Die Cybersecurity-Community trifft sich auf dem mySecurityEvent, das vom 19. bis 21. November 2024 im RheinEnergieStadion in Köln stattfindet, um für eine digital sichere Welt zu werben.
Wir freuen uns auf Ihren Besuch an Stand 12, um sich mit uns über die Kernthemen Domain- und DNS-Sicherheit auszutauschen und werden sicher auch wieder einige Plüsch-Pulpis im Gepäck haben.
Als Sponsor können wir außerdem einige Freitickets vergeben, geben Sie dafür einfach ‚Nameshield bei der Ticketbuchung auf mysecurityevent.de als Kontaktperson an.
Am 9. Oktober teilte Apple dem CA/Browser Forum mit, dass es auf GitHub einen Entwurf für die Abstimmung über zwei wichtige Ereignisse in der Lebensdauer von SSL/TLS-Zertifikaten zur Kommentierung veröffentlicht hat:
Schrittweise Verkürzung der Höchstdauer öffentlicher SSL/TLS-Zertifikate auf 45 Tage bis 2027
Schrittweise Verkürzung der Wiederverwendungsfrist für DCV-Challenges auf 10 Tage bis 2027
Im März 2023 kündigte Google in seinem Fahrplan „Moving Forward, Together“ an, dem CA/B-Forum eine Verkürzung der maximal möglichen Gültigkeitsdauer für öffentliche TLS-Zertifikate von 398 Tagen auf 90 Tage anzubieten. Seit dieser Ankündigung wartet der Markt gespannt auf Googles Bestätigung, vor allem aber auf den Zeitplan für die Umsetzung… bisher ohne Erfolg. Mozilla seinerseits kündigte vor einigen Wochen an, dem Beispiel von Google bei seinem Firefox-Browser folgen zu wollen, ohne weitere Details zu nennen.
Apple hat nun den ersten Schritt getan und am 9. Oktober bekannt gegeben, zukünftig sowohl die Lebensdauer von Zertifikaten auf 45 Tage zu verkürzen (statt wie erwartet 90 Tage) als auch die Dauer der DCV-Challenges auf 10 Tage zu begrenzen, gemäß dem unten stehenden Zeitplan. Ein echter Paukenschlag:
Sep-15-2025 => Zertifikate und DCV-Validierungszeiten auf 200 Tage reduziert
Sep-15-2026 => Zertifikate und DCV-Validierungszeiten auf 100 Tage reduziert
Apr-15-2027 => Zertifikate und DCV-Validierungszeiten auf 45 Tage reduziert
Sep-15-2027 => DCV Validierungszeit: 10 Tage
Was steckt hinter der Entscheidung, welche Folgen hat sie und wie können Sie sich als Domaininhaber auf die Veränderungen vorbereiten?
Kontext und Analyse:
Im ersten Stadium wird die Veröffentlichung von den Marktteilnehmern kommentiert werden, bevor die formelle Abstimmung im CA/B-Forum erfolgt, über die wiederum die Mitglieder abstimmen: die Herausgeber von Internet-Browsern (Google, Mozilla, Apple und Microsoft…) einerseits und die Zertifizierungsstellen andererseits. Sicherlich wird es noch Änderungen geben, aber die Grundidee steht und der Prozess ist in Gang.
Die Softwarehersteller sind sich in der Tat einig, dass die Lebensdauer von Zertifikaten verkürzt werden muss. Unter den Zertifizierungsstellen unterstützt Sectigo, einer der wichtigsten Akteure in der Zertifikatsbranche, die Initiative bereits. Es ist davon auszugehen, dass die Dinge von nun an schnell voranschreiten werden und in den kommenden Wochen oder Monaten nur wenige Kommentare eingehen und ein Votum verfasst wird. Sobald wir mehr über die Bestätigung der Laufzeiten und des Zeitplans wissen, werden wir Sie natürlich informieren.
Erwartete Ergebnisse:
Lebensdauer von Zertifikaten: Ob 90 Tage, 45 Tage oder sogar weniger, diese Verkürzung ist keine Überraschung mehr und hat erhebliche Auswirkungen auf das Portfolio öffentlicher Zertifikate. Die Zertifikate können nicht mehr manuell verwaltet werden. Der Markt hat mit dem Übergang zur Automatisierung begonnen, insbesondere durch CLMs (Certificate Lifecycle Managers). Für Unternehmen und Organisationen wird es darauf ankommen, sich auf Partner zu verlassen, die so viele Verbindungen wie möglich zwischen Organisationen, Zertifizierungsstellen und CLMs anbieten können.
