Richtlinien zur E-Mail-Authentifizierung

!! ACHTUNG !! Dieses Dokument wurde automatisch aus dem Italienischen übersetzt

Richtlinien

Konfiguration des E-Mail-Dienstes zur Authentifizierung

Die italienische nationale Agentur für Cybersicherheit hat die Richtlinien für die Konfiguration des E-Mail-Dienstes zur Authentifizierung, mit dem Ziel, die Zuverlässigkeit des E-Mail-Dienstes für alle interessierten Organisationen zu stärken und sein allgemeines Sicherheitsniveau zu erhöhen.

Versionskontrolle

INDEX

1. Einleitung

1.1. Prämisse

E-Mail zählt heute zu den wichtigsten Diensten im digitalen Kontext, da sie zu den Hauptkanälen gehört, die von Organisationen und Nutzern für die Kommunikation und den Informationsaustausch verwendet werden¹.

Die Funktionsweise des E-Mail-Dienstes und insbesondere die Übermittlung von Nachrichten basieren auf dem SMTP-Protokoll, das jedoch keine adäquaten Mechanismen zur Absenderauthentifizierung und zum Schutz der Vertraulichkeit und Integrität der Nachrichten nativ integriert. Diese Schwachstellen machen den Dienst anfällig für Angriffe wie Spoofing, Phishing, Manipulation und das Abfangen von Nachrichten während der Übertragung.

Um die Schwächen des SMTP-Protokolls zu beheben und dadurch das Risiko der zuvor genannten Angriffe zu verringern, wurden im Laufe der Zeit Mechanismen zur Absenderauthentifizierung und zum Schutz der Nachrichtenintegrität entwickelt, wie beispielsweise SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance).

Diese Richtlinien veranschaulichen diese Mechanismen mit dem Ziel, die Zuverlässigkeit des E-Mail-Dienstes zu stärken und sein allgemeines Sicherheitsniveau zu erhöhen, insbesondere im Hinblick auf die in Kapitel 4 beschriebenen Bedrohungen.

Die Gegenmaßnahmen und Protokolle, die zum Schutz der Vertraulichkeit von E-Mail-Nachrichten erforderlich sind (wie S/MIME und OpenPGP, die die Nachrichtenverschlüsselung betreffen), sind nicht Gegenstand dieser Richtlinien.

1.2. Verweisbestimmungen

1.3. Referenzdokumente

» Zurück zum Seitenanfang

2. Regulatorischer Kontext

Zum Schutz der digitalen Vermögenswerte des Landes, einschließlich E-Mail-Dienste und der dazugehörigen Infrastrukturen, besteht ein breites Spektrum an Sicherheitsmaßnahmen, die sich aus der geltenden Gesetzgebung ableiten und ständig aktualisiert werden.

Der höchste Schutzstandard für die kritischsten Dienste des Landes im Zusammenhang mit der nationalen Sicherheit wird durch den Nationalen Cybersicherheitsperimeter gewährleistet. Dieser wurde mit dem Gesetzesdekret Nr. 105 vom 21. September 2019, geändert durch das Gesetz Nr. 133 vom 18. November 2019, eingerichtet. Er sieht Sicherheitsmaßnahmen mit besonders hohem Schutzniveau vor, die in Anhang B des Dekrets des Premierministers Nr. 81 vom 14. April 2021 detailliert beschrieben sind. Diese Maßnahmen gelten für die Netzwerke, Informationssysteme und IT-Dienste öffentlicher und privater Einrichtungen, von denen die Ausübung einer wesentlichen Staatsfunktion oder die Bereitstellung einer wesentlichen Dienstleistung zur Aufrechterhaltung ziviler, sozialer oder wirtschaftlicher Tätigkeiten abhängt, die für die Interessen des Staates von grundlegender Bedeutung sind. Eine Gefährdung dieser Systeme könnte die nationale Sicherheit beeinträchtigen.

Darüber hinaus unterliegen E-Mail-Dienste, wie alle digitalen Dienste der öffentlichen Verwaltung, den Bestimmungen der sogenannten Cloud-Verordnung. Diese wurde gemäß Artikel 33-septies des Gesetzesdekrets Nr. 179 vom 18. Oktober 2012 erlassen und von der Nationalen Agentur für Cybersicherheit (ACN) mit dem Dekret Nr. 21007 vom 27. Juni 2024 aktualisiert. Gemäß dieser Verordnung sind alle öffentlichen Verwaltungen verpflichtet, ihre digitalen Daten und Dienste nach dem von der ACN erstellten Modell als gewöhnlich, kritisch oder strategisch einzustufen. Ziel dieser Maßnahme ist es, sicherzustellen, dass die digitalen Daten und Dienste der öffentlichen Verwaltung über digitale Infrastrukturen und Cloud-Dienste verarbeitet und bereitgestellt werden, die den in der Verordnung festgelegten Anforderungen, einschließlich der Sicherheitsanforderungen, entsprechend den Risiken der jeweiligen Einstufung entsprechen.

Mit dem Gesetzesdekret Nr. 138 vom 4. September 2024 (dem sogenannten NIS-Dekret) zur Umsetzung der Richtlinie (EU) 2022/2555 wurden auch – durch die Anhänge 1 und 2 der ACN-Festlegung 379907/2025 – die grundlegenden Sicherheitsmaßnahmen festgelegt, die wesentliche und wichtige Einrichtungen für die Zwecke der Verpflichtungen nach Artikel 23 und 24 des NIS-Dekrets ergreifen müssen, und ein Sicherheitsrahmen zur Stärkung des Schutzes von Netzwerk- und Informationssystemen, einschließlich E-Mail-Diensten, definiert.

» Zurück zum Seitenanfang

3. E-Mail-Dienstarchitektur

Wie bereits in der Einleitung erwähnt, basiert die Funktionsweise des E-Mail-Dienstes auf dem SMTP-Protokoll, das die Übertragung von E-Mail-Nachrichten vom Absender zum Empfänger regelt.

Das SMTP-Protokoll wurde ursprünglich 1982 als Store-and-Forward-Protokoll definiert ^. Dabei generiert der Absender eine Nachricht über seinen E-Mail-Client (Mail User Agent, MUA), der diese an den Mailserver des Absenders sendet. Dieser leitet die Nachricht über einen Mail Transfer Agent (MTA) – gegebenenfalls über einen oder mehrere zwischengeschaltete MTAs – an den MTA des Ziel-Mailservers weiter. Der Empfänger ruft die Nachricht über seinen E-Mail-Client (MUA) ab . [1]

Der Mail Transfer Agent (MTA) ist somit eine Komponente des E-Mail-Dienstes, die die Übertragung von E-Mail-Nachrichten vom Absender zum Empfänger übernimmt. MTA-Komponenten sind auf den Mailservern von Absender und Empfänger vorhanden, und es können auch zwischengeschaltete MTAs konfiguriert werden, beispielsweise zur Verwaltung von Verteilerlisten.

Obwohl der Begriff MTA eine bestimmte Komponente von E-Mail-Servern bezeichnet³, wird im Rahmen dieses Dokuments hauptsächlich auf die Funktion von E-Mail-Servern als MTAs Bezug genommen, wo keine Unklarheiten bestehen. Daher wird zur Vereinfachung der Darstellung häufig der Begriff E-Mail-Server anstelle des spezifischeren Begriffs MTA verwendet.

In diesem Leitfaden konzentrieren wir uns auf die Konfiguration der SPF-, DKIM- und DMARC-Protokolle, um Mailservern die Überprüfung der Authentizität und Integrität von E-Mail-Nachrichten zu ermöglichen.

» Zurück zum Seitenanfang

4. Bedrohungen

Das im vorherigen Kapitel vorgestellte SMTP-Protokoll war ursprünglich für den Einsatz in einem relativ kleinen akademischen Netzwerk konzipiert und berücksichtigte keine Aspekte der Sicherheit übertragener Nachrichten oder der Absenderauthentifizierung [1].

Die zunehmende Verbreitung von E-Mails und die systembedingten Schwächen des SMTP-Protokolls haben im Laufe der Zeit das Auftreten von Angriffen begünstigt, deren Haupttypen in den folgenden Absätzen kurz erläutert werden.

4.1. Absender-Spoofing

Spoofing ist eine Cyberangriffstechnik, bei der die Absenderadresse einer Nachricht gefälscht wird, sodass die Nachricht von einer vertrauenswürdigen Adresse zu stammen scheint (zum Beispiel von einem Kollegen, einem Bekannten oder dem eigenen Bankinstitut). Dadurch wird der Empfänger dazu verleitet, potenziell gefährliche Handlungen vorzunehmen, wie zum Beispiel einen E-Mail-Anhang zu öffnen oder auf in der Nachricht enthaltene Links zu klicken.

Diese Art von Angriff ist relativ einfach durchzuführen, da das SMTP-Protokoll keine Absenderauthentifizierungsmechanismen beinhaltet und es daher über den E-Mail-Client möglich ist, beim Versenden der Nachricht eine beliebige Absenderadresse zu konfigurieren.

Absender-E-Mail-Adresse: envelope-from und message-from

Das E-Mail-Nachrichtenformat sieht zwei separate Felder zur Angabe der Absenderadresse vor. Diese Felder heißen „envelope-from“ und „message-from“ : Das erste (auch als Rücksendeadresse bezeichnet, da es die E-Mail-Adresse angibt, an die Fehlermeldungen gesendet werden müssen, wenn eine E-Mail den Empfänger nicht erreicht) ist die Adresse, die für die korrekte Weiterleitung der Nachricht verwendet wird; das zweite ist die Adresse, die dem Empfänger im Nachrichtenkopf angezeigt wird.

In Anlehnung an das Versenden eines Briefes in einem Umschlag per Post stellt der Absendervermerk die Adresse des Absenders dar, die auf dem Briefumschlag angegeben ist, während der Absendervermerk der Kopfzeile im Brief entspricht, die angibt, wer den Brief an den Empfänger geschrieben hat.

Es ist wichtig zu beachten, dass die beiden Adressen nicht übereinstimmen müssen. Diese Unterscheidung ermöglicht die Verwaltung von Situationen wie beispielsweise dem Weiterleiten von Nachrichten von Drittanbietern, dem Versand über Mailinglisten oder automatischen E-Mail-Antworten.

Es ist durchaus möglich, jeden Absender sowohl auf der der Absenderadresse (die E-Mail-Adresse des Absenders, die dem Empfänger im Header der empfangenen Nachricht angezeigt wird) als auch auf der Ebene der Absenderadresse (die E-Mail-Adresse des Absenders, die für die Nachrichtenübermittlung verwendet wird) anzugeben.

Um diesen Bedrohungen entgegenzuwirken, ist es daher unerlässlich, Mechanismen bereitzustellen, die eine zuverlässige Authentifizierung des Absenders ermöglichen und überprüfen, ob die Person, die die Nachricht gesendet hat, tatsächlich dazu berechtigt ist.

4.2. Phishing

Phishing ist eine Cyberangriffstechnik, die auf den betrügerischen Erwerb von Informationen (wie zum Beispiel Anmeldeinformationen, Kreditkartennummern oder anderen sensiblen Daten) abzielt, in der Regel durch das Versenden von irreführenden Nachrichten, die den Anschein erwecken, von zuverlässigen Absendern zu stammen³.

Spoofing, das im vorangegangenen Absatz untersucht wurde, zählt zu den wichtigsten Techniken, die ein Angreifer einsetzt, um die Identität des Absenders zu fälschen und die Nachricht so aussehen zu lassen, als käme sie von einem legitimen Benutzer oder einer legitimen Domain.

Alternativ kann eine Absenderadresse/Domain verwendet werden, die einer für den Empfänger erkennbaren Adresse/Domain ähnelt. Dazu wird beispielsweise der sogenannte Anzeigename⁴ , um die scheinbare Authentizität der Nachricht zu verstärken.

Zum Versenden von Phishing-Nachrichten können auch legitime Konten verwendet werden, die zuvor vom Angreifer kompromittiert wurden.

Eine Phishing-Nachricht ist typischerweise so aufgebaut, dass sie beim Empfänger Dringlichkeit, Alarm oder wirtschaftliches Interesse erzeugt und Situationen schafft, die ihn zu impulsiven Reaktionen und bestimmten Aktionen verleiten, wie z. B. das Öffnen schädlicher Anhänge oder das Klicken auf Links, die zu scheinbar legitimen Webseiten weiterleiten, die aber in Wirklichkeit vom Angreifer mit dem Ziel erstellt wurden, Informationen zu stehlen und/oder Schadsoftware zu installieren.

Üblicherweise werden Phishing-Angriffe durchgeführt, indem dieselbe E-Mail-Nachricht an eine große Anzahl von Opfern versendet wird, ohne den Text an das jeweilige Profil der Opfer anzupassen.

Eine Variante des Phishings ist das sogenannte Spear-Phishing, bei dem der Angreifer das Profil des Opfers kennt und gezielt ins Visier nimmt.

Im Gegensatz zu einer herkömmlichen Phishing-E-Mail verwendet eine Spear-Phishing-Nachricht präzisere Kontextinformationen, um den Empfänger davon zu überzeugen, dass er mit einem vertrauenswürdigen Absender kommuniziert [2].

4.3. Manipulation von Nachrichten

Der Inhalt einer E-Mail kann, wie jede andere Kommunikation, die über das Internetnetzwerk übertragen wird und keine Ende-zu-Ende-Verschlüsselung (E2EE) verwendet, während der Übertragung zwischen Absender und Empfänger abgefangen und verändert werden (eine Art von Bedrohung, die gemeinhin als Man-in-the-Middle bezeichnet wird).

Folglich besteht neben dem Verlust der Vertraulichkeit die Möglichkeit, dass die empfangene Nachricht nicht mehr der ursprünglich vom Absender verfassten Nachricht entspricht.

Ein Angreifer könnte beispielsweise den Nachrichteninhalt manipulieren, um den Anschein zu erwecken, die Nachricht stamme von einem vertrauenswürdigen Absender, den Text oder darin enthaltene Links und/oder Anhänge verändern oder bösartigen Code einfügen.

Der Empfänger, der auf die scheinbare Echtheit der Nachricht vertraut, kann so dazu verleitet werden, potenziell schädliche Handlungen vorzunehmen, wie z. B. die Übermittlung von Anmeldeinformationen, die Autorisierung von Zahlungen oder das Öffnen schädlicher Dateien.

Um diesen Bedrohungen entgegenzuwirken, ist es daher unerlässlich, Mechanismen einzuführen, die die Integrität und Authentizität der Nachricht gewährleisten und sicherstellen, dass der empfangene Inhalt nicht verändert wurde und dass der Absender tatsächlich derjenige ist, für den er sich ausgibt.

» Zurück zum Seitenanfang

5. Gegenmaßnahmen

Kapitel 2 erinnerte an die Vorschriften, die Sicherheitsmaßnahmen auch zum Schutz von E-Mail-Diensten vorsehen. Dieses Dokument dient in erster Linie als Leitfaden für die Umsetzung der in diesen Vorschriften vorgesehenen und in Anhang Adie auch für die Konfiguration von E-Mail-Diensten relevant sind, um die mit den in Kapitel 4. Es sei jedoch darauf hingewiesen, dass die in diesem Leitfaden enthaltenen Hinweise auch für diejenigen empfohlen werden, die nicht den genannten Vorschriften unterliegen.

Die betreffenden Sicherheitsmaßnahmen beziehen sich nicht explizit auf die Konfiguration des E-Mail-Dienstes, sondern – je nach der betrachteten Verordnung – auf die Konfiguration von IT-Systemen und industriellen Steuerungssystemen (PSNC- und Cloud-Verordnung) bzw. Informations- und Netzwerksystemen (NIS2). Die in diesen Richtlinien behandelten E-Mail-Dienste fallen in beide Systemkategorien.

Im Folgenden werden insbesondere die SPF, DKIMund DMARC erläutert. Diese bieten Sicherheitsmechanismen, die darauf abzielen, die allgemeine Sicherheit des E-Mail-Dienstes und insbesondere die Absenderauthentifizierung und die Integritätskontrolle der Nachrichten zu stärken.

5.1. Lichtschutzfaktor

SPF – Sender Policy Framework ist ein Authentifizierungsprotokoll, das in RFC 7208und es einem Domaininhaber ermöglicht, festzulegen, welche IP-Adressen berechtigt sind, in seinem Namen E-Mails zu versenden, und die Richtlinien festzulegen, die der Empfänger anwenden muss, wenn die mit der Domain⁵ der E-Mail-Adresse des Absenders verknüpfte IP-Adresse nicht zu den explizit autorisierten Adressen gehört.

Die autorisierten IP-Adressen sind in einem DNS-TXT-Eintrag aufgeführt, der sich auf die Absenderdomäne bezieht und als SPF-Eintrag bezeichnet wird. Dies wird im nachfolgenden Abschnitt dieses Absatzes erläutert.

Auf diese Weise kann der ^E -Mail-Server des Empfängers beim Empfang einer Nachricht von einer bestimmten Domain den zugehörigen SPF-Eintrag abfragen und deren Ursprung authentifizieren, indem er überprüft, ob die IP-Adresse, von der die Nachricht empfangen wurde, zu denjenigen gehört, die berechtigt sind, Nachrichten im Namen der Domain zu senden.

Es ist wichtig zu beachten, dass die auf SPF-Ebene verifizierte Domain diejenige ist, die sich auf den Absender des Umschlags bezieht. Folglich reicht die alleinige Anwendung des SPF-Protokolls nicht aus, um Spoofing zu verhindern, da diese Art von Angriff auch auf der Absenderebene der Nachricht erfolgen kann⁷.

Wenn eine Organisation ihren E-Mail-Dienst ganz oder teilweise an einen Drittanbieter, beispielsweise einen Cloud-Anbieter, auslagert, muss sie sicherstellen, dass die von diesem Anbieter versendeten Nachrichten die SPF-Prüfung bestehen. Zu diesem Zweck sollte die Organisation die IP-Adressen, von denen die Anbieter im Namen der Domain der Organisation E-Mails versenden, in ihren SPF-Eintrag aufnehmen.

Bei automatischer E-Mail-Weiterleitung werden Nachrichten üblicherweise über einen Zwischenserver umgeleitet. Daher stimmt die IP-Adresse des Empfängers nicht mehr mit der ursprünglich vom Absender autorisierten Adresse überein. Um in solchen Fällen einen Fehler bei der SPF-Verifizierung zu vermeiden, müssen auch alle zwischengeschalteten Weiterleitungsserver autorisiert werden. Alternativ können Mechanismen wie SRS (Sender Rewriting Scheme) oder ARC (Authenticated Received Chain) eingesetzt werden, die insbesondere bei einer Vielzahl von zwischengeschalteten Weiterleitungsservern effektiver sein können.

Es sollte hervorgehoben werden, dass SPF nur dann wirklich effektiv ist, wenn es nicht nur vom Absender, sondern auch vom Empfänger korrekt konfiguriert wird. Insbesondere:

• Der Absender muss den SPF-Eintrag auf dem entsprechenden DNS-Server veröffentlichen, in dem die Adressen aufgeführt sind, die berechtigt sind, in seinem Namen E-Mails zu versenden;
• Der Empfänger muss seinen eigenen Mailserver so konfigurieren, dass er eine SPF-Verifizierung für empfangene Nachrichten durchführt und die daraus resultierenden Richtlinien einheitlich anwendet.

5.1.1. SPF-Aufzeichnung

Ein SPF-Eintrag ist ein DNS-Eintrag vom Typ TXT, dessen Name der Absenderdomäne entspricht und dessen Inhalt aus dem Abschnitt, der die Version angibt ^{, und} einer Reihe von Direktiven besteht, die das Verhalten des Mailservers des Empfängers festlegen, wenn eine Übereinstimmung zwischen der IP-Adresse der Absenderdomäne und einer Direktive vorliegt.

Die Direktiven werden durch einen Mechanismus gebildet, dem ein Qualifikator vorangestellt ist. Die wichtigsten in SPF-Einträgen verwendeten Mechanismen sind: [2]:

• ip4, listet autorisierte IPv4-Adressen auf;
• ip6, listet autorisierte IPv6-Adressen auf;
• a, autorisiert IP-Adressen, die im A-Record der Domain vorhanden sind;
• mx, autorisiert IP-Adressen, die sich auf die MX-Einträge der Domain beziehen;
• include, autorisiert IPs, die im SPF-Eintrag einer anderen Domain vorhanden sind;
• all, repräsentiert alle IP-Adressen, die nicht explizit über die anderen Mechanismen autorisiert wurden.

Der „All“ -Mechanismus ermöglicht insbesondere die Festlegung von Richtlinien für Nachrichten, die von IP-Adressen stammen, die von früheren Mechanismen nicht erfasst wurden.

Darüber hinaus stellt SPF die folgenden Qualifikatoren zur Verfügung, die Mechanismen zugeordnet werden können:

• + (pass) bedeutet, dass IP-Adressen, die dem zugehörigen Mechanismus entsprechen, autorisiert sind. Es ist der Standardqualifizierer, wenn kein anderer angegeben ist;
• - (Fehler) bedeutet, dass IP-Adressen, die dem zugehörigen Mechanismus entsprechen, nicht autorisiert sind;
• ~ (softfail) bedeutet, dass IP-Adressen, die dem zugehörigen Mechanismus entsprechen, wahrscheinlich nicht autorisiert sind. Diese Aussage ist weniger eindeutig als die vorherige. In diesen Fällen sollte die Meldung zwar akzeptiert, aber zur genaueren Analyse markiert werden. Sie wird beispielsweise bei der Fehlersuche oder wenn absehbar ist, dass die SPF-Verifizierung fehlschlagen könnte, verwendet
• ? (neutral) bedeutet, dass keine Angabe zu IP-Adressen erfolgt, die dem zugehörigen Mechanismus entsprechen. Standardmäßig wird die Nachricht akzeptiert.

Es ist wichtig zu betonen, dass der SPF-Eintrag in der Praxis so zusammengesetzt ist, dass er autorisierte IP-Adressen angibt. Anschließend wird die Direktive `-all` , um festzulegen, dass alle anderen Adressen nicht autorisiert sind (siehe dazu die folgenden Beispiele). Dies ist die empfohlene Konfiguration, da sie die explizite Angabe autorisierter IP-Adressen und den Ausschluss aller anderen ermöglicht.

In jedem Fall wird davon abgeraten, die Direktive +all (oder das äquivalente all) zu verwenden, da dies der Autorisierung aller IP-Adressen entsprechen würde.

Beispiele für SPF-Einträge

Eine bestimmte IP-Adresse autorisieren

v=spf1 ip4:203.0.113.0 -all

Der oben gezeigte SPF-Eintrag verwendet SPF Version 1 und autorisiert über den IPv4- Mechanismus die IP-Adresse 203.0.113.0 (da für den IPv4- Mechanismus kein Qualifizierer angegeben ist, wird implizit das Standardpluszeichen (+ ) verwendet). Die „-all“ bestehend aus dem „all“ -Mechanismus und dem „-“ (Fehler), legt fest, dass alle anderen Adressen nicht autorisiert sind.

