Zustellbarkeit

SPF, DKIM und DMARC

SMTP stellt eine Frage nicht: Darf dieser Absender überhaupt in diesem Namen schreiben? Drei nachträglich angebaute Verfahren beantworten sie — jedes für sich unvollständig, erst zusammen tragfähig.

Die Lücke, um die es geht

Als SMTP entworfen wurde, waren alle Beteiligten einander bekannt. Das Protokoll fragt deshalb nicht nach, wer da spricht: Ein sendender Server nennt eine Absenderadresse, und der empfangende Server glaubt sie. Bis heute ist das so. Man kann eine Mail im Namen einer beliebigen Domain einliefern, und technisch ist daran nichts falsch.

Erschwerend kommt hinzu, dass es zwei Absender gibt. Der eine steht im Umschlag und wird beim Einliefern genannt, der andere im Briefkopf und wird dem Empfänger angezeigt. Sie müssen nicht übereinstimmen, und für legitime Zwecke — Rückläufer, Mailinglisten — dürfen sie es auch nicht immer.

C: MAIL FROM:<bounces-4711@versender.example>     ← Umschlag: hierhin gehen Rückläufer
C: RCPT TO:<bert@example.com>
C: DATA
From: Deine Bank <service@bank.example>           ← Briefkopf: das sieht der Empfänger

Beide Zeilen stehen in derselben Nachricht und dürfen unterschiedliche Domains nennen. Wer das nicht auseinanderhält, versteht keine der drei folgenden Prüfungen.

SPF — wer darf einliefern

Eine Domain veröffentlicht im DNS eine Liste von Servern, die in ihrem Namen einliefern dürfen. Der empfangende Server vergleicht die IP-Adresse der Gegenstelle mit dieser Liste.

Entscheidend ist, worauf sich das bezieht: auf den Umschlag, nicht auf den Briefkopf. SPF sagt nichts darüber aus, was der Empfänger als Absender angezeigt bekommt. Eine Mail kann SPF bestehen und trotzdem in fremdem Namen auftreten.

Die zweite Schwäche ist grundsätzlich: SPF prüft die IP der einliefernden Gegenstelle. Wird eine Mail weitergeleitet, liefert nicht mehr der ursprüngliche Server ein, sondern der weiterleitende — und der steht in keiner Liste. SPF scheitert dann, obwohl nichts manipuliert wurde. Das ist kein Fehler im Verfahren, sondern die direkte Folge davon, woran es festmacht.

DKIM — was unterwegs verändert wurde

Der sendende Server signiert die Nachricht kryptografisch: ausgewählte Kopfzeilen und den Inhalt. Der öffentliche Schlüssel liegt im DNS der Domain, die Signatur selbst als zusätzliche Kopfzeile in der Nachricht.

Weil die Signatur in der Nachricht mitreist, überlebt sie eine Weiterleitung — genau da, wo SPF scheitert. Sie bricht erst, wenn jemand am signierten Teil etwas verändert; manche Mailinglisten tun das, indem sie einen Fußtext anhängen oder den Betreff ergänzen.

Was DKIM nicht aussagt: dass die Nachricht harmlos ist. Eine gültige Signatur belegt, dass die Nachricht von dieser Domain stammt und unterwegs nicht verändert wurde. Spam kann sauber signiert sein — und ist es oft.

DMARC — die Klammer

Die beiden Verfahren haben je eine Lücke: SPF prüft den falschen Absender, DKIM sagt nichts über den Briefkopf. DMARC schließt beide, indem es eine dritte Bedingung stellt — die Ausrichtung. Die Domain, die SPF oder DKIM bestanden hat, muss zu der Domain passen, die der Empfänger im Briefkopf sieht.

Erst dadurch wird aus „irgendetwas an dieser Mail war korrekt" die Aussage „diese Mail kommt tatsächlich von der Absenderin, die angezeigt wird". Eines der beiden Verfahren muss bestehen und ausgerichtet sein — nicht beide. Deshalb überlebt eine korrekt eingerichtete Domain die Weiterleitung: SPF fällt, DKIM trägt.

Zusätzlich veröffentlicht DMARC eine Anweisung an den Empfänger, was mit durchgefallenen Nachrichten geschehen soll — nichts, in Quarantäne, oder ablehnen — und eine Adresse für Berichte.

Was das in der Praxis bedeutet

Wer heute selbst E-Mails verschickt, richtet nicht ein Verfahren ein, sondern drei — und zwar in dieser Reihenfolge, weil eine falsche Reihenfolge Post kostet: erst die Absenderliste im DNS erweitern, dann signieren, und erst danach die Anweisung verschärfen. Wer zuerst auf „Quarantäne" stellt und danach den Versandweg umbaut, merkt vom Bruch nichts, weil der Empfänger nicht mehr ablehnt, sondern stillschweigend aussortiert.

Und selbst wenn alle drei stehen, ist damit erst die Eintrittskarte gelöst. Sie beantworten die Frage nach der Echtheit des Absenders. Ob eine Nachricht im Posteingang landet, entscheidet danach die Reputation — ein davon unabhängiges Urteil des Empfängers darüber, ob er Post von dieser Herkunft schätzt.