Dauer der DCV-Abfrage: Eine Verkürzung der Dauer der DCV-Abfrage auf 10 Tage hätte, sofern sie validiert wird, erhebliche Auswirkungen, vielleicht sogar mehr als eine Verkürzung der Lebensdauer von Zertifikaten. Bislang hat die Branche Domainnamen 398 Tage lang vorvalidiert und dabei nur einmal die DCV-Anforderung verwendet. Die Ankündigung von Apple würde somit die Verwendung einer DCV-Challenge für praktisch alle Bestellungen erzwingen, was einen großen Paradigmenwechsel darstellen und Verbindungen mit einem weiteren Baustein im Ökosystem mit sich bringen würde: dem DNS. Bei der DCV-Abfrage (Domain Control Validation) wird in die Zone des/der im Zertifikat aufgeführten Domainnamens/-namen eingegriffen, im Idealfall sofort, um das Zertifikat zu validieren.
Dauer der Organisationsauthentifizierung: Apple hat nichts zum Thema der Gültigkeitsdauer der Organisationsauthentifizierung für OV-Zertifikate bekannt gegeben, die derzeit 825 Tage beträgt. Es kursieren jedoch Gerüchte, dass diese auf 398 Tage oder sogar 365 Tage verkürzt werden könnte.
Was Sie bereits jetzt tun können:
Der Schlüssel zu einer erfolgreichen Zertifikatsverwaltung liegt in der Automatisierung. Eine Zertifikatslebensdauer von 45 Tagen entspricht 9 Eingriffen pro Jahr und Zertifikat. Eine manuelle Verwaltung wird damit utopisch. Wir empfehlen Ihnen folgende Lösungsbausteine:
Zertifikatsanbieter/Zertifizierungsstelle (CA): ein vertrauenswürdiger Partner, der Sie bei Problemen mit der Authentifizierung in Ihrem Unternehmen und Ihrer Domain unterstützt. Das Dienstleistungsniveau ist der Schlüssel zu einem guten Management. Ein Multi-CA-Partner wird daher empfohlen, um die Abhängigkeit von einer einzigen CA zu begrenzen, wie im Falle der jüngsten Rückschläge von Entrust.
Registrar/Primärer DNS: Die Beherrschung des primären DNS der in den Zertifikaten aufgeführten Domainnamen wird zum Schlüssel für die Zustellung. Jedes Mal, wenn ein Zertifikat ausgestellt wird, wird ein TXT oder CNAME in der/den betreffenden Zone(n) installiert. Eine Verbindung zwischen der CA und dem DNS ist unerlässlich.
CLM-Editor: Der CLM hat die Aufgabe, das Zertifikatsportfolio zu inventarisieren, Regeln für die Verwaltung des Zertifikatsportfolios festzulegen und den gesamten Bestellprozess zu automatisieren, von der Erstellung von CSRs bis zum Einsatz von Zertifikaten auf Servern. Um ordnungsgemäß zu funktionieren, ist der CLM auf Verbindungen mit CAs oder Zertifikatslieferanten angewiesen.
Vorbereitung bedeutet also, die geeignetste Lösung auf der Grundlage dieser drei Dimensionen zu ermitteln und diese Analyse durchzuführen, um die Auswirkungen in Bezug auf Verfahren, Technologie und Budget – im Idealfall – vor Ende des ersten Halbjahres 2025 zu verstehen.
Der Ansatz von Nameshield:
Nameshield nimmt als Registrar und Anbieter von Multi-AC-Zertifikaten eine besondere Stellung auf dem Markt ein. Seit über 10 Jahren stellt die Authentifizierung von Organisationen und Domains mit Zertifikaten unser Tagesgeschäft dar. Einerseits haben wir eine enge Beziehung zu den größten CAs auf dem Markt (Digicert, Sectigo, GlobalSign), andererseits beherrschen wir den DNS-Brick für die DCV-Validierung. Infolgedessen können wir öffentliche Zertifikate fast sofort ausstellen. Nicht zuletzt verfügt Nameshield über Beziehungen zu den wichtigsten Akteuren auf dem CLM-Markt, so dass Sie eine umfassende Verbindung zwischen den verschiedenen an der Zertifikatsverwaltung beteiligten Parteien sicherstellen können. Auf diese Weise können wir Sie dabei unterstützen, sich gut auf die oben genannten Herausforderungen vorzubereiten.
Eine Zertifizierungsstelle (Certificate Authority, CA) ist eine Einrichtung, die digitale Zertifikate ausstellt, um die Identität von Websites, Servern oder Benutzern zu authentifizieren und die Integrität der Daten zu gewährleisten, die bei der Online-Kommunikation ausgetauscht werden.
