E-Mail-Spoofing

E-Mail-Spoofing ist das Fälschen der Absenderadresse einer E-Mail, sodass eine Nachricht scheinbar von jemandem stammt, von dem sie nicht kommt. Da das klassische SMTP-Protokoll nie überprüft hat, wer eine Domain in der From-Zeile verwenden darf, kann ein Angreifer Ihre Domain auf eine E-Mail setzen, die er von seinem Server versendet — und ohne die richtigen DNS-Einträge haben empfangende Server keine zuverlässige Möglichkeit, dies zu erkennen. Spoofing ist der Motor hinter den meisten Phishing-Angriffen, Business Email Compromise (BEC) und Rechnungsbetrug, und die Verteidigung ist dasselbe Trio von DNS-Einträgen, um das sich diese Website dreht: SPF, DKIM und DMARC.

Wie E-Mail-Spoofing funktioniert

Jede E-Mail trägt tatsächlich zwei Absenderidentitäten. Es gibt den Envelope-Absender (die MAIL FROM-Adresse, die während der SMTP-Konversation verwendet wird) und das Header-From (die freundliche Adresse, die Ihr Mail-Client anzeigt). Angreifer nutzen die Lücke zwischen beiden aus:

1. Der Angreifer verbindet sich mit einem Mailserver und startet eine normale SMTP-Sitzung.
2. In den Nachrichten-Headern schreiben sie einfach Ihre Domain in das From-Feld — nichts hindert sie daran, billing@yourcompany.com einzutippen.
3. Der empfangende Server stellt die Nachricht zu. Sofern Ihre Domain keine Authentifizierungseinträge veröffentlicht, sieht der Empfänger einen vertrauenswürdig wirkenden Absender und keine Warnung.

Bei einem Spoofing-Angriff wird nichts “gehackt” — kein Passwort wird gestohlen und kein Server wird kompromittiert. Der Angreifer nutzt die Tatsache aus, dass eine Domain standardmäßig nicht deklariert, welche Server in ihrem Namen senden dürfen. Genau diese Deklaration liefern SPF, DKIM und DMARC.

Die wichtigsten Arten von E-Mail-Spoofing

Spoofing tritt in mehreren unterschiedlichen Formen auf, jede mit ihrem eigenen Erkennungsmerkmal und ihrer eigenen Lösung:

• Domain-Spoofing — der Angreifer fälscht Ihre exakte Domain in der From-Adresse. Genau das verhindern SPF, DKIM und DMARC direkt.
• Display-Name-Spoofing — der sichtbare Name liest sich als “Ihr CEO”, während die tatsächliche Adresse dahinter ein kostenloses Webmail-Konto ist. DMARC allein kann dies nicht blockieren, da die sendende Domain tatsächlich die des Angreifers ist.
• Ähnlich aussehende / verwandte Domains — Nachrichten kommen von yourcompany-support.com oder yourcompanny.com, Domains, die der Angreifer tatsächlich besitzt und authentifizieren kann. Um diese abzuwehren, braucht es Überwachung und Nutzeraufmerksamkeit, nicht nur SPF.
• Echo- / Reply-Chain-Spoofing — Angreifer verwenden einen echten, zuvor gesendeten Thread wieder, damit eine gefälschte Antwort legitim erscheint.

Zu wissen, mit welcher Art Sie es zu tun haben, verrät Ihnen, ob Authentifizierungseinträge sie direkt stoppen oder ob Sie zusätzlich Schutzwerkzeuge und Überwachung benötigen.

Wie SPF, DKIM und DMARC Spoofing stoppen

Die drei Einträge wirken als mehrschichtige Prüfung bei jeder eingehenden Nachricht:

• SPF veröffentlicht die Liste der IP-Adressen, die E-Mails für Ihre Domain senden dürfen. Ein Empfänger prüft, ob der sendende Server auf dieser Liste steht. Erstellen und prüfen Sie Ihren Eintrag mit dem SPF-Checker.
• DKIM fügt eine kryptografische Signatur hinzu, die beweist, dass die Nachricht nicht verändert wurde und wirklich von Ihrer Domain stammt.
• DMARC verknüpft SPF und DKIM mit der sichtbaren From-Adresse (Alignment) und teilt den Empfängern mit, was zu tun ist, wenn eine Nachricht fehlschlägt — none, quarantine oder reject.

