüfungen bestanden oder nicht bestanden haben. Damit haben Unternehmen das Wissen, um ihre Schutzmaßnahmen beim nächsten Mal zu verbessern.
Der einzige Nachteil: DMARC gilt schon dann als bestanden, wenn eines der beiden Protokolle (SPF oder DKIM) durchgeht.
ARC
Das Protokoll Authenticated Received Chain ist ein weniger bekannter und weniger verbreiteter Standard der E-Mail-Authentifizierung. Trotzdem ist es eine sehr empfehlenswerte Ergänzung zu SPF, DKIM und DMARC. Es liefert eine zusätzliche Sicherheitsebene für den E-Mail-Kanal, indem es mögliche Schwachstellen bei indirekten Mailflüssen adressiert.
ARC wurde entwickelt, um die E-Mail-Authentifizierung über mehrere Hops hinweg zu erhalten. Dafür versiegelt es die Authentifizierungsergebnisse von Zwischenstationen (Mailinglisten oder Weiterleitungen von Konten), die eine Nachricht an ihr endgültiges Ziel weiterreichen, und belegt so ihre Identität oder entlarvt Eindringlinge.
Es besteht aus drei Hauptteilen: dem ARC-Authentication-Results-Header mit den Ergebnissen der SPF-, DKIM- und DMARC-Prüfungen; dem ARC-Message-Signature-Header mit einer Momentaufnahme der wichtigsten Daten des digitalen Newsletters, etwa dem Inhalt von „to“, „from“, „subject“ und Body; und dem ARC-Seal-Header mit zentralen Header-Informationen.
Der empfangende Server prüft das ARC-Ergebnis und DMARC, um die Legitimität der weitergeleiteten E-Mails sicherzustellen.
BIMI
Brand Indicators for Message Identification sind der Außenseiter unter den Standards der E-Mail-Authentifizierung und werden von Unternehmen oft vernachlässigt. Zwar sind sie keine klassische technische Lösung zur Verifizierung, trotzdem tragen sie über eine klassische visuelle Bestätigung zur Sicherheit im E-Mail-Kanal bei.
BIMI gibt Absendern und Domain-Inhabern einfache Werkzeuge, um Markenbilder zu hinterlegen, die neben authentifizierten Nachrichten erscheinen. Manche E-Mail-Clients zeigen sie als Nutzerfoto, andere als Initialen des Absenders. Menschen erkennen darin ohne Mühe ein sichtbares Zeichen für Echtheit.
E-Mail-Authentifizierung: Ausschnitt aus der Infografik „SPF, DKIM and DMARC Explained“ von Inboxally
Wie funktioniert die E-Mail-Authentifizierung?
SPF, DKIM, DMARC, ARC und BIMI klingen wegen ihrer Abkürzungen und ihres technischen Ursprungs kompliziert. Was sie tun, ist allerdings ziemlich geradlinig. So läuft die E-Mail-Authentifizierung im Grundszenario ab
Schritt 1. Der Absender (Organisation oder Domain-Inhaber) führt Schutzmaßnahmen über Protokolle ein. Üblich ist: IP-Adressen mit SPF authentifizieren, DKIM-Signaturen für Nachrichten konfigurieren, die Domain mit DMARC-Authentifizierung schützen, BIMI-Einträge veröffentlichen und ARC-Nachrichten ermöglichen, indem Server ARC-Header signieren dürfen.
Schritt 2. Der empfangende Mailserver startet die Prüfung der E-Mail-Authentifizierung. Er ruft die technischen Daten ab, sieht sich die Details der eingehenden Nachricht an und vergleicht sie mit den Regeln, die der Domain-Inhaber festgelegt hat.
Grundsätzlich prüft er die E-Mail mit den Protokollen SPF und DKIM. Besteht keines davon, greift die DMARC-Policy. Ist mindestens eines gültig, entscheidet der Mailserver über das Schicksal der Nachricht. Er kann sie zustellen, markieren, im Spam-Ordner ablegen oder sogar abweisen. Ist DMARC korrekt hinterlegt, erzeugt er zusätzlich einen Bericht und schickt ihn an den Inhaber des digitalen Newsletters.