Wenn eine Website kein Zertifikat hat, kann sie keine sichere Verbindung über HTTPS herstellen, wodurch ihre Daten dem Risiko des Abfangens, der Veränderung und des Missbrauchs ausgesetzt sind. Aus diesem Grund legen die Internetbrowser der GAFAM (Google, Apple, Facebook, Amazon, Microsoft) diesen Zertifizierungsstellen strenge Compliance- und Sicherheitskriterien auf, um ihren Nutzern ein sicheres Surfen zu ermöglichen. Die GAFAM sind allerdings auch echte Imperien, die in der Lage sind, ihre eigenen Regeln in der digitalen Welt quasi willkürlich oder zumindest einseitig zu gestalten und zu definieren.
Die Zertifizierungsstellen sind demnach in gewisser Weise von den Standards der GAFAM abhängig, was Unternehmen dazu veranlassen sollte, sich nicht von einer einzigen Zertifizierungsstelle abhängig zu machen. Dies gilt umso mehr, als dass Zertifizierungsstellen mit Sicherheitslücken, Angriffen oder Vorfällen konfrontiert werden können, wie es bei der niederländischen Zertifizierungsstelle DigiNotar der Fall war, die nach einem massiven Hackerangriff im Jahr 2011 gezwungen war, ihre Tätigkeit einzustellen.
Die jüngste Zertifizierungsstelle, die mit Sicherheitsproblemen zu kämpfen hatte, ist Entrust. Google Chrome hat angekündigt, das Vertrauen in seine TLS-(SSL-)Zertifikate zum 31. Oktober 2024 zu beenden und erklärt, dass diese Entscheidung aufgrund einer gründlichen Bewertung der Sicherheitspraktiken der Zertifizierungsstelle folgt. Bedenken gab es beispielweise in Bezug auf die Einhaltung der geforderten strengen Standards: zu lange Widerrufsfristen, wiederholte Schwachstellen und Risiken für die Nutzer… Die Chrome-Versionen 127 und höher werden voraussichtlich im Oktober die automatische Genehmigung der von Entrust ausgestellten TLS/SSL-Zertifikate deaktivieren. Auf Unternehmenswebsites, die deren Zertifikate verwenden, werden vermutlich Sicherheitswarnungen in Google Chrome angezeigt, die darauf hinweisen, dass die Website nicht sicher ist, oder die Erreichbarkeit der Seite wird eingeschränkt.
Entrust ist natürlich kein Einzelfall. Symantec geriet 2015 wegen der Ausstellung ungültiger TLS-Zertifikate mit Google in Schwierigkeiten. Die Zertifizierungsstelle war damals für 30% der Zertifikate im Web verantwortlich und verzeichnete Einnahmen von 400 Millionen US-Dollar, wie das Medium silicon.fr berichtete. Google hat die Symantec-Zertifikate jedoch nach und nach aus Chrome und Android verbannt. Die Entität wurde schließlich 2021 an Digicert weiterverkauft.
Zertifizierungsstellen arbeiten eng mit dem CAB Forum und den GAFAM zusammen, um die Standards für Cybersicherheit zu erhöhen und ihre Sicherheitspraktiken und -protokolle zu verbessern. Es ist unbestreitbar, dass in diesem Bereich enorme Fortschritte bei der Erhöhung der Sicherheitsstandards gemacht wurden. Der jüngste Vorfall mit Entrust zeigt jedoch die Risiken auf, die angesichts der Souveränität und des beispiellosen Einflusses der GAFAM bestehen bleiben: Niemand ist vor potenziell willkürlichen Entscheidungen dieser Technologieriesen sicher.
Angesichts dieser Schwachstellen raten wir Unternehmen zu einem Ansatz mit mehreren Zertifizierungsstellen, die bei einem spezialisierten Anbieter verwaltet werden. Durch die Diversifizierung der Zertifizierungsstellen können Unternehmen das Risiko der Abhängigkeit von einem Ausfall oder einem massiven Widerruf von Zertifikaten verringern und so ihren Fortbestand sicherstellen. Die zentrale Verwaltung von Zertifikaten bei einem vertrauenswürdigen Spezialisten wie Nameshield ermöglicht es zudem, Verfahren zu standardisieren, die Verwaltung von Verlängerungen oder die Umstellung von Zertifikaten von einer Zertifizierungsstelle auf eine andere zu vereinfachen und so mehr Flexibilität zu bieten. Die Verwaltung der Zertifikate durch eine spezialisierte Stelle ist eine Möglichkeit, die Kontinuität der Online-Dienste zu gewährleisten, Risiken zu reduzieren und die Ausgaben für Cybersicherheit angesichts einer sich ständig ändernden Bedrohungslage zu optimieren.
Insgesamt ist die Abhängigkeit von den Zertifizierungsstellen ein Risiko, das sich sowohl finanziell als auch in Bezug auf den Ruf als kostspielig erweisen kann. Um die Sicherheit und Widerstandsfähigkeit der digitalen Infrastruktur zu gewährleisten, kann eine Multi-Zertifizierungsstellen-Strategie ein wichtiger Schutz vor unvorhergesehenen Cyberbedrohungen sein.
