Was ist DMARC?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das Domänen vor unbefugter Nutzung schützen soll, wie zum Beispiel Phishing und E-Mail-Spoofing. Es basiert auf zwei weiteren Authentifizierungsmechanismen, SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail), um sicherzustellen, dass E-Mails, die angeblich von einer bestimmten Domäne stammen, tatsächlich von autorisierten Quellen gesendet werden.

Was ist DMARC?

Die domänenbasierte Nachrichtenauthentifizierung, -berichterstattung und -konformität (DMARC) fungiert als übergreifende Schicht über SPF und DKIM. SPF prüft, ob eine Nachricht von einem IP-Adresse autorisiert durch die Domain Eigentümer, während DKIM das Vorhandensein einer gültigen kryptografischen Signatur bestätigt, die mit der sendenden Domäne verknüpft ist.

DMARC erfordert, dass mindestens eine dieser Prüfungen erfolgreich ist und dass die in die Prüfung einbezogenen Domänen mit der Domäne im sichtbaren Feld „Von“ übereinstimmen. Eine strikte Ausrichtung erfordert eine genaue Übereinstimmung zwischen der Domäne im „Von“-Header und der authentifizierenden Domäne, während eine lockere Ausrichtung auch Übereinstimmungen mit Subdomänen zulässt.

SPF wird ausgewertet, indem die Return-Path-Domäne anhand einer Liste zulässiger IP-Adressen geprüft wird, und DKIM wird validiert, indem bestätigt wird, dass die Signatur in den E-Mail-Headern von der legitimen Absenderdomäne signiert wurde. Die Ausrichtungsregel von DMARC stellt sicher, dass eine Nachricht nur dann als authentisch gilt, wenn die Absenderadresse übereinstimmt oder eine Subdomäne der durch SPF oder DKIM verifizierten Domäne ist. Wenn eine Nachricht die Ausrichtung nicht besteht, selbst wenn sie SPF oder DKIM technisch unter einer anderen Domäne besteht, behandelt DMARC diese Nachricht so, als ob sie die Anforderungen des Protokolls nicht erfüllt.

Domänenbesitzer veröffentlichen einen DMARC-Richtlinieneintrag in ihrem DNS unter der Bezeichnung _dmarc.. Dieser Datensatz enthält Parameter wie die DMARC-Version (v=DMARC1), die Richtlinienanweisung (p=none, quarantine oder reject) und Berichtsadressen (rua für aggregierte Berichte, ruf für forensische Berichte). Wenn eine eingehende Nachricht die DMARC-Prüfung nicht besteht, werden empfangende E-Mails servers werden angewiesen, die vom Domäneninhaber festgelegte Richtlinie anzuwenden. Die Berichtsfunktion von DMARC liefert Domäneninhabern außerdem wertvolles Feedback über die unbefugte Nutzung ihrer Domänen, Beglaubigung Erfolgsraten und mögliche Fehlkonfigurationen.

Wie funktioniert DMARC?

DMARC funktioniert, indem es SPF- und DKIM-Prüfungen mit Domänenausrichtungsanforderungen verbindet. Der Authentifizierungsprozess erfolgt, wenn eine empfangende E-Mail server prüft eine eingehende E-Mail.

Die server führt die folgenden Prüfungen durch:

• SPF-Prüfung. Die server prüft, ob der Domäneninhaber die sendende IP-Adresse autorisiert.
• DKIM-Prüfung. Die server überprüft, ob die E-Mail eine gültige kryptografische Signatur besitzt, die mit der im „d=”-Tag des DKIM-Signaturheaders angegebenen Domäne übereinstimmt.
• Ausrichtungsüberprüfung. Die server bestätigt, dass die im „From“-Header verwendeten Domänen entweder mit der in der SPF-Prüfung verwendeten Domäne oder der DKIM-Signaturdomäne übereinstimmen.

Wenn die Nachricht eine oder beide SPF- und DKIM-Prüfungen nicht besteht oder die Domänenausrichtungsanforderung nicht erfüllt ist, weist DMARC den Empfänger an, server um die Nachricht entsprechend der angegebenen Richtlinie des Domäneninhabers zu behandeln.

DMARC ermöglicht außerdem das Senden von Berichten an den Domäneninhaber, was eine verbesserte Überwachung und Analyse betrügerischer E-Mail-Aktivitäten ermöglicht.