Ist ARC korrekt eingerichtet, startet er auch dafür eine Prüfung, deren Ergebnis die Entscheidung über die Nachricht noch verändern kann.
Gründe für die Einführung der E-Mail-Authentifizierung
Unternehmen sollten E-Mail-Authentifizierung dringend in ihr E-Mail-Marketing aufnehmen, weil das Simple Mail Transfer Protocol (SMTP) keine eingebauten Authentifizierungsprotokolle mitbringt. Es wurde entwickelt, um Nachrichten zu transportieren, nicht um sie vor Hackern zu schützen. Gegen Cyberangriffe kann es nichts ausrichten und lässt den Kanal offen für Bedrohungen. Deshalb ist es entscheidend, eigene Maßnahmen umzusetzen und sie mit Best Practices für die E-Mail-Authentifizierung und aktuellen Lösungen zu verbessern.
Ein weiterer guter Grund: Ohne Authentifizierung erreichst du die Gmail- und Yahoo-Abonnenten in deiner Liste nicht. Im vergangenen Jahr haben Gmail und Yahoo neue Regeln für alle Absender angekündigt, für „normale“ ebenso wie für „Massenversender“. Beide verlangen von jedem Absender, die E-Mail-Sicherheit mit Authentifizierungsprotokollen (DKIM, SPF, DMARC) zu gewährleisten. Eine niedrige Beschwerderate und die Beobachtung der Absender-Reputation sind dringend zu empfehlen.
Vertrauen zwischen Absendern und Empfängern aufzubauen ist ein weiterer Grund, E-Mail-Authentifizierung in die Routine aufzunehmen. Unternehmen, die saubere Verifizierungsprotokolle einsetzen, belegen damit ihre Identität. Sie sichern außerdem Vertraulichkeit, Integrität und Verfügbarkeit der Nachrichten. Das schafft zwangsläufig Vertrauen bei Abonnenten und zeigt eine gesellschaftlich verantwortliche Haltung.
Umgekehrt signalisiert der Einsatz von Authentifizierungsprotokollen den Mailbox-Providern, dass die E-Mails legitim sind und dass das Unternehmen ein verantwortlicher, rechtstreuer und verlässlicher Akteur ist, der seine Empfänger respektiert. Das räumt manche Blockade auf dem Weg in den Posteingang beiseite. Und mit korrekt konfiguriertem DMARC und ARC bekommen Unternehmen echte Hilfe bei der Fehlersuche und der Analyse ihrer Mailflüsse.
Es kommt noch mehr dazu. Mit E-Mail-Authentifizierung verbessern Unternehmen die Kommunikation mit ihren Kunden, weil sie einen sicheren Raum und einen ununterbrochenen Austausch schaffen. Daraus entstehen Zusatzeffekte, die sich in echte Vorteile für das Unternehmen übersetzen. Dazu gehören
- Weniger Bounces und niedrigere Spam-Raten.
- Bessere Zustellbarkeit.
- Eine hohe Absender-Reputation.
- Schutz vor der Aufnahme in Blacklists.
- Bessere zentrale E-Mail-Kennzahlen wie Öffnungs- und Klickraten, die den ROI der Kampagne maximieren.
- Stabilere Kundenbeziehungen.
- Mehr Vertrauen und Sicherheit in der Kommunikation mit Abonnenten.
- Höhere Glaubwürdigkeit des Unternehmens und mehr Engagement der Kunden.
- Einhaltung von Branchenstandards, um mögliche rechtliche und regulatorische Probleme und Bußgelder zu vermeiden.
Zum Schluss noch ein wichtiger Punkt: Sicherheitsprotokolle einzurichten ist das eine, Best Practices für die E-Mail-Authentifizierung umzusetzen das andere. Aktuellen Fachempfehlungen zu folgen ist entscheidend, um sich wandelnden Cyberbedrohungen gewachsen zu sein, Folgen effizienter abzufedern und als Unternehmen proaktiv für einen sicheren E-Mail-Kanal zu kämpfen. Sehen wir uns die besten Tipps von Sicherheitsorganisationen und Fachleuten an, die dir einen strategischen Vorsprung verschaffen.