Besuchen Sie uns auf der Public IT Security (PITS) am 12. und 13. Juni 2024 im Hotel Adlon in Berlin. Die PITS ist die führende Veranstaltung für IT-Fachleute im öffentlichen Sektors.
Dieses Jahr ist die Messe ganz dem Thema „Security Performance Management“ gewidmet. Der aktuelle Bericht der ENISA – Agentur der Europäischen Union für Cybersicherheit –zur Bedrohungslandschaft im Bereich der Cybersicherheit klassifiziert u.a.
DDoS-Attacken
Ransomware & Malware
Phishing, Desinformation
als derzeit bedeutsamste Bedrohungen.
In Reaktion auf diese Bedrohungen treten zeitnah umfassende EU-Richtlinien zur Online-Sicherheit in Kraft: die NIS2 im Oktober 2024, DORA im Januar 2025, RED im August 2025 und den AI Act Mitte 2026.
Angesichts des bedrohlichen Cyberkontexts und der rechtlichen Lage ist es für Unternehmen und öffentliche Verwaltungen unumgänglich geworden, sich online zu schützen und die Einhaltung der EU-Vorschriften sicher zu stellen. Wie kann dabei vorgegangen werden?
Cybersicherheit fängt bei der Domain an: Webseiten, Apps, Emails, VPN, SSO sind vom vulnerablen Domain Name System (DNS) abhängig. Die Nichterreichbarkeit strategischer Domains hat schwerwiegende Folgen für Unternehmen und Verwaltungen. Die Wahl eines professionellen B2B-Domain-Registrars mit eigenem CERT und erhöhter DNS Sicherheits-Einstellungen wie DNSSEC, DDoS-Filterung, Failover, Anycast Infrastruktur, Verwaltung Sub- und Reverse-Zonen, DMARC, ständiges Monitoring mit Alerts ist in der aktuellen Situation wichtiger denn je.
Nameshield präsentiert auf der PITS 2024 sein umfassendes Angebot als führender Dienstleister für die öffentliche Verwaltung im EU-Nachbarland Frankreich erstmals dem deutschen Publikum. Lernen Sie an unserem Stand (Standfläche 9), wie Nameshield die Sicherheit und Verfügbarkeit der Webpräsenz strategisch hochrelevanter öffentlicher Einrichtungen wie dem Elysée-Palast, der Nationalen Sicherheitsagentur für Informationssysteme (ANSSI, Partner vom BSI), dem Ministerium für Bildung und Hochschulen, sowie von www.paris.fr sicherstellt.
Auf der Veranstaltung treffen sich IT-Verantwortliche aus verschiedenen Organisationen, Behörden, Unternehmen und der Wissenschaft, um sich über neue Trends und Strategien im Bereich der IT-Sicherheit auszutauschen. Seit über einem Jahrzehnt ist PITS eine zentrale Plattform für den Wissensaustausch und die Diskussion über aktuelle Entwicklungen im Bereich der Cybersicherheit. Vereinbaren Sie bereits jetzt einen Termin mit Ihrem Nameshield-Berater vor Ort!
Treffen Sie unser Team an Standfläche 9 und tauschen Sie sich über bewährte Verfahren zum Schutz und zur Verwaltung von Domainnamen im öffentlichen Sektor aus.
In Köln fand vom 22. bis 24. April der Certified Senders Alliance Summit zum Thema „Trust fuels the future » statt. Und es gab Grund zum Feiern: bereits seit 20 Jahren hat sich die Initiative das Thema sichere E-Mail auf die Fahnen geschrieben
Die Unternehmenskommunikation hat sich in den letzten 20 Jahren mit dem Aufstieg der sozialen Netzwerke stark verändert: Instagram hat heute monatlich insgesamt mehr als 2 Milliarden Nutzer, YouTube mehr als 2,5 Milliarden und Facebook mehr als 3 Milliarden. Obwohl diese Plattformen weitgehend in die Kommunikationsstrukturen der Unternehmen integriert sind, ist die Nutzung von E-Mails zur Kundenkommunikation nach wie vor von hoher Relevanz – unter anderem aufgrund der Vielfältigkeit ihrer Einsatzgebiete wie z.B. Versand von Mailings, Newslettern, Rechnungen oder auch Auftragsbestätigungen . Daten von Statista zeigen einen Anstieg des Gesamtvolumens an E-Mails um 4,3 % im Jahr 2023 im Vergleich zum Vorjahr mit fast 347,3 Milliarden E-Mails, die täglich weltweit verschickt werden. Ein weiterer Fakt ist, dass eine Person im Durchschnitt etwa 121 E-Mails pro Tag erhält; eines scheint sicher: Die E-Mail wird nicht so schnell verschwinden.