Einen bestimmten IP-Adressraum autorisieren

v=spf1 ip4:203.0.113.0/24 -all

Der oben gezeigte SPF-Eintrag ist analog zum vorherigen, autorisiert aber alle IP-Adressen des Adressraums 203.0.113.0/24

Mehrere IP-Adressen autorisieren

v=spf1 ip4:203.0.113.22 ip4:203.0.113.44 -all

Der oben gezeigte SPF-Eintrag autorisiert ausschließlich die IPv4-Adressen 203.0.113.22 und 203.0.113.44.

MX-Record-Adressen und eine bestimmte Domain autorisieren

v=spf1 mx include:spf.emailprovider.it -all

Der oben gezeigte SPF-Eintrag autorisiert ausschließlich die IP-Adressen der MX-Einträge derselben Domain wie der SPF-Eintrag sowie diejenigen, die für die Domain spf.emailprovider.it (zum Beispiel die Domain eines E-Mail-Dienstleisters) autorisiert sind.

5.1.2. Authentifizierungsprozess

Wenn der E-Mail-Server des Empfängers für die SPF-Verifizierung korrekt konfiguriert ist, ruft er beim Empfang einer neuen E-Mail den SPF-Eintrag der Absenderdomain ab, indem er den DNS-Server abfragt, der die Einträge dieser Domain enthält. Die Abfrage basiert auf der im Feld „Absender“ angegebenen Adresse. Lautet die Adresse im Feld „Absender“ beispielsweise alice@example.com, ruft der E-Mail-Server des Empfängers den SPF-Eintrag der Domain example.com.

Der Mailserver des Empfängers führt anschließend die SPF-Verifizierung durch und analysiert den SPF-Eintrag, um festzustellen, ob die IP-Adresse, von der die Nachricht empfangen wurde, berechtigt ist, E-Mails für die example.com . Besteht die E-Mail die SPF-Verifizierung, wird sie an den Empfänger zugestellt.

Wenn beispielsweise der SPF-Eintrag der Domain example.com v=spf1 ip4:203.0.113.22 -all lautet , würde die Überprüfung nur dann erfolgreich sein, wenn die IP-Adresse des Absenderservers 203.0.113.22 lautet ; bei jeder anderen Adresse würde sie fehlschlagen.

» Zurück zum Seitenanfang

5.2. DKIM

DKIM – DomainKeys Identified Mail ist ein Authentifizierungsprotokoll, das in RFC 6376 formalisiert ist und es einem Domaininhaber ermöglicht, die Authentizität von E-Mail-Nachrichten zu gewährleisten, indem er eine digitale Signatur (DKIM-Signatur) anhängt, die vom Mailserver mithilfe öffentlicher kryptografischer Algorithmen generiert und in die Header der zu übertragenden Nachricht eingefügt wird.

Damit der Empfänger überprüfen kann, ob die Nachricht während der Übertragung verändert wurde, wird der mit der DKIM-Signatur verknüpfte öffentliche Schlüssel in einem TXT-Eintrag des öffentlichen DNS der Absenderdomäne, dem sogenannten DKIM-Eintrag, gespeichert, der vom Empfänger-Mailserver beim Empfang der Nachricht abgefragt wird.

Die DKIM-Signatur und der DKIM-Datensatz werden in den nachfolgenden Abschnitten dieses Absatzes erläutert.

Wie bei SPF muss auch DKIM vom Absender und Empfänger korrekt konfiguriert werden, insbesondere:

• Der Absender muss seinen Mailserver so konfigurieren, dass er DKIM-Signaturen generiert und den DKIM-Eintrag im entsprechenden DNS-Server veröffentlicht;
• Der Empfänger muss seinen Mailserver so konfigurieren, dass er eine DKIM-Verifizierung für empfangene Nachrichten durchführt.

5.2.1. DKIM-Signatur

Die DKIM-Signatur wird aus bestimmten Elementen des Nachrichtentextes und der Header generiert und besteht aus einer Reihe von Schlüssel-Wert-Paaren, die Elemente spezifizieren, darunter:

• v: Protokollversion¹⁰;
• a: verwendeter Verschlüsselungsalgorithmus¹¹;
• d: Signaturdomäne, die die Authentizität der Nachricht erklärt¹²;
• s: Selektor, der angibt, nach welchem ​​DKIM-öffentlichen Schlüssel im DNS-Eintrag gesucht werden soll¹³;
• h: Liste der in der Signatur enthaltenen E-Mail-Header¹⁴;
• bh: Hash des Nachrichtentextes im Base64-Format¹⁵;
• b: tatsächliche digitale Signatur, die mit dem privaten Schlüssel erzeugt und im Base64-Format kodiert wurde¹⁶;
• x: Gültigkeitsdatum der Unterschrift;
• c: Art der Kanonisierung.

Die Kanonisierung ist der Prozess der Normalisierung von Nachrichtenelementen vor der digitalen Signatur. Dadurch werden die Auswirkungen kleiner Änderungen, die während der Übertragung auftreten können, wie z. B. wiederholte Leerzeichen oder Zeilenumbrüche, minimiert. Es gibt zwei Arten der Kanonisierung: die einfache, die eine exakte Übereinstimmung zwischen Original- und Empfangsnachricht erfordert, und die erweiterte, die Normalisierungen wie das Entfernen von Leerzeichen, die Umwandlung von Groß- in Kleinbuchstaben in den Headern und die Reduzierung aufeinanderfolgender Leerzeilen im Nachrichtentext anwendet.

5.2.2. DKIM-Datensatz

Der DKIM-Eintrag wird in einem DNS-Eintrag vom Typ TXT gespeichert, dessen Name die Struktur „ Selektor._Domainschlüssel.Domain “ aufweist. „_Domainschlüssel“ ist dabei eine Bezeichnung, die angibt, dass es sich um einen DKIM-Eintrag handelt. Der Inhalt des DKIM-Eintrags besteht aus einer Reihe von Schlüssel-Wert-Paaren, die unter anderem folgende Elemente spezifizieren:

• v: Protokollversion;
• k: Schlüsseltyp, standardmäßig RSA;
• p: Öffentlicher Schlüssel im Base64-Format.

Beispiel eines DKIM-Eintrags

Name: s1._domainkey.example.com
Wert: v=DKIM1; k=rsa; p=Y2hpYXZ1cHViYmxpY2FkaWVzZW1waW8h...

Der Beispiel-DKIM-Eintrag ist mit dem Selektor s1 der example.com , verwendet Version 1 und enthält den RSA-Public-Key im Base64-Format (Y2hpYXZ1cHViYmxpY2FkaWVzZW1waW8h...).

5.2.3. Authentifizierungsprozess

Wenn das DKIM-Protokoll auf den Mailservern von Absender und Empfänger korrekt konfiguriert ist, erstellt der Absender-Mailserver gemäß Abschnitt 5.2.1 die DKIM-Signatur der Nachricht, die dieser beigefügt wird. Die DKIM-Signatur enthält im „d“ die Signaturdomäne¹⁷ und im „b“ die mit dem privaten Schlüssel der Signaturdomäne erzeugte digitale Signatur der Nachricht.

Nach dem Empfang einer Nachricht ruft der Empfänger-Mailserver den DKIM-Eintrag der signierenden Domain („d“ der DKIM-Signatur) vom DNS-Server ab, der die Einträge dieser Domain enthält. Anschließend verwendet er den im DKIM-Eintrag enthaltenen öffentlichen Schlüssel, um die digitale Signatur („b“ ) zu verifizieren. Bei erfolgreicher Verifizierung wird die Nachricht an den Empfänger zugestellt.

5.2.4. Kryptografische Aspekte

Im Bereich der Kryptographie hat DKIM historisch gesehen den RSA- Algorithmus verwendet, insbesondere in der rsa-sha256 , die seit 2007 als Standard gilt. Die neue Alternative, die mit RFC 8463, ist Ed25519-SHA256, eine moderne Form der digitalen Signatur auf Basis elliptischer Kurven, die eine höhere Effizienz und wesentlich kompaktere Schlüssel gewährleistet.

Technisch gesehen ist RSA mit einer Schlüssellänge von 2048 Bit nach wie vor der universelle Standard. Allerdings sind die Schlüssel lang und die Signaturen relativ groß. Ed25519 hingegen bietet neunmal kürzere Schlüssel und viermal kleinere Signaturen bei einer bis zu dreißigmal höheren Signierleistung im Vergleich zu RSA 2048. Trotz dieser Vorteile ist die praktische Anwendung begrenzt: Im Jahr 2026 wird Ed25519 nur von wenigen Anbietern verifiziert, und einige große Netzbetreiber unterstützen weder Signierung noch Verifizierung zuverlässig. Daher eignet sich Ed25519 nicht als alleinige Lösung für den Produktiveinsatz.

Aus diesem Grund wird die Verwendung von Ed25519 trotz seiner technischen Überlegenheit zum Zeitpunkt der Erstellung dieses Dokuments nur in Kombination mit RSA mittels doppelter Signatur empfohlen – sowohl aus experimenteller Sicht als auch zur Gewährleistung zukünftiger Kompatibilität. Solange die großen Anbieter die Verifizierung nicht vollständig implementieren, bleibt RSA unerlässlich, um eine maximale Zustellungssicherheit zu gewährleisten.

Im Hinblick auf die langfristige Sicherheit ist zu beachten, dass weder RSA noch Ed25519 gegen Angriffe zukünftiger Quantencomputer resistent sind [3]und der Übergang zu Post-Quanten-Algorithmen neue DKIM-Standards erfordert, die derzeit noch nicht existieren. Daher ist es unerlässlich, die Entwicklungen der Kryptographie der nächsten Generation und zukünftige ACN-Empfehlungen in diesem Bereich zu beobachten.

Im Hinblick auf die Verwaltung kryptografischer Schlüssel muss der DKIM-Privatschlüssel durch strenge Sicherheitsmaßnahmen geschützt werden. Dazu gehört die Aufbewahrung auf isolierten Systemen, auf die nur autorisierte Dienste Zugriff haben, die Anwendung restriktiver Berechtigungen, die regelmäßige Rotation und die ständige Überwachung, um unbefugten Zugriff oder Kompromittierungen zu verhindern.

» Zurück zum Seitenanfang

5.3. DMARC

DMARC – Domain-based Message Authentication, Reporting and Conformance ist ein Authentifizierungsprotokoll, das in RFC 7489integriert.^Dadurch kann ein Domaininhaber den Empfängern von Nachrichten, die von dieser Domain gesendet werden, die Richtlinien für den Umgang mit Nachrichten mitteilen, die die SPF- und DKIM-Verifizierung nicht bestehen.

DMARC führt insbesondere einen Authentifizierungsmechanismus ein – die sogenannte Ausrichtung –, der die Übereinstimmung zwischen den von SPF und DKIM authentifizierten Domänen und der Domäne des „message-from“ -Felds der empfangenen Nachricht überprüft. Die Ausrichtungsprüfung zwischen dem „message-from “-Feld und der SPF/DKIM-Domäne schlägt in jedem Fall fehl, wenn die entsprechende SPF/DKIM-Verifizierung fehlschlägt (siehe Abbildung 4).

Die Ausrichtung kann im strikten Modus überprüft werden , bei dem eine exakte Übereinstimmung zwischen den durch SPF/DKIM authentifizierten Domänen und derjenigen im Feld „message-from“ erforderlich ist , oder im lockeren Modus , bei dem es ausreicht, dass die primären Domänen übereinstimmen, selbst wenn die Subdomänen unterschiedlich sind.

Im Relaxed- Modus würde beispielsweise für die Domains sub1.example.com und sub2.example.com eine Übereinstimmung für die DMARC-Verifizierung gefunden (da die primäre Domain example.com identisch ist). Im Strict- Modus hingegen würde die DMARC-Überprüfung aufgrund der fehlenden exakten Übereinstimmung der Domains fehlschlagen.

Durch die Überprüfung der Ausrichtung würde DMARC selbst dann, wenn es einem Angreifer gelänge, die SPF- und/oder DKIM-Prüfungen mit einer anderen Absenderadresse als der von SPF und/oder der authentifizierten Signaturdomäne authentifizierten Absenderadresse zu bestehen, die Diskrepanz erkennen und so eine kohärente und zuverlässige Überprüfung der Identität des Absenders gewährleisten [2] .

Die Richtlinien für den Umgang mit Nachrichten, die die DMARC-Verifizierung nicht bestehen,^sind in einem TXT-Eintrag des zugehörigen DNS-Servers der Absenderdomäne, dem sogenannten DMARC-Eintrag, festgelegt und werden im nachfolgenden Abschnitt dieses Absatzes erläutert.

DMARC ermöglicht es Empfängern außerdem, Berichte an die Inhaber der Absenderdomain zu senden, wenn Nachrichten vorgeben, von dieser Domain zu stammen. So kann der Domaininhaber überprüfen, ob und in welchem ​​Umfang seine Domain unberechtigt genutzt wird, indem er beispielsweise analysiert, wie viele der Nachrichten, die vorgeben, von seiner Domain zu stammen, tatsächlich auf ihn zurückführbar sind.

Wie bei SPF und DKIM muss auch DMARC vom Sender und Empfänger korrekt konfiguriert werden, insbesondere:

• Der Absender muss den DMARC-Eintrag in seinem DNS veröffentlichen, in dem die Richtlinien für den Umgang mit Nachrichten, die die DMARC-Verifizierung nicht bestehen, angegeben sind;
• Der Empfänger muss seinen Mailserver so konfigurieren, dass er eine DMARC-Verifizierung für empfangene Nachrichten durchführt.

5.3.1. DMARC-Datensatz

Der DMARC-Eintragsname hat die Struktur _dmarc.domain, wobei _dmarc eine Bezeichnung ist, die angibt, dass es sich bei dem DNS-Eintrag um einen DMARC-Eintrag handelt, und domain die Domäne ist, auf die sich die Richtlinie bezieht.

Der DMARC-Eintrag besteht aus einer Reihe von Schlüssel-Wert-Paaren, die Elemente spezifizieren, darunter:

• v: DMARC-Protokollversion²⁰;
• p: Richtlinie, die auf Nachrichten angewendet werden soll, die die DMARC-Verifizierung nicht bestehen; kann einen der Werte none, quarantineoder reject;
• aspf: Ausrichtungsmodus für die SPF-Prüfung (kann relaxiert, Standardwert oder strikt);
• adkim: Ausrichtungsmodus für die DKIM-Prüfung (kann relaxiert, Standardwert oder strikt);
• rua: E-Mail-Adressen, an die aggregierte Berichte mit statistischen und zusammenfassenden Informationen über Nachrichten, die von der Absenderdomäne empfangen wurden, gesendet werden sollen;
• ruf: E-Mail-Adressen, an die detaillierte Berichte über einzelne Nachrichten gesendet werden sollen, die von der Absenderdomäne empfangen wurden und bei denen die DMARC-Verifizierung fehlgeschlagen ist.

Beispiel eines DMARC-Eintrags

Name:
_dmarc.example.com
Wert:
v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-fail@example.com; adkim=s; aspf=s

Der Beispiel-DMARC-Eintrag ist mit der example.com , verwendet Version 1 und legt die Ablehnungsrichtlinie für Nachrichten fest, die die DMARC-Verifizierung nicht bestehen. Er fordert strikten Modus (s) für die Überprüfung der Ausrichtung von SPF- und DKIM-Domains an und sendet aggregierte Berichte an die E-Mail-Adresse dmarc-reports@example.com und Fehlerberichte an die Adresse dmarc-fail@example.com.

5.3.2. DMARC-Richtlinien

Wie im vorherigen Absatz beschrieben, gibt der DMARC-Eintrag die Richtlinie an, die der empfangende Mailserver für Nachrichten anwenden soll, die die DMARC-Verifizierung nicht bestehen. Folgende Richtlinien sind möglich:

• keine: Die Absenderdomäne gibt keine Hinweise auf die Zustellung von Nachrichten, die die DMARC-Verifizierung nicht bestehen;
• Quarantäne: Die Absenderdomäne gibt an, dass Nachrichten, die die DMARC-Verifizierung nicht bestehen, als verdächtig einzustufen sind (z. B. einer weiteren Prüfung unterzogen, als Spam behandelt oder als verdächtig gekennzeichnet werden);
• reject: Die Absenderdomäne gibt an, dass Nachrichten, die die DMARC-Verifizierung nicht bestehen, zurückgewiesen werden sollen.

5.3.3. Richtlinienprüfung und Antragsverfahren

Wenn das DMARC-Protokoll auf den Mailservern von Absender und Empfänger korrekt konfiguriert ist, ruft der Empfänger-Mailserver nach dem Empfang einer Nachricht die SPF- und DKIM-Einträge ab, um die entsprechenden Überprüfungen durchzuführen, sowie die DMARC-Überprüfung (detailliert im Anfang von Abschnitt 5.2.4 beschrieben). Falls die Nachricht die DMARC-Überprüfung nicht besteht, wird die im DMARC-Eintrag angegebene Richtlinie (keine, Quarantäne oder Ablehnung) angewendet.

Beachten Sie, dass jeder Mailserver eigene Heuristiken und Richtlinien zur Bestimmung der Zustellung einer Nachricht anwenden kann und dabei auch die Ergebnisse von SPF-, DKIM- und DMARC-Prüfungen berücksichtigt. Daher gibt es im Allgemeinen nach den genannten Prüfungen einen zusätzlichen Entscheidungsprozess („Standardfilter“ in Abbildung 5), der weitere Prüfungen (wie beispielsweise Anti-Spam- und Anti-Malware-Filter) umfassen kann.

Des Weiteren kann der empfangende Mailserver Folgendes übertragen:

• an die im „rua“ des DMARC-Eintrags angegebenen Adressen: Zusammenfassungsberichte mit statistischen und zusammenfassenden Informationen über Nachrichten, die von der Absenderdomäne empfangen wurden;
• An die im „ruf“ des DMARC-Eintrags angegebenen Adressen werden detaillierte Berichte über einzelne Nachrichten gesendet, die von der Absenderdomäne empfangen wurden und bei denen die DMARC-Verifizierung fehlgeschlagen ist.

» Zurück zum Seitenanfang

6. Schlussfolgerungen

Wie im vorangegangenen Kapitel erörtert, ist es zur bestmöglichen Abwehr von Bedrohungen im Zusammenhang mit der Identitätsfälschung des Absenders erforderlich, dass alle drei untersuchten Protokolle gemeinsam implementiert werden und insbesondere, dass [3]:

• Die Absenderdomäne veröffentlicht SPF-, DKIM- und DMARC-Einträge korrekt im DNS;
• Der Mailserver des Absenders ist so konfiguriert, dass Nachrichten mit DKIM signiert werden;
• Der Mailserver des Empfängers ist so konfiguriert, dass er SPF- und DKIM-Verifizierungen durchführt und DMARC-Richtlinien anwendet.

Im Hinblick auf die Protokollumsetzung werden außerdem folgende Empfehlungen formuliert: [2]:

• Konfigurieren Sie SPF, indem Sie festlegen, welche IP-Adressen berechtigt sind, E-Mails im Namen der Domain zu versenden; für Domains, die nicht für die E-Mail-Übertragung verwendet werden, z. B. solche, die ausschließlich für Websites bestimmt sind, sollte dennoch ein SPF-Eintrag erstellt werden, der explizit angibt, dass es für diese Domain keine gültigen E-Mail-Absender gibt;
• Verwenden Sie modernste Verschlüsselungsprotokolle und -algorithmen, die für DKIM-Schlüssel als sicher gelten. Zum Zeitpunkt der Erstellung dieses Dokuments wird 2048-Bit-RSA empfohlen
• den auf dem Mailserver gespeicherten DKIM-Privatschlüssel angemessen schützen, indem restriktive Zugriffsrechte festgelegt werden und sichergestellt wird, dass nur die Mailserver-Software Leserechte für den Schlüssel besitzt;
• Um die Auswirkungen einer möglichen Kompromittierung des privaten Schlüssels zu minimieren, sollte jeder Mailserver mit einem eindeutigen Schlüsselpaar und Selektor konfiguriert werden
• den privaten Schlüssel sowohl vor versehentlicher Offenlegung als auch vor Zugriffs- oder Änderungsversuchen durch einen Angreifer schützen;
• vorausgesetzt, dass die Software, die mit Mailinglisten zusammenhängt, die DKIM-Signaturen eingehender Nachrichten überprüft und ausgehenden Nachrichten neue DKIM-Signaturen hinzufügt;
• Verwenden Sie für jeden Drittanbieter, der im Namen der Organisation E-Mails versendet, eindeutige DKIM-Schlüsselpaare;
• DKIM-Schlüsselpaare sollten regelmäßig (mindestens alle sechs Monate) rotiert werden, um die Auswirkungen einer möglichen Kompromittierung zu minimieren
• Schlüssel bei Verdacht auf Kompromittierung unverzüglich widerrufen;
• DMARC-Berichte überwachen, um Konfigurationsfehler oder Missbrauchsversuche zu erkennen.

Weitere Einzelheiten entnehmen Sie bitte den in den Referenzdokumenten.

Es ist festzustellen, dass zum angemessenen Schutz der E-Mail-Sicherheit neben den hier untersuchten Authentifizierungsprotokollen weitere Protokolle existieren, die nicht Gegenstand dieser Richtlinien sind, wie beispielsweise TLS (Transport Layer Security) , das die Verschlüsselung des Übertragungskanals gewährleistet, sowie SMIME und OpenPGP , die sich mit der Ende-zu-Ende-Verschlüsselung und der Nachrichtenauthentifizierung befassen.

Es sei außerdem darauf hingewiesen, dass – obwohl es sich im engeren Sinne nicht um ein E-Mail-Sicherheitsprotokoll handelt – die Implementierung von DNSSEC (Domain Name System Security Extensions) zur Erhöhung der Sicherheit von E-Mail-Diensten empfohlen wird. DNSSEC ist eine DNS-Protokollerweiterung, die DNS-Einträgen kryptografische Signaturen hinzufügt, um die Integrität und Authentizität von DNS-Anfragen zu gewährleisten. Dank DNSSEC werden beispielsweise Informationen zu SPF-, DKIM- und DMARC-Einträgen während der Übertragung geschützt, wodurch das Risiko von Manipulationen verringert und somit die Sicherheit von E-Mail-Diensten erhöht wird.

» Zurück zum Seitenanfang

Anhang A: Sicherheitsmaßnahmen

Nationaler Cybersicherheitsperimeter (PSNC)

PR.IP-1: Referenzverfahren (sogenannte Baselines) werden für die Konfiguration von IT-Systemen und industriellen Steuerungssystemen definiert und verwaltet, die Sicherheitsprinzipien (z. B. das Prinzip der minimalen Funktionalität) beinhalten.