Bedeutung der E-Mail-Authentifizierung: Ausschnitt aus der Infografik „SPF, DKIM and DMARC Explained“ von Inboxally
Aber der Reihe nach: Wie prüfst du deinen Authentifizierungsstatus, um Verbesserungspotenzial zu finden?
Wie prüfst du deinen E-Mail-Authentifizierungsstatus?
Am einfachsten prüfst du deinen Authentifizierungsstatus, indem du dir selbst eine E-Mail schickst. Wähle die Domain, die du testen willst, und drück auf den Knopf. Wenn der Newsletter angekommen ist, such im Nachrichten-Header nach den Angaben zu SPF, DKIM und DMARC.
Gmail zeigt zum Beispiel eine sauber formatierte Tabelle, in der du alle wichtigen Felder ansehen kannst: „Von“, „An“, „SPF“, „DKIM“ und „DMARC“. Außerdem erscheint der BIMI-Eintrag (das Marken-Logo) in der Liste neben der Nachricht. Du musst nur die Gmail-Web-App öffnen, deine Nachricht anklicken, neben dem Symbol „Antworten“ auf „Mehr“ klicken und „Original anzeigen“ wählen.
Und wenn du einen schnelleren, bequemeren Weg brauchst, um deine E-Mail-Authentifizierung zu testen oder Ursachen für gescheiterte DMARC-Prüfungen zu finden? Dann nimm ein spezialisiertes Monitoring-Tool wie Unspam.
Unspam ist das führende Werkzeug in dieser Nische. Es ist der einfachste und schnellste Weg, den Authentifizierungsstatus zu prüfen und Unstimmigkeiten früh zu erkennen. Es bringt praktische Tools mit, um Gültigkeit und Korrektheit von SPF-, DKIM- und DMARC-Einträgen zu prüfen.
Schick die E-Mail einfach an das angegebene Konto. Die Plattform untersucht den Newsletter, erstellt einen Bericht und liefert die Informationen so verdaulich, dass auch technisch weniger versierte Personen die mögliche Ursache erkennen. Dazu gibt es konkrete Handlungsempfehlungen und fachliche Einschätzungen, wie du Probleme löst und deine E-Mails wieder im Posteingang landen.
Mit einem erfahrenen Team aus Beratern für E-Mail-Zustellbarkeit gibt dir Unspam alle Werkzeuge an die Hand, um die E-Mail-Authentifizierung zu prüfen und die Sicherheit deiner digitalen Kommunikation mit Abonnenten zu gewährleisten.
Alternativ kannst du Online-Tools wie den DMARC-Check ausprobieren. Sie liefern zwar nicht die Einordnung und die Hilfestellungen von Unspam, taugen aber als Einstieg in die Authentifizierungsprüfung.
Best Practices für die E-Mail-Authentifizierung
Best Practices für die E-Mail-Authentifizierung sorgen dafür, dass die technische Seite des E-Mail-Kanals optimal funktioniert, und garantieren eine zeitgemäße E-Mail-Sicherheit, die wirksam vor Cyberbedrohungen schützt. Wir haben die besten Tipps der Branche gesammelt und in mehrere Kategorien sortiert. Fangen wir mit den allgemeinen Praktiken an.
Die allgemeinen Praktiken
Für eine bessere E-Mail-Authentifizierung gelten diese allgemeinen Praktiken:
Führe alle Sicherheitsprotokolle ein. Die weltweite Verbreitung von BIMI und ARC ist zwar recht gering, Schutz bieten sie trotzdem. Nimm also ausnahmslos alle Standards in deine Routine auf.
Halte dich von Blacklists fern.
Halte deine Absender-Reputation hoch.
Nutze ausschließlich einen dedizierten Server.
Nutze verschlüsselte Verbindungen.
Prüfe mit Unspam regelmäßig deine E-Mail-Authentifizierung und simuliere die Zustellung, um mögliche Schwachstellen in deiner Infrastruktur zu finden.
Prüfe den Zustand deiner technischen Umgebung und verbessere ihn mit professioneller Sicherheitssoftware.
Verwende eine einheitliche Absenderadresse und einen einheitlichen Absendernamen. Beide sollten zu deiner Marke passen.
Teste deine SPF- und DMARC-Einträge einmal mit Hard Fails durch.