Gartner weist jedoch darauf hin, dass die Sorge um die Sicherheit von E-Mails zunimmt, da kaum ein Unternehmen von Sicherheitsvorfällen verschont bleibt. Phishing-Attacken durch bösartige Links oder Anhänge werden immer ausgefeilter und verursachen Daten- und Umsatzverluste. Ausgehend von dieser Feststellung bringt die CSA jedes Jahr Experten des E-Mail-Ökosystems zusammen, um sich über bewährte Verfahren und Lösungen auszutauschen, welche die Qualität des Kanals verbessern und so das Vertrauen auf Kundenseite in die E-Mail verbessern. Die Veranstaltung ist um eine Reihe von Workshops, Sessions, Konferenzen und Masterclasses herum organisiert.
Nameshield war als Gold-Sponsor auf der Jubiläumsausgabe des CSA Email Summits dabei. Im Rahmen ihres Workshops im DNS TRACK stellten unsere Experten Joëlle Samaké und Arnaud Witterheim heraus, dass es keine E-Mail-Sicherheit ohne sichere Domainnamen und eine robuste und leistungsfähige DNS-Infrastruktur gibt. Die Sicherheit von E-Mails hängt daher von der Wahl des Domainnamenanbieters und den Cybersicherheitslösungen ab, die er seinen Kunden anbieten kann. Dazu zählt der Einsatz des DMARC-Protokolls, das die Nutzer vor betrügerischen E-Mails schützt. Die personalisierten Marken-Top Level Domains, die sogenannten Dot Brands, sind ein weiterer Hebel, um im Hinblick auf die nächste Runde neuer generischer Domainendungen, die für April 2026 geplant ist, Vertrauen in die eigene Marke zu schaffen.
Für weitere Informationen zu unseren Lösungen wenden Sie sich bitte an Ihren Nameshield-Berater.
Seit 20 Jahren hat sich die CSA (Certified Senders Alliance) die Stärkung des Vertrauens in den Kommunikationskanal E-Mail auf die Fahnen geschrieben. Brücken bauen zwischen E-Mail Versendern und E-Mail Anbietern war von Anfang an das zentrale Ziel der CSA – der Jubiläums-Summit dieses Jahr wird die Erfolgsfaktoren der Zukunft unter dem Motto ‚Trust Fuels the Future‘ untersuchen.
Nameshield ist als Gold-Sponsor der Veranstaltung mit dabei – unser Team würde sich sehr freuen, Sie dort zu treffen. Sichern Sie sich marktführendes Know-How mit den Erkenntnissen von CSA und den sich entwickelnden Best Practices. Wir sind besonders gespannt auf die Diskussion rund um die Implementierung von DMARC, das sich gerade zu einem neuen Standard entwickelt. Nameshield stellt seinen Newsletter-Abonnenten drei Gutscheine im Wert von 100 € zur Verfügung. Bei Interesse wenden Sie sich bitte an Ihren Ansprechpartner bei Nameshield – first come, first served!
Treffen Sie ein internationales Netzwerk von Marken, Agenturen, E-Mail-Dienstleistern und Mailbox-Anbietern zum dynamischen Informationsaustausch im gut vernetzten E-Mail-Ökosystem! Der CSA Email Summit ist nicht nur eine Veranstaltung, sondern Ihr Weg, Ihr volles Potenzial in der sich ständig weiterentwickelnden Landschaft der kommerziellen E-Mail auszuschöpfen.
Der CSA Email Summit wird von verschiedenen Branchenverbänden unterstützt und bietet eine solide Plattform für Gespräche, welche wertvolle Einblicke in die Zukunft des E-Mail-Marketings erlauben. Lernen Sie von Branchenexperten in Workshops, Sessions, Kurzvorträgen und Masterclasses, um Ihre Fachkenntnisse zu erweitern.
Bitte kontaktieren Sie das Nameshield-Team für weitere Informationen und um einen Termin auf dem Summit zu vereinbaren!
Als Reaktion auf die explosionsartige Zunahme von weltweit gemeldeten Phishing-Angriffen wird die nächste Version der Standards für die Kreditkartenindustrie (PCI DSS v4.0) die Implementierung des DMARC-Protokolls vorschreiben, um den E-Mail-Verkehr sicherer zu machen.
Hier finden Sie alles, was Sie darüber wissen sollten.
Was ist PCI DSS und wer ist davon betroffen?
Dieses Akronym steht für eine Reihe von Sicherheitsstandards, die entwickelt wurden, um den Schutz von Informationen im Zusammenhang mit Kreditkarten zu gewährleisten. Diese Standards wurden vom Payment Card Industry Security Standards Council (PCI SSC) geschaffen. Die Organisation vereint die wichtigsten Unternehmen der Kreditkartenbranche wie Visa, MasterCard, American Express, Discover und JCB.
