DKIM & DMARC verstehen & einrichten
E-Mail-Security auf DNS-Ebene
Um die Sicherheit von E-Mails zu gewährleisten, kommen verschiedene Authentifizierungsprotokolle zum Einsatz. Drei wesentliche Instrumente sind dabei:
- DKIM (DomainKeys Identified Mail)
- DMARC (Domain-based Message Authentication, Reporting, and Conformance)
- SPF (Sender Policy Framework)
DKIM (DomainKeys Identified Mail)
Was ist DKIM?
DKIM ist ein Authentifizierungsmechanismus für E-Mails, der darauf abzielt, die Identität des Absenders zu überprüfen und sicherzustellen, dass die E-Mail während der Übertragung nicht manipuliert wurde.
Es wurde als Reaktion auf Phishing-Angriffe und E-Mail-Spoofing entwickelt, bei denen Angreifer versuchen, E-Mails zu senden, die vorgeben, von einer vertrauenswürdigen Quelle zu stammen.
Dabei wird im sogenannten E-Mail Header eine Signatur hinzugefügt, die der Empfänger über einen öffentlichen Schlüssel der im DNS hinterlegt ist prüfen kann.
DKMI aktivieren
DKIM standardmäßig aktiv
DKIM ist bei Domaintechnik standardmäßig über den E-Mail Server aktiv, eine eigene Konfiguration aller Domains ist dadurch nicht erforderlich.
Im DNS handelt es sich beim DKIM um einen TXT-Eintrag, dieser ist wie folgt aufgebaut (Beispiel):
- Subdomain:
dkim._domainkey - Typ:
TXT - Text:
"v=DKIM1; k=rsa; p=#PUBLIC KEY#"
Der öffentliche Schlüssel (Public Key) und private Schlüssel (Private Key) müssen dabei immer vom zuständigen E-Mail Provider generiert werden.
DMARC (Domain-based Message Authentication, Reporting & Conformance)
Was ist DMARC?
Bei DMARC handelt es sich im Gegensatz zu SPF und DKIM nicht um eine Methode zur Authentifizierung einer Nachricht, sondern gibt Anweisungen was mit Nachrichten passieren soll, wenn die Authentifizierung fehlschlägt.
Ein SPF und DKIM Eintrag der Domain sind Voraussetzung für DMARC.
DMARC aktivieren
Auch bei DMARC handelt es sich um einen TXT-Eintrag:
- Subdomain:
_dmarc - Typ:
TXT - Text:
"v=DMARC1; p=none; rua=mailto:postmaster@muster.at"
Mit der Anweisung „rua=“ wie im Beispiel erhalten Sie an die angegebene Adresse tägliche Berichte welche Ihrer Nachrichten die Prüfungen bestanden oder nicht bestanden haben.
