Sie versenden keine E-Mails über Ihre Domain? Schützen Sie sie vor Missbrauch

Selbst wenn Sie Ihre Domain nicht zum Versenden von E-Mails verwenden, könnte jemand versuchen, sie zu nutzen, um sich als Sie auszugeben. Um dies zu verhindern, müssen Sie angeben, dass niemand berechtigt ist, E-Mails von dieser Domain zu senden.

Dies kann bei Domains passieren, die Sie gekauft haben, um Ihre Marke zu schützen, Domains, die Sie nur zur Anzeige einer Website verwenden, oder Domains, die auf eine andere Adresse umleiten. Selbst wenn Sie nie ein E-Mail-Konto wie kontakt@ihredomain.com erstellt haben, könnte jemand versuchen, diese Adresse zu verwenden, um betrügerische E-Mails zu senden, die vorgeben, von Ihnen zu stammen.

Die Lösung besteht darin, klare Regeln in den DNS-Einträgen der Domain zu veröffentlichen, die angeben, welche Dienste berechtigt sind, sie zu verwenden.

Wie können sie E-Mails senden, wenn sie keinen Zugang zu Ihrer Domain haben?

Die Adresse, die als Absender einer E-Mail erscheint, kann gefälscht werden. Es ist ähnlich wie eine falsche Adresse auf den Rückumschlag eines Briefes zu schreiben: Das Erscheinen einer Adresse beweist nicht, dass die Nachricht tatsächlich von dort stammt.

Diese Praxis ist als E-Mail-Spoofing oder Absender-Imitation bekannt. Ein Angreifer könnte Nachrichten senden, die von Adressen wie diesen zu kommen scheinen:

• rechnung@ihredomain.com
• support@ihredomain.com
• verwaltung@ihredomain.com

Sie müssen nicht auf Ihr Panel zugreifen oder Ihre Passwörter kennen, um es zu versuchen. Das Ziel ist es in der Regel, das Vertrauen, das der Domainname erzeugt, auszunutzen, um Zahlungen zu verlangen, Anmeldedaten zu stehlen oder bösartige Dateien zu verteilen.

Wenn jemand eine dieser E-Mails erhält, überprüft sein E-Mail-Dienst die DNS-Einträge der Domain, um zu verifizieren, ob die Nachricht von einem autorisierten Server gesendet wurde. Wenn die Domain keine klaren Regeln hat, wird es schwieriger, zu erkennen, dass der Absender gefälscht ist und zu entscheiden, ob die Nachricht akzeptiert, als Spam markiert oder abgelehnt werden soll.

Ihre Domain kann auch ohne E-Mail-Konten gefährdet sein

Die Nichtnutzung von E-Mails mit einer Domain kann ein falsches Sicherheitsgefühl erzeugen. Gerade weil niemand ihre Konfiguration überprüft, ist es üblich, dass diese Domains keinen spezifischen Schutz gegen diese Art von Imitation haben.

Dieses Szenario ist häufig bei:

• Domains, die gekauft wurden, um eine Marke zu schützen.
• Variationen der Hauptdomain.
• Domains, die auf eine andere Website umleiten.
• Domains, die nur für eine Landingpage verwendet werden.
• Alte Domains, die keine E-Mails mehr senden.
• Subdomains, die für interne Anwendungen oder Dienste vorgesehen sind.

Zum Beispiel könnte ein Unternehmen mit mybrand.com arbeiten, aber auch mybrand.es registriert haben, um seinen Namen zu schützen. Selbst wenn die zweite Domain nur auf die Hauptwebsite umleitet, ist es ratsam, zu verhindern, dass jemand versucht, E-Mails von verwaltung@mybrand.es zu senden.

Die drei Einträge, die Sie kennen sollten

SPF, DKIM und DMARC bilden das Authentifizierungssystem, das es ermöglicht, zu überprüfen, ob eine E-Mail autorisiert ist. Allerdings werden nicht alle auf die gleiche Weise verwendet, wenn eine Domain keine Nachrichten sendet.

Sie können überprüfen, ob Ihre Domain diese Schutzmaßnahmen konfiguriert hat, mit Tools wie dem DMARC Domain Checker. Sie müssen nur Ihren Domainnamen eingeben, um seine SPF-, DKIM- und DMARC-Einträge zu überprüfen und festzustellen, ob welche fehlen.