1. Es gibt ein detailliertes, aktualisiertes Dokument, das – auch in Bezug auf die Kategorie ID.AM – mindestens Folgendes aussagt:
   • a) die für die Entwicklung von Konfigurationen von IT- und industriellen Steuerungssystemen geltenden Sicherheitsrichtlinien und die ausschließliche Verwendung der gewählten Konfigurationen;
   • b) die Liste der verwendeten IT- und industriellen Steuerungssystemkonfigurationen und die Verweise auf entsprechende Referenzverfahren;
   • c) die Prozesse, Methoden und Technologien, die zur Einhaltung der Sicherheitsrichtlinien beitragen.

Cloud-Regulierung – Digitale Infrastrukturen und Dienste für die öffentliche Verwaltung

PR.IP-01: Referenzverfahren (sogenannte Baselines) werden für die Konfiguration von IT-Systemen und industriellen Steuerungssystemen definiert und verwaltet, die Sicherheitsprinzipien (z. B. das Prinzip der minimalen Funktionalität) beinhalten.

1. Richtlinien und Verfahren werden unter Berücksichtigung der Anwendungssicherheit definiert, um eine angemessene Unterstützung für die Planung, Realisierung und Aufrechterhaltung von Anwendungssicherheitsfunktionen zu gewährleisten. Diese müssen mindestens jährlich überprüft und aktualisiert werden.
2. Es gibt ein detailliertes, aktualisiertes Dokument, das – auch in Bezug auf die Kategorie ID.AM – mindestens Folgendes aussagt:
   • a) die für die Entwicklung von Konfigurationen von IT- und industriellen Steuerungssystemen geltenden Sicherheitsrichtlinien und die ausschließliche Verwendung der gewählten Konfigurationen;
   • b) die Liste der verwendeten IT- und industriellen Steuerungssystemkonfigurationen und die Verweise auf entsprechende Referenzverfahren;
   • c) die Prozesse, Methoden und Technologien, die zur Einhaltung der Sicherheitsrichtlinien beitragen.
3. Die grundlegenden Sicherheitsanforderungen für verschiedene Anwendungen werden definiert und dokumentiert.
4. Es werden Kennzahlen technischer Art definiert und implementiert, die zur Überwachung des Grades der Einhaltung festgelegter Sicherheitsanforderungen und Compliance-Verpflichtungen nützlich sind.
5. Zur Behebung von Anwendungsschwachstellen und zur Wiederherstellung der Anwendungssicherheit gibt es einen Prozess, der die Behebung nach Möglichkeit automatisiert.
6. Es gibt ein Verfahren zur Überprüfung der Gerätekompatibilität mit Betriebssystemen und Anwendungen.
7. Es gibt ein System zur Verwaltung von Abweichungen im Hinblick auf Betriebssysteme, Patches und/oder Anwendungen.

Cloud-Regulierung – Cloud-Dienste für die öffentliche Verwaltung

PR.IP-01: Referenzverfahren (sogenannte Baselines) werden für die Konfiguration von IT-Systemen und industriellen Steuerungssystemen definiert und verwaltet, die Sicherheitsprinzipien (z. B. das Prinzip der minimalen Funktionalität) beinhalten.

1. Richtlinien und Verfahren werden unter Berücksichtigung der Anwendungssicherheit definiert, um eine angemessene Unterstützung für die Planung, Realisierung und Aufrechterhaltung von Anwendungssicherheitsfunktionen zu gewährleisten, die mindestens jährlich überprüft und aktualisiert werden müssen [IaaS, SaaS].
2. Es gibt ein detailliertes, aktualisiertes Dokument, das – auch in Bezug auf die Kategorie ID.AM – mindestens Folgendes aussagt:
   • a) die für die Entwicklung von Konfigurationen von IT- und industriellen Steuerungssystemen geltenden Sicherheitsrichtlinien und die ausschließliche Verwendung der gewählten Konfigurationen;
   • b) die Liste der verwendeten IT- und industriellen Steuerungssystemkonfigurationen und die Verweise auf entsprechende Referenzverfahren;
   • c) die Prozesse, Methoden und Technologien, die zur Einhaltung der Sicherheitsrichtlinien beitragen [SaaS].
3. Die grundlegenden Sicherheitsanforderungen für verschiedene Anwendungen werden definiert und dokumentiert.
4. Es werden technische Kennzahlen definiert und implementiert, die zur Überwachung der Einhaltung definierter Sicherheitsanforderungen und Compliance-Vorgaben dienen. 5. Für die Anwendungssicherheit existiert ein Prozess zur Behebung von Anwendungsschwachstellen und zur Wiederherstellung, der die Behebung nach Möglichkeit automatisiert.
5. Es gibt ein Verfahren zur Überprüfung der Gerätekompatibilität mit Betriebssystemen und Anwendungen [PaaS, SaaS].
6. Es gibt ein Variationsmanagementsystem in Bezug auf Betriebssysteme, Patches und/oder Anwendungen [PaaS, SaaS].

NIS 2

PR.PS-01: Konfigurationsmanagementpraktiken werden etabliert und angewendet.

1. Für zumindest relevante Informations- und Netzwerksysteme sind deren sichere Basiskonfigurationen (gehärtet) definiert und in einer aktualisierten Liste dokumentiert.
2. In Übereinstimmung mit den in Maßnahme GV.PO-01 genannten Richtlinien werden Verfahren in Bezug auf Punkt 1 eingeführt und dokumentiert.

» Zurück zum Seitenanfang

Bibliographie

[1] NIST, „Technische Notiz 1945“.
[2] NIST, „NIST-Sonderveröffentlichung 800-177 Revision 1“.
[3] Nationale Agentur für Cybersicherheit, „Post-Quanten- und Quantenkryptographie – Vorbereitung auf die Quantenbedrohung“.
[4] Nationale Agentur für Cybersicherheit, „Framework für E-Mail-Authentifizierung“.

» Zurück zum Seitenanfang

eine gute Alternative zu BCC-E-Mails

In einem früheren Beitrag haben wir die Vor- und Nachteile der Verwendung von BCC-E-Mails erläutert,
siehe: „Wie man BCC-E-Mails sendet und einschränkt“.

In den Schlussfolgerungen stellten wir unter anderem Folgendes fest:

Nutzen Sie spezielle Apps für den Massenversand. Die professionellen Systeme verfügen über einen Genehmigungsworkflow und eine schrittweise Kontrolle und sind darauf ausgelegt, Fehler zu vermeiden.

Zusammenfassung dieses Artikels:

• So funktioniert es
• GNU Mailman „Einwegliste“
• Ein wenig Geschichte zu GNU Mailman
• VERP-Bounce-Management
• Ausrichtung von Absender- und Mail-Absenderadresse

So funktioniert es

E-Mail-Marketing-Plattformen können schwierig zu erlernen und zu betreuen sein (falls Sie diese Ihren Kunden anbieten).

Wir beschreiben hier die Idee, die Open-Source-Software „GNU Mailman“ für den Versand von Massenmails zu nutzen.
Dieser Vorschlag basiert auf unserer eigenen Erfahrung mit der benutzerfreundlichenApp „copymail“.

Eine Mailman-„Einweg“-Liste ist eine Konfiguration für Newsletter oder Ankündigungen,
bei der nur autorisierte Moderatoren Beiträge veröffentlichen können und Mitglieder nicht auf die Liste antworten können.

So funktioniert es:

1. Der Nutzer sendet die Nachricht von seinem E-Mail-Programm oder über Webmail an die E-Mail-Adresse der Liste.
   Anschließend muss er die Zustellung bestätigen; die Nachricht wird dann serverseitig an alle Abonnenten verteilt.

2. Das System verarbeitet automatisch Bounces (zurückgesendete E-Mails) und, falls gewünscht, Abmeldungen.
   Abonnements müssen manuell registriert werden.

3. Der Dienst ist äußerst zuverlässig und kann problemlos Tausende von Adressen verarbeiten.
   Der Versand erfolgt über RealSender- oder andere SMTP-Server.

Zurück nach oben

GNU Mailman „Einwegliste“

GNU Mailman ist eine weit verbreitete Software, die von den meisten Internetdienstanbietern angeboten wird.
Im Internet finden sich einige Anleitungen, die erklären, wie man sie konfiguriert und für Massenmailings verwendet:

• Mitglieder treten bei, indem sie ein Formular auf Ihrer Website ausfüllen (und auf die Bestätigungs-E-Mail antworten)
• Sie erhalten eine Willkommensnachricht, in der nicht erwähnt wird, wie man Beiträge auf der Liste veröffentlicht
• Sie erhalten Ihre Newsletter mit einer Fußzeile, die einfache Anweisungen zum Abmelden enthält
• Nur autorisierte Personen können Beiträge in die Liste eintragen (Newsletter versenden)

Die Hauptreferenz ist dieses Dokument, das aus zwei Beiträgen von Barry Warsaw in der Mailman-Benutzerliste stammt:
Wie erstelle ich einen Newsletter/eine Ankündigung/eine Einwegliste?

Der Text erläutert die wichtigsten Punkte im Detail:

• Wie erstellt man eine personalisierte Willkommensnachricht und eine Listeninfoseite, die keine Hinweise zum Posten in der Liste enthält?
• Wie lassen sich Passwortprobleme und Abmeldeprobleme minimieren, die bei dieser Art von Liste häufig auftreten?
• Wie kann ich die Liste so einschränken, dass nur autorisierte Personen Beiträge veröffentlichen können?
• Wie richte ich eine Benachrichtigungsliste ein, die auf eine Kontaktadresse antwortet?
• Wie man in der Ankündigungsliste postet

Ein weiterer Artikel der Stanford University erklärt, wie man mit Mailman
eine Liste einrichten kann, die nur Ankündigungen versendet:
So richten Sie eine „unidirektionale“ Ankündigungs- oder Newsletter-Liste ein – Wissensartikel KB00010792

Zurück nach oben

Ein wenig Geschichte zu GNU Mailman

Mailinglisten können diskussions- oder ankündigungsbasiert sein. Die Mailman-Software ist in Python geschrieben; vor ihrer Veröffentlichung nutzte die Python-Community Majordomo, einen Perl-basierten Mailinglisten-Manager.

Mark Sapiro betreut heute den stabilen 2.1-Zweig,
während sich Barry Warsaw auf die neue Version 3.X konzentriert.

Zwei übergeordnete Prinzipien, die für den anhaltenden Erfolg von Mailman entscheidend sind:

• Keine Nachricht sollte jemals verloren gehen
• Keine Nachricht sollte jemals mehr als einmal übermittelt werden

In Mailman 2 überarbeiteten die Entwickler das Nachrichtenverarbeitungssystem, um sicherzustellen, dass diese beiden Prinzipien stets höchste Priorität haben. Dieser Teil des Systems ist seit mindestens einem Jahrzehnt stabil und einer der Hauptgründe für die heutige weite Verbreitung von Mailman.

Zurück nach oben

VERP-Bounce-Management

VERP steht für Variable Envelope Return Path (Variabler Rückumschlagpfad). Es handelt sich um eine gängige Methode, mit der Mailinglisten die Adressen von Empfängern, die nicht zugestellt werden können, eindeutig ermitteln. Erhält die Mailingliste eine solche Fehlermeldung, kann sie darauf reagieren, beispielsweise die betreffende Adresse deaktivieren oder sie aus der Liste entfernen.

Für die Unzustellbarkeitsbenachrichtigungen gibt es ein Standardformat, die sogenannten Zustellstatusbenachrichtigungen. Mailman verwendet eine Bibliothek mit Dutzenden von Heuristiken für das Unzustellbarkeitsformat, die alle in den zwanzig Jahren des Bestehens von Mailman in der Praxis beobachtet wurden.

VERP nutzt eine Anforderung des SMTP-Protokolls, um eine eindeutige Bounce-Erkennung zu gewährleisten, indem solche Benachrichtigungen an den Absender im Nachrichtentext zurückgesendet werden. Dies ist nicht das „ From:“- Feld im Nachrichtentext, sondern der „MAIL FROM“, der während des SMTP-Dialogs festgelegt wurde. Dieser Wert bleibt auf dem gesamten Zustellungsweg erhalten, und der empfangende Mailserver ist standardgemäß verpflichtet, die Bounces an diese Adresse zu senden.

Wenn der Mailman-Server mylist@example.org, ist der VERP-kodierte Absender für eine Mailinglisten-Nachricht an anne@example.com : mylist-bounce+anne=example.com@example.org. Unzustellbare E-Mails werden an die VERP-kodierte Empfängeradresse gesendet. Mailman kann dann den „An:“ -Header analysieren, um den ursprünglichen Empfänger als anne@example.com

Die Verwendung von VERP erfordert, dass Mailman genau eine Kopie der Nachricht pro Empfänger versendet. VERP benötigt für jeden Empfänger eine eindeutige Absenderadresse (MAIL FROM) , und dies lässt sich nur durch den Versand einer individuellen Kopie der Nachricht gewährleisten. Dadurch wird auch verhindert, dass die Nachricht als Spam eingestuft wird.

Zurück nach oben

Ausrichtung von Absender- und Mail-Absenderadresse

Während der Testphase verwendet die Standardkonfiguration der „Copymail-App“ eine von uns bereitgestellte Domain als Absenderadresse (auch bekannt als Bounce-/Return-Path-/Envelope-Adresse). An diese Adresse werden unzustellbare E-Mails zurückgesendet. Diese Absenderdomain unterscheidet sich von der Absenderadresse (der für Empfänger sichtbaren Absenderadresse).

Vor der Produktivsetzung müssen einige DNS-Änderungen vorgenommen werden, um die mit der Absenderdomäne gesendeten Nachrichten zu authentifizieren . Die neuesten E-Mail-Standards ermöglichen es Ihnen, authentifizierte E-Mails mit einer Subdomain als Absenderadresse (z. B. email.youremaildomain.com) zu versenden, während Sie weiterhindie Basisdomäne als Absenderadresse verwenden können ( z. B. info@youremaildomain.com). Weitere Details finden Sie auf der Erweiterte Einstellungen für die E-Mail-Authentifizierung“ .

Die gleiche Situation kann auch in anderen Umgebungen auftreten. Wir empfehlen Ihnen, dies mit Ihrem Internetanbieter zu klären.

Zurück nach oben

Reverse-Proxy für SMTP-Server

Wichtigste Vorteile:

• Sicherheit: Es kann bösartige Anfragen blockieren, den Datenverkehr verschlüsseln
  und Backend-Server vor direkten Angriffen schützen.
• Leistung: Der eingehende Datenverkehr wird auf mehrere Server verteilt, wodurch eine Überlastung
  einzelner Server verhindert und eine höhere Verfügbarkeit gewährleistet wird.
• Skalierbarkeit: Sie ermöglicht das Hinzufügen oder Entfernen von Backend-Servern ohne Serviceunterbrechung und
  bietet somit die Möglichkeit, wachsendes Datenaufkommen zu bewältigen.

HTTP-only Reverse-Proxy (Schicht 7)

Im Internet sind verschiedene Tools verfügbar; nach eingehender Recherche haben wir zunächst diejenigen ausgeschlossen, die nur das HTTP-Protokoll (Schicht 7) unterstützen:

Kein Apache
„Oh je. Nehmen Sie sich einen Moment Zeit, um sich mit den Technologien vertraut zu machen, mit denen Sie arbeiten. E-Mails nutzen SMTP. Apache nutzt HTTP. Apache weiß absolut nichts über SMTP. Wenn Sie mit E-Mails arbeiten möchten, benötigen Sie eine Technologie, die SMTP unterstützt.“ – EEAA, Kommentar vom 18. August 2016 um 2:49 Uhr

kein
TCP-Proxying, sondern nur HTTP über TCP. Verwenden Sie einen Reverse-Proxy, der TCP-Proxying unterstützt, wie Traefik, Nginx oder HAProxy, oder nutzen Sie dieses experimentelle Plugin. – ElevenNotes, Kommentar vom 24. September 2024

Anschließend konzentrierten wir uns auf die drei in den Kommentaren empfohlenen Lösungen: „Traefik, NginX oder HAProxy“ und installierten und testeten sie nacheinander.

Traefik war die erste Wahl.

Die meisten Tutorials begannen mit Docker, einer Plattform, die ich vermeiden wollte. Stattdessen entschied ich mich für eine einfache Lösung, möglicherweise basierend auf einem der Linux-Paketmanager, wie YUM für RPM-basierte Distributionen wie Fedora und CentOS oder APT (Advanced Package Tool), das bei Debian-basierten Distributionen wie Ubuntu und Debian verwendet wird.

Nach langer Suche stießen wir auf diesen aktuellen Artikel, der die Art der Installation beschreibt, nach der wir gesucht hatten: Traefik als systemd-Dienst einrichten.

Ein Hinweis: Sie müssen die SELinux-Einstellungen von „Enforcing“ auf „Permissive“ ändern

Nachdem wir zwei Udemy-Kurse ausprobiert hatten, stießen wir auf diesen hervorragenden Kurs: Traefik Crashkurs (ohne Docker). Wir konnten ihn mithilfe der gezeigten Beispiele zum Laufen bringen. Gegen Ende des Videos äußerte der exzellente Dozent jedoch seine völlige Ablehnung dieses Tools: Traefik Crashkurs – Zusammenfassung (53:50).
Dies entmutigte uns, weitere Tests durchzuführen, und veranlasste uns, etwas anderes auszuprobieren.

NginX war die zweite Wahl

In diesem Fall war die Installation einfacher und erfolgte mit YUM:
`yum install epel-release nginx nginx-mod-stream nginx-mod-mail`.
Hinweis: Unter SELinux muss das Relay aktiviert werden:
`setsebool -P httpd_can_network_relay 1`.

Für das Training gingen wir auf Nummer sicher und wählten denselben Dozenten wie beim vorherigen Kurs: NginX Crashkurs (der erste Teil dauert etwa eine Stunde und zwanzig Minuten). Auch der Dozent ist von dieser Anwendung nicht überzeugt, insbesondere nicht davon, dass sie sowohl als Webserver als auch als Reverse-Proxy fungiert: NginX Crashkurs – Zusammenfassung (1:20:10).
Der Bericht endet mit dem Hinweis „Ich bevorzuge HAProxy gegenüber Nginx“, daher beschlossen wir, HAProxy ebenfalls auszuprobieren.

Schließlich haben wir auch HAProxy ausprobiert.

Die Installation erwies sich als kinderleicht, da es sich um eine sehr verbreitete Anwendung handelt, die in allen Linux-Paketmanagern verfügbar ist, zum Beispiel: `yum install haproxy`

Wir haben auch unseren bewährten Ausbilder konsultiert: HAProxy Crashkurs.

Es funktioniert, ist aber leider NICHT für die SMTP-Authentifizierung geeignet:
„HAProxy lässt sich so nicht konfigurieren, da HAProxy SMTP überhaupt nicht unterstützt.“
– Kommentar von lukastribus, 17. August 2023

Ein Standard-SMTP-Server als Reverse-Proxy

Nach zweiwöchigen Tests stellten wir fest, dass
es besser ist, einen Standard-SMTP-Server als Reverse-Proxy für andere SMTP-Server zu verwenden.

Es erfüllt seine Aufgabe, indem es ausschließlich das SMTP-Protokoll verwendet, Verbindungen ordnungsgemäß authentifiziert
und Anfragen über die „smarthost“-Funktion an andere SMTP-Server weiterleiten kann.

In Postfix, in main.cf, als
relayhost = [smarthost_address]:port

In Sendmail, in sendmail.mc, as
define(`SMART_HOST',`mail.example.com')

Zurück nach oben

Wie man E-Mail-Adressen extrahiert

Manchmal haben Sie Daten von Ihrer Website oder Ihrer Unternehmenssoftware exportiert,
die Bestellinformationen oder Kundendaten enthalten.
Möglicherweise benötigten Sie nur die E-Mail-Adresse und das Bestelldatum.

Eine Möglichkeit besteht darin, alle Daten in Excel zu importieren, die nicht benötigten Spalten zu löschen
und die verbleibenden zu exportieren.

Dies funktioniert möglicherweise nicht gut, wenn das E-Mail-Feld auch die Beschreibung der E-Mail-Adresse enthält,
zum Beispiel: „Dave Martin

Es kann mühsam sein, wenn man die Aufgabe mehrmals wiederholen muss
oder wenn man alle Schritte jemand anderem erklären muss.

Extrahieren Sie die gewünschten Daten mithilfe von „regulären Ausdrücken“

Ein regulärer Ausdruck (kurz „Regex“ oder „Regexp“)
ist eine Zeichenkette, die ein übereinstimmendes Muster in einem Text angibt.

Ein sehr einfaches Beispiel ist die Suche nach einem Wort, das in einem Texteditor auf zwei verschiedene Arten geschrieben wird.
Der reguläre Ausdruck seriali[sz]e findet sowohl „serialise“ als auch „serialize“.

Komplexer gestaltet sich die Syntax zur Identifizierung im Text

• E-Mail-Adressen:
  [a-zA-Z0-9._-]+@[a-zA-Z0-9._-]+\.[a-zA-Z0-9_-]+
  Quelle: stackoverflow - regulärer Ausdruck zum Extrahieren von E-Mail-Adressen aus Zeichenketten

• Datum:
  \d{4}-\d{2}-\d{1,2}
  Quelle: Stack Overflow – Regulärer Ausdruck zum Extrahieren des Datums aus einer Zeichenkette

Tutorial zu regulären Ausdrücken (Regex)

Empfohlenes YouTube-Video
„38 Minuten gut investiert, es hat sich absolut gelohnt“ :

Wie man beliebige Textmuster erkennt
(ab Minute 25 wird die Syntax zum Extrahieren von E-Mail-Adressen erklärt)

Kurzanleitung zur Verwendung regulärer Ausdrücke

RegExr Online-Tool

Reguläre Ausdrücke werden in fortgeschrittenen Texteditoren wie Notepad++ oder Atom
im Allgemeinen akzeptiert

Es gibt auch kostenlose Online-Tools, eines davon ist:
https://regexr.com - ein Online-Dienst zum Erlernen, Erstellen und Testen von regulären Ausdrücken.

Erläuterung der Weboberfläche:
„Ausdruck“ ist das Feld, das die Regex-Syntax enthält.
„Text“ ist der zu analysierende Inhalt. Unter
„Tools > Liste“ werden die Extraktionsergebnisse angezeigt.

