DKIM und DMARC: einfach erklärt

In letzter Zeit liest man immer häufiger vor allem von Newsletter-Tool-Anbietern, dass man DKIM/DMARC einrichten müsse. Oft ist das sogar obligatorisch. Ohne diese Einrichtung ist die Wahrscheinlichkeit hoch, dass die eigene E-Mail (vor allem Massenmails) als Spam angesehen und im Spam-Filter des Empfängers hängen bleiben. Deswegen ist es wichtig, dass grosse E-Mail-Versender sicherstellen, dass sie technologisch immer auf dem aktuellsten Stand sind und die gängigen Sicherheitsempfehlungen für den Versand von Mails einhalten.

Was ist DKIM?

DKIM steht für DomainKeys Identified Mail. Es ist eine Methode zur Prüfung der Echtheit von E-Mails, also um sicherzustellen, dass der Absender der E-Mail tatsächlich der ist, für den er sich ausgibt. DKIM nutzt eine für den Leser unsichtbare digitale Signatur, die an die E-Mail angehängt wird, um ihre Echtheit zu bestätigen. Die digitale Signatur enthält Informationen über den Absender und den Inhalt der E-Mail. Wenn der Empfänger die E-Mail erhält, überprüft er die Signatur und vergleicht sie mit den Informationen auf den Domaineinstellungen des Absenders, um sicherzustellen, dass die E-Mail authentisch ist.

In der Praxis funktioniert das zum Beispiel so:

• Mit dem Absender @insor.ch erreicht dich eine E-Mail
• Die E-Mail ist DKIM signiert: dein E-Mail-Anbieter erhält nun also unsere E-Mail und prüft, ob die DKIM-Signatur korrekt ist
• Hierfür verbindet sich dein Anbieter auf unsere DNS-Zone und schaut, was für Einstellungen hinterlegt sind
• Die Einstellungen werden mit der Signatur in der empfangenen E-Mail geprüft
• Stimmt die Signatur in der E-Mail, mit den Einstellungen in der DNS-Zone überein, ist die Mail gültig

Dies ist stark vereinfach ausgedrückt. Technisch handelt es sich hierbei um ein Public-Key-Verfahren, wo die digitale Signatur in der E-Mail, mit dem öffentlichen Schlüssel in der DNS Zone verglichen wird.

DKIM bietet den Vorteil, dass man keine Mails mehr mit deiner Absender-Domain versenden kann, ohne dass dies dann eben wegen falscher digitalen Signatur auffällt. So ist es zum Beispiel nicht möglich, mit @insor.ch Mails zu versenden, ohne dass dies empfangende Provider merken. Auch gibt es diverse Provider, welche eine gültige DKIM Signatur als Hinweis dafür verwenden, dass es sich bei der Mail nicht um Spam handelt.

Die Implementierung von DKIM ist eine einfache, aber komplex zu verstehende Aufgabe. Es erfordert die Einrichtung von DNS-Einträgen und der digitalen Signatur. Bei unseren Mailservern, werden deine ausgehenden E-Mails automatisch DKIM signiert, wenn dies eingerichtet ist. Du kannst uns hierfür einfach per Helpdesk anfragen. Ob deine Domain für DKIM korrekt eingerichtet ist, siehst du in deinem INSOR-Kundenportal (du kannst uns auch fragen).

Was ist DMARC?

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. DMARC ist eine Methode, die DKIM verwendet um zu entscheiden, was mit ungültigen Mails passieren soll. So kann man zum Beispiel einrichten, dass wenn jemand eine gefälschte Mail mit deinem Domainnamen versendet, du eine E-Mail mit einem Hinweis hierzu erhältst. Das ist sehr praktisch, da du so auch proaktiv reagieren kannst, wenn so was passiert. In DMARC kannst du dann auch einstellen, was empfangende Mail-Provider tun sollen, wenn sie eine solche falsche E-Mail erhalten. Da kannst du zum Beispiel angeben, dass die Mail sofort gelöscht, oder wenigstens im Spam-Ordner des Users landen soll.

Fazit

Du siehst, du kannst mit DKIM/DMARC sehr genau steuern, was mit deinen E-Mail geschehen soll, und bist viel weniger der Willkür von Spam-Filter ausgesetzt. Aber Vorsicht: nur weil deine Mails DKIM/DMARC konform sind, bedeutet das nicht, dass du nun einfach massenweise Werbung versenden kannst. DKIM ist nur eine Komponente in den Spamfiltern, und es werden sehr viel mehr Sachen geprüft. Mit DKIM erhöhst du zwar die Chancen, dass etwas zugestellt wird; eine Garantie ist es aber nicht, und ein Freipass für Spam-Versand sowieso nicht.