SPF: gibt an, dass niemand berechtigt ist, E-Mails von der Domain zu senden

SPF ist ein DNS-Eintrag, der definiert, welche Server berechtigt sind, Nachrichten im Namen einer Domain zu senden.

Wenn die Domain keine E-Mails senden soll, können Sie eine Richtlinie veröffentlichen, die angibt, dass kein Server berechtigt ist:

v=spf1 -all

Der Teil -all gibt an, dass kein Server die Erlaubnis hat, E-Mails von dieser Domain zu senden. Wenn jemand versucht, dies zu tun, wird die Nachricht die SPF-Prüfung nicht bestehen, und der empfangende Dienst kann sie als unautorisiert identifizieren.

Es ist nicht dasselbe, die Domain ohne einen SPF-Eintrag zu lassen. Wenn dieser Eintrag nicht existiert, wissen E-Mail-Dienste nicht klar, wer Nachrichten von der Domain senden kann. Mit v=spf1 -all geben Sie jedoch ausdrücklich Folgendes an:

Diese Domain wird nicht zum Senden von E-Mails verwendet. Daher sollte jede Nachricht, die von ihr gesendet wird, als unautorisiert betrachtet werden.

DKIM: Sie brauchen keine Signatur, wenn Sie nicht senden

DKIM fügt den von Ihnen gesendeten E-Mails eine digitale Signatur hinzu. Der Dienst, der die Nachricht empfängt, kann diese Signatur mit einem im DNS der Domain veröffentlichten Schlüssel überprüfen. Auf diese Weise kann er überprüfen, dass die E-Mail von einem autorisierten Dienst stammt und dass ihr Inhalt während der Übertragung nicht verändert wurde.

Wenn die Domain nicht zum Senden von E-Mails verwendet wird, gibt es keine Nachrichten zu signieren, und daher müssen Sie DKIM nicht konfigurieren.

Was passiert, wenn Sie E-Mails senden wollen?

In diesem Fall sollten Sie DKIM aktivieren. Sie müssen die Signatur nicht selbst erstellen: Der Dienst, den Sie zum Senden von E-Mails verwenden, wie Ihr E-Mail-Anbieter, eine Newsletter-Plattform oder eine Anwendung, wird Ihnen den DKIM-Eintrag zur Verfügung stellen, den Sie dem DNS hinzufügen müssen. Wenn Sie den E-Mail-Dienst von cdmon verwenden, können Sie nachlesen, was individuelles DKIM ist und warum es wichtig ist, es zu konfigurieren.

Jeder Dienst kann seinen eigenen Schlüssel verwenden. Daher müssen Sie, wenn Sie E-Mails von mehreren Plattformen senden, die Anweisungen jeder einzelnen befolgen und die von ihnen bereitgestellten DKIM-Einträge hinzufügen.

DMARC: gibt an, was mit E-Mails zu tun ist, die vorgeben, von Ihrer Domain zu sein

DMARC lehnt E-Mails nicht von selbst ab. Es ist eine Regel, die E-Mail-Diensten wie Gmail oder Outlook mitteilt, was zu tun ist, wenn sie eine Nachricht erhalten, die anscheinend von Ihrer Domain gesendet wurde, aber die Sicherheitsprüfungen nicht besteht.

Zum Beispiel können Sie angeben, dass diese E-Mails abgelehnt werden sollen, damit sie ihre Empfänger nicht erreichen.

In einer Domain, die Sie nicht zum Senden von E-Mails verwenden, können Sie diese Regel hinzufügen:

v=DMARC1; p=reject;

Diese Regel wird in einem TXT-Eintrag gespeichert, einer Art von DNS-Eintrag, der es ermöglicht, schriftliche Informationen zur Domain hinzuzufügen. In diesem Fall dient sie dazu, Diensten wie Gmail oder Outlook mitzuteilen, was mit E-Mails zu tun ist, die versuchen, Ihre Domain zu imitieren.

Sie müssen diesen Eintrag aus dem Panel des Anbieters hinzufügen, der die DNS Ihrer Domain verwaltet.