Beispiel 1: Nur die E-Mail-Adresse extrahieren

Ausdruck:
[a-zA-Z0-9._-]+@[a-zA-Z0-9._-]+\.[a-zA-Z0-9_-]+

Text:

Dave Martin 615-555-7164 173 Main St., Springfield, RI 55924 davemartin@bogusemail.com Charles Harris 800-555-5669 969 High St., Atlantis, VA 34075 charlesharris@bogusemail.com Eric Williams 560-555-5153 806 1st St., Faketown, AK 86847 laurawilliams@bogusemail.com

Werkzeuge > Liste:
$&\n

Ergebnis:

davemartin@bogusemail.com charlesharris@bogusemail.com laurawilliams@bogusemail.com

Beispiel 2: E-Mail-Adresse und Datum extrahieren

Ausdruck:
","(.*?)([a-zA-Z0-9._-]+@[a-zA-Z0-9._-]+\.[a-zA-Z0-9_-]+)(.*?)",".*",(\d{2}\.\d{2}\.\d{4})

Text:

„lorem ipsum dolor sit amet“, Robert Farrell<rmfarrell@bogusemail.com> ","",02.01.2024, ,5379, "consectetur adipiscing elit","""Mesa, Rene<rmesa@bogusemail.com> „““, „“,04.01.2024, ,20826, „sed do eiusmod tempor incididunt“, „Antonio Bugan<antonio@bogusemail.com> ","",04.01.2024, ,2856, "ut laboure et dolore magna aliqua", "Crawley Down Tennis Club<hello@bogusemail.com> ","",05.01.2024, ,4453,

Werkzeuge > Liste:
$2,$4\n

Ergebnis:

rmfarrell@bogusemail.com, 02.01.2024 rmesa@bogusemail.com, 04.01.2024 antonio@bogusemail.com, 04.01.2024 hello@bogusemail.com, 05.01.2024

Kurzanleitung zur Verwendung regulärer Ausdrücke

. - Beliebiges Zeichen außer Zeilenumbruch \d - Ziffer (0-9) \D - Keine Ziffer (0-9) \w - Wortzeichen (az, AZ, 0-9, _) \W - Kein Wortzeichen \s - Leerzeichen (Leerzeichen, Tabulator, Zeilenumbruch) \S - Kein Leerzeichen (Leerzeichen, Tabulator, Zeilenumbruch) \b - Wortgrenze \B - Keine Wortgrenze ^ - Anfang einer Zeichenkette $ - Ende einer Zeichenkette [] - Entspricht Zeichen in Klammern [^ ] - Entspricht Zeichen außerhalb von Klammern | - Entweder oder ( ) - Gruppierungsquantifizierer: * - 0 oder mehr + - 1 oder mehr ? - 0 oder 1 {3} - Exakte Zahl {3,4} - Zahlenbereich (Minimum, Maximum)

Quelle: GitHub-Code-Snippets

Zurück nach oben

Wie man "NO-MAIL"-Domains schützt

Die meisten Unternehmen und öffentlichen Einrichtungen registrieren mehrere Domains.
Unternehmen erwerben häufig mehr als eine Domain, um sich gegen Benutzerfehler abzusichern und ihre Marken zu schützen.
Manchmal werden auch mehrere Domains genutzt, um Veranstaltungen oder Projekte zu bewerben, die besondere Aufmerksamkeit verdienen.

Die Zahlen können von einigen Dutzend Domains bis zu mehreren Hundert für eine einzelne Aktivität variieren.
Sie reichen von etwa zweihundert in einer Gemeinde einer Großstadt bis zu Tausenden bei Ferrari und Goldman Sachs.

Bis hin zu schwindelerregenden Zahlen, wenn man die Gesamtzahl der registrierten Domains betrachtet,
die Ende 2022 laut Verisign 350 Millionen Domainnamen erreichte

Viele dieser Domains dienen als „Schaufenster“. Auf der Website sind keine E-Mail-Adressen angegeben.
Kontaktanfragen werden in der Regel auf auszufüllende Formulare oder Social-Media-Kanäle weitergeleitet.

Die Verwaltung des E-Mail-Versands mit den erforderlichen Authentifizierungen (SPF, DKIM, DMARC usw.) wird immer komplexer.
Daher wird üblicherweise nur eine einzige Domain für die offizielle externe Kommunikation per E-Mail verwendet.

Der Gedanke, die eigene Online-Präsenz zu schützen, kann sich jedoch als zweischneidiges Schwert erweisen.
Falsch konfigurierte „Showcase-Domains“ können leicht von Angreifern missbraucht werden.

Sie missbrauchen oft den bekannten Namen des Absenders, um das Vertrauen der Empfänger zu gewinnen und Handlungen zu fordern,
die vertrauliche Informationen oder das Öffnen von Links und Anhängen offenlegen.

Die Empfänger laufen Gefahr, die Sicherheit ihrer Systeme zu gefährden und
so Banden von Cyberkriminellen von außen Zugriff zu ermöglichen.

Die oben genannten komplexen Authentifizierungssysteme haben auch ihre Vorteile.
Das DMARC-Protokoll wurde entwickelt, um gefälschte E-Mails zu erkennen und
zu verhindern, dass unbefugte Personen oder Organisationen mit unseren Absendern kommunizieren.

Eine schnelle Einrichtung ermöglicht es Ihnen, eine bestimmte Domain als NICHT in Gebrauch zu kennzeichnen und
Empfänger zu warnen, E-Mails von dieser Domain abzulehnen.
Es genügt, einen Eintrag (eine einzelne Zeile) mit folgendem Hinweis im Domain-DNS einzufügen:

_dmarc.yourdomain.com. TXT "v=DMARC1; p=reject"

Ob diese Regel Anwendung findet, hängt vom empfangenden System ab.
seit März 2015 ein anerkannter IETF-Standard ist.
Die meisten Online-E-Mail-Dienste implementieren es zum Schutz ihrer Nutzer.

Nachrichten von „NO-MAIL“-Domains werden automatisch abgewiesen.

Auf diese Weise schützen Sie nicht nur Ihr Unternehmen vor Missbrauch, sondern verhindern auch, dass „alte“ Domains,
die weder zum Senden von E-Mails berechtigt noch authentifiziert sind, versehentlich verwendet werden.

Warum nutzen Unternehmen SMS?

Das Problem: ungelesene E-Mails, unbeantwortete Anrufe

Ein E-Mail-Postfach ist voller Konkurrenz um die Aufmerksamkeit der Verbraucher,
was es für Unternehmen umso schwieriger macht, von ihren Kunden und potenziellen Kunden wahrgenommen zu werden.

Es wird immer schwieriger,
jemanden dazu zu bringen, eine wichtige E-Mail zu lesen (oder ihn überhaupt zu einem Telefonat zu bewegen)

48 % der Verbraucher haben mehr als 50 ungelesene Nachrichten in ihrem Posteingang.
Die meisten Verbraucher sortieren diese Nachrichten nicht aus, sodass sich die E-Mails immer weiter anhäufen.
– Quelle: ZipWhip Warum Ihre Kunden Ihre E-Mails nicht mehr lesen (PDF, 15 MB)

Manche Aktualisierungen sind dringend und möglicherweise von entscheidender Bedeutung. Der Versand per E-Mail birgt das Risiko
, dass die Nachricht nicht gelesen wird oder im Spam-Ordner landet.

Auf die Frage „Wie viele E-Mail-Konten haben Sie?“ antworteten 77 % mit „zwei oder mehr“.
Normalerweise ist jedoch nur eines auf dem Smartphone eingerichtet.

Es kommt immer häufiger vor,
dass Kunden anrufen und keine Antwort erhalten
oder der Anruf auf der Mailbox landet

97 % der Verbraucher geben zu, Anrufe von Unternehmen und unbekannten Nummern zu ignorieren.
– Quelle: ZipWhip Warum Ihre Kunden nicht mehr ans Telefon gehen (PDF, 15 MB)

Die Lösung: Schreib mir eine SMS

Covid-19 hat die Nutzung elektronischer Geräte erhöht;
64 % der Befragten gaben an: „Ich verbringe mehr Zeit mit meinem Handy.“

58 % der Verbraucher geben an, dass SMS für Unternehmen der effektivste Weg ist, sie schnell zu erreichen.
– Quelle: ZipWhip State of texting 2021 (PDF, 21 MB)

Selbst im E-Commerce, wo für die Registrierung üblicherweise eine E-Mail-Adresse erforderlich ist,
bieten einige große Unternehmen, darunter Amazon, die Möglichkeit, sich über die Mobiltelefonnummer zu registrieren.

Die Erklärung: Fünf gute Gründe fürs Texten

1. SMS werden fast immer gelesen, meist nur Sekunden nach dem Empfang.
   Die
   Öffnungsrate liegt bei über 95 % (davon erfolgen 90 % innerhalb von drei Minuten nach Zustellung).
   SMS sind kurz und prägnant, die Kommunikation ist wichtig und erfolgt umgehend.

2. Es ist ganz einfach:
   Die Inhalte benötigen keine Internetverbindung, um den Empfänger zu erreichen.
   So kann Ihre Marke Zielgruppen ansprechen, die sich mit Technologie nicht so gut auskennen.
   Die Nutzung ist ähnlich wie bei Videoinhalten (schnell, unmittelbar, prägnant).

3. allgegenwärtig und
   mit jedem Mobiltelefon weltweit kompatibel, ohne dass zusätzliche Apps installiert werden müssen.
   Das Smartphone (oder ein älteres Mobiltelefon) ist stets griffbereit wie Portemonnaie und Hausschlüssel.
   So können Kunden jederzeit und überall über einen zuverlässigen Kanal erreicht werden.

4. sind günstig, da
   der Versand von SMS-Nachrichten kostengünstig ist.
   Die durchschnittliche Länge einer SMS beträgt maximal 155 Zeichen (maximal 160 Zeichen pro Nachricht).
   Die Kombination von SMS mit Telefonaten oder E-Mails spart Zeit bei der Kundenkommunikation.

5. Es handelt sich um interaktive
   Kommunikation über einen entspannten Kanal, der nicht aufdringlich oder stressig ist.
   SMS werden als wichtiger wahrgenommen und daher eher geöffnet, gelesen und beantwortet.
   Die Sprache von Textnachrichten ist einfach und fördert die Interaktion. Die Antwortraten liegen bei bis zu 45 %.

Wie man mit zurückgewiesenen E-Mails umgeht

Unzustellbare E-Mails oder einfach „Bounces“ sind E-Mails, die automatisch
von einem MTA (Mail Transfer Agent) an den Absender gesendet werden,
um ihn darüber zu informieren, dass die Nachricht vom Empfänger nicht korrekt empfangen wurde.

Der Betreff lautet üblicherweise „Zurückgesendete E-Mail: Details siehe Protokoll“.
Die erläuternden Informationen zur Unzustellbarkeit, ein Code mit Beschreibung, finden sich im Inhalt.

Der „Statuscode“ sollte die Art des Fehlers, der die Rücksendung verursacht hat, eindeutig identifizieren.
Oft müssen jedoch die von den einzelnen E-Mail-Dienstleistern verwendeten Codes und Beschreibungen
analysiert und interpretiert werden, um den Bounce korrekt zu klassifizieren.

• Welche Risiken bergen unzustellbare E-Mails?
  • Man kann sie nicht ignorieren
  • Sie sollten deren Bedeutung verstehen
  • Sie sollten wissen, wie die Bounce-Behandlung funktioniert
• Überprüfen Sie die Anzahl der Bounces
• Neue Trends beim Umgang mit Bouncern
• Statuscodes für zurückgesendete Nachrichten

Welche Risiken bergen unzustellbare E-Mails?

Das Versenden von E-Mails an falsche/inaktive Empfänger gilt als „Spammerverhalten“.

Man kann sie nicht ignorieren

Wenn Sie den Rest Ihrer Liste erreichen möchten, sollten Sie aufhören, E-Mails an die „schlechten“ Kontakte zu senden.
Manchmal wird dies auch als „Listenhygiene“ bezeichnet.

Sie sollten deren Bedeutung verstehen

Es gibt drei Arten von Zustellstatusbenachrichtigungen (DSN): Erfolg – ​​Die E-Mail wurde zugestellt (die Benachrichtigung wird nur auf Anfrage des Absenders gesendet).
Hard Bounce – Es ist ein dauerhafter Fehler aufgetreten.
Soft Bounce – Es ist ein vorübergehender Fehler aufgetreten.

Hard Bounce (Statuscode 5.XXX.XXX): Die E-Mail-Adresse hat einen dauerhaften Fehler verursacht
, z. B. „550 5.1.1 … Benutzer unbekannt“ oder „5.1.2 … Host unbekannt“.
Ein dauerhafter Fehler bedeutet, dass Sie diesem Empfänger keine E-Mails mehr senden sollten.
Eine einzige unzustellbare Nachricht sollte zur Sperrung der E-Mail-Adresse führen.

Soft Bounce (Statuscode 4.XXX.XXX): Die E-Mail-Adresse hat einen vorübergehenden Fehler verursacht,
z. B. „452 4.2.2 … Postfach voll“.
Ein vorübergehender Fehler bedeutet, dass Sie die Zustellung später erneut versuchen können.
Mindestens drei unzustellbare Nachrichten innerhalb weniger Tage sollten zur Sperrung der E-Mail-Adresse führen.

Sie sollten wissen, wie die Ballrückprallbehandlung funktioniert (und wie man sie anpassen kann)

• Alle zurückgegebenen Nachrichten werden von einer Anwendung heruntergeladen und anschließend
  zur menschlichen Überprüfung bereitgestellt, entweder über die Benutzeroberfläche der Anwendung oder über eine JSON-Datei.
  
  
  
• Die Klassifizierung folgt bestimmten Regeln, die bearbeitet werden können
  
  
  
• Die Optionen legen fest, wann weiche Bounces auf harte Bounces „aufgewertet“ werden
  
  

» Zurück zum Seitenanfang

Überprüfen Sie die Anzahl der Bounces

Manchmal kann ein Konfigurationsfehler sowohl auf der Sender- als auch auf der Empfängerseite
zu einem Soft Bounce oder sogar zu einem Hard Bounce führen.

Es empfiehlt sich, die Anzahl der unzustellbaren E-Mails der letzten Woche zu überprüfen,
um festzustellen, ob die Werte mit denen der Vorwoche übereinstimmen oder ob es Unregelmäßigkeiten gibt.
Sollte etwas nicht stimmen, fällt es Ihnen sofort auf. Die Analyse der Details der unzustellbaren E-Mails hilft Ihnen, die Ursache zu finden.

Manche Systeme ermöglichen es, die Anzahl der Tage (z. B. 180) festzulegen,
nach denen die Bounce-Informationen eines Abonnenten verworfen werden.
Auf diese Weise versucht der SMTP-Server erneut, den Empfänger zu kontaktieren.

Irrtümlich aktivierte Sperren werden automatisch aufgehoben,
die Reputation des SMTP-Servers kann jedoch darunter leiden.

» Zurück zum Seitenanfang

Neue Trends beim Umgang mit Bouncern

In einem Satz: Vorbeugen ist besser als Heilen.

Um den Ruf ihrer SMTP-Server nicht zu schädigen,
verwenden immer mehr ESPs (E-Mail-Dienstanbieter) eine „E-Mail-Sperrliste“
, die greift, bevor die Nachrichten das Postfach des Empfängers erreichen.

Wenn ein Kunde eine E-Mail sendet, die zu einem Hard Bounce führt,
wird die E-Mail-Adresse, von der der Bounce verursacht wurde, der Sperrliste hinzugefügt.

Die Sperrliste gilt für alle Kunden. Das heißt,
wenn ein anderer Kunde versucht, eine E-Mail an eine Adresse auf der Sperrliste zu senden,
wird diese vom SMTP-Server nicht zugestellt, da die E-Mail-Adresse gesperrt ist.

Die Verwendung von SMTP-Servern mit dedizierter IP-Adresse kann Probleme im Zusammenhang mit der Reputationsteilung vermeiden.
Beispielsweise kann die Sperrliste für E-Mails auf Ihre IP-Adresse beschränkt werden,
sodass Ihre E-Mails nicht beeinträchtigt werden, falls ein anderer Kunde den SMTP-Server auf die Blacklist setzt und die damit verbundenen Bounces verursacht
.

» Zurück zum Seitenanfang

Statuscodes für zurückgesendete Nachrichten

Statuscodes zur Identifizierung von Hard Bounces und Soft Bounces haben folgende Syntax:
Statuscode = Klasse "." Betreff "." Details

Statuscodes bestehen aus drei durch "." getrennten numerischen Feldern

• Der erste Untercode (Klasse) gibt an, ob der Verteilungsversuch erfolgreich war
• Der zweite Untercode (Betreff) gibt die wahrscheinliche Ursache einer etwaigen Zustellungsanomalie an
• Der dritte Untercode (Detail) kennzeichnet einen spezifischen Fehlerzustand

Der Untercode (die Klasse) dient der allgemeinen Klassifizierung des Status.
Die für jede Klasse aufgeführten Werte sind in RFC 3463 und RFC 6522:

2.XXX.XXX Erfolg (Wird nur auf Anfrage des Absenders gesendet) Erfolg bedeutet, dass die DSN eine positive Zustellung meldet. Detaillierte Untercodes können Informationen zu für die Zustellung erforderlichen Transformationen enthalten. 4.XXX.XXX Anhaltender vorübergehender Fehler Ein anhaltender vorübergehender Fehler liegt vor, wenn die gesendete Nachricht gültig ist, jedoch ein vorübergehender Zustand zum Abbruch oder zur Verzögerung von Sendeversuchen geführt hat. Wenn dieser Code zusammen mit einer Zustellungsfehlermeldung auftritt, kann der Versand in Zukunft erfolgreich sein. 5.XXX.XXX Dauerhafter Fehler Ein dauerhafter Fehler lässt sich voraussichtlich nicht durch erneutes Senden der Nachricht in ihrer aktuellen Form beheben. Für eine erfolgreiche Zustellung muss die Nachricht oder das Ziel geändert werden.

Einige Code- und Beschreibungsbeispiele:

2.0.0: Gesendet (Nachricht zur Zustellung angenommen) 4.2.2: Speicherkontingent überschritten 4.4.5: Nicht genügend Speicherplatz 5.0.0: Ungültiger Domänenname 5.1.1: Benutzer unbekannt 5.7.1: Nachrichteninhalt abgelehnt

» Zurück zum Seitenanfang

Wie kann ich überprüfen, ob mein SMTP-Server sicher ist?

Angesichts der zunehmenden Zahl von Ransomware-Angriffen in den 2020er Jahren
: Ist E-Mail, unser wichtigster Kommunikationskanal im Internet, noch sicher?

Die SMTP-Server stellen eine besonders sensible Infrastruktur dar.
Sie können in unserem Namen E-Mails versenden,
die von unseren Geschäftspartnern als von vertrauenswürdigen Absendern stammend akzeptiert werden,
da sie vom sendenden Server ordnungsgemäß authentifiziert wurden.

SMTP-Server stellen eine besonders sensible Infrastruktur dar.
Sie verteilen in unserem Auftrag E-Mail-Nachrichten,
die von unseren Geschäftspartnern als von vertrauenswürdigen Absendern stammend akzeptiert werden,
da sie vom SMTP-Server des Absenders ordnungsgemäß authentifiziert wurden.

Was passiert, wenn jemand anderes meinen SMTP-Server benutzt?
Wie kann ich überprüfen, ob mein SMTP-Server sicher ist?

Die Nutzung sensibler Infrastrukturen im Internet
erfordert ein hohes Schutzniveau, um Missbrauch zu verhindern.

Wenn Sie versuchen, Nachrichten über smtp.gmail.com zu senden,
werden Sie blockiert und erhalten diese „Kritische Sicherheitswarnung“:

Weniger sichere App blockiert Google hat die App, die Sie verwenden wollten, blockiert, da sie nicht unseren Sicherheitsstandards entspricht. [...]

Die einzige Alternative ist die Verwendung von OAuth2, einem Protokoll, das keine Passwortdaten weitergibt
, sondern stattdessen Autorisierungstoken zur Identitätsprüfung verwendet.

Die meistgenutzten Mailserver im Internet (Stand: August 2021) sind:
Exim (58 %), Postfix (35 %), Sendmail (4 %).

Um Ihren eigenen Mailserver weiterhin nutzen
und das Risiko eines Hackerangriffs verringern zu können, sollten Sie mindestens folgende Anforderungen überprüfen:

1. Es werden nur sichere Authentifizierungsmethoden akzeptiert.
   Benutzername und Passwort müssen über sichere Verbindungen übertragen werden,
   typischerweise Port 587+TLS , Port 25+TLS oder Port 465+SSL.
   Die Übertragung sensibler Daten im Klartext ist deaktiviert.

2. Die Absenderadresse („Mail-From“) muss überprüft werden;
   nur autorisierte Personen können die E-Mail öffnen.

3. Konfigurieren Sie Fail2ban so, dass alle externen Angriffe blockiert werden
   , um Versuche, Ihre Schutzmaßnahmen zu umgehen, zu verhindern.
   Insbesondere sollte Fail2ban alle wiederholten Angriffe blockieren.

• sich mit dem falschen Benutzernamen oder Passwort anzumelden
• E-Mails mit einem nicht autorisierten Absender versenden
• um die SMTP-Verbindung während des Authentifizierungsprozesses zu unterbrechen
  (mehrere Verbindungsabbrüche führen dazu, dass der SMTP-Dienst für legitime Benutzer nicht verfügbar ist)

Die Sperre erfolgt üblicherweise zwischen drei und zehn Versuchen
und führt zu einer Sperrung der Quell-IP-Adresse für drei bis vierundzwanzig Stunden.

Diese Punkte lassen sich recht einfach überprüfen, um festzustellen, ob
Ihre SMTP-Infrastruktur ein Sicherheits-Upgrade benötigt.

Fail2ban schützt Ihren Server vor Brute-Force- und DDoS-Angriffen.
Es funktioniert so, als würde ein Fremder an die Tür klopfen;
nach einer bestimmten Anzahl von Klopfzeichen verschwindet die Tür.

Ein Bericht von Hacker News:

Ich betreibe seit einigen Jahren meinen eigenen Mailserver und denke, dass viele andere hier Lösungen wie Mail-in-a-box, Mailcow, Mailu usw. nutzen. Bis Corona hatte ich nie größere Probleme mit meinem Mailserver, aber in den letzten Wochen hatte ich extrem viel eingehenden Traffic – das war zu viel für meinen Server, und ich musste ihn jedes Mal manuell neu starten. [...] Nachtrag: Ich habe meine fail2ban-Einstellungen geändert und festgestellt, dass ich hauptsächlich Ziel von Brute-Force-Angriffen war, gegen die ich mich mit Tools wie fail2ban eigentlich schützen können sollte

Fail2ban ist eine Log-Parsing-Anwendung, die Systemprotokolle überwacht
und nach Anzeichen eines automatisierten Angriffs sucht.

Wird ein Missbrauchsversuch anhand der definierten Parameter erkannt,
fügt Fail2ban der Firewall (iptables oder firewalld) eine neue Regel hinzu,
um die IP-Adresse des Angreifers entweder für eine bestimmte Zeit oder dauerhaft zu blockieren.
Fail2ban kann Sie außerdem per E-Mail über einen Angriff informieren.