Zusammen mit einer -all SPF-Richtlinie und einer p=reject DMARC-Richtlinie veröffentlicht, machen sie es praktisch unmöglich, dass ein Angreifer domain-gespoofte E-Mails versendet, die in einem Postfach landen. Das ist das Problem, das AutoSPF löst: Es hält Ihren SPF-Eintrag automatisch geflattet und unterhalb des Limits, sodass die Authentifizierung, die Spoofing stoppt, gesund bleibt, während sich Ihr Sende-Stack verändert. Kombinieren Sie es mit DKIM und einer p=reject DMARC-Richtlinie, und Domain-Spoofing funktioniert einfach nicht mehr.

Der Haken: SPF allein reicht nicht — und es bricht leise zusammen

Die Veröffentlichung von SPF ist der erste Schritt, aber SPF hat ein hartes Limit von 10 DNS-Lookups, und jeder ESP, jedes CRM und jedes Marketing-Tool, das Sie autorisieren, zehrt daran. Überschreiten Sie das Limit, gibt SPF einen PermError zurück, der den gesamten Eintrag ungültig macht — woraufhin legitime E-Mails zu scheitern beginnen und, schlimmer noch, Ihr Anti-Spoofing-Schutz stillschweigend ausfällt. Das ist das Problem, das AutoSPF löst: Es hält Ihren SPF-Eintrag automatisch geflattet und unterhalb des Limits, sodass die Authentifizierung, die Spoofing stoppt, gesund bleibt, während sich Ihr Sende-Stack ändert. Kombinieren Sie es mit DKIM und einer p=reject DMARC-Richtlinie, und Domain-Spoofing hört einfach auf zu funktionieren.

Neu bei den zugrunde liegenden Einträgen? Beginnen Sie mit wie man einen SPF-Eintrag erstellt und der SPF-Eintrag-Syntaxreferenz, und stellen Sie sicher, dass Ihrer unter dem 10-Lookup-Limit bleibt.

Häufig gestellte Fragen

Was ist E-Mail-Spoofing?

E-Mail-Spoofing ist das Fälschen der Absenderadresse einer E-Mail, sodass sie scheinbar von einer Person oder Domain stammt, die sie nicht tatsächlich gesendet hat. Es beruht darauf, dass grundlegendes SMTP die From-Adresse nicht überprüft, und es ist die primäre Technik hinter Phishing und Business Email Compromise. SPF, DKIM und DMARC sind die DNS-Einträge, die es Empfängern ermöglichen, es zu erkennen und abzuweisen.

Stoppt SPF E-Mail-Spoofing?

SPF hindert Angreifer daran, Ihre exakte Domain zu fälschen, indem es Empfängern mitteilt, welche Server für sie senden dürfen — aber nur, wenn es mit DKIM und einer DMARC-Richtlinie auf quarantine oder reject kombiniert wird, und nur solange der SPF-Eintrag unter dem 10-Lookup-Limit gültig bleibt. SPF allein oder ein defekter SPF-Eintrag lässt Lücken, die Spoofer ausnutzen.

Kann E-Mail-Spoofing vollständig verhindert werden?

Domain-Spoofing — das Fälschen Ihrer exakten Domain — kann mit SPF, DKIM und einer p=reject DMARC-Richtlinie wirksam ausgeschaltet werden. Display-Name- und Look-alike-Domain-Spoofing können nicht allein durch Ihre DNS-Einträge blockiert werden (der Angreifer verwendet nicht Ihre Domain), daher benötigen diese zusätzlich Aufmerksamkeit der Empfänger und Überwachung.

Ist E-Mail-Spoofing dasselbe wie Phishing?

Nein. Spoofing ist eine Technik — das Fälschen der Absenderadresse — während Phishing das Ziel ist: jemanden dazu zu bringen, Informationen oder Geld preiszugeben. Die meisten Phishing-Angriffe nutzen Spoofing, aber nicht alle. Siehe E-Mail-Spoofing vs. Phishing für die vollständige Unterscheidung.

Woran erkenne ich, ob meine Domain gespooft wird?

Anzeichen sind Bounce-Nachrichten für E-Mails, die Sie nie gesendet haben (Backscatter), Empfänger, die verdächtige E-Mails von Ihrer Domain melden, und — am zuverlässigsten — DMARC-Aggregatberichte, die zeigen, dass E-Mails von IPs, die Sie nicht kennen, die Authentifizierung nicht bestehen. Die Veröffentlichung von DMARC (selbst bei p=none) aktiviert diese Berichterstattung.