Erstellen Sie einen neuen TXT-Eintrag und geben Sie diese Details ein:

• Name oder Host: _dmarc
• Eintragstyp: TXT
• Wert oder Inhalt: v=DMARC1; p=reject;

Es ist nicht notwendig, _dmarc.ihredomain.com vollständig zu schreiben, wenn das Panel automatisch Ihren Domainnamen hinzufügt. Überprüfen Sie vor dem Speichern, wie das Ergebnis angezeigt wird: Es sollte als _dmarc.ihredomain.com erscheinen.

Wenn Sie auch Subdomains schützen möchten, verwenden Sie diesen Wert:

v=DMARC1; p=reject; sp=reject;

Der Teil sp=reject wendet den gleichen Schutz auf Adressen an, die Subdomains verwenden, wie support@store.ihredomain.com.

Verwechseln Sie nicht das Senden von E-Mails mit dem Empfangen

SPF- und DMARC-Einträge helfen, zu verhindern, dass jemand E-Mails sendet, die vorgeben, von Ihrer Domain zu stammen. MX-Einträge dienen einer anderen Funktion: Sie geben an, welche Server die E-Mails empfangen sollen, die Sie erhalten.

Deshalb sollten Sie zwischen zwei Situationen unterscheiden.

Die Domain sendet nicht, empfängt aber E-Mails

Wenn Sie die Domain nicht zum Senden von E-Mails verwenden, aber weiterhin empfangen oder an eine andere Adresse weiterleiten möchten, können Sie das Senden durch SPF und DMARC blockieren, wie wir im vorherigen Abschnitt gesehen haben. Diese Einträge helfen, zu verhindern, dass andere Nachrichten senden, die vorgeben, von Ihrer Domain zu stammen.

Um weiterhin E-Mails zu empfangen, lassen Sie die MX-Einträge so, wie sie in den DNS der Domain erscheinen. Sie müssen keine anderen erstellen oder deren Inhalt zu SPF oder DMARC hinzufügen.

Löschen oder ersetzen Sie die MX-Einträge nicht, da Sie sonst keine Nachrichten mehr empfangen würden.

Die Domain sendet nicht und empfängt keine E-Mails

Wenn Sie die Domain nicht zum Senden oder Empfangen von E-Mails verwenden, können Sie einen Eintrag namens Null MX konfigurieren. Dieser Eintrag gibt klar an, dass die Domain keinen E-Mail-Dienst hat und daher keine Nachrichten akzeptiert.

Um ihn zu konfigurieren, greifen Sie auf das Panel zu, von dem aus Sie die DNS der Domain verwalten, und erstellen Sie einen MX-Eintrag mit diesen Details:

• Name oder Subdomain: @
• Ziel: .
• Priorität: 0

Wenn die Domain bereits andere MX-Einträge hat, müssen Sie diese löschen, da sie angeben, dass es autorisierte Server gibt, um ihre E-Mails zu empfangen. Tun Sie dies nur, wenn Sie überprüft haben, dass Sie kein E-Mail-Konto, Alias oder Weiterleitung verwenden, das mit der Domain verknüpft ist.

Der Null MX ist besser geeignet, als die Domain ohne MX-Einträge zu lassen. Wenn Sie sie einfach löschen, könnten einige Server versuchen, Nachrichten an die IP-Adresse der Website zu liefern. Stattdessen informiert der Null MX sie direkt darüber, dass die Domain keine E-Mails empfängt und vermeidet diese unnötigen Versuche.

Wenn das Panel nicht erlaubt, einen Punkt (.) als Ziel einzugeben, kontaktieren Sie das Support-Team, bevor Sie die aktuellen Einträge ändern.

Empfohlene Konfiguration je nach Domain-Nutzung

E-Mail-Nutzung	SPF	DKIM	DMARC	MX
Sendet nicht · Empfängt	v=spf1 -all*	Nicht notwendig	p=reject*	MX beibehalten
Sendet nicht · Empfängt nicht	v=spf1 -all	Nicht notwendig	p=reject; sp=reject	Null MX
Sendet über einen Dienst	Reale Server autorisieren	Schlüssel des Dienstes konfigurieren	Vor Anwendung von Ablehnung überprüfen	Je nach empfangendem Dienst

* Sie sollten diese Richtlinien nur verwenden, wenn Sie überprüft haben, dass die Domain keine Nachrichten von Formularen, Newslettern, Anwendungen oder anderen Plattformen sendet.

