E-Mail-Spoofing verhindern: was wirklich gegen Fälschung hilft

Der Anruf kommt meist von der Buchhaltung eines Kunden: „Ihr habt uns eine neue Bankverbindung geschickt?“ Habt ihr nicht. Jemand hat eine Mail mit eurer Domain im Absender verschickt, und sie kam an, weil eure Domain keine Regel hatte, die das verbietet. So sieht E-Mail-Spoofing in der Praxis aus, und es lässt sich zu einem großen Teil verhindern.

Drei Arten von gefälschten Absendern

Spoofing ist ein Sammelbegriff. Wer E-Mail-Spoofing verhindern will, muss erst wissen, welche Variante gerade passiert, weil die Gegenmittel völlig verschieden sind.

Die erste Variante ist die, für die du als Domaininhaber verantwortlich bist. Die anderen beiden kannst du nur eindämmen.

Exakte Domain: DMARC auf reject ist der Schutz

SMTP prüft von sich aus nicht, ob der Absender stimmt. Jeder Server kann From: [email protected] schreiben. Schutz entsteht erst, wenn der Empfänger nachsieht, was die Domain erlaubt:

1. Der SPF-Record listet die Server auf, die senden dürfen.
2. DKIM signiert jede legitime Mail.
3. DMARC verlangt, dass SPF oder DKIM für genau die sichtbare From-Domain besteht, und sagt dem Empfänger, was er sonst tun soll.

Erst der dritte Punkt schließt die Lücke. SPF und DKIM allein bestehen auch für die Domain des Angreifers. Und solange DMARC auf p=none steht, bekommst du zwar Berichte über den Missbrauch, die gefälschten Mails werden aber weiter zugestellt.

So prüfst du in zehn Sekunden, wie eine Domain dasteht:

$ dig +short TXT _dmarc.beispiel.de
"v=DMARC1; p=reject; rua=mailto:[email protected]"
$ dig +short TXT beispiel.de | grep spf
"v=spf1 include:spf.protection.outlook.com -all"

Kommt bei der ersten Abfrage nichts zurück, kann jeder mit dieser Domain Mails verschicken, und die Chancen stehen gut, dass sie zugestellt werden.

Domains, die gar keine Mails verschicken

Hier wird am häufigsten geschlampt. Du hast beispiel.de für die Firma, dazu beispiel.com, beispiel.eu und zwei alte Produktdomains, die nur auf die Website umleiten. Keine davon verschickt Mails. Gerade deshalb sind sie für Betrüger interessant: Es gibt keine Regel, und der Name ist echt.

Für jede solche Domain reichen drei Einträge:

beispiel.com.                 IN  TXT  "v=spf1 -all"
_dmarc.beispiel.com.          IN  TXT  "v=DMARC1; p=reject; sp=reject"
*._domainkey.beispiel.com.    IN  TXT  "v=DKIM1; p="

Optional kommt ein sogenannter Null-MX nach RFC 7505 dazu, der sagt, dass die Domain auch keine Mails empfängt:

beispiel.com.                 IN  MX   0 .

Genau so hat IANA example.com abgesichert. Das kostet dich fünf Minuten pro Domain und nimmt Angreifern eine bequeme Option.

Lookalike-Domains: DNS hilft hier nicht

Gegen beispieI.de (großes i statt kleinem L) oder beispiel-rechnung.com kannst du in deiner eigenen Zone nichts eintragen. Die gehören jemand anderem, und der hat dort natürlich ein sauberes SPF und DKIM. Die Mail besteht DMARC, für die falsche Domain.

Was sich bewährt hat:

• Naheliegende Varianten selbst registrieren. Die wichtigsten Tippfehler und die zweite große Endung. Eine .de-Domain kostet bei betadomain 2,99 € im Jahr, eine .com 14,99 €. Das ist weniger als eine Stunde Aufräumen nach einem Betrugsfall.
• Neu registrierte Domains beobachten. Es gibt Dienste und Feeds, die neue Registrierungen mit Ähnlichkeit zu deinem Namen melden.
• Beschwerde beim Registrar oder Hoster. Bei offensichtlichem Phishing reagieren die meisten schnell. Für Markenverletzungen bei generischen Endungen gibt es das UDRP-Verfahren der ICANN, bei .de den DENIC-Dispute-Eintrag.

Anzeigenamen und Antwortadressen

Viele Betrugsmails fälschen gar keine Domain. Sie kommen von einem Freemail-Konto, der Anzeigename lautet aber „Geschäftsführung Beispiel GmbH“. Auf dem Smartphone sieht man oft nur den Namen. Ein Verwandter davon: Die From-Adresse ist echt (etwa aus einem gehackten Konto eines Lieferanten), aber Reply-To zeigt woanders hin.

Dagegen helfen organisatorische Dinge mehr als Technik:

• Ein Hinweisbanner „Externer Absender“, das die meisten Mailsysteme für Firmen anbieten.
• Eine feste Regel: Bankdaten werden nie per Mail geändert, nur nach Rückruf unter einer bekannten Nummer.
• Bei Verdacht den Quelltext ansehen und auf Authentication-Results achten.

Wie es aussieht, wenn es funktioniert

Nach der Umstellung auf p=reject zeigen die DMARC-Berichte typischerweise ein Muster: Die eigenen Server mit hunderten Mails und pass, daneben einzelne fremde IPs mit ein paar Dutzend Mails, Ergebnis fail, Disposition reject. Das sind die Fälschungsversuche, die jetzt abgewiesen werden. Wie du solche Zeilen auswertest, steht in DMARC-Bericht lesen.

Ein Restrisiko bleibt bei Empfängern, die DMARC nicht auswerten. Gmail, Outlook.com und Yahoo prüfen es nachweislich, bei kleinen selbst betriebenen Servern ist das nicht garantiert.

Ein Nebeneffekt: bessere Zustellung

Wer Spoofing konsequent abstellt, hat fast immer auch die legitimen Versender aufgeräumt. Newsletter signieren mit der eigenen Domain, das Ticket-System steht im SPF, alte Dienste sind raus. Das wirkt sich auf die Zustellrate aus, weil Gmail und Yahoo für Massenversender seit Februar 2024 genau diese Authentifizierung verlangen.

Mach als Nächstes eine Liste aller Domains, die dir gehören, auch der ungenutzten, und frag für jede _dmarc ab. Falls du dabei merkst, dass eine naheliegende Variante deines Namens noch frei ist, lohnt ein Blick in die Domain-Suche und in die aktuelle Preisliste, bevor es jemand anderes tut.