E-Mail Fälschungen mittels SPF reduzieren

zurück zur Übersicht

Sender Policy Framework (SPF) ist ein Sicherheitsverfahren, das vor allem dazu verwendet wird, um E-Mail-Fälschungen (Spoofing) zu erkennen und zu reduzieren.

Es ermöglicht es Domaininhabern, anzugeben, welche Server E-Mails von ihrer Domain senden dürfen. Ein Empfänger-Mailserver kann dann überprüfen, ob eine E-Mail, die er erhält, von einem autorisierten Server stammt, bevor er sie an den Empfänger weiterleitet.

SPF hilft dabei, gefälschte Absender technisch besser einzuordnen.

Wie funktioniert SPF?

Das SPF-System besteht aus einer speziellen DNS-TXT-Eintragsart, die es ermöglicht, eine Liste von autorisierten Sendeservern für eine bestimmte Domain anzugeben.

Ein Empfänger-Mailserver, der eine E-Mail erhält, kann dann überprüfen, ob die IP-Adresse des Servers, von dem die E-Mail stammt, in der Liste der autorisierten Server enthalten ist.

Wenn die IP-Adresse nicht in der Liste enthalten ist, kann der Empfänger-Mailserver die E-Mail als gefälscht erkennen und ablehnen.

SPF prüft nicht, ob eine E-Mail „gut“ ist – sondern ob der sendende Server zur Domain passt.

SPF hat seine Grenzen

Die zu überprüfende Domäne leitet sich aus dem E-Mail-Header MAIL FROM ab.
Die Überprüfung bezieht sich nicht auf die Kopfzeile FROM, welche von den meisten E-Mail-Programmen als Absender angezeigt wird und um einen Namen ergänzt werden kann.
Es erfordert, dass jeder Empfänger von E-Mails die SPF-Überprüfung durchführt, um effektiv zu sein. Sie ist allerdings keine Pflicht.
Weiterleitungen, z. B. über Newsletter-Partner, können aufgrund des fehlenden SPF-Eintrags fehlschlagen.

Beispiel

Der folgende Ablauf zeigt, warum SPF allein nicht ausreicht. Technisch kann die SPF-Prüfung erfolgreich sein, obwohl der sichtbare Absender für den Empfänger vertrauenswürdig wirkt.

Helo vertrauenswuerdigefirma.de

Mail from: phisher@phishing.hacker.de

Rcpt to: peter.pan@opfer.com

data:

To: "Peter Pan" <peter.pan@opfer.com>

From: "Vertrauenswuerdige Firma" 
<support@vertrauenswuerdigefirma.de>

Subject: Vertrauenswuerdige Firma - Ihre Unterstuetzung ist gefragt

Sehr geehrte Damen und Herren,

wir haben verdaechtiges Verhalten in ihrem Konto festgestellt.
Bitte klicken Sie den Link, damit wir sicherstellen koennen,
dass ihre Informationen korrekt hinterlegt sind.

https://fake-url/vertrauenswuerdigefirma/
Benutzerinformationen/12345.aspx

Vielen Dank
Ihre Vertrauenswuerdige Firma

So könnte die SPF-Überprüfung erfolgreich gekennzeichnet werden, wenn die E-Mail über einen Mailserver von phishing.hacker.de versendet wird.

Warum ist das relevant?

Es ist wichtig zu beachten, dass SPF erst in Verbindung mit weiteren Technologien wie DKIM (Domain Keys Identified Mail - Prüfung digitale Signatur) und DMARC (Domain-based Message Authentication, Reporting and Conformance - regelbasiertes Kontrollsystem) seine volle Wirkung entfalten und einen umfangreichen Beitrag gegen Spoofing leisten kann.

Trotzdem ist die Implementierung von SPF relativ einfach und liefert einen weiteren Beitrag im Kampf gegen Cyberkriminalität.

Merksatz

SPF ist ein wichtiger Baustein gegen E-Mail-Spoofing, ersetzt aber nicht DKIM und DMARC.

zurück zur Übersicht

Fernwartung