Fail2ban konzentriert sich primär auf SSH-Angriffe, kann aber auch so konfiguriert werden,
dass es für jeden Dienst funktioniert, der Protokolldateien verwendet und somit einem Angriff ausgesetzt sein kann.

Es ist weit verbreitet. Eine Suche danach bei Google liefert leicht
Konfigurationsbeispiele zum Schutz von Mailservern.

DNS-Einstellungen zum Senden von E-Mails

Welche Domain-DNS-Einstellungen sind erforderlich, um E-Mails zu versenden?

E-Mail-Dienstleister verlangen in der Regel, dass Sie die Absenderdomäne verifizieren,
bevor Sie ihre SMTP-Server nutzen können. Dafür gibt es zwei Gründe:

1. Weisen Sie den Besitz der Domain nach,
   indem Sie die DNS-Einstellungen verwalten. Dadurch beweisen Sie, dass Sie die Domain des Absenders kontrollieren und
   somit nicht die Domain einer anderen Person verwenden (Spoofing).

2. Durch den Versand authentifizierter E-Mails
   mit SPF- und DKIM-Authentifizierung
   werden Ihre Nachrichten von den Empfängern als von einem „echten“ Absender stammend erkannt.
   Bei guter Reputation Ihrer Domain und Ihres SMTP-Anbieters
   sollten die Nachrichten die Postfächer der Empfänger erreichen.

Zusammenfassung:

• E-Mail-Dienstleister: Anforderungen an verifizierte Absender
• Warum ist ein verifizierter Absender so wichtig?
• Was versteht man unter Domänenausrichtung?
• CNAME-Eintrag oder TXT-Eintrag – welcher ist der bessere?
• Was ist eine dedizierte IP-Adresse?
• Sollen wir die DNS-Einstellungen der Unternehmensdomain direkt verwalten?

E-Mail-Dienstleister: Anforderungen an verifizierte Absender

Nachfolgend finden Sie einige der wichtigsten Anbieter, die wir geprüft haben, in alphabetischer Reihenfolge.
Ende Juli 2021 testeten wir die grundlegenden Einstellungen für den E-Mail-Versand.
Die verifizierte Domain lautete „emailperfect.com“. Sie wurde 2012 registriert und zuvor noch nie zum Versenden von E-Mails genutzt.

* = Wir haben an jedes der folgenden Postfächer eine Nachricht gesendet und vermerkt, ob es Hinweise gab, die eine erneute Überprüfung nahelegten:
Gmail, Hotmail, Yahoo, Gmx, Aruba, Tiscali, Exchange Online

Warum ist ein verifizierter Absender so wichtig?

Im Jahr 2021 halten wir die Authentifizierung der Absenderdomäne für obligatorisch,
damit der Empfänger sicher sein kann, dass die E-Mail-Adresse des Absenders nicht gefälscht ist.
Die präventive Authentifizierungsprüfung reduziert zudem das Missbrauchsrisiko von Versandsystemen erheblich.

Aus diesem Grund haben wir einen Anbieter aus der Liste „gelöscht“:
Er verlangt keine Domainvalidierung, bevor er Nachrichten senden darf.

Was versteht man unter Domänenausrichtung?

Beim Versenden einer Nachricht haben wir es mit zwei Domänen zu tun:

1. in der Absenderadresse, die für die Empfänger sichtbar ist
2. in der Mail-From-Adresse (auch „Envelope-Absender“ oder „Return-Path“ genannt),
   die vom ESP direkt verwaltet und verborgen wird, um die zurückgesendeten E-Mails zu empfangen.

Die Anforderung der „Domänenübereinstimmung“ lässt sich in folgendem Satz zusammenfassen:
„Wenn ein Absender seine E-Mail mittels SPF und/oder DKIM authentifiziert,
muss mindestens eine der Domänen mit der Absenderdomäne übereinstimmen.“

CNAME-Eintrag oder TXT-Eintrag – welcher ist der bessere?

Für die DKIM-Authentifizierung ist ein CNAME-Eintrag einfacher zu implementieren.
Dasselbe Ergebnis lässt sich zwar auch mit einem 2048-Bit-TXT-Eintrag erzielen, dies ist jedoch komplexer.
Darüber hinaus ermöglicht die Delegierung des DKIM-Eintrags über CNAME Ihrem Provider,
den Schlüssel bei Bedarf aus Sicherheitsgründen anzupassen.

Bei der SPF-Authentifizierung mit einem CNAME-Eintrag
wird die Absenderadresse (Mail-From) als Subdomain Ihres E-Mail-Anbieters verwendet, z. B. bounce.your-company-name.org.
Der Anbieter kümmert sich um die SPF-Authentifizierung und die Bearbeitung unzustellbarer Nachrichten.

Für die SPF-Authentifizierung ist ein TXT-Eintrag die beste Wahl bei E-Mail-Servern wie Zimbra oder Exchange,
da hier jeder Absender die unzustellbaren Nachrichten direkt erhält.
Für die Domänenauthentifizierung gibt es nur einen TXT-Eintrag,
dessen Verwaltung bei mehreren SMTP-Servern aufwendig sein kann.

Was ist eine dedizierte IP-Adresse?

Die „Internetprotokolladresse“ oder „IP-Adresse“
ist vergleichbar mit einer Telefonnummer auf Ihrem Festnetztelefon oder Mobilgerät.

Die meisten SMTP-Dienste stellen ihren Kunden gemeinsam genutzte IP-Adressen zur Verfügung.
Bei jedem E-Mail-Versand wird eine andere IP-Adresse zugewiesen.

Eine „dedizierte IP-Adresse“ bedeutet, dass sich Ihre E-Mail-Sende-IP-Adresse nicht ändert.
Dadurch haben Sie die volle Kontrolle über Ihre Absenderreputation, die durch die Nutzung durch Dritte nicht beeinträchtigt werden kann.

Sollen wir die DNS-Einstellungen der Unternehmensdomain direkt verwalten?

Nicht unbedingt, denn es erfordert gewisse technische Kenntnisse.

Die Unternehmensleitung sollte sich darüber im Klaren sein, dass bereits wenige Änderungen an den DNS-Einstellungen
schwerwiegende Folgen haben können, wie zum Beispiel:

• Website-Besucher auf einen anderen Webserver umleiten
• eingehende Nachrichten an einen anderen Mailserver umleiten
• Die E-Mail-Authentifizierung umgehen, sodass Nachrichten als Spam eingestuft oder abgelehnt werden

» Zurück zum Seitenanfang

Wie man Mailinglisten verwaltet

Wie verwaltet man Mailinglisten vorausschauend?

1. Zunächst einmal: Warum sollte man einen Mailinglisten-Manager verwenden?
   
   CRM-Systeme (wie Salesforce und Microsoft CRM)
   und geschäftliche E-Mail-Dienste (wie Office 365 und Google Apps Gmail)
   eignen sich nicht für Massenmailings.
   
   Sie wurden für die Einzelkommunikation entwickelt.
   Um Missbrauch zu verhindern, legen sie oft tägliche Sendelimits fest.
   
   Häufig müssen Unternehmen E-Mails an die meisten ihrer Kontakte oder an ausgewählte Gruppen senden.
   Massenmailings erfordern daher spezielle Systeme, die
   große Mengen an Nachrichten verarbeiten und automatische Abmeldungen ermöglichen.

2. Zweiter Schritt: Wo findet man diese Lösungen?
   
   Die naheliegendste Antwort ist, sich SaaS-Angebote (Software as a Service) anzusehen
   (Mailchimp ist das bekannteste System, Inxmail ist weniger bekannt, wird aber von großen Unternehmen genutzt). Die
   
   Entscheidung zwischen lokaler Installation und Cloud-Diensten ist stets wichtig.
   Wir sind der Ansicht, dass die lokale Option hilft, die Kontrolle über die E-Mails zurückzugewinnen, was wir fördern.
   
   Selbst wenn Sie sich für eine selbstgehostete Anwendung in der Cloud entscheiden,
   ermöglicht Ihnen dies einen einfachen Anbieterwechsel bei gleichbleibender Lösung.

3. Drei Lösungsansätze sind erwähnenswert:
   

• Sendy ist ausgereift, aber „Closed Source“ und kostenpflichtig.
  
  
• Listmonk ist Open Source. Version 1 wurde 2021 veröffentlicht. Es wurde in Go entwickelt,
  ist als eigenständige Binärdatei verfügbar und benötigt lediglich eine PostgreSQL-Datenbank. Auf GitHub hat es 5.400 Sterne.
  
  
• Mailtrain ist ebenfalls Open Source. Die erste Version erschien 2016, Version 2 im Jahr 2021.
  Es verwendet eine MySQL-Datenbank. Auf GitHub hat es 4.800 Sterne.

Auf der Suche nach einer übersichtlichen Benutzeroberfläche, einer listenorientierten Lösung, die einfach zu warten
und im Problemfall leicht wiederherzustellen ist, haben wir Listmonk als beste Wahl in Betracht gezogen.

Listmonk ist ein selbstgehosteter, leistungsstarker Mailinglisten- und Newsletter-Manager. Er wird als eigenständige Binärdatei bereitgestellt und benötigt lediglich eine Postgres-Datenbank.

Erste Schritte der Bewerbung

Dies ist die Originalmeldung auf Hacker News:

knadh am 12. Juli 2019 [–] Autor hier. Um den Hintergrund für die Entwicklung von Listmonk zu erläutern: In unserem Unternehmen (reguliertes Finanzdienstleistungsunternehmen) müssen wir regelmäßig E-Mails, hauptsächlich wichtige Updates, an über 1,5 Millionen Kunden versenden. Wir nutzten lange Zeit phpList und testeten anschließend MailTrain und Sendy, bevor wir uns schließlich aufgrund einiger Probleme, von denen einige wichtige im Folgenden aufgeführt sind, dazu entschlossen, das Rad neu zu erfinden. - Performance: Unangemessen lange Versandzeiten. phpList war so langsam, dass die Verarbeitung einer Kampagne mehrere Tage dauerte. Listmonk kann N Goroutinen (~Threads) starten und E-Mails an mehrere SMTP-Server senden. Auf einer Standard-EC2-Instanz können wir über 1,5 Millionen E-Mails in wenigen Stunden versenden. - Der Import von Abonnenten war extrem langsam. Die direkte Integration zur Synchronisierung der Abonnenten mit externen CRM-Systemen war umständlich. Direkte Datenbankeinfügungen waren aufgrund der komplexen Tabellenstrukturen kompliziert. Listmonk importiert 10.000 Datensätze pro Sekunde in eine PostgreSQL-Datenbank auf einer Standard-EC2-Instanz. – Segmentierung: Häufig müssen wir Benutzer schnell anhand benutzerdefinierter Attribute und Bedingungen segmentieren und ihnen Aktualisierungen übermitteln. Listmonk unterstützt SQL-Ausdrücke zur Segmentierung von Benutzern anhand ihrer Attribute, die als beliebige JSON-Maps definiert sind (dank des PostgreSQL-Datentyps JSONB). – Fehlende dynamische Vorlagen: Listmonk-Vorlagen unterstützen Go-Vorlagenausdrücke, sodass es möglich ist, Logik in Nachrichten zu schreiben, um diese dynamisch zu gestalten.

Kailash Nadhist ein sehr aktiver Entwickler im Bereich freier und Open-Source-Software (FOSS).
Er arbeitet bei Zerodha, Indiens größtem Online-Broker.
Der Blog des technischen Teams von Zerodha wird unter zerodha.tech.

Die Details

Listmonk ist sowohl für den Standardgebrauch (über eine Weboberfläche) als auch für Entwickler (über eine API) gut dokumentiert.

Die Lösung eignet sich sowohl für große Listen (bis zu Millionen von Abonnenten) als auch für kleine Gruppen.
Dank der Funktion zum Abfragen und Segmentieren von Abonnenten
können Sie eine Auswahl von Abonnenten anhand ihrer Profile und Attribute abfragen und exportieren.
Die extrahierten Daten lassen sich anschließend problemlos in eine neue, zielgerichtete Mailingliste importieren.

Es fehlen noch einige wichtige Funktionen wie die Behandlung von E-Mail-Bounces.
Diese sollten aber im nächsten größeren Release verfügbar sein:
Bounce-Verarbeitung #166
(Screenshot-Vorschau der Bounce-Verarbeitung)

Technische Überlegungen

Wir haben in der Vergangenheit eine andere Go-Anwendung verwendet: RealSender – DMARC-Berichte.
Quelle: dmarc-report-converter. Sie funktionierte sofort und problemlos.

„Das Datenbankmanagementsystem PostgreSQL, dessen Entwicklung über zwei Jahrzehnte zurückreicht, ist heute die fortschrittlichste Open-Source-Datenbank weltweit.“ – Eine kurze Geschichte von PostgreSQL – https://www.postgresql.org/docs/9.3/history.html

Wir hatten damit bereits einige Erfahrungen bei der Installation des Inxmail Professional-Servers gesammelt.
Im Jahr 2017 kündigte die Inxmail GmbH an, künftig nur noch PostgreSQL zu unterstützen und alle anderen Datenbanken einzustellen.

Ab dem 1. Januar 2019 konzentrieren wir uns auf die optimale technische Basis und stellen den Support für Windows-Server sowie MySQL-, Oracle- und MS SQL Server-Datenbanken ein. Wir bieten daher nur noch Support für Inxmail Professional auf Basis von Linux-Servern und PostgreSQL an. – Inxmail Professional-Lizenzlösung: Änderungen an unserem Systemsupport https://www.inxmail.de/files/files/de/downloads/Inxmail-Professional-licence-solution-EN.pdf

Für Einsteiger ist das sicherlich eine gute Wahl und eine Investition in wertvolles Wissen.
Udemy-Onlinekurse können bei der Erstinstallation und Wartung von PostgreSQL helfen.

Open Source birgt Risiken: Wird ein Projekt, das 2019 gestartet wurde, auch in Zukunft weiterentwickelt?
Niemand weiß es. Im schlimmsten Fall kümmert sich vielleicht ein anderer Entwickler darum, aber:

• Seine Eigenschaften scheinen wesentlich zu sein; wenn es zu komplex wird, ist es schwer aufrechtzuerhalten
• Wir haben einen Fehlerbericht für Listmonk und innerhalb von zwei Stunden eine Antwort vom Entwickler erhalten.
• Der Autor arbeitet in einem großen Unternehmen, das es intern verwendet

E-Mail-Zustellbarkeit

E-Mail-Zustellbarkeit, Fragen und Antworten:

hemancuso am 12. Juli 2019 [–] Projekte wie dieses scheinen eine tolle Idee zu sein, aber die Zustellbarkeit ist ein großes Problem, das sich ohne ausreichende Erfahrung nur schwer einschätzen lässt. Was sind die Best Practices für die Nutzung/Auswahl eines E-Mail-Service-Providers (ESP), wenn man ein solches Projekt einsetzen und eine gute Zustellbarkeit gewährleisten möchte? knadh am 12. Juli 2019 [–] Hier spricht der Autor. Wir nutzen Listmonk seit über sechs Monaten produktiv in unserem Unternehmen (reguliertes Finanzinstitut) für den Versand von E-Mail-Updates, einschließlich regulatorischer Mitteilungen. Wir hosten unsere eigenen SMTP-Instanzen mit Postal auf EC2-Instanzen und hatten noch nie Probleme mit der Zustellbarkeit. Bei legitimen E-Mails sollte das meiner Meinung nach kein großes Problem darstellen.

Wir stimmen zu, dass das Versenden erwarteter Mitteilungen an Kunden die meisten Zustellungsprobleme vermeiden sollte.
Erfahrungsgemäß steigt jedoch mit der Anzahl der Mitteilungen auch das Risiko von Problemen.
AWS EC2-Server werden häufig von Gmail auf die Blacklist gesetzt – alle gesendeten Nachrichten landen im Spam-Ordner.

RealSender bietet dedizierte IP-SMTP-Server,
die in einer zuverlässigen und ständig überwachten Umgebung arbeiten.

Über den Namen

goberoi am 13. Juli 2019 [–] Eine völlig zufällige Frage: Wie haben Sie den Namen ausgewählt? knadh am 13. Juli 2019 [–] Ich kann mich nicht mehr genau erinnern, aber ich glaube, der Gedankengang war in etwa: „Problemlose, reibungslose Listenverwaltung“.

Lass es uns versuchen

Sie können innerhalb weniger Minuten eine funktionierende Demo-Installation mithilfe des Docker-Images.
Alternativ können Sie bei RealSender einen Listmonk-Demo-Account.

» Zurück zum Seitenanfang

Wie man Newsletter versendet

Nach der Aufnahme auf die Blacklist antwortet der Kundendienst eines großen Anti-Spam-Dienstes oft:
„Bitte überprüfen Sie die Qualität Ihrer Empfängerliste, um sicherzustellen, dass die Empfänger Interesse an Ihren Mailings haben.“

„Listenhygiene“ und „Interessen der Empfänger“ haben viele Facetten:

A – auf der Maschinenseite – „Listenhygiene“

1. Bei gut verwalteten Abonnements und Abmeldungen
   muss der Abonnent seine E-Mail-Adresse bestätigt haben (Double-Opt-in),
   Empfänger sollten sich einfach und sicher abmelden können (Opt-out).

2. Senden Sie E-Mails nur an aktive und engagierte Empfänger.
   Senden Sie keine E-Mails wiederholt an Empfänger mit vollem Postfach oder
   inaktiven Empfängern. Stellen Sie den Versand an inaktive Empfänger ein, da fehlende Interaktion ein klares Zeichen für Desinteresse ist.

3. Der Inhalt muss gut strukturiert (nicht nur ein einzelnes Bild) und responsiv sein, damit er auf verschiedenen Geräten lesbar ist.
   Andernfalls kann es passieren, dass Spamfilter die Nachricht blockieren, bevor sie den Posteingang des Empfängers erreicht.

4. Stellen Sie sicher, dass die Maschinen erkennen, wer die E-Mail sendet.
   Die Authentifizierung ermöglicht es den Ziel-Mailservern, Nachrichten als von vertrauenswürdigen Absendern gesendet zu identifizieren.

B – auf der menschlichen Seite – „Interesse der Empfänger“

1. Abonnenten sollten erwarten können, dass die
   Empfänger sich auf Ihre Nachricht freuen und sie wertschätzen.

2. Nutzerreaktionen sollten verwaltet werden,
   falls etwas schiefgeht oder ein Empfänger mit Ihnen kommunizieren möchte,
   beispielsweise um Ihnen mitzuteilen, dass er keine weiteren Nachrichten erhalten möchte, selbst wenn ein Abmeldelink vorhanden ist.

Maschinenseite – „Listenhygiene“

Die oben genannten Punkte lassen sich bei kleinen Listen mit einigen hundert Empfängern problemlos umsetzen.
Oft kennt der Absender die Empfänger persönlich, da es sich um Kunden oder Mitglieder eines Vereins handelt.

Die Sache wird komplizierter, wenn die Liste größer ist, Tausende von Empfängern umfasst
und mehr Personen an den Mailings beteiligt sind.
In diesem Fall ist der Einsatz professioneller Tools unerlässlich.

Im Internet gibt es viele professionelle Lösungen für E-Mail-Marketing,
die international bekannteste ist MailChimp.
Viele Websites listen auch MailChimp-Alternativen.

Die Mission von EmailTrends ist es, „die Kontrolle über E-Mails zurückzugewinnen“,
aus diesem Grund schlagen wir einen alternativen Weg vor.

Laut W3Techs basiert WordPress auf 40 % aller Websites im Internet
und ist die beliebteste Technologie im gesamten Internet in der Kategorie Open Source.

Mit über 200.000 aktiven Installationen Mailpoet
eines der meistgenutzten WordPress-Plugins für Newsletter.

MailPoet ist Open-Source-Software seit Ende 2020
gehört zu den Unternehmen, die mit Automattic , dem Mutterkonzern von WordPress, verbunden sind.

Einige Screenshots geben Ihnen einen Eindruck davon, wie die verschiedenen Punkte erfüllt werden:

Mailpoet hat ein „Freemium“-Geschäftsmodell, das es Ihnen ermöglicht, die Option zu wählen:
„Ich möchte nur die Premium-Version ohne Versandfunktion“.

Der dedizierte SMTP-Server von RealSender lässt sich über die Option „Senden mit… > Andere“ konfigurieren.
gewährleistet
zusammen mit den von RealSender bereitgestellten Newsletter-Postfächern die korrekte Authentifizierung der versendeten E-Mails

» Zurück zum Seitenanfang

Die menschliche Seite – „Interessen der Empfänger“

Die menschliche Komponente ist schwieriger zu erreichen,
und genau hier liegt der Unterschied,
wenn das technische Management nicht perfekt ist.

„BE RELEVANT“
ist ein Slogan, der vor einigen Jahren im E-Mail-Marketing verwendet wurde.

Wenn man Menschen,
die man gut kennt, nach einem langen Gespräch wertvolle Informationen schickt,
spielt es keine Rolle, wie schlecht die Formatierung ist
oder ob die Nachricht im Spam-Ordner landet.

Technische Unvollkommenheiten werden sie stets verzeihen,
sie werden auf Ihre E-Mails warten, sie lesen
und gegebenenfalls auf den „Kein Spam“-Button klicken.

» Zurück zum Seitenanfang

Wie man private E-Mails versendet

Wie kann ich private und verschlüsselte E-Mails versenden?

E-Mails sind weder privat noch sicher.
Sie wurden nicht mit Blick auf Datenschutz oder Sicherheit entwickelt.

Jeder, der Ihre E-Mails während der Übertragung bearbeitet, kann sie lesen,
einschließlich Ihres Internetanbieters, eines Hackers oder der NSA (US National Security Agency).

Zusammenfassung:

• E-Mail-Datenschutz: Was geschieht heute?
• auf der „rechtlichen“ Seite
• auf der „illegalen“ Seite
  
  
• E-Mail-Datenschutz: Die Herausforderungen
• Anonymität und Vertraulichkeit
• Ende-zu-Ende-Verschlüsselung
  
  
• E-Mail-Datenschutz: Die Lösungen
• <technisch> Pretty Good Privacy – auch bekannt als PGP
• <technisch> Wie man die PGP-Verschlüsselung verwendet
• < einfach > Alternativen zur PGP-Verschlüsselung

Was geschieht heute?

auf der „rechtlichen“ Seite

„Der Wert einer Information wird erst dann deutlich, wenn man sie
mit etwas anderem verknüpfen kann, das zu einem späteren Zeitpunkt eintrifft.
Da man keine Verbindungen herstellen kann, die man nicht hat, verfällt man in einen Modus, in dem
wir im Grunde versuchen, alles zu sammeln und für immer festzuhalten.“

• -  Gus Hunt von der CIA über Big Data, auf der Huffington Post
• -  Gus Hunt von der CIA über Big Data, auf YouTube

„Sie haben gesagt, es seien nur Metadaten, nur Metadaten, […]
mit wem man spricht, wann man mit ihm spricht, wohin man gereist ist.
Das sind alles Metadatenereignisse.
Bei PRISM geht es um Inhalte. […] Sie können sie alle sehen, weil sie unverschlüsselt sind.“

• -  Edward Snowden – TED 2014

Dutzende psychologische Studien belegen,
dass das Verhalten von Menschen, die wissen, dass sie überwacht werden könnten,
deutlich konformistischer und angepasster ist.
[…] Massenüberwachung schafft ein Gefängnis im Kopf […]

• -  Glenn Greenwald – TEDGlobal 2014

auf der „illegalen“ Seite

Betrüger könnten auch Schadsoftware einsetzen, um in das Computernetzwerk eines Unternehmens einzudringen
und auf E-Mail-Korrespondenzen über Finanzangelegenheiten zuzugreifen.

