Keine DMARC-Richtlinie gefunden

Wenn die Prüfung der Absender-Domain keine durchgesetzte DMARC-Richtlinie gemeldet hat, heißt das: Jeder im Internet kann E-Mails versenden, die von dieser Domain zu stammen scheinen, und den empfangenden Mailservern wurde nicht gesagt, dass sie diese abweisen sollen.

Warum das neben einer USt-Prüfung steht

Bei den meisten Rechnungsbetrügereien ist keine Scheinfirma im Spiel. Es geht um einen echten Lieferanten, eine echte Rechnung und geänderte Bankdaten — zugestellt per E-Mail, die von der Domain des Lieferanten selbst zu kommen scheint.

Diese E-Mail überzeugt gerade deshalb, weil die Domain echt ist. Eine Registerprüfung besteht sie. Das Unternehmen existiert, die USt-IdNr. ist gültig, die Geschäftsbeziehung ist real. Falsch ist einzig die Kontonummer, und das einzige technische Signal, das vorab zur Verfügung steht, ist die Frage, ob diese Domain überhaupt fälschbar war.

Die drei Einträge und was jeder tut

• SPF listet auf, welche Server für die Domain Mail versenden dürfen. Für sich genommen ist er beratend — er sagt, was geschehen sollte, nicht was Empfänger tun müssen.
• DKIM signiert Nachrichten kryptografisch, sodass Manipulationen erkennbar sind.
• DMARC ist die Anweisung, die den beiden anderen Zähne verleiht. Sie sagt den empfangenden Servern, was zu tun ist, wenn eine Nachricht diese Prüfungen nicht besteht.

Ohne DMARC kann eine gefälschte Nachricht, die SPF nicht besteht, trotzdem im Posteingang landen.

Die Richtlinie lesen

Richtlinie	Was Empfänger tun	Was das für Sie bedeutet
p=reject	Gefälschte Mail wird rundweg abgewiesen	Am stärksten. Fälschung wird weitgehend verhindert
p=quarantine	Gefälschte Mail landet im Spam	Gut. Fälschungen erreichen den Posteingang meist nicht
p=none	Nichts — die Domain sammelt nur Berichte	Kein Schutz. Nur Beobachtungsmodus
kein Eintrag	Nichts	Kein Schutz

p=none ist der Fall, der Leute in die Irre führt. Die Domain hat einen DMARC-Eintrag, eine oberflächliche Prüfung meldet also „DMARC: ja“, doch die Anweisung an die Empfänger lautet, gar nichts zu tun. Dieses Werkzeug meldet das als nicht durchgesetzt, denn genau das ist es.

Was zu tun ist

Wenn das Ihr Lieferant ist: Behandeln Sie jede Aufforderung zur Änderung der Bankverbindung von dieser Domain mit besonderer Vorsicht. Antworten Sie nicht auf die E-Mail, um sie zu bestätigen — ist das Postfach kompromittiert oder die Nachricht gefälscht, bestätigen Sie beim Betrüger. Rufen Sie eine Nummer an, die Sie bereits hatten.

Wenn das Ihre eigene Domain ist: Sie können das beheben. Veröffentlichen Sie SPF und DKIM, fügen Sie dann einen DMARC-Eintrag mit p=none hinzu, um Berichte zu sammeln, und gehen Sie zu p=quarantine und schließlich p=reject über, sobald diese Berichte zeigen, dass Ihre legitime Mail durchkommt. Das Schwesterwerkzeug unter notspoofed.com führt genau da durch und erzeugt die Einträge für Sie.

Was es Ihnen nicht sagt

Eine durchgesetzte DMARC-Richtlinie bedeutet, dass die Domain schwer zu fälschen ist. Sie bedeutet nicht, dass das Postfach nicht kompromittiert wurde — ein Angreifer, der aus einem echten Konto heraus sendet, besteht jede einzelne dieser Prüfungen. Die telefonische Bestätigung der Bankverbindung bleibt die Kontrolle, die das aufdeckt.