Wie funktioniert Impersonation?

E-Mail läuft über SMTP, ein Protokoll aus dem Jahr 1982 für ein Netz, in dem jeder Betreiber bekannt war. Der Von-Header ist ein Textfeld, das das sendende Programm ausfüllt, und nichts im Protokoll vergleicht es mit dem Konto, das die Nachricht verschickt hat. Authentifizierung kam später obendrauf, über DNS-Einträge, die der Domaininhaber veröffentlicht: SPF 2006, DKIM 2007 und DMARC 2012. Eine Domain, die keinen davon veröffentlicht, ist so offen wie E-Mail 1982.

SPF prüft den Server: Deine Domain veröffentlicht die Liste der Server, die für sie senden dürfen, und der Empfänger schlägt den Server nach, von dem die Nachricht kam. DKIM prüft die Nachricht: Dein Server signiert jede E-Mail, und der Empfänger prüft die Signatur gegen einen öffentlichen Schlüssel auf deiner Domain. DMARC prüft, ob mindestens eine der beiden Prüfungen für die Domain im Von-Feld bestanden wurde, und sagt dem Empfänger, was zu tun ist, wenn keine bestanden hat.

Weil ein Scheitern eine Markierung ist, keine Anweisung. Der Empfänger kann nicht unterscheiden, ob es eine Fälschung ist oder dein eigenes Rechnungstool, das niemand in SPF eingetragen hat. In DMARC gibst du die Anweisung. Ohne DMARC-Eintrag, oder mit p=none, wird der Empfänger angewiesen, zuzustellen. Mit p=quarantine landet die Nachricht im Spam. Mit p=reject wird sie abgewiesen.

Das sind die drei DMARC-Regeln. p=none: alles wie bisher zustellen und mir Berichte schicken. Für einen Angreifer ändert das nichts. p=quarantine: gescheiterte Mails als verdächtig behandeln, in der Praxis der Spam-Ordner. p=reject: gar nicht zustellen. Reject ist die einzige Regel, unter der eine gefälschte E-Mail mit deiner echten Domain nie das Postfach erreicht. Die meisten Domains, die überhaupt einen DMARC-Eintrag haben, stehen auf p=none.

Nein. DMARC schützt genau die Domain in der Von-Adresse. Eine ähnliche Domain ist eine andere Domain, die dem Angreifer gehört, und ein Anzeigename wird von niemandem geprüft. Diese beiden brauchen aufmerksame Menschen und, bei ähnlichen Domains, Überwachung und Takedowns. Was DMARC beseitigt, ist die überzeugendste Art der Impersonation: die, bei der die Adresse wirklich deine ist.

Veröffentliche einen DMARC-Eintrag mit einer Berichtsadresse, dem rua-Tag. Gmail, Microsoft, Yahoo und die meisten anderen Empfänger schicken dann täglich eine Zusammenfassung jedes Servers, der deine Domain benutzt hat, wie viel er gesendet hat und ob er bestanden hat. Deine eigenen Tools erscheinen neben den Fälschern. Diese Liste arbeitest du ab, bevor du von none auf reject wechselst, damit nichts von dir blockiert wird.

Ja, von außen und in Sekunden. Der kostenlose Check auf dieser Seite liest dieselben drei Einträge, die jeder empfangende Server liest, und sagt dir, welche DMARC-Regel heute für deine Domain gilt. An deiner Domain wird nichts geändert und nichts installiert.