Das Hauptziel des PCI DSS ist es, die Sicherheit von Transaktionen mit Kreditkarten zu gewährleisten und die sensiblen Daten der Karteninhaber, wie Kartennummern, Ablaufdaten und Geheimzahl, zu schützen.
Die Einhaltung des PCI DSS ist für alle Organisationen erforderlich, die Kreditkarteninformationen verarbeiten, speichern oder weitergeben.
In seiner aktuellen Version basiert der Standard auf den folgenden Kriterien:
Einrichtung und Verwaltung eines sicheren Netzwerks und Systems
Schutz der Daten des Karteninhabers
Aufrechterhaltung eines Programms zum Schwachstellenmanagement
Umsetzung strenger Maßnahmen zur Zugangskontrolle
Regelmäßige Überwachung und Tests der Netzwerke
Aufrechterhaltung einer Richtlinie zur Informationssicherheit
E-Mails nicht betroffen von den Maßnahmen – bis März 2025
Wie Sie bemerkt haben, werden E-Mails in den Kriterien, die der PCI DSS-Standard in seiner aktuellen Version definiert, nicht eindeutig erwähnt. Da E-Mails jedoch der Hauptvektor für Online-Betrügereien sind, war es höchste Zeit, sie vollständig in den Mittelpunkt zu stellen und einen starken Aktionsplan zum Schutz von Händlern und ihren Kunden zu definieren.
In diesem Zusammenhang wird sich der PCI DSS-Standard bald weiterentwickeln und den Einsatz einer strengen DMARC-Richtlinie („p=reject“ oder „p=quarantine“) vorschreiben, damit Anti-Spam-Software E-Mails, die von Ihrem Domainnamen aus ohne Ihre Genehmigung verschickt werden, effektiver herausfiltern kann.
Ab März 2025 werden PCI DSS-Prüfer die korrekte Konfiguration der Protokolle SPF, DKIM und DMARC bei ihren Audits berücksichtigen.
Die Experten von Nameshield stehen Ihnen gerne zur Verfügung, um Sie bei der Einführung dieses Protokolls zu unterstützen.
Google und Yahoo haben kürzlich bedeutende Änderungen an ihren Anforderungen für die Authentifizierung von E-Mails angekündigt. Diese Anpassungen zielen darauf ab, die Sicherheit der Online-Kommunikation zu erhöhen, was in der heutigen Zeit der Cyberkriminalität eine große Herausforderung darstellt.
Die beiden Branchenriesen legen den Schwerpunkt auf die Einführung fortschrittlicher Authentifizierungsprotokolle, insbesondere DMARC(Domain-based Message Authentication, Reporting and Conformance). DMARC baut auf den bestehenden Standards SPF und DKIM auf und bietet eine robuste Methode, um die Authentizität von E-Mails zu überprüfen und das Risiko von Identitätsdiebstahl und Phishing zu verringern.
Um diese neuen Anforderungen umzusetzen, werden Google und Yahoo ihre Algorithmen anpassen, um E-Mails von Domains zu priorisieren, die DMARC korrekt implementiert haben. Dadurch soll die Zustellbarkeit authentifizierter E-Mails verbessert werden, wodurch das Vertrauen der Nutzer in die Sicherheit ihrer Posteingänge gestärkt wird.
Die neuen Richtlinien gelten ab dem 1. Februar 2024 für alle Absender, die mehr als 5.000 E-Mails pro Tag versenden. Sie unterstreichen das Engagement von Google und Yahoo im Kampf gegen Online-Bedrohungen, insbesondere gegen Phishing, eine gängige Methode von Cyberkriminellen, um Nutzer zu täuschen und an ihre sensiblen Informationen zu gelangen. Durch die Einführung strengerer Anforderungen an die E-Mail-Authentifizierung erhöhen diese Unternehmen den Schutz der Nutzer vor bösartigen Angriffen.
Für Domaininhaber und Akteure der digitalen Welt ist es nun entscheidend, diese neuen Richtlinien einzuhalten, um zur Schaffung eines sichereren und geschützteren Internets für alle beizutragen.
Die Experten von Nameshield stehen Ihnen gerne zur Verfügung, um Sie bei der Einführung dieses Protokolls zu unterstützen.
In der Welt der Websites und Domainnamen kommt es häufig vor, dass man die Verwendung eines Domainnamens – etwa in der Adresszeile des Webbrowsers – auf einen anderen umleiten möchte, um auf eine Website zuzugreifen. Ein Beispiel:
a-great-website.com auf www.a-great-website.com weiterleiten.
www.to-be-redirected.com auf www.a-great-website.com weiterleiten.
Es ist jedoch nicht immer ganz einfach zu verstehen, wie das alles funktioniert und wie man beim Einrichten dieser Weiterleitungen vorgehen muss. Muss ich die Weiterleitung auf der Ebene der DNS-Zone einrichten? Auf der Ebene meines Webservers? Auf beiden? Wahlweise das eine oder das andere?