• -  Betrugsressourcenzentrum – Kompromittierung von Geschäfts-E-Mails

Business Email Compromise (BEC) – auch bekannt als Email Account Compromise (EAC) –
ist eine der finanziell schädlichsten Online-Straftaten.
Bei einem BEC-Betrug versenden Kriminelle eine E-Mail, die scheinbar von einem bekannten Absender stammt
und eine legitime Anfrage enthält.

• -  Betrug und Sicherheit – Kompromittierung geschäftlicher E-Mails

Zurück nach oben

die Herausforderungen

Anonymität und Vertraulichkeit

Anonymität ist etwas anderes als Vertraulichkeit.
[…] Wir verschlüsseln Nachrichten,
sodass selbst wenn jemand sieht, dass wir eine Nachricht gesendet haben,
er sie nicht lesen kann.
Manchmal wollen wir aber gar nicht, dass jemand sieht, dass wir überhaupt eine Nachricht gesendet haben.

• -  Wie TOR funktioniert – Computerphile

Internetanonymität ist schwer zu erreichen.
Sie erfordert profunde Kenntnisse der verwendeten Tools.

Dieser Leitfaden vermittelt Ihnen möglicherweise einen Eindruck von der Komplexität:
Anbieter privater E-Mail-Dienste

Vertraulichkeit lässt sich leichter erreichen.

Auch wenn Sie nichts zu verbergen haben,
hilft die Verschlüsselung dabei, die Privatsphäre der Personen, mit denen Sie kommunizieren, zu schützen
und erschwert Massenüberwachungssystemen das Leben.

Falls Sie etwas Wichtiges zu verbergen haben, befinden Sie sich in guter Gesellschaft;
es handelt sich um dieselben Instrumente, die Whistleblower nutzen, um ihre Identität zu schützen
und gleichzeitig Menschenrechtsverletzungen, Korruption und andere Verbrechen aufzudecken.

Der wichtigste erste Schritt ist, sich selbst zu schützen
und die Überwachung der eigenen Kommunikation so schwierig wie möglich zu gestalten.

• -  E-Mail-Selbstverteidigung – ein Leitfaden zum Schutz vor Überwachung mit GnuPG-Verschlüsselung

Ende-zu-Ende-Verschlüsselung

Die Ende-zu-Ende-Verschlüsselung (E2EE) für E-Mails kann verwendet werden, um sicherzustellen,
dass nur der Absender und die Empfänger einer Nachricht den Inhalt lesen können.

Ohne diesen Schutz können Netzwerkadministratoren,
E-Mail-Anbieter und Regierungsbehörden Ihre Nachrichten leicht lesen.

Die Gewährleistung von Ende-zu-Ende-Verschlüsselung erfordert Sorgfalt sowohl vom Sender als auch vom Empfänger.
Ein einziger Fehler einer der beteiligten Parteien kann ausreichen, um die Sicherheit der Ende-zu-Ende-Verschlüsselung zu gefährden.

E-Mail-Metadaten wie Absender- und Empfänger-E-Mail-Adresse, Datum und Uhrzeit können durch Ende-zu-Ende-Verschlüsselung nicht geschützt werden.
Auch der Betreff der E-Mail kann ungeschützt und leicht lesbar bleiben, selbst wenn Ende-zu-Ende-Verschlüsselung verwendet wird.

• -  Was ist Ende-zu-Ende-Verschlüsselung in Thunderbird?

Zurück nach oben

die Lösungen

<technisch> Pretty Good Privacy – auch bekannt als PGP

Die PGP-Software folgt dem OpenPGP-Verschlüsselungsstandard
(RFC 4880) für die Ver- und Entschlüsselung von Daten.

• -  Auf Wikipedia wird der Datenschutz ziemlich gut beschrieben

PGP verschlüsselt den Inhalt Ihrer E-Mail in einen Code
, den nur die berechtigte Person lesen kann.

PGP läuft auf so gut wie jedem Computer oder Smartphone.
Es ist frei lizenziert und kostenlos.

Jeder Benutzer besitzt einen eindeutigen öffentlichen Schlüssel und einen privaten Schlüssel,
die zufällige Zahlenfolgen sind.

Ihr öffentlicher Schlüssel ist kein physischer Schlüssel, da er in einem Online-Verzeichnis gespeichert ist und von anderen heruntergeladen werden kann.
Andere nutzen Ihren öffentlichen Schlüssel zusammen mit PGP, um E-Mails an Sie zu verschlüsseln.

Ihr privater Schlüssel ist eher mit einem physischen Schlüssel vergleichbar, da Sie ihn nur für sich behalten (auf Ihrem Computer).
Sie verwenden PGP und Ihren privaten Schlüssel, um verschlüsselte E-Mails zu entschlüsseln, die Ihnen andere Personen senden.

Gelangt eine mit PGP verschlüsselte E-Mail in die falschen Hände, ist sie völlig sinnlos.
Ohne den privaten Schlüssel des eigentlichen Empfängers ist sie nahezu unmöglich zu lesen.

Um uns vor Überwachung zu schützen, müssen wir lernen, wann wir PGP verwenden sollten
und unsere öffentlichen Schlüssel immer dann weitergeben, wenn wir E-Mail-Adressen austauschen.

• -  E-Mail-Selbstverteidigung – Infografiken

<technisch> Wie man die PGP-Verschlüsselung verwendet

Um PGP zu verwenden, benötigen Sie einen öffentlichen und einen privaten Schlüssel (zusammen ein Schlüsselpaar).
Jeder Schlüssel ist eine lange, zufällig generierte Zeichenkette aus Zahlen und Buchstaben, die für Sie einzigartig ist.
Ihre öffentlichen und privaten Schlüssel sind durch eine spezielle mathematische Funktion miteinander verknüpft.

Es wird eine Anwendung benötigt, die die Schlüssel und die Ver-/Entschlüsselung von Nachrichten verwaltet.
Hier ist eine Auswahl der beliebtesten Anwendungen:

• Mailvelope ist ein kostenloses Open-Source-Browser-Plugin für Mozilla Firefox und Google Chrome und
  wahrscheinlich der einfachste Weg, sich mit PGP vertraut zu machen.
  Die „Mailvelope-Demonstration“ ist ein gelungenes Tutorial.

• Die Mozilla Thunderbird-Anwendung integriert alles, was zum Versenden PGP-signierter Nachrichten benötigt wird.
  Einführung in die Ende-zu-Ende-Verschlüsselung in Thunderbird

• GnuPG ist eine vollständige und kostenlose Implementierung des OpenPGP-Standards.
  Eine PGP-Anleitung für Anfänger mit Gpg4Win [Einfache 5-Minuten-Einrichtung] erklärt die Verwendung.

< einfach > Alternativen zur PGP-Verschlüsselung

PGP ist die beste Lösung für sichere Kommunikation mit einem Partner, der es bereits nutzt.
Es könnte sich jedoch als schwierig erweisen, den Geschäftspartner zur Nutzung von PGP zu bewegen.

Dienste, die es ermöglichen, ein Geheimnis nur einmal weiterzugeben, stellen eine Alternative dar.

Wenn Sie etwas nur einmal senden möchten, gibt es Open-Source-Webanwendungen
, mit denen Sie Informationen eingeben können, die nur einmal angezeigt werden können.

Nachdem der Empfänger die Seite geöffnet hat, werden die Informationen gelöscht,
und das Einzige, was in Ihren Chatprotokollen oder E-Mails verbleibt, ist ein ungültiger Link.

Es ist zwar nicht so robust wie die Nutzung von PGP durch das gesamte Team, aber deutlich einfacher einzurichten und zu erklären.
Wir konnten es erfolgreich einsetzen, um Anmeldeinformationen an technisch weniger versierte Personen zu senden, und diese finden es benutzerfreundlich.

Beispiel (ohne Hinzufügen eines Passworts):

Angenommen, Sie haben ein Passwort. Sie möchten es Ihrer Kollegin Jane geben. Sie könnten es ihr per E-Mail schicken, aber dann landet es in ihrem Posteingang, der möglicherweise gesichert wird und sich wahrscheinlich auf einem vom NSA kontrollierten Speichermedium befindet. Wenn Jane einen Link zum Passwort erhält und ihn nicht ansieht, ist das Passwort verloren. Wenn der NSA den Link in die Hände bekommt und das Passwort ansieht … nun, dann hat er das Passwort. Jane kann zwar nicht mehr an das Passwort gelangen, weiß aber nun, dass nicht nur jemand ihre E-Mails liest, sondern auch auf die Links klickt.

Einige dieser Dienste, die alle kostenlos und Open Source sind, sind unten aufgeführt. Alternativ
können Sie auch eine Instanz auf Ihrem eigenen Webserver hosten.

PrivateBin (eine Art sichere Version von Pastebin) ist in PHP entwickelt.
Der Quellcode von PrivateBin ist auf GitHub veröffentlicht und hat 3100 Sterne.
Anleitungen zu PrivateBin finden Sie auf einer anderen Website.

OneTimeSecret wurde in Ruby entwickelt.
Der Quellcode und die Anleitung sind auf GitHub veröffentlicht – 1200 Sterne.

SnapPass ist in Python geschrieben. Es wurde ursprünglich von Pinterest entwickelt.

Der SnapPass-Code und die Anleitung sind auf GitHub veröffentlicht – 600 Sterne

Zurück nach oben

Wie man BCC-E-Mails versendet und einschränkt

Wie kann ich BCC-E-Mails versenden und die Anzahl der BCC-E-Mails begrenzen?

„Cc“ bedeutet „Carbon Copy“ im (alten) Sinne der Anfertigung einer Kopie
mit einer Schreibmaschine unter Verwendung von Kohlepapier.

Das Feld „Bcc:“ in E-Mails (wobei „Bcc“ für „Blindkopie“ steht)
enthält die Adressen der Empfänger der Nachricht
, deren Adressen den anderen Empfängern der Nachricht nicht mitgeteilt werden dürfen.
– IETF RFC 2822 „Internet Message Format“

Der Unterschied zwischen Bcc und Cc liegt im Datenschutz der Empfänger.
Bei Verwendung der Cc-Funktion sind die E-Mail-Adressen im Cc-Feld
für alle Empfänger der E-Mail sichtbar.

Ein Bcc-Empfänger sieht den direkten Empfänger (An:),
kann aber nicht erkennen, wer sonst noch in der E-Mail in Bcc gesetzt wurde.

Bcc gilt oft als benutzerfreundliches System für den Massenversand von E-Mails.
Im Folgenden finden Sie eine kurze Analyse der Vor- und Nachteile der Verwendung von Bcc.
Am Ende der Seite finden Sie die Schlussfolgerungen mit einigen Verbesserungsvorschlägen.

VORTEILE

Es ist ganz einfach: Jeder kann es benutzen.

• Es ist eine einfache Möglichkeit, mehrere E-Mail-Empfänger zu kontaktieren
• Jeder mit einem E-Mail-Client kann es nutzen
• Bei korrekter Anwendung respektiert es die Privatsphäre der Empfänger, indem es deren E-Mail-Adressen nicht offenlegt

Zurück nach oben

Nachteile

E-Mail ist ein ausgehender Nachrichtenkanal ohne vorherige Prüfung.
Bcc erhöht die Reichweite auf Hunderte oder Tausende von Kontakten.

Bcc sollte als ein risikoreiches,
potenziell gefährliches Kommunikationsmittel betrachtet werden.

• Es handelt sich um einen fehleranfälligen Prozess, die Risiken sind:
  • Wenn versehentlich Bcc-Empfänger ins Cc-Feld eingetragen werden,
    führt dies in der Regel zu erheblichen Imageschäden.
    Eine neue Entschuldigungsnachricht ist der häufigste Ausweg aus dieser Situation.
    » Die Namen aller Empfänger werden öffentlich gemacht.
    » Unbeabsichtigte (und manchmal auch absichtliche) Verwendung von „Allen antworten“,
       was zu unkontrollierten E-Mail-Ketten führt.
    » Jemand könnte aus DSGVO-Sicht einen Datenschutzvorfall melden,
       wenn der Betreff/Text „besondere Kategorien“ personenbezogener Daten enthält und somit
       die Personen identifiziert, die derselben Kategorie angehören (z. B. Krankheit, sexuelle Orientierung oder Weltanschauung).
  • jemanden irrtümlich als Hauptempfänger (sichtbarer Empfänger) hinzugefügt
  • Vergessen, jemanden hinzuzufügen oder jemanden hinzuzufügen, der die Nachricht nicht erhalten soll
    
    
• Es besteht eine hohe Wahrscheinlichkeit, als Spam eingestuft zu werden
  • Das Problem ist, dass die meisten Spammer BCC-E-Mails versenden,
    die Ziel-Mailserver aber vorsichtig sind, BCC-Nachrichten anzunehmen.
  • Wenn ich Ihnen eine Nachricht mit BCC sende,
    erhalten Sie eine E-Mail, die nicht an Sie adressiert ist.
    Dies wird bei der Bewertung der Spam-Einstufung der Nachricht negativ bewertet.
  • Dieselbe Nachricht wird
    gleichzeitig an mehrere E-Mail-Adressen derselben Domain gesendet; man kann sie leicht zählen und blockieren.
    
    
• Über falsche Adressen kann keine Kontrolle ausgeübt werden
  • Es können doppelte oder dreifache E-Mail-Adressen für denselben Empfänger vorhanden sein.
    Dies beeinträchtigt den Versand an diesen Empfänger, selbst wenn eine oder mehrere Adressen korrekt sind.
  • Syntaktisch fehlerhafte Adressen werden ohne Warnung akzeptiert
    , beispielsweise wenn das @-Symbol fehlt oder Leerzeichen vorhanden sind.
    
    
• keine Personalisierung / geringe Auswirkungen / wenige oder keine Reaktionen
  • Die Nachricht wird zwangsläufig standardisiert und „anonym“ sein;
    eine individuelle Anrede ist nicht möglich, kein „Sehr geehrter Herr/Sehr geehrte Frau …“.
  • Die Empfänger in BCC erhalten eine Nachricht, die an eine andere Person gerichtet ist;
    es ist unwahrscheinlich, dass sie diese beachten oder darauf reagieren.
    
    
• Es ist sehr wahrscheinlich, dass es technische Probleme geben wird
  • Jeglicher Missbrauch durch Spammer oder Hacker kann schnell viele Empfänger betreffen
    und den Ruf des SMTP-Servers schädigen (z. B. durch Aufnahme auf die Server-Blacklist).
  • Das Absenderpostfach könnte mit Unzustellbarkeitsbenachrichtigungen (Absender unbekannt, Postfach voll usw.) überlastet sein;
    deren Anzahl kann zwischen 5 % und 20 % der gesendeten E-Mails variieren.
  • Der Versand kann sich negativ auf E-Mail-Zustellungssysteme (SMTP-Server) auswirken, z. B.:
    viele „Bitte später erneut versuchen“-Antworten, eine große Anzahl von Nachrichten in der Mail-Warteschlange, Systemabsturz
    
    

Zurück nach oben

SCHLUSSFOLGERUNGEN

1. Grenzen setzen

• Prüfen Sie die von Ihrem E-Mail-Anbieter erlaubte Empfängeranzahl.
  Um ganz sicherzugehen, testen Sie es selbst.
  
  RealSender stellt eine Liste mit 300 @bogusemail.net-Adressen zum Testen bereit.
  Die Nachrichten landen auf einem „Blackhole“-Mailserver:
  bogusemail-test.txt
  
  
• Die Beschränkung der Empfängerzahl einer einzelnen Nachricht auf eine kleine Zahl, beispielsweise 20,
  ermöglicht es, durch die Zulassung von mehr Empfängern problemlos Nachrichten
  an Tausende von E-Mail-Adressen zu senden, indem diese in kleine Gruppen aufgeteilt werden.

2. Werden Sie Profi

• Massen-E-Mails nur über verschiedene Kanäle zulassen
  
  
• Verwenden Sie beim Versenden vieler Nachrichten eine andere Absenderadresse,
  beispielsweise eine andere Subdomain wie @news.firmenname.com.
  Nur autorisierte Personen haben Zugriff darauf
  und gehen sorgsamer damit um.
  
  
• In strukturierten Büros, in denen viele Mitarbeiter mit E-Mails arbeiten und
  spezielle Apps für den Massenversand nutzen
  verfügen die professionellen Systeme über einen Genehmigungsworkflow
  und eine schrittweise Kontrolle; sie sind darauf ausgelegt, Fehler zu vermeiden.

Zurück nach oben

E-Mail-Marketing messen

Wie lässt sich der Erfolg Ihrer E-Mail-Marketing-Kampagnen messen?
Die folgenden Informationen basieren auf unserer fünfzehnjährigen Erfahrung
mit der E-Mail-Marketing-Plattform Inxmail.

Was sind „E-Mail-Marketing-Kampagnen“?
Es handelt sich um massenhaft versendete E-Mails,
deren Inhalt in der Regel auf die Interessen des Empfängers zugeschnitten ist.
Der Absender kann so Feedback-Daten über das Verhalten der Empfänger erhalten.

• E-Mail-Marketing-Kampagnen
• Einwilligungsbasiertes Marketing

Die Antworten bzw. „Feedbackdaten“ bilden die Grundlage für die Kennzahlen
in den Berichten zur Performance von E-Mail-Marketingkampagnen.
Im Folgenden erläutern wir, was diese Kennzahlen sind und wie sie gemessen werden:

• Verfolgung der Nutzerreaktionen
• zwei Berechtigungsstufen (Datenschutzfragen)
• wie Nutzer-Tracking funktioniert
• wie die Messung der Öffnungsrate funktioniert

Die besten technischen Hilfsmittel sind nutzlos, wenn die Nachrichten den Posteingang des Empfängers nicht erreichen.
Hier kommt die „E-Mail-Zustellbarkeit“ ins Spiel:

• E-Mail-Zustellbarkeit
• E-Mails mit Bezug auf Saatgut
• Absprungraten
• Benchmarks für E-Mail-Marketing

E-Mail-Marketing-Kampagnen

Einwilligungsbasiertes Marketing

Permission-basiertes Marketing, auch „Dialogmarketing“ genannt,
ist ein Konzept, das Seth Godin 1999 in seinem Bestseller „Permission Marketing“ vorstellte.

Im Buch wird es als das Gegenteil von „Unterbrechungsmarketing“ definiert, das
üblicherweise in traditionellen Massenmedien wie Fernsehen und Zeitungen Anwendung findet.

Ziel ist es, eine persönliche und direkte Kommunikation, eine Beziehung zwischen den beiden Parteien
herzustellen und einen „menschlichen“ Dialog zu
, dessen Erfahrung für beide nützlich und bereichernd ist.

Zurück nach oben

Verfolgung der Nutzerreaktionen

Zwei Berechtigungsstufen – datenschutzbezogene Probleme

Abhängig von den eingeholten Datenschutzberechtigungen kann der Absender Folgendes aufzeichnen:

• aggregierte Daten
• Daten des einzelnen Nutzers (z. B. wer die E-Mail geöffnet hat, wer darauf geklickt hat)

Anhand aggregierter Daten
liefern sie globales Feedback und Informationen zu allgemeinen Trends
(z. B. wie viele die E-Mail geöffnet haben, wie viele darauf geklickt haben).

mithilfe von Einzelnutzerdaten
individuelle Informationen zu erhalten,
indem personenbezogene Daten gesammelt und anschließend personalisierte Nachrichten
auf Grundlage vorheriger Interaktionen und des Nutzerverhaltens

Zurück nach oben

wie Nutzer-Tracking funktioniert

Link-Tracking ist die Aktivität, bei der die endgültige URL der Website
durch eine fiktive Adresse ersetzt wird, die den Besuch aufzeichnet und den Benutzer auf die Zielseite weiterleitet.

Innerhalb von E-Mails lassen sich nur Klicks auf Links erfassen.
Externe Bilder, bei denen der E-Mail-Client vor dem Herunterladen eine Bestätigung anfordert,
werden als Links behandelt. Daher genügt es, die URL eines externen Bildes zu erfassen,
um die Öffnungsrate der E-Mail zu ermitteln.

Bei der Sendungsverfolgung wird üblicherweise nur die „Mailid“ erfasst,
eine eindeutige Kennung der versendeten Mail.

Personalisierte Nachverfolgung wird erreicht, indem den besuchten Seiten
ein oder mehrere von der Software generierte Parameter hinzugefügt werden,
wie zum Beispiel: example.com/test.html?id=54725788327466628654.
Der Parameter „id“ bezieht sich auf einen bestimmten Benutzer und einen bestimmten Link in der Nachricht.

Die gewonnenen Informationen können
die Empfängerdaten in der E-Mail-Marketing-Anwendung automatisch aktualisieren
oder die Details zum Ursprung des Klicks an die Webanalyse-Plattform weitergeben.

Ein Reisebüro könnte beispielsweise messen,
wie oft ein Nutzer auf Nachrichten über Meer oder Berge klickt und
dabei einen Zähler entsprechend erhöhen.
Die gesammelten Daten geben Aufschluss über das bevorzugte Reiseziel des Nutzers.

Zurück nach oben

wie die Messung der Öffnungsrate funktioniert

Die Öffnungsraten werden gemessen, indem Daten aus Klicks auf verfolgte Links
und „versteckte Klicks“, die durch heruntergeladene verfolgte Bilder generiert werden, kombiniert werden.

Wenn eine Nachricht in der Vorschau des E-Mail-Clients geöffnet wird,
ohne dass die Bilder heruntergeladen oder auf Links geklickt wird,
ist es nicht möglich festzustellen, dass sie geöffnet wurde.

Seit 2003 haben zunächst Outlook und später die meisten E-Mail-Clients
zum Schutz der Privatsphäre ihrer Nutzer
damit begonnen, den automatischen Download von Bildern zu blockieren,
die andernfalls bei jeder gelesenen E-Mail erfasst worden wären.

Seit 2013 werden Bilder in Gmail standardmäßig automatisch angezeigt.
Der Download erfolgt über einen Drittanbieter-Server, einen sogenannten „Proxy“.
Dieser maskiert das Endgerät des Nutzers, ermöglicht es den E-Mail-Marketing-Betreibern aber dennoch,
zu erkennen, dass das Bild heruntergeladen und die Nachricht geöffnet wurde.
Weitere Informationen finden Sie hier:
Wie der neue Gmail-Bild-Proxy funktioniert und was das für Sie bedeutet.