Was ist DMARC-Domänenausrichtung?

Mit der DMARC-Domänenausrichtung ist die Anforderung gemeint, dass die Domäne im „From“-Header mit der in SPF und DKIM angegebenen Domäne übereinstimmt (oder mit dieser ausgerichtet ist).

Es gibt zwei Formen der Ausrichtung:

• Strikte Ausrichtung. Die Domäne im From-Header muss exakt mit der Domäne im Return-Path-Header (für SPF) oder dem „d=”-Tag in der DKIM-Signatur übereinstimmen.
• Entspannte Ausrichtung. Die Domäne im „From“-Header und die Domäne im Return-Path- oder DKIM-Tag „d=“ haben dieselbe übergeordnete Domäne.

Die Domänenausrichtung stellt sicher, dass die wahrgenommene Absenderdomäne im E-Mail-Header mit der von den Authentifizierungsmechanismen verwendeten Domäne identisch ist oder eine Subdomäne davon ist. Die Ausrichtung ist entscheidend, da sie verhindert, dass Cyber-Kriminelle davon ab, im sichtbaren „Von“-Feld eine Domäne zu beanspruchen, die sich von der authentifizierenden Domäne unterscheidet.

Was ist ein DMARC-Eintrag?

Ein DMARC-Eintrag ist ein DNS-TXT-Eintrag, den der Domäneninhaber veröffentlicht. Dieser Eintrag gibt die DMARC-Richtlinie der Domäne an und enthält wichtige Details, die E-Mail-Empfänger benötigen, wenn sie DMARC-Prüfungen durchführen.

Ein Standard-DMARC-Eintrag umfasst:

• v. Die DMARC-Version (DMARC1).
• p. Die DMARC-Richtlinie (Keine, Quarantäne oder Ablehnen).
• Straße. Die Adresse(n), an die aggregierte Berichte gesendet werden.
• ruf. Die Adresse(n), an die forensische Berichte gesendet werden (sofern verwendet).
• adkim und die aspf. Indikatoren für eine strikte oder lockere Ausrichtung für DKIM und SPF.
• pct. Der Prozentsatz fehlgeschlagener Nachrichten, auf die die Richtlinie angewendet wird.

Der DMARC-Eintrag befindet sich im DNS der Domäne unter der Bezeichnung _dmarc.. Beispielsweise, _dmarc.example.com. Ein gültiger DMARC-Eintrag ist erforderlich, um E-Mail-Empfänger anzuweisen, wie mit E-Mails umzugehen ist, deren Authentifizierung fehlschlägt, und wie dem Domäneninhaber Feedback gegeben werden kann.

Was sind DMARC-Richtlinien?

DMARC nutzt ein „p=“-Tag im DNS-TXT-Eintrag, um zu bestimmen, wie empfangene E-Mails servers Behandeln Sie Nachrichten, die sowohl SPF (oder die SPF-Ausrichtung nicht bestehen) als auch DKIM (oder die DKIM-Ausrichtung nicht bestehen) nicht bestehen.

Non

Eine p=none-Richtlinie weist den empfangenden E-Mail- server keine spezielle Behandlung für fehlgeschlagene Nachrichten anzuwenden. Nachrichten, die die DMARC-Prüfung nicht bestehen, werden normal zugestellt, es sei denn, lokale server Regeln überschreiben dieses Verhalten. Domänenbesitzer verwenden diese Richtlinie, wenn sie DMARC-Ergebnisse überwachen möchten, ohne den E-Mail-Fluss zu beeinträchtigen.

Quarantine

Eine p=quarantine-Richtlinie weist den empfangenden E-Mail-Server an, server um fehlerhafte Nachrichten als verdächtig zu markieren. Bei diesem Ansatz werden die Nachrichten häufig im Spam- oder Junk-Ordner des Empfängers abgelegt. Mit der Quarantäne können Domänenbesitzer ihre Empfänger vor potenziellen Phishing- oder Spoofing-Versuchen schützen und gleichzeitig die Zustellung in einen Spam-Ordner zulassen, anstatt sie direkt abzulehnen.