Bevor Sie eine Ablehnungspolitik anwenden, überprüfen Sie alle Ihre Sendungen

Eine Domain kann E-Mails senden, auch wenn Sie kein Postfach dafür verwenden. Zum Beispiel:

• WordPress-Kontaktformulare.
• WooCommerce-Kaufbestätigungen.
• Automatische Rechnungen.
• Reservierungsbenachrichtigungen.
• Passwortwiederherstellungen.
• Newsletter und Werbekampagnen.
• Anwendungsbenachrichtigungen.
• Kundendienst.

Wenn Sie v=spf1 -all oder DMARC mit p=reject konfigurieren, während Ihre Website oder ein Dienst weiterhin E-Mails von der Domain sendet, könnten diese Nachrichten blockiert werden, selbst wenn sie legitim sind.

Bevor Sie die Einträge ändern, erstellen Sie ein Inventar aller mit der Domain verbundenen Dienste. Wenn Sie welche entdecken, müssen Sie sie über SPF autorisieren, ihr DKIM aktivieren und sicherstellen, dass beide korrekt mit DMARC ausgerichtet sind.

Wie man eine Domain schützt, die keine E-Mails in cdmon sendet

Wenn die DNS der Domain in cdmon verwaltet werden, können Sie die Authentifizierung über das Control Panel überprüfen.

Bevor Sie etwas ändern:

1. Bestätigen Sie, dass kein Konto, keine Website oder externe Plattform E-Mails von der Domain sendet.
2. Überprüfen Sie, ob die Domain Nachrichten empfängt oder Weiterleitungen verwendet.
3. Speichern Sie eine Kopie der aktuellen DNS-Einträge.
4. Überprüfen Sie, ob SPF- oder DMARC-Einträge bereits existieren. Sie sollten nicht zwei SPF-Einträge oder zwei DMARC-Richtlinien für dieselbe Domain erstellen.
5. Konfigurieren Sie die Richtlinie entsprechend der tatsächlichen Nutzung der Domain.
6. Warten Sie, bis sich die DNS-Änderungen verbreitet haben, und überprüfen Sie die Einträge erneut.

Über ConnectiLogs können Sie den Status von SPF, DKIM und DMARC Ihrer Domains überprüfen und feststellen, ob eine Konfiguration fehlt.

Wenn Sie sich nicht sicher sind, ob ein Formular, eine Anwendung oder eine externe Plattform Nachrichten sendet, wenden Sie nicht direkt eine Ablehnungspolitik an. Überprüfen Sie zuerst die Konfiguration oder kontaktieren Sie das cdmon-Support-Team.

Häufige Fehler, die Sie vermeiden sollten

Denken, dass das Fehlen von MX-Einträgen das Senden von E-Mails verhindert

MX-Einträge werden verwendet, um Nachrichten zu empfangen. Das Entfernen verhindert nicht, dass jemand versucht, Ihre Domain als Absender anzugeben.

Erstellen eines zweiten SPF-Eintrags

Eine Domain sollte nur einen SPF-Eintrag haben. Wenn bereits einer existiert, sollten Sie ihn entsprechend ändern oder ersetzen, nicht einen weiteren separat hinzufügen.

Anwendung von p=reject ohne Überprüfung von Formularen und Plattformen

Auch wenn Sie keine E-Mail-Konten verwenden, könnte Ihre Website Bestätigungen, Benachrichtigungen oder automatische Antworten senden. Eine zu strenge Richtlinie kann diese legitimen Nachrichten blockieren.

Veröffentlichung eines Null MX, wenn Sie weiterhin Nachrichten empfangen müssen

Der Null MX gibt an, dass die Domain keine E-Mails akzeptiert. Er verhindert auch das Funktionieren von Konten, Aliassen und Weiterleitungen.

Vergessen von Subdomains

Ein Angreifer kann auch versuchen, Adressen zu verwenden, die mit Subdomains verbunden sind. Das sp=reject-Tag ermöglicht es, eine Ablehnungspolitik für sie anzugeben.