Spoofing-Schutz Check

Beim Absender-Spoofing verschickt jemand E-Mails, die im From-Feld wie von Ihrer Domain aussehen, ohne dass Sie sie versendet haben. Ob das gelingt, hängt nicht an einem einzelnen Record, sondern am Zusammenspiel aus SPF, DKIM und DMARC: SPF und DKIM allein können nur markieren, nicht abweisen, das übernimmt erst DMARC. Dieses Werkzeug prüft nicht nur, ob die einzelnen Records vorhanden und syntaktisch gültig sind (das leisten die Einzel-Werkzeuge SPF Check, DMARC Analyzer und DKIM Lookup bereits), sondern setzt die Ergebnisse zueinander in Beziehung und gibt ein klares Urteil.

Was dieses Werkzeug prüft

Vier Bedingungen müssen gleichzeitig erfüllt sein, damit direktes Spoofing der Absenderadresse zuverlässig abgewiesen wird: erstens muss die DMARC-Policy auf p=reject stehen, denn nur das erzwingt eine Abweisung beim Empfänger, p=none beobachtet nur und p=quarantine verschiebt lediglich in den Spam-Ordner. Zweitens soll SPF auf ~all (SoftFail) enden, nicht auf -all (HardFail): mit einer durchgesetzten DMARC-Policy übernimmt DMARC die eigentliche Durchsetzung über die Ausrichtung (Alignment), ein zusätzliches -all kann dagegen Weiterleitungen und Mailinglisten unnötig aussperren, weil SPF bei einer Weiterleitung praktisch immer fehlschlägt. Drittens braucht DKIM einen Schlüssel mit mindestens 2048 Bit (RSA) oder einen Ed25519-Schlüssel, ein kürzerer RSA-Schlüssel gilt als unsicher. Viertens dürfen MX, SPF, DMARC und DKIM keine Syntax- oder Konfigurationsfehler haben, ein Tippfehler im Record kann die Wirkung der Policy vollständig aushebeln. Der DKIM-Selector ist dabei optional: ohne Angabe probiert das Werkzeug gängige Standard-Selektoren durch. Findet es keinen, ist das kein Beweis für fehlendes DKIM, ohne bestätigten DKIM-Record kann das Werkzeug aber kein 'geschützt' aussprechen, das Gesamturteil bleibt dann rot mit dem Hinweis, den echten Selector aus einer Mail anzugeben und erneut zu prüfen.

Das Ergebnis lesen

Grün heißt: alle vier Bedingungen sind erfüllt, direktes Spoofing der Absenderadresse wird beim Empfänger zuverlässig abgewiesen. Gelb heißt: die Domain ist größtenteils geschützt, aber es gibt Verbesserungsbedarf, zum Beispiel SPF auf -all statt ~all, ein fehlender MX-Record oder DMARC auf p=quarantine statt p=reject. Rot heißt: ein hartes Kriterium ist nicht erfüllt, etwa DMARC ohne durchsetzende Policy, eine zu schwache SPF-Policy, ein zu kurzer DKIM-Schlüssel oder kein gefundener DKIM-Selector (dann bitte den echten Selector aus einer Mail oben angeben und erneut prüfen), direktes Spoofing ist dann ganz oder teilweise möglich oder nicht abschließend widerlegt. Der aufgelöste Baum darunter zeigt zusätzlich jeden Einzel-Check mit seinen eigenen Befunden, für die Tiefenanalyse eines einzelnen Bereichs empfiehlt sich das jeweilige Einzel-Werkzeug.

Grundlagen

SPF ist in RFC 7208 definiert, DKIM in RFC 6376, DMARC in RFC 7489. Erst DMARC verbindet SPF und DKIM mit einer durchsetzbaren Regel: ein Empfänger prüft, ob SPF oder DKIM zur sichtbaren Absenderdomain ausgerichtet sind (Alignment), und wendet erst dann die DMARC-Policy an. Ohne DMARC bleibt ein SPF-Fail oder ein fehlendes DKIM für den Empfänger nur eine von vielen Signalen im Spam-Filter, keine verlässliche Abweisung. Die Empfehlung ~all statt -all bei durchgesetztem DMARC ist keine RFC-Vorgabe, sondern eine in der Praxis etablierte Abwägung: DMARC schützt bereits zuverlässig, ein zusätzliches -all bringt kaum Mehrwert, aber ein reales Risiko für legitime Weiterleitungen.

Typische Fehlerbilder und wie man sie behebt

• DMARC steht auf p=none. Das ist die verbreitete Monitoring-Stufe, aber ohne Durchsetzung. Nach einer Beobachtungsphase über die rua-Berichte schrittweise auf p=quarantine und dann p=reject anheben.
• SPF endet auf -all statt ~all. Technisch strenger, aber bei bereits durchgesetztem DMARC unnötig riskant für Weiterleitungen. Auf ~all umstellen.
• SPF endet auf ?all oder hat gar kein abschließendes all. Das lässt praktisch beliebige Absender zu, SPF hat dann kaum noch eine Wirkung. Ein abschließendes ~all oder -all ergänzen.
• DKIM-Schlüssel unter 2048 Bit. Gilt als unsicher gegen moderne Angriffe. Beim nächsten Schlüsselwechsel auf 2048 Bit RSA oder Ed25519 wechseln.
• Kein DKIM-Record unter einem Standard-Selector. Viele Anbieter nutzen eigene, nicht erratbare Selektoren, das ist noch kein Beweis für fehlendes DKIM. Den echten Selector aus dem DKIM-Signature-Header einer eigenen Mail entnehmen und oben im Feld 'DKIM-Selector' angeben, dann erneut prüfen.