Dieser Artikel soll die Unterscheidung zwischen DNS- und HTTP-Weiterleitung näher erläutern und aufzeigen, wie diese beiden Protokolle zusammenarbeiten.
Anmerkung: Im Folgenden wird nicht zwischen HTTP und HTTPS (durch ein Zertifikat gesichertes HTTP-Protokoll) unterschieden. Für das Thema, das uns hier interessiert, macht dies keinen Unterschied.
Den Unterschied zwischen DNS und HTTP richtig verstehen
DNS und HTTP sind zwei Protokolle, die beide für das reibungslose Funktionieren des Internets unerlässlich sind, aber nicht die gleiche Rolle spielen.
Nehmen wir als Beispiel einen Benutzer, der auf die Website blog.nameshield.com zugreifen möchte. Er gibt daher blog.nameshield.com in die Adresszeile seines bevorzugten Browsers ein.
Bevor der Browser eine Anfrage senden kann, um den Inhalt der Homepage der Website zu erhalten, muss er wissen, an welche IP-Adresse er diese Anfrage senden soll. Hier kommt das DNS ins Spiel. Der Browser sendet also eine DNS-Anfrage (unter Verwendung des DNS-Protokolls) an einen Resolver: „Gib mir die IP-Adresse, die mit blog.nameshield.com verknüpft ist“. Im Gegenzug erhält er eine IP-Adresse (81.92.84.102), die bei einem autoritären DNS-Server konfiguriert wurde. Man spricht von der Auflösung der Domain blog.nameshield.com.
Der Browser kann dann die HTTP-Request (unter Verwendung des HTTP-Protokolls) an den HTTP-Server (oder Webserver) senden, dessen IP-Adresse er soeben erhalten hat: „Gib mir den Inhalt der Webseite blog.nameshield.com„. Im Gegenzug erhält er den Inhalt der Seite, die er anzeigen soll.
Das DNS-Protokoll bietet Datensatztypen, die es ermöglichen, eine Domain auf eine andere „umzuleiten“: insbesondere den Typ CNAME. Auch wenn man leicht von DNS-„Umleitung“ spricht, ist der Begriff „Alias“ angemessener. Dieses leitet nicht im eigentlichen Sinne um, sondern zeigt an, dass die Domain, die man auflöst, ein Alias einer anderen Domain ist. Man muss dann diese andere Domain auflösen, um die gesuchte IP-Adresse zu erhalten.
Nehmen wir ein Beispiel: Man möchte eine Weiterleitung von www.to-be-redirected.com auf die Website www.a-great-website.com einrichten. Wenn wir die DNS-Zone von to-be-redirected.com mit einem CNAME-Eintrag wie diesem konfigurieren: www.to-be-redirected.com CNAME www.a-great-website.com, läuft das darauf hinaus, dass wir sagen: „Sie möchten die IP-Adresse wissen, die mit www.to-be-redirected.com verbunden ist ? Nun, suchen Sie die IP-Adresse, die mit www.a-great-website.com verbunden ist und Sie werden Ihre Antwort erhalten.“ Eine zweite DNS-Anfrage wird gesendet, um www.a-great-website.com aufzulösen und die IP-Adresse zu erhalten. Der Browser wird zwar über die IP-Adresse des HTTP-Servers verfügen, der uns interessiert (der Server, der die Webseite www.a-great-website.com hostet), aber das ändert nichts am Inhalt der vom Browser gesendeten HTTP-Anfrage: „Gib mir den Inhalt der Webseite www.to-be-redirected.com„.
Es ist wichtig zu beachten, dass die vom Browser gesendete HTTP-Anfrage den Namen der Website (oder Host – hier www.to-be-redirected.com) enthält, auf die man zugreifen möchte. Ein und derselbe Server (und damit eine IP-Adresse) kann nämlich Dutzende verschiedener Websites beherbergen. Er wird nur auf HTTP-Anfragen positiv reagieren, die einen Host enthalten, für den er konfiguriert ist. Es reicht also nicht aus, die IP-Adresse des Webservers zu kennen, Sie müssen ihm auch eine HTTP-Anfrage senden, auf die er antworten kann. Eine Anfrage http://www.to-be-redirected.com an einen Server zu senden, der nur für die Beantwortung von http://www.a-great-website.com konfiguriert ist, wird nicht funktionieren!