Die Erfassung von Öffnungsraten ist ungenau und
liefert einen niedrigeren Wert als die tatsächlichen Öffnungen.
Es ist dennoch ratsam, sie zu messen,
und sei es nur, um die Ergebnisse verschiedener Kampagnen zu vergleichen.

Zurück nach oben

E-Mail-Zustellbarkeit

E-Mails mit Bezug auf Saatgut

Zunächst muss überprüft werden, ob die E-Mails in den Postfächern
der wichtigsten Freemail-Domains Ihrer Liste
sowie im Posteingang der beiden Hauptanbieter von Firmen-E-Mail-Diensten,
Google Apps und Office 365, ankommen.

Inhaltsbasierte Spamfilter werden in der Regel durch Domains in URLs (http…) ausgelöst.
Ein guter Tipp: Verwenden Sie in den Links Ihrer Nachrichten nur eine Domain.
Diese sollte mit der Domain der Absenderadresse übereinstimmen.
Dies nennt man „Domain-Ausrichtung“ und reduziert das Risiko von Phishing-Angriffen.
Aus demselben Grund sollten Links, die getrackt werden, eine Subdomain
der Absenderdomain verwenden.

Für einen einfachen Test richten Sie für jeden E-Mail-Anbieter ein Testpostfach ein
und aktivieren die Weiterleitung von Nachrichten an Ihre E-Mail-Adresse.
Senden Sie an jedes Postfach eine Nachricht mit dem Betreff „Testnachricht“
und dem Inhalt „Testnachricht“ sowie dem Link zu Ihrer Domain.
Wenn die Nachricht die Spamfilter passiert, sollte sie in Ihrem Posteingang landen.

Zurück nach oben

Absprungraten

Es ist normal, dass E-Mails zurückgesendet werden.
Gründe hierfür können verwaiste Adressen,
volle Postfächer oder andere technische Probleme sein.

Je nach „Sauberkeit“ Ihrer Liste
kann die Absprungrate zwischen 5 % und 20 % variieren.

Mit zunehmender Anzahl an unzustellbaren E-Mails wird die manuelle Bearbeitung unmöglich.
E-Mail-Marketing-Anwendungen verfügen daher über eine Funktion namens „Bounce-Handler“,
die abgelehnte Nachrichten automatisch herunterlädt,
analysiert und anhand ihres Inhalts klassifiziert.

Die Ziel-E-Mail-Adresse wird automatisch deaktiviert,
nachdem eine bestimmte Anzahl von „Hard Bounces“ aufgetreten ist, also anhaltende Fehler wie Benutzer unbekannt und Host nicht erreichbar,
oder nach einer größeren Anzahl von „Soft Bounces“, also vorübergehenden Fehlern wie Postfach voll.

Es ist wichtig, die „Bounce-Rate“ (abgelehnte Nachrichten) bzw. die komplementäre „Zustellrate“ (zugestellte Nachrichten)
zu überwachen
Eine Veränderung dieser Werte ist ein Anzeichen, das untersucht werden sollte.

Zurück nach oben

Benchmarks für E-Mail-Marketing

Die größten E-Mail-Marketing-Plattformen veröffentlichen Vergleichszahlen
, die auf den von allen ihren Kunden gesammelten Daten basieren.

In den Berichten verwendete Fachbegriffe:

• Öffnungen: Anzahl der Empfänger, die
  mindestens einen verfolgten Link angeklickt oder mindestens ein verfolgtes Bild geöffnet
• Öffnungsrate: Öffnungen / Anzahl der Empfänger (abzüglich Rückläufer)
• Eindeutige Klicks: Anzahl der Empfänger, die mindestens einmal auf einen Link geklickt haben
• Klickrate (CTR): Eindeutige Klicks / Anzahl der Empfänger (abzüglich Bounces)
• Klick-zu-Öffnungsrate (CTOR): Einzigartige Klicks / Öffnungen

Hier ist eine kurze Liste, die meisten davon beziehen sich auf die USA:

• Die Kunden von Mailchimp reichen von Ein-Personen-Startups und
  kleinen Unternehmen bis hin zu „Fortune 500“-Konzernen –
  das gesamte Spektrum ist in diesen Daten vertreten.

• Benchmarks und Statistiken zum E-Mail-Marketing nach Branchen

• Campaign Monitor analysierte über 100 Milliarden E-Mails, die
  zwischen Januar und Dezember 2020

• E-Mail-Benchmarks nach Branche und Tag

• Vergleich der Benchmarks zwischen Regionen

• Der achte jährliche Zustellbarkeits-Benchmark-Bericht von Return Path
  zeigt, wie viele E-Mails im Posteingang, im Spam-Ordner oder blockiert wurden.
  
  Inhalt des Zustellbarkeits-Benchmark-Berichts 2020 (PDF) :

• Was versteht man unter Zustellbarkeit und wie wird sie gemessen?

• Was kann mit einer E-Mail passieren, nachdem Sie auf „Senden“ geklickt haben?

• Wie viele E-Mails landen weltweit durchschnittlich im Posteingang und im Spamfilter?

• Zustellbarkeitsstatistiken für 30 einzelne Länder

Zurück nach oben

Was gilt als SPAM?

Welche Benutzer und Mailserver gelten als Spam-E-Mails?

Ausgehend von unseren Erfahrungen mit RealSender,
die wichtigsten Punkte zusammenzufassen, die die Zustellung im Posteingang beeinflussen könnten.

• Reaktionen der Nutzer:
  Die Nachrichten sollten von den Empfängern erwartet/gewünscht werden.
  
  
• Für die Annahme von E-Mail-Nachrichten sind einige grundlegende
  technische Einstellungen erforderlich
• IP-Adress- und IP-Klassenreputation
• korrekte SMTP-Server-Einrichtung
• korrekte E-Mail-Authentifizierung
• SpamAssassin-Prüfung
  
• Probieren Sie es aus und sehen Sie, was passiert.
  Die einzige sichere Methode, um festzustellen, ob eine E-Mail als Spam eingestuft wird, besteht darin,
  sie zu senden und zu sehen, wie sie auf der anderen Seite ankommt.

Es ist sinnlos, die anderen Punkte zu bewerten,
wenn die Botschaften von den Empfängern nicht erwartet/gewünscht werden.

Nutzerreaktionen

Der Absender sollte sich in die Lage des Empfängers versetzen und überlegen, wie die E-Mail behandelt wird.
Beschwerden von Nutzern können dazu führen, dass der gesamte SMTP-Server oder die Domain auf eine Blacklist gesetzt wird, was die Zustellung aller zukünftigen Nachrichten beeinträchtigt.

• Nutzer können im Allgemeinen* ihren Posteingang selbst verwalten: Es ist das, was jeder einzelne Nutzer als Spam betrachtet.
  * = Viele kostenlose E-Mail-Anbieter bieten keine Möglichkeit, ihre „interne Werbung“ abzubestellen.
• Der Nutzer drückt seine Wahl aus, indem er auf die Schaltfläche „Spam melden“ (in Gmail)
  oder die Schaltfläche „Junk“ (in Outlook/Hotmail)
• Die Spamfilter moderner Mailserver sind alle mit Nutzerbeschwerden verknüpft. Nach einer bestimmten Anzahl von Klicks auf „Als Spam melden“
  werden alle Nachrichten mit ähnlichem Inhalt direkt in den Spam-Ordner verschoben.

Für die Annahme von E-Mail-Nachrichten sind grundlegende technische Einstellungen erforderlich.

IP-Adress- und IP-Klassenreputation

• Für die Sperrung von SMTP-Server-IP-Adressen finden Sie online zahlreiche Tools, indem Sie nach „Blacklist-Prüfung“ googeln
• Reputation der SMTP-Server-IP-Klasse – weitere Informationen finden Sie in unserem Blog-Artikel: SMTP-IP-REPUTATION IST WICHTIG
• Werden die Nachrichten von einem PC aus gesendet, sollte auch die Reputation der öffentlichen IP-Adresse der Internetverbindung überprüft werden
  (einige SMTP-Server-Anbieter maskieren die IP-Adresse der Internetverbindung, sodass das System des Empfängers nur seine eigene IP-Adresse sieht).

korrekte SMTP-Server-Einrichtung

• Reverse-DNS
  , um sicherzustellen, dass die IP-Adresse Ihres Mailservers auf den Domainnamen verweist, den Sie zum Senden von E-Mails verwenden.
• Der Mail Transfer Agent (MTA), die Anwendung, die E-Mails weiterleitet und zustellt,
  sollte gemäß dem neuesten von der IETF veröffentlichten RFC korrekt konfiguriert sein (
  siehe beispielsweise: Making Postfix RFC Compliant)

korrekte E-Mail-Authentifizierung

Verwenden Sie E-Mail-Authentifizierungsmethoden wie SPF und DKIM, um nachzuweisen, dass Ihre E-Mails und Ihre Domain zusammengehören.
Ein positiver Nebeneffekt ist, dass Sie so dazu beitragen, Domain-Spoofing zu verhindern.

• SPF ist ein pfadbasiertes E-Mail-Authentifizierungsprotokoll, das es E-Mail-Empfängern ermöglicht, anhand der IP-Adresse des ausgehenden Mailservers (MTA) des Absenders und der vom Absender in DNS-TXT-Einträgen veröffentlichten Informationen zu ermitteln, ob der Absender zur Verwendung der im Nachrichtenkopf angegebenen Domains berechtigt ist. SPF ist in IETF RFC 4408 definiert.
• DKIM ist ein E-Mail-Authentifizierungsprotokoll, das es dem Absender ermöglicht, ausgehende E-Mails mithilfe von Public-Key-Kryptografie so zu signieren, dass der Empfänger die Echtheit überprüfen kann. DKIM ist in IETF RFC 4871 definiert. Der DKIM-Standard wird von Gmail und anderen großen Unternehmen eingesetzt, um Phishing und Spoofing im Internet-E-Mail-Verkehr vollständig zu unterbinden.
• DMARC basiert auf den etablierten Standards SPF und DKIM zur E-Mail-Authentifizierung. Ziel-Mailserver reagieren auf nicht authentifizierte E-Mails gemäß der DMARC-Richtlinie des Absenders und informieren diesen über das Ergebnis. DMARC ist im RFC 7489 der Internet Engineering Task Force (IETF) definiert.

SpamAssassin-Prüfung

• SpamAssassin ist eine serverseitige Software zur Spamfilterung von E-Mails. Sie verwendet verschiedene Spam-Erkennungstechniken.
  Jeder Test liefert einen Punktwert. Dieser kann positiv oder negativ sein, wobei positive Werte „Spam“ und negative Werte „Nicht-Spam“ bedeuten.
  Der Standard-Schwellenwert für den Empfänger liegt bei 5,0. Überschreitet eine E-Mail diesen Schwellenwert, wird sie als Spam markiert.
  Aufgrund der weiten Verbreitung von SpamAssassin sollte die Überprüfung des Punktwerts vor dem Versand von E-Mails als obligatorisch gelten.
• Zwei Online-Tools können Ihnen helfen, Ihren SpamAssassin-Score zu überprüfen: ist kein Spam Und Mail-Tester
  1. Sie müssen die Nachricht an die angegebene E-Mail-Adresse senden
  2. Klicken Sie nach einigen Sekunden auf die Schaltfläche „Bericht ansehen“ oder „Ergebnis prüfen“.

Die einzige absolut sichere Methode, um festzustellen, ob eine E-Mail als Spam eingestuft wird, besteht darin
, sie zu versenden und zu sehen, wie sie auf der anderen Seite ankommt.

Probier es aus und schau, was passiert

• Wenn Sie eine Unzustellbarkeitsbenachrichtigung erhalten, kann dies sehr hilfreich sein, da die letzten Zeilen in der Regel das Problem beschreiben, das zur Ablehnung geführt hat.
  Sollte die Erklärung unverständlich sein, senden Sie einfach eine Nachricht mit dem Betreff und Inhalt „Testnachricht“ und prüfen Sie, ob diese akzeptiert wird.
  Senden Sie in diesem Fall dieselbe Nachricht mehrmals und kürzen Sie den Inhalt schrittweise, bis Sie den Teil identifiziert haben, der den Spamfilter auslöst.
• Ein detailliertes Sendeprotokoll kann Ihnen helfen zu überprüfen, ob die Nachrichten akzeptiert oder abgelehnt wurden;
  Beispiele für Informationen dazu finden sich im Protokoll.
• In einigen (seltenen) Fällen ist eine Art „Whitelist“ erforderlich.
  Manche Spamfilter lernen aus dem Verhalten der Nutzer bei der Verarbeitung empfangener Nachrichten.
  Markiert der Empfänger eine E-Mail einmal als „Kein Spam“,
  erkennt das System, dass es sich um gültige Nachrichten handelt und sortiert sie fortan in den Posteingang statt in den Junk-Ordner aus.
  Alternativ muss der Absender im Adressbuch des Empfängers gespeichert sein oder zuvor mit ihm E-Mails ausgetauscht haben.

Open-Source-E-Mail-Clients

Wie erlangt man die Kontrolle über seine E-Mails mithilfe von sofort einsatzbereiten Open-Source-E-Mail-Clients zurück?

Im Laufe des letzten Jahrzehnts haben wir einen nahezu vollständigen Wandel bei den Firmenpostfächern
von lokalen Mailservern hin zu Cloud-Diensten wie Exchange Online (Office 365) oder Gmail for Business (Google Apps) erlebt.

Die Hauptgründe dafür sind:

• die Notwendigkeit, über mobile und Web-Schnittstellen auf E-Mails zugreifen zu können
• die Notwendigkeit, Postfächer vor Spam und Malware zu schützen

Auf diese Weise wurde das Leben von IT-Fachleuten vereinfacht, indem
die Verantwortung für die Verwaltung der E-Mail-Infrastruktur auf die „großen Technologiekonzerne“ übertragen wurde.

Die Gefahr, grundlegende E-Mail-Kenntnisse zu vernachlässigen, kann dazu führen, dass wir E-Mails als etwas betrachten
, das wie von Zauberhand funktioniert, nur weil Microsoft und Google sich darum kümmern.

Wir können die Kontrolle über E-Mails zurückgewinnen, indem wir die Messaging-Komponenten aufteilen und sie einzeln verwalten:

• der eingehende Mailserver
• der E-Mail-Client
• der ausgehende Mailserver

Dies führt zu einer Trennung und Segmentierung der Dienste und verbessert die Sicherheit erheblich.
Die Verringerung der Angriffsfläche durch Trennung/Segmentierung gilt daher als bewährte Methode.
Darüber hinaus erhöht sie die Skalierbarkeit und Stabilität.

E-Mail-Clients sind die primäre Schnittstelle zu Postfächern. Sie sind komplexe Softwareprogramme, die mit den Benutzern interagieren.

Es gibt viele Lösungen auf dem Markt, wir haben sie anhand zweier Kriterien ausgewählt:

• Multiplattform-, aktiv verwaltete und Open-Source-Projekte
• sofort einsatzbereit, sodass Systemadministratoren sie problemlos verwalten können

Wir kamen zu zwei Optionen:

1. Mozilla Thunderbird ist ein quelloffener, plattformübergreifender E-Mail-Client für PCs.
   Er wurde von der Mozilla Foundation entwickelt und unterstützt sowohl IMAP als auch POP (lokales Speichern von E-Mails auf der Festplatte, sodass der Zugriff auch ohne Internetverbindung möglich ist).
   bietet hervorragende Filter- und Verwaltungsfunktionen.
   
   Die Nutzung mehrerer Konten und Identitäten, inklusive automatischer Signaturen, wird umfassend unterstützt.
   Thunderbird ist als sofort installierbare Version für Windows, macOS und Linux verfügbar. Für den Fernzugriff ist eine Verbindung zum Computer erforderlich.

2. Der neue Rainloop-Fork ist ein einfacher, moderner, ressourcenschonender und schneller webbasierter E-Mail-Client.
   Er kann eine große Anzahl von E-Mail-Konten ohne Datenbankanbindung verwalten.
   Er unterstützt sowohl SMTP als auch IMAP für problemloses Senden und Empfangen von E-Mails.
   Im Jahr 2020 wurde das SnappyMail-GitHub-Projekt
   Es handelt sich um einen grundlegend verbesserten und sichereren Fork der Rainloop Webmail Community Edition.
   Hier finden Sie eine Demo des SnappyMail-E-Mail-Clients . Wenn Sie die Admin-Oberfläche testen möchten, kontaktieren Sie uns .
   

dienstliche E-Mail und Datenschutz

Warnung: Dieses Thema hat weitreichende rechtliche Konsequenzen. Wenden Sie sich an qualifizierte Berater, um die Bestimmungen und deren Anwendung zu prüfen.

Die geschäftliche E-Mail ist ein Werkzeug für die Arbeitswelt
und enthält eine beeindruckende Menge an geschäftsbezogenen Informationen.

Die Unternehmen können mit E-Mails,
die ein geschäftliches Arbeitsinstrument sind, machen, was sie wollen, aber werden sie von den Mitarbeitern geschrieben und gelesen?
Können sie sie lesen? Können sie Sicherungskopien erstellen? Können sie sie archivieren?

Zusammenfassung:

• zwei Arten von geschäftlichen E-Mail-Adressen
• generische geschäftliche E-Mail-Adressen, keine Einschränkungen
• Persönliche Firmenpostfachadresse, wie z. B. Firmenwagen
• Verhaltensrichtlinien
• Nur unter bestimmten Bedingungen lesbar
• den Mitarbeiter informieren
• Massenkontrollen sind verboten
• rechtliche Anforderungen
• Verpflichtung zur Archivierung von E-Mail-Nachrichten
• Verpflichtung zur Information des Arbeitnehmers
• Verpflichtung zur Löschung von E-Mails
• Verpflichtung zur Deaktivierung der Postfächer

generische geschäftliche E-Mail-Adressen, keine Einschränkungen

Das Arbeitspostfach hat einen ambivalenten Charakter:
Es ist ein Werkzeug, das dem Arbeitgeber gehört, aber vom Arbeitnehmer genutzt wird.

Wir müssen zwischen zwei verschiedenen Arten von geschäftlichen E-Mail-Adressen unterscheiden:

• Persönliches Firmenpostfach, z. B. vorname.nachname@firmenname.com
• Allgemeine Firmen-E-Mail-Adresse wie z. B. Info, Support, Vertrieb, Marketing, Abrechnung usw.,
  d. h. alle, die NICHT mit einer einzelnen Person in Verbindung stehen.

Die allgemeinen Firmenpostfächer sind überhaupt nicht problematisch,
die Firma prüft sie, liest alle Nachrichten und hat keinerlei Einschränkungen.

Persönliche Firmenpostfachadresse, wie z. B. Firmenwagen

Die persönlichen Postfächer, wie zum Beispiel name.nachname@firmenname.com,
können personenbezogene Daten des Mitarbeiters enthalten, die der Arbeitgeber schützen muss.

Wenn wir uns für die Nutzung dieser Art von Postfach entscheiden,
müssen wir als Arbeitgeber wissen, welche technischen Standards wir anwenden
und welche Werkzeuge wir einsetzen müssen, um die Daten angemessen verarbeiten zu können.

Der Briefkasten ist vergleichbar mit dem Firmenwagen;
er steht dem Mitarbeiter für die Nutzung im Rahmen seiner geschäftlichen Aufgaben zur Verfügung.

Der Arbeitgeber kann beispielsweise die gefahrenen Kilometer überprüfen, um sicherzustellen, dass der Arbeitnehmer
dieses Arbeitsmittel nicht missbraucht und für private Zwecke verwendet hat.

Der Arbeitgeber darf jedoch nicht systematisch und ohne konkreten Grund überwachen,
was der Arbeitnehmer im Firmenwagen tut.

Der Briefkasten ist das Äquivalent zum Firmenwagen, ein Arbeitsgerät, das dem Unternehmen gehört und
dem Mitarbeiter zur Verfügung gestellt wird, damit er es für die Arbeit benutzt, ausschließlich zur Erfüllung seiner Aufgaben.

Was der Mitarbeiter sendet und empfängt, auch während der Arbeitszeit, ist vergleichbar mit dem, was
im Cockpit des Firmenwagens geschieht und wird mit privater Korrespondenz gleichgesetzt.

Zurück nach oben

Nur unter bestimmten Bedingungen lesbar

Das Unternehmen kann den Inhalt der E-Mails nicht lesen;
dies ist weder systematisch noch ohne konkreten Anlass möglich.
Selbst bei einem bestimmten Anlass ist dies nur unter bestimmten Bedingungen möglich.

Es stehen drei unterschiedliche Interessen auf dem Spiel, die gegeneinander abgewogen werden müssen:

• Das Interesse des Arbeitgebers am Zugriff auf diese Inhalte
  aus organisatorischen/produktionstechnischen, arbeitssicherheitsrelevanten oder anderen Gründen
  
  
• die berechtigte Erwartung von Mitarbeitern
  , die diese Inhalte als vertraulich betrachten.
  
  
• Dritte, die an das Firmenkonto schreiben,
  sind sich möglicherweise nicht bewusst, dass der Inhalt ihrer Korrespondenz nicht privat und vertraulich ist.
  (Der übliche Haftungsausschluss am Ende von E-Mails weist in der Regel darauf hin, dass der Inhalt von anderen gelesen werden kann.)

den Mitarbeiter informieren

Der Arbeitnehmer muss durch angemessene schriftliche Mitteilung darüber informiert werden, dass die E-Mail-Nachrichten
ausschließlich für Zwecke im Zusammenhang mit dem Arbeitsverhältnis verwendet werden dürfen, beispielsweise durch ein Verbot der privaten Nutzung.

Das Dokument muss eine Anleitung zur Nutzung der Firmentools,
einschließlich des E-Mail-Postfachs, enthalten und darauf hinweisen, dass die Datenschutzbestimmungen eingehalten werden:

• E-Mail-Nachrichten werden archiviert, um den gesetzlichen Bestimmungen zu entsprechen und das Firmenvermögen zu schützen
• Das Unternehmen kann in bestimmten Fällen den Inhalt des Postfachs des Mitarbeiters überprüfen

Massenkontrollen sind verboten

Verboten sind sogenannte „massive Kontrollen“,
wie beispielsweise das systematische Auslesen des Inhalts des Postfachs eines Mitarbeiters.

Die Grenzen der Arbeitgeberkontrolle basieren auf drei Grundprinzipien:

• Eine Grundsatz des guten Glaubens, der es dem Arbeitgeber erlaubt, die Firmen-E-Mail-Adresse des Mitarbeiters nur dann zu überprüfen,
  wenn ein triftiger Grund vorliegt
  , beispielsweise zum Schutz von Firmenvermögen, das durch einen Virus gefährdet oder bedroht sein könnte;
  oder im Falle des Verdachts auf Untreue des Mitarbeiters, um präventive Überprüfungen durchzuführen.

