SPF, DKIM und DMARC: So funktioniert die E-Mail-Authentifizierung

SPF legt fest, welche Hosts für eine Envelope-Domain senden dürfen, DKIM signiert ausgewählte Teile einer Nachricht mit einem Domain-Schlüssel, und DMARC bewertet die Übereinstimmung der Kennungen (Alignment) und veröffentlicht Richtlinien und Berichtsangaben. Besteht eine Nachricht einen dieser Mechanismen, ist sie damit noch nicht vertrauenswürdig.

Was SPF, DKIM und DMARC jeweils leisten

SPF prüft, ob der sendende Server laut Richtlinie der Envelope-From-Domain autorisiert ist. DKIM verifiziert eine kryptografische Signatur über ausgewählte Inhalte der Nachricht. DMARC setzt diese Ergebnisse über Alignment-Regeln in Beziehung zur sichtbaren From-Domain und veröffentlicht eine Richtlinie für den Umgang mit der Nachricht.

So prüfen Sie die Authentifizierungsergebnisse

Suchen Sie in den Headern der Nachricht nach Authentication-Results und prüfen Sie SPF, DKIM und DMARC jeweils für sich. DMARC hängt zusätzlich vom Alignment mit der sichtbaren From-Domain ab. Ein „pass“ bestätigt festgelegte Beziehungen zwischen Domains – nicht aber, dass Inhalt oder Absicht des Absenders vertrauenswürdig sind. Bevor Sie Authentication-Results auswerten, können Sie die DNS-Daten der Domain mit der DNS-Antwortzeit-Prüfung von 2IP gegenprüfen.

Warum ein „pass“ keine „sichere E-Mail“ bedeutet

Technische Referenzen: RFC 7208, RFC 6376 und RFC 7489.