Hinterlege für jede IP-Adresse, über die du E-Mails versendest, einen PTR-Eintrag. Für empfangende Server ist das Pflichtprogramm, und von den versendenden IPs, die wir prüfen, haben 98 % bereits ein gültiges Reverse DNS. Die wenigen ohne fallen also negativ auf.
Nutze kurze Time-to-Live-Werte (TTL) für deine DNS-Einträge.
Behalte die DMARC-Berichte im Blick, kümmere dich um Probleme und passe SPF und DKIM entsprechend an.
Sieh dir deine DNS-Einträge regelmäßig an und aktualisiere sie. Stelle sicher, dass SPF-, DKIM- und DMARC-Einträge aktuell sind. Besonders wichtig ist das, wenn dein ESP etwas ändert oder du deine E-Mail-Infrastruktur umbaust.
Stelle sicher, dass Dienste von Drittanbietern korrekt authentifiziert sind.
Ziehe die E-Mail-Authentifizierung über alle Systeme und Abteilungen hinweg durch.
Erfülle die Vorgaben und Gepflogenheiten anderer Regionen, wenn dein Unternehmen international arbeitet oder Kunden außerhalb deines Landes bedient.
Halte die Balance zwischen strengen Authentifizierungs-Policies und Nutzbarkeit. Weil DMARC selbst legitime E-Mails abweisen lassen kann, musst du es testen und überwachen, damit deine Kampagne nicht unnötig scheitert.
Verfolge die E-Mail-Aktivität deiner Organisation, indem du beobachtest, wer E-Mails sendet und empfängt.
Gib deinen Mitarbeitenden die Gelegenheit, die besten Praktiken für E-Mail-Sicherheit zu lernen.
SPF
Weil das Protokoll begrenzt, welche IPs E-Mails von deiner Domain senden dürfen, ist es die erste Verteidigungslinie gegen Spoofing. Mit diesen Tipps machst du sie stark:
Veröffentliche SPF-Einträge für die Domains in MAIL, FROM und EHLO. Sie sollten den aktuellen Standards entsprechen.
Halte deine SPF-Einträge so präzise, einfach und sauber wie möglich. Stopfe sie nicht mit zahlreichen Hosts voll und erlaube nicht mehr IPs als nötig. Statt jede Quelle zu autorisieren, räume die Liste auf und behalte nur, was für deine Infrastruktur wirklich zählt.
Lege einen einzigen universellen SPF-Eintrag für mehrere Domains in derselben Infrastruktur an. Nutze dabei allerdings so wenige „include:“-Direktiven wie möglich und vermeide Verschachtelungen.
Nutze niemals den Mechanismus „+all“. Wenn jeder beliebige Absender in deinem Namen zustellen darf, ist SPF wertlos. Weil böswillige Akteure Server und Domain dann leicht kapern, wirst du womöglich unfreiwillig zum Wirt für schädliche Aktivitäten. „all“ gehört ausschließlich in die Mechanismen „-all“ oder „~all“.
Halte die Bereiche der CIDR-Notation in SPF-Einträgen zwischen /30 und /16. Alles darunter kann empfangende Server dazu bringen, deine Einträge abzuwerten oder zu ignorieren.
Veröffentliche „-all“ auf allen Domains, über die du keine E-Mails versendest oder die gerade „geparkt“ sind.
Prüfe vor dem Versand, ob alle aktiven Domains im SPF-Eintrag enthalten sind.
DKIM
DKIM belegt die Urheberschaft einer Nachricht über eine kodierte Signatur und bildet damit die zweite Schutzebene. Mit diesen Tipps konfigurierst du es sauber und hältst seine Schwachstellen klein.
Stelle sicher, dass dein DNS-Server lange Text-Einträge unterstützt, etwa über EDNS0 oder TCP-basierte Abfragen.
Mach deine DKIM-Schlüssel mindestens 2048 Bit lang. Die Länge von 1024 Bit ist zwar weit verbreitet, aber je länger der DKIM-Schlüssel, desto schwerer knacken ihn böswillige Akteure. Alles unter 1024 Bit ignoriert die empfangende Seite außerdem komplett.