• Die anderen sind Verhältnismäßigkeit in der Kontrolle und zeitliche Begrenzung sowie Begrenzung des Forschungsgegenstands.

Zurück nach oben

Verpflichtung zur Archivierung von E-Mail-Nachrichten

Die Vorschriften verlangen, dass der Arbeitgeber nachweist,
dass er angemessene und wirksame Sicherheitsmaßnahmen
zum Schutz der Unternehmensdaten ergriffen hat, wie beispielsweise die Archivierung von Firmen-E-Mails.

Verpflichtung zur Information des Arbeitnehmers

Zugriff des Arbeitgebers auf Daten,
wenn dieser in Ermangelung detaillierter Unternehmensinformationen erfolgt:

• stellt einen sehr schwerwiegenden Verstoß dar.
  
  Sensible Daten können sich im persönlichen Bereich des Mitarbeiters befinden,
  beispielsweise Informationen über politische, religiöse, sexuelle oder gewerkschaftliche Tendenzen,
  deren Vertraulichkeit auf höchstem Niveau gewährleistet werden muss.

• Es handelt sich um eine Straftat;
  
  zudem besteht das Risiko, dass alle illegal erlangten Daten
  in einem Gerichtsverfahren unbrauchbar sind.

Verpflichtung zur Löschung von E-Mails

Geschäftskorrespondenz sollte grundsätzlich maximal zehn Jahre aufbewahrt werden.
Dies dient dem Schutz des Firmenvermögens und der Verteidigungsfähigkeit in Rechtsstreitigkeiten.

Die Speicherung und Verarbeitung personenbezogener Daten ist nur zu einem bestimmten Zweck zulässig.
Entfällt dieser Zweck nach einer gewissen Zeit, beispielsweise nach zehn Jahren, müssen diese Daten gelöscht werden.

Verpflichtung zur Deaktivierung der Postfächer

Im Falle einer Entlassung oder Kündigung des Mitarbeiters
muss das Postfach name.nachname innerhalb kurzer Zeit deaktiviert werden.

Das Unternehmen kann eine automatische Antwort aktivieren, die den Absender darüber informiert, dass das Konto deaktiviert wurde, und
ihn auffordert, an eine andere interne E-Mail-Adresse zu schreiben.

Das historische Archiv der Firmennachrichten ausgeschiedener Mitarbeiter
darf nur dann aufbewahrt werden, wenn der Mitarbeiter darüber informiert wurde, dass seine Nachrichten gespeichert werden.

Zurück nach oben

E-Mails vor SPAM schützen

Wie schützt man geschäftliche E-Mails vor Spam?

Es ist heutzutage fast unmöglich, über E-Mails zu sprechen, ohne das Thema Spam zu berücksichtigen.
Wir haben versucht, die aktuelle Situation und mögliche Strategien zusammenzufassen:

• Wie hoch ist der Anteil von Spam im E-Mail-Verkehr?
• Welche Kosten entstehen durch Spam?
• Was sind die neuesten Anti-Spam-Techniken?
  • Spam-Prävention (bevor es passiert)
  • Spam-Bekämpfung (während es passiert)

Wie hoch ist der Anteil von Spam im E-Mail-Verkehr?

Eine seriöse Quelle ist SenderBase, jetzt Talos genannt.
der Anteil legitimer E-Mails im etwa 85 % geschätzt
Vergleich zum E-Mail-Verkehr vom September 2020 auf

Dieser Prozentsatz ist stabil geblieben und hat sich in den letzten zwölf Monaten kaum verändert.

Quelle: E-Mail- und Spam-Daten – Weltweites E-Mail- und Spam-Volumen.

Zurück nach oben

Welche Kosten entstehen durch Spam?

Manchmal dient Spam lediglich Werbezwecken, und der Absender
versucht einfach, mehr Kunden für sein Unternehmen zu gewinnen,
was zu Ablenkung und Zeitverlust führt. Er kann Ihren Posteingang
so überfluten, dass es schwierig wird, wichtige E-Mails zu finden.

Nicht alle Spam-E-Mails sind harmlose Werbe-E-Mails.
Oftmals sind die Absichten böswillig und zielen darauf ab, Benutzersysteme zu beschädigen oder zu übernehmen.
Zu den weltweit häufigsten Varianten von schädlichem Spam gehören Trojaner, Spyware und Ransomware.

Zurück nach oben

Was sind die neuesten Anti-Spam-Techniken?

Stellen Sie sich die Posteingänge Ihres Unternehmens wie Ihre Haustür vor:
Sie müssen entscheiden, wer hereinkommt und wer draußen bleibt.

Keine Methode bietet eine vollständige Lösung für das Spam-Problem.
Jede Methode birgt Risiken: Sie kann legitime E-Mails fälschlicherweise ablehnen (falsch-positive Ergebnisse)
oder Spam nicht abweisen (falsch-negative Ergebnisse)
kommen die damit verbundenen Kosten für Zeitaufwand, Arbeitsaufwand und die fälschliche Blockierung erwünschter E-Mails.

Anti-Spam-Techniken lassen sich in zwei Bereiche unterteilen: Prävention und Bekämpfung.

Spam-Prävention (bevor es passiert)

Beschränken Sie die Verfügbarkeit Ihrer E-Mail-Adressen, um die Wahrscheinlichkeit des Erhalts von Spam zu verringern.

• Diskretion ist wichtig
  
  : Geben Sie Ihre E-Mail-Adresse nicht an jeden weiter.
  Je unbekannter sie ist, desto weniger Spam erhalten Sie.
  Verwenden Sie nach Möglichkeit eine separate E-Mail-Adresse für Online-Registrierungen.

• Kontaktformulare
  
  veröffentlichen Ihre E-Mail-Adresse nicht online.
  Jeder kann sie sehen, und Spam-Bots fangen sie ständig ab,
  um online kontaktiert zu werden. Verwenden Sie sichere* Webformulare/Kontaktformulare.
  * = Geschützt durch Bots, die sie automatisch ausfüllen.

Spam-Bekämpfung (während es passiert)

Sobald die Spammer Ihre E-Mail-Adresse haben, verlagert sich der Kampf auf Ihren Mailserver und in Ihren Posteingang.

• SpamAssassin-ähnliche Bewertungssysteme
  
  nutzen verschiedene Spam-Erkennungstechniken, darunter DNS-basierte E-Mail-Blacklists
  (häufig als Echtzeit-Blacklist, DNSBL oder RBL bezeichnet), Textanalyse und Bayes'sche Filterung.
  
  Jeder Test liefert einen Punktwert. Dieser kann positiv oder negativ sein, wobei positive Werte „Spam“ und negative Werte „Nicht-Spam“ bedeuten.
  Der Standard-Schwellenwert für den Empfänger liegt bei 5,0. Überschreitet eine E-Mail diesen Schwellenwert, wird sie als Spam markiert.
  
  Im Internet sind zahlreiche „SpamAssassin-Tests“ verfügbar,
  mit denen Spammer ihre Nachrichten vor dem Versand überprüfen können.

• Nutzer
  
  dieser Systeme können eingehende E-Mails als legitim oder Spam kennzeichnen. Diese Kennzeichnungen werden in einer zentralen Datenbank gespeichert.
  Sobald eine bestimmte Anzahl von Nutzern eine E-Mail als Spam markiert hat, blockiert der Filter diese automatisch und verhindert, dass sie die Postfächer der übrigen Nutzer erreicht.
  
  Manchmal fließen Nutzerfeedbacks in die automatisierten Kontrollen ein, beispielsweise die Anzahl der Interaktionen mit dem Nachrichteninhalt (
  z. B. Klicks auf Links und heruntergeladene Bilder) oder die Häufigkeit, mit der dieselbe Nachricht in mehreren Postfächern eingeht.
  
  Bei einer großen und aktiven Nutzerbasis kann ein solches kollaboratives Inhaltsfiltersystem
  Spam-Ausbrüche schnell, manchmal innerhalb weniger Minuten, eindämmen.
  
  Spammer können diesen Filter kaum umgehen.

• E-Mail-Authentifizierung:
  
  SPF, DKIM und DMARC sind Authentifizierungstechniken, mit denen Sie überprüfen können, ob die Absenderadresse tatsächlich der angegebenen Adresse entspricht.
  Sie sind im Jahr 2020 weit verbreitet und eine gute Möglichkeit, vertrauenswürdige Absender zu identifizieren.
  
  Es ist wichtig, die genaue Domain der E-Mails zu kennen,
  da man sonst leicht durch die Änderung eines Buchstabens in die Irre geführt werden kann.
  
  Spammer können die E-Mail-Authentifizierung umgehen,
  sodass ihre Nachrichten den Anschein erwecken, von „legitimen Absendern“ zu stammen.

• Autorisierte Absender, Whitelist:
  
  Auf einer Whitelist können Sie eine Reihe vertrauenswürdiger Adressen oder Domains festlegen.
  Zu Beginn sind Ihr persönliches Adressbuch und die Liste der empfangenen E-Mails sehr hilfreich.
  
  Befindet sich ein Absender auf dieser Liste, werden alle Kontrollen übersprungen und die Nachricht wird ohne Verzögerung zugestellt.
  Diese Methode ist einfach zu implementieren und in Verbindung mit der E-Mail-Authentifizierung sehr effektiv, um E-Mail-Adressen-Spoofing zu verhindern*.
  * = Verwendung eines gefälschten Absenders, um den Eindruck zu erwecken, die Nachricht stamme von jemand anderem als dem tatsächlichen Absender.
  
  Sobald Ihre Liste vertrauenswürdiger Kontakte gefüllt ist, erreichen Sie keine E-Mails unbekannter Absender mehr.
  Alle unerwünschten Nachrichten können an ein separates Postfach weitergeleitet werden, das Sie einmal täglich oder seltener abrufen.
  
  Spammer finden kaum heraus, welche Absender für welchen Empfänger vertrauenswürdig sind.
  Selbst wenn ihnen dies gelingt, warnt Sie die E-Mail-Authentifizierung vor betrügerischem Missbrauch.

Zurück nach oben

So funktioniert DMARC – aktualisiert

Wie funktioniert DMARC mit Google Mail und Office 365? (aktualisiert)

Wir haben erneut getestet, wie sich die E-Mail-Authentifizierung auf die Zustellung
an Google Mail- und Office 365-Postfächer auswirkt, die beliebtesten Anbieter von geschäftlichen E-Mails.

Die Ergebnisse lassen sich in zwei Gruppen unterteilen:

E-Mail-Zustellung

(Wie SPF, DKIM und DMARC die Zustellung gesendeter Nachrichten beeinflussen)
 
# Google Mail: E-Mails werden immer akzeptiert, die SPF-Authentifizierung scheint keine Rolle zu spielen. Die
   DKIM-Signatur wird nur ausgewertet, wenn sie mit der Absenderadresse übereinstimmt und für DMARC die Richtlinie „Quarantäne“ oder „Ablehnen“ festgelegt ist.
 
# Office 365: Office 365 reagiert vollständig auf SPF. Sobald eine Nachricht die SPF-Prüfung besteht, erreicht sie den Posteingang.
   Die DKIM-Signatur wird nur berücksichtigt, wenn sie mit der Absenderadresse übereinstimmt; andernfalls ist sie irrelevant.
 
   Anmerkung: In der letzten Augustwoche zeigte Office 365 ein ungewöhnliches Verhalten:
   Nur Nachrichten, die mit DKIM signiert waren (Signaturdomäne stimmt mit der Absenderadresse überein)
   und für die ein DMARC-Eintrag (mit beliebiger Richtlinie) gesetzt war, wurden in den Posteingang zugestellt.

Spoofing-Schutz

(Wie SPF, DKIM und DMARC die E-Mail-Adresse des Absenders vor Spoofing schützen*)
* = Die Nachricht wird so angezeigt, als käme sie von einer anderen Person als dem tatsächlichen Absender.
 
# Google Mail: Bei aktiviertem DMARC werden gefälschte Absender in den Spam-Ordner verschoben (mit p=Quarantäne) oder abgewiesen (mit p=Ablehnen).
   Ist die Richtlinie auf „Keine“ (p=none) gesetzt, passiert nichts; in diesem Fall landen alle Nachrichten im Posteingang.
 
# Office 365: Ein „SPF-Fehler“ oder „SPF-Softfail“ reicht aus, um gefälschte Absender in den Junk-E-Mail-Ordner zu verschieben.

Authentifizierungsanforderungen

Die empfohlenen Anforderungen an die E-Mail-Authentifizierung lassen sich wie folgt zusammenfassen:

Ergebnisse des E-Mail-Zustellungstests

Nachfolgend ist die vollständige Liste der durchgeführten Tests aufgeführt

Anmerkungen:

• Die Absenderadresse (sichtbarer Absender) und die Mail-From-Adresse (auch „Envelope From“ oder „Return-Path“ genannt) sind identisch; sie beziehen sich auf dieselbe Domain
• „dkim pass“: Die DKIM-Signaturdomäne ist dieselbe wie die der Absenderadresse (die Domänen sind ausgerichtet).
• „dkim diff“: Die DKIM-Signaturdomäne unterscheidet sich von der der Absenderadresse (die Domäne ist NICHT ausgerichtet).

DKIM-Domäne für DMARC

Wie wirkt sich die DKIM-Domänenausrichtung auf die DMARC-Authentifizierung aus?

DMARC (Domain-based Message Authentication, Reporting and Conformance)
ist ein E-Mail-Authentifizierungsstandard, der zur Bekämpfung von gefälschten Domain-E-Mails entwickelt wurde.

Im Kapitel „3.1. Identifikatorausrichtung“ heißt es:

   E-Mail-Authentifizierungstechnologien authentifizieren verschiedene (und unterschiedliche) Aspekte einer einzelnen Nachricht. Beispielsweise authentifiziert DKIM die Domain, die die Signatur an die Nachricht angehängt hat, während SPF entweder die Domain im Feld „Mail-From“ (RFC5321.MailFrom) von SMTP oder die Domain „EHLO/HELO“ (RFC5321.EHLO/HELO) oder beide authentifizieren kann. Dies können unterschiedliche Domains sein, die dem Endbenutzer in der Regel nicht sichtbar sind. DMARC authentifiziert die Verwendung der Domain „From“ (RFC5322.From), indem es deren Übereinstimmung mit einem authentifizierten Bezeichner (Authenticated Identifier) ​​vorschreibt. – https://tools.ietf.org/html/rfc7489#section-3.1

Es bedeutet einfach:

   Wenn ein Absender seine E-Mail mittels SPF und/oder DKIM authentifiziert, muss mindestens eine der Domänen mit der Absenderdomäne übereinstimmen

Uns war nicht klar, ob eine Nachricht den SPF- oder DKIM-Check
und trotzdem die DMARC-Authentifizierung bestehen könnte.

Wir haben es mit einem für jeden verfügbaren Tool getestet: einem Gmail-Postfach.
Um das Ergebnis zu sehen, öffnen Sie die Nachricht und wählen Sie „Original anzeigen“ aus:

Test 1 - weitergeleitete Nachricht: spf-Fehler, dkim-Erfolg (ausgerichtet)

Test 2 - defekter DKIM-Schlüssel: DKIM-Fehler, SPF-Erfolg (ausgerichtet)

Das Ergebnis ist eindeutig: Die Nachricht besteht die DMARC-Authentifizierung, sofern diese stattfindet:
SPF und Domänenausrichtung. <OR> DKIM und Domänenausrichtung

Um die DMARC-Prüfung zu bestehen, ist es in einigen Fällen daher wichtig, die DKIM-Signatur zu validieren:
Die Signaturdomäne (d=example.com) muss mit der Absenderdomäne übereinstimmen.

Beispiele für „DMARC-PASS“-Ergebnisse, die andernfalls nicht funktioniert hätten:

Fall 1 – Weiterleitung unterbricht die SPF-Authentifizierung

• SPF-FEHLER: Die SPF-Authentifizierungsprüfung schlägt in den meisten Fällen fehl,
  da eine neue Entität, die nicht im SPF-Eintrag des ursprünglichen Absenders enthalten ist, die weitergeleitete E-Mail sendet.

• DKIM-PASS (ausgerichtet): E-Mail-Weiterleitung hat keinen Einfluss auf die DKIM-Signatur

Ergebnis: Die DKIM-Ausrichtung ermöglicht es der Nachricht, die DMARC-Prüfung zu bestehen.

Fall 2 – Die vom E-Mail-Dienstleister (ESP) bereitgestellte SPF-Domäne
kann nicht mit der Absenderdomäne übereinstimmen.

• SPF~PASS (NICHT ausgerichtet): Die SPF-Authentifizierung schlägt aufgrund der fehlenden Domänenausrichtung fehl,
  da die vom E-Mail-Service-Provider (ESP) in der Absenderadresse verwendete Domäne von der in der Absenderadresse abweicht.

• DKIM-PASS (ausgerichtet): Die DKIM-Signatur verwendet dieselbe Domain wie der Absender

Ergebnis: Die DKIM-Ausrichtung ermöglicht es der Nachricht, die DMARC-Prüfung zu bestehen.

die beliebtesten E-Mail-Anbieter

Welche sind die beliebtesten E-Mail-Anbieter im Jahr 2020?

Um die Zustellbarkeit von E-Mails zu überwachen, ist es wichtig zu wissen, welche E-Mail-Anbieter Ihre Empfänger verwenden.

Business to Business

Für den B2B-Bereich liegen uns keine genauen Zahlen vor. Der Großteil der geschäftlichen E-Mail-Konten wandert in die Cloud, wo der Markt zwischen „G Suite“ und „Office 365“ aufgeteilt ist.
Laut Daten von datanyze.com decken diese zusammen über 90 % des weltweiten Marktanteils für geschäftliche E-Mails ab.

Diese Informationen für ein einzelnes Unternehmen zu sammeln, ist recht einfach.
Aus dem MX-Eintrag der Unternehmensdomain lässt sich der verwendete E-Mail-Anbieter ablesen:
aspmx.l.google.com für „G Suite“
und mail.protection.outlook.com für „Office 365“.

Wenn Ihr Unternehmen im B2B-Bereich tätig ist, empfiehlt es sich, regelmäßig ein Postfach für jeden dieser beiden Anbieter zu überwachen.

Ein dritter Anbieter ist Zoho (mx.zoho.com), dessen Marktanteil bei rund 2 % liegt (Quelle: ciodive.com).

Vom Unternehmen zum Verbraucher

Im B2C-Bereich gestaltet sich die Analyse komplexer. Es gibt keine öffentlich zugänglichen „E-Mail-Open-Data“, die auf dem Internetverkehr basieren.

Die einzige Möglichkeit, Informationen über E-Mail-Empfänger zu erhalten, besteht darin, sie aus unserer Kontaktliste zu extrahieren oder sie von großen E-Mail-Dienstleistern zu beziehen. Einige dieser Anbieter erstellen Jahresberichte, um die Daten mit der Internet-Community zu teilen.

Die folgenden Daten zeigen die drei führenden E-Mail-Anbieter in fünfundzwanzig Ländern. Die Informationen stammen aus der von Sendgrid veröffentlichten Studie „2019 Email Benchmark and Engagement Study“.

Länder

Argentinien, Australien, Belgien, Brasilien, Kanada, Chile, China, Kolumbien, Dänemark, Frankreich, Deutschland, Indien, Indonesien, Italien, Japan, Mexiko, Neuseeland, Russland, Saudi-Arabien, Spanien, Südafrika, Schweden, Schweiz, Vereinigtes Königreich, Vereinigte Staaten

Argentinien

Zurück nach oben

Australien

Zurück nach oben

Belgien

Zurück nach oben

Brasilien

Zurück nach oben

Kanada

Zurück nach oben

Chile

Zurück nach oben

China

Hinweis: Die Informationen stammen aus „Länderübersicht: China“ von ReturnPath

Zurück nach oben

Kolumbien

Zurück nach oben

Dänemark

Zurück nach oben

Frankreich

Zurück nach oben

Deutschland

Zurück nach oben

Indien

Zurück nach oben

Indonesien

Zurück nach oben

Italien

Zurück nach oben

Japan

Zurück nach oben

Mexiko

Zurück nach oben

Niederlande

Zurück nach oben

Neuseeland

Zurück nach oben

Russland

Zurück nach oben

Saudi-Arabien

Zurück nach oben

Spanien

Zurück nach oben

Südafrika

Zurück nach oben

Schweden

Zurück nach oben

Schweiz

Zurück nach oben

Vereinigtes Königreich

Zurück nach oben

Vereinigte Staaten

Zurück nach oben

wie DMARC funktioniert

Wie funktioniert DMARC im Jahr 2020 mit Google Mail und Office 365?

Wir haben getestet, wie sich die E-Mail-Authentifizierung auf die Zustellung
an Google Mail und Office 365 auswirkt, die beliebtesten Anbieter von geschäftlichen E-Mails.

Die Ergebnisse lassen sich in zwei Gruppen unterteilen:

1. E-Mail-Zustellung
   (Auswirkungen von SPF, DKIM und DMARC auf die Zustellung gesendeter Nachrichten):
   Google Mail: E-Mails werden immer zugestellt, die Authentifizierung scheint keine Rolle zu spielen.
   Office 365: Reagiert in der Regel auf SPF und DKIM. Die einzige Möglichkeit, zuverlässige Ergebnisse und die Zustellung im Posteingang zu gewährleisten, besteht darin, die E-Mails mit DMARC zu verknüpfen.
    

2. Schutz vor Spoofing
   (wie SPF, DKIM und DMARC die E-Mail-Adresse des Absenders vor Spoofing schützen*)
   * = Die Nachricht wird so angezeigt, als käme sie von einer anderen Person als dem tatsächlichen Absender.
   Google Mail: Durch die Kombination von DMARC und SPF (mit Fehler- oder Softfail-Qualifizierern) werden gefälschte Absender in den Spam-Ordner verschoben oder abgewiesen (abhängig von Ihren DMARC-Einstellungen).
   Office 365: SPF (mit Fehler- oder Softfail-Qualifizierern) reicht aus, um gefälschte Absender in den Junk-E-Mail-Ordner zu verschieben.

 
Sie lassen sich wie folgt zusammenfassen:

 
Nachfolgend finden Sie die vollständige Liste der durchgeführten Tests.

Anmerkungen:

• Die Absenderadresse (sichtbarer Absender) und die Rücksendeadresse des Umschlags stammen aus derselben Domäne
• „dkim pass“: Die DKIM-Signaturdomäne ist dieselbe wie die der Absenderadresse.
• „dkim diff“: Die DKIM-Signaturdomäne unterscheidet von der Absenderadresse.
• Die Sternchen in der zweiten Gruppe bedeuten, dass die Ergebnisse im Laufe der Zeit nicht konsistent waren