Ablehnen

Eine p=reject-Richtlinie weist den empfangenden E-Mail-Versand an, server zum Ablehnen von Nachrichten an der SMTP Ebene, wenn sie die DMARC-Authentifizierung nicht bestehen. Bei dieser Vorgehensweise werden die Nachrichten vollständig gelöscht, sodass sie kein Empfängerpostfach erreichen. Domänenbesitzer setzen häufig eine Ablehnungsrichtlinie ein, nachdem sie DMARC-Berichte gründlich analysiert und sichergestellt haben, dass alle legitimen E-Mails bereits die Authentifizierungsprüfungen bestanden haben.

Was ist ein DMARC-Bericht?

Ein DMARC-Bericht ist eine per E-Mail generierte Zusammenfassung oder detaillierte Benachrichtigung, dass der Empfang E-mail servers Senden Sie an den Domänenbesitzer gemäß den im DMARC-Eintrag angegebenen Adressen. Berichte bieten Einblicke in E-Mail-Versandquellen, Authentifizierungsergebnisse und Domänennutzungsmuster. Es gibt zwei Haupttypen von DMARC-Berichten.

Aggregierte Berichte

Aggregierte Berichte fassen statistische Daten zu DMARC-Authentifizierungsergebnissen für eine Domäne zusammen. Diese Berichte umfassen:

• Informationen zum Senden von IP-Adressen, die die Domäne verwendet haben.
• Die Gesamtzahl der verarbeiteten Nachrichten.
• Die Anzahl der Nachrichten, die die SPF- und DKIM-Prüfungen bestehen oder nicht bestehen.
• Von den Empfängern angewendete Richtlinienaktionen (z. B. „Keine“, „Quarantäne“ oder „Ablehnen“).

Aggregierte Berichte werden normalerweise täglich (oder in einem anderen vom empfangenden System festgelegten Intervall) in einem XML-Format (Extensible Markup Language) gesendet. Domänenbesitzer analysieren diese Berichte, um nicht autorisierte IPs zu identifizieren, die E-Mails über ihre Domäne senden, legitime Datenverkehrsquellen zu überwachen und ihre E-Mail-Authentifizierungskonfigurationen entsprechend anzupassen.

Forensische Berichte

Forensische Berichte, auch Fehlerberichte genannt, enthalten detaillierte Informationen zu einzelnen E-Mail-Nachrichten, die die DMARC-Auswertung nicht bestehen. Diese Berichte werden sofort gesendet, wenn ein Fehler auftritt.

Forensische Berichte enthalten in der Regel Beispiele von Original-Nachrichtenkopfzeilen und anderen potenziell sensiblen Details, die Domänenbesitzern bei der Untersuchung bestimmter Fälle fehlgeschlagener Authentifizierung helfen. Einige Organisationen entscheiden sich aus Datenschutz- oder Datenverarbeitungsgründen dafür, forensische Berichte zu minimieren oder zu deaktivieren.

Vorteile von DMARC

Hier sind die Vorteile der Implementierung von DMARC:

• Schutz vor Spoofing. DMARC verhindert, dass böswillige Akteure im sichtbaren Absender-Header betrügerischer E-Mails eine legitime Domäne verwenden.
• Verbesserte Zustellbarkeit. Richtig konfiguriertes DMARC verbessert die E-Mail-Zustellbarkeit, indem es anzeigt, dass die Domäne die Authentifizierungsstandards vollständig erfüllt, was Vertrauen schafft mit ISPs und Empfang von Postdiensten.
• Sichtbarkeit und Verantwortlichkeit. DMARC-Berichte bieten umsetzbare Einblicke in den E-Mail-Verkehr, sendende IP-Adressen und Authentifizierungsfehler. Diese Einblicke ermöglichen es Domänenbesitzern, verdächtige Quellen zu verfolgen und Verantwortlichkeiten durchzusetzen.
• Übereinstimmung mit Industriestandards. DMARC ist auf weithin anerkannte Frameworks wie SPF und DKIM abgestimmt, was einheitliche Verfahren zur E-Mail-Authentifizierung fördert und die Häufigkeit von Phishing-Angriffen verringert.
• Stärkerer Ruf der Marke. Die Einführung von DMARC zeigt Ihr Engagement für E-Mail-Sicherheit und schützt die Identität einer Marke, indem es Phishing-Versuche, die legitime Domänen ausnutzen, abschwächt.