Rotiere deine kryptografischen DKIM-Schlüssel regelmäßig. Wenn du sensible Daten oder monatlich Millionen von E-Mails verschickst, solltest du die Schlüssel mindestens ein- bis zweimal im Jahr wechseln.
Versieh sensible E-Mails mit zwei Signaturen und zwei verschiedenen Selektoren. Wird einer deiner Schlüssel kompromittiert, sorgt der andere dafür, dass die E-Mail die DKIM-Prüfung besteht.
Nutze nicht einen einzigen Schlüssel für alle deine Kunden. In der Regel predigen das Unternehmen, die einen ESP einsetzen. Die Faustregel lautet: ein eigener Schlüssel je Kunde. Bitte dein ESP-Team, diese Praxis einzuführen.
Nutze DKIM-Schlüssel, die zum Mailserver des Empfängers passen.
Signiere auch deine Bounce-Nachrichten mit DKIM.
DMARC
DMARC führt SPF und DKIM in einem Framework zusammen, liefert einen Reporting-Mechanismus und verstärkt so die zentralen Protokolle der E-Mail-Authentifizierung. Diese Profi-Tipps holen sein Potenzial heraus:
Hol das Maximum aus dem Reporting-Mechanismus von DMARC heraus. Nutze professionelle Tools, die XML-Dateien in verständliche Sprache übersetzen. So analysierst du sie effizienter und bekommst ein genaueres Bild vom Zustand deines E-Mail-Kanals.
Sorge dafür, dass jede E-Mail ein Identifier Alignment hat, also eine saubere Ausrichtung der Domains. Das schafft eine weitere Schutzebene, lässt die E-Mail legitimer wirken und stärkt ihre Vertrauenswürdigkeit bei den Sicherheitsmechanismen der Empfängerseite.
Teste DMARC einmal mit den Einstellungen „quarantine“ und „reject“ durch.
Geh den üblichen Weg zur DMARC-Durchsetzung schrittweise, aber konsequent. Starte mit „p=none“, um Berichte über alle deine Versandquellen zu bekommen. Zieh die Policy erst auf Quarantäne oder Abweisung hoch, wenn du die Monitoring-Phase sauber hinter dir hast.
Schütze Domains und Subdomains ohne Traffic. „Geparkte“ Domains sind ein bevorzugtes Ziel für Hacker, weil Unternehmen ihnen weniger Aufmerksamkeit schenken. Sie lassen sich deshalb leicht spoofen und für schädliche Aktivitäten missbrauchen. Wenn du DMARC auch für inaktive Domains konfigurierst, bemerkst du Cyberangriffe über deinen Server und kannst sofort reagieren.
ARC
ARC ergänzt eine Schutzebene für indirekte Mailflüsse und steht meist ganz hinten auf der Liste. Trotzdem erhält es die Authentifizierung über mehrere Hops hinweg und bringt einen echten Sicherheitsgewinn. Wenn dein Unternehmen seine Reichweite über Freunde und Kollegen von Abonnenten ausbauen will, führt an diesem Standard kein Weg vorbei. Diese Profi-Tipps solltest du umsetzen:
- Setze es zusammen mit verbreiteten Authentifizierungsmechanismen wie SPF, DKIM oder DMARC ein.
- Wechsle die ARC-Schlüssel in festen Abständen.
- Erlaube nur Zwischenstationen, denen du vertraust.
- Begrenze die Zahl der ARC-Signierer.
- Sieh dir die Berichte regelmäßig an, um mögliche Probleme zu erkennen.
BIMI
BIMI steckt zwar noch in der Beta-Phase, hat aber gutes Feedback von Gmail, Fastmail, Yahoo, AOL und sogar Apple bekommen, die das Feature getestet haben, um seine Wirkung auf die Sicherheit zu prüfen. Außerdem holt es Menschen in die Routine hinein, den E-Mail-Kanal sicher, transparent und gesund zu halten. Du solltest diese Schutzmaßnahme also auf jeden Fall einführen. Verbreitet ist sie bisher kaum (von den Domains, die wir prüfen, veröffentlichen 99 % gar keinen BIMI-Eintrag), wer jetzt handelt, hebt sich also vom Feld ab.
Der beste Rat lautet: Führe diesen Sicherheitsstandard ein, indem du alle wichtigen Schritte sauber abarbeitest.