Auch das HTTP-Protokoll bietet ein System von Weiterleitungen (hier ist in der Tat von Weiterleitungen die Rede). Ein HTTP-Server kann so konfiguriert werden, dass er einen Host an einen anderen weiterleitet. Wenn er beispielsweise HTTP-Anfragen „Gib mir den Inhalt der Webseite www.to-be-redirected.com“ erhält, antwortet er „Diese Ressource wird an http://www.a-great-website.com weitergeleitet“. Dann nimmt der Browser die verschiedenen Schritte wieder auf:
DNS-Auflösung von www.a-great-website.com
Senden einer Anfrage http://www.a-great-website.com an die erhaltene IP-Adresse
Anzeige der erhaltenen Webseite
Wie können DNS und HTTP-Weiterleitungen gut zusammenarbeiten ?
Fassen wir noch einmal zusammen:
Das DNS dient dazu, einen Domainnamen aufzulösen, um eine IP-Adresse zu erhalten.
HTTP-Anfragen werden an eine IP-Adresse gesendet und enthalten den Host der Website, auf die man zugreifen möchte.
HTTP-Server können je nach Host in der Anfrage unterschiedliche Inhalte zurückliefern: eine von ihnen gehostete Webseite, eine Weiterleitung, für die sie konfiguriert wurden, oder einen Fehler, wenn ihnen der Host unbekannt ist.
Um eine Umleitung (immer noch mit unserem Beispiel) korrekt zu betreiben, benötigen Sie also:
Einen DNS-Eintrag in der Zone to-be-redirected.com, um den Host www mit der IP-Adresse eines Webservers zu verknüpfen und
Einen Webserver, auf dem eine Weiterleitung von http://www.to-be-redirected.com nach http://www.a-great-website.com eingerichtet werden muss.
Wie Nameshield Sie unterstützen kann ?
Nameshield bietet einen Dienst für HTTP- (und HTTPS-) Weiterleitungen an, der die Einrichtung dieser Weiterleitungen vereinfacht und den Sie nutzen können, sobald sich Ihre ursprüngliche Domain in der technischen Verwaltung von Nameshield befindet. Gehen Sie einfach zur Schnittstelle für die technische Konfiguration Ihres Domainnamens und dann zur Registerkarte „HTTP-Weiterleitungen“. Dort können Sie eine neue Umleitung auf den Host Ihrer Wahl erstellen, indem Sie verschiedene Parameter angeben (z. B. die Weitergabe von Verzeichnissen und oder von Parametern der Anfrage). Unser System übernimmt dann automatisch die folgenden Aufgaben:
Die DNS-Zone zu ändern, um Datensätze (A/JJJJ oder CNAME, je nachdem, was zutrifft) hinzuzufügen, die auf die IP-Adresse des Nameshield-HTTP-Weiterleitungsservers verweisen. In der Konfigurationsoberfläche der Zone gibt es ein eigenes Symbol, mit dem diese automatisch hinzugefügten Datensätze leicht unterschieden werden können.
Richten Sie eine neue Weiterleitung auf unserem HTTP-Weiterleitungsserver (der über eine Anycast-Architektur verfügt, wenn Sie ein Premium-Angebot nutzen) gemäß den geforderten Parametern ein.
Danach ist Ihre Weiterleitung funktionsfähig und Sie müssen nichts weiter tun. Bei Ihrem Webhoster sind keine Änderungen erforderlich.
Wenn Sie das Ziel einer bestehenden HTTP-Weiterleitung ändern möchten, müssen Sie nur von derselben Schnittstelle aus die bestehende Weiterleitung ändern (Sie müssen sie nicht löschen, um eine neue Weiterleitung zu erstellen). Am DNS müssen keine Änderungen vorgenommen werden, da der Host bereits auf unseren HTTP-Weiterleitungsserver weiterleitet. Unser System wird sich darum kümmern, die Konfiguration des HTTP-Servers zu ändern und Ihre neue Weiterleitung wird innerhalb weniger Minuten wirksam.
Wenn Sie Fragen zu diesem Artikel haben, wenden Sie sich bitte an Ihre/n Kundenbetreuer/in.
Nameshield führt als Experte der Themen Domainsicherheit und Online Brand Protection regelmäßig Studien zur aktuellen Lage in diesen Bereichen durch, so auch bei unserer aktuellen DMARC-Studie.
Da Finanzinstitute und deren Kunden ein attraktives Ziel für Angreifer sind und mit dem DMARC-Standard ein zuverlässiger Schutz vor Phishing E-Mails möglich ist, haben wir uns in der aktuellen Studie gefragt, wie weit deutsche Banken bei der Umsetzung bereits fortgeschritten sind. Um eine Vergleichsbasis zu haben, wurde das europäische Bankenumfeld in die Analyse miteinbezogen.
Basierend auf unserer über 30-jährigen Erfahrung auf dem Gebiet der Domain- und E-Mail-Sicherheit kann Nameshield in dem Report auch erste Handlungsempfehlungen geben. Der vollständige Report steht hier für Sie zum Downloadbereit. Fragen Sie auch gerne eine personalisierte Auswertung und Beratung bei uns an.