Zuerst brauchst du ein Verified Mark Certificate, das zusätzlich belegt, dass die Domain dir gehört. Dazu gehören ein Extended-Validation-Zertifikat und der Nachweis, dass du eine in einer zuständigen Jurisdiktion eingetragene Marke nutzen darfst.
Zweitens: Achte bei der Wahl des Logos für den BIMI-Eintrag darauf, dass es zur eingetragenen Marke passt. Außerdem sollte es die technischen Grundkriterien erfüllen: quadratisch, auf transparentem Hintergrund und im SVG-Format. Es muss zudem klein und leicht sein, weniger als 32 kb.
Drittens: Weise nach, dass dein Unternehmen Inhaber des Domainnamens ist.
Viertens: Wiederhole die vorherigen Schritte für jeden Fall, wenn du mehrere Domains und Logos hast.
Fünftens: Veröffentliche einen BIMI-Eintrag für deine Domain im DNS.
Sechstens: Prüfe oder erstelle deinen BIMI-Eintrag mit dem BIMI Inspector oder schick deine Domain durch unseren kostenlosen BIMI-Check, um zu bestätigen, dass Eintrag und Verified Mark Certificate sauber auflösen.
Zum Schluss: Halte Domain-Reputation und IP-Reputation gut. Prüfe beide mit Unspam und finde heraus, wie du sie verbesserst.
Zu guter Letzt
Wer Best Practices für die E-Mail-Authentifizierung umsetzt, muss im Unternehmen festlegen, welche technischen Fachleute dafür zuständig sind. Sie sollten eine umfassende Strategie für E-Mail-Sicherheit erarbeiten und jeden Schritt dokumentieren, damit es eine solide Grundlage gibt, um mögliche Probleme zu lösen.
Außerdem braucht das technische Team einen Plan für den Notfall. Wird zum Beispiel eines der Schlüsselpaare kompromittiert, sollte das Team eine außerplanmäßige Schlüsselrotation starten und alle Beteiligten informieren. Es sollte zudem einige Selektoren in Reserve haben und die Schlüssel einzeln wechseln, damit legitime E-Mails nicht abgewiesen werden.
Fazit
Auch wenn Best Practices für die E-Mail-Authentifizierung nach dem Fachgebiet von Technikern klingen, sollte jeder E-Mail-Marketer sie umsetzen. Denn er trägt die Verantwortung für die Legitimität seiner digitalen Korrespondenz und für die Sicherheit seiner Kunden im Kanal.
Geht etwas schief, ist es seine Aufgabe, das Problem zu lösen, die Folgen abzufedern und im Zweifel für Bußgelder geradezustehen. Wer seine E-Mail-Kanäle mit diesen Best Practices härtet, geht proaktiv gegen Cyberangriffe vor und baut eine sichere Umgebung im eigenen E-Mail-Kanal auf.
Über die eigene Verantwortung hinaus bringen Best Practices für die E-Mail-Authentifizierung zahlreiche Vorteile, die Unternehmen voranbringen. Sie verbessern die Zustellbarkeit und die Absender-Reputation, vermeiden Blacklist-Aufnahmen und Bußgelder, bauen gesunde, transparente und verlässliche Kundenbeziehungen auf, stärken die Glaubwürdigkeit des Unternehmens und erhöhen das Engagement der Kunden, was sich in hohem Kampagnen-ROI und Umsatz niederschlägt.
Mit SPF, DKIM, DMARC, ARC und BIMI bekommen Unternehmen schließlich die dringend nötige Kontrolle darüber, was in ihren E-Mail-Kanälen passiert. Dank der Berichte von DMARC wissen sie, wie sie Probleme beheben und die Sicherheit erhöhen.
Trotzdem braucht es weitere Maßnahmen für Hard- und Software auf Servern und Domains, etwa eine moderne Anti-Malware-Lösung oder ein Update auf die aktuelle Firewall-Version. Die E-Mail-Authentifizierung bleibt dennoch ein solides Fundament, um Abonnenten einen sicheren Ort zu bieten und E-Mail-Anbietern und empfangenden Servern zu zeigen, dass das Unternehmen ein verantwortlicher, verlässlicher und legitimer Akteur ist.
