Schlagwort: BIMI

E-Mail Sicherheit in Unternehmen – Interview

DMARC

Das Thema E-Mail Sicherheit ist lästig, wird aber immer wichtiger, wie wir an der aktuellen BSI-Veröffentlichung sehen, die sich explizit diesem Thema widmet. Ich hatte bei meinem letzten Besuch in Frankfurt die Gelegenheit, mit unserem Experten für E-Mail Sicherheit, Herrn Jochen Schönweiß, zu sprechen.

Susanne Neuber: Hallo Jochen, sag mal, warum sollte das Thema E-Mail Sicherheit Unternehmen interessieren?

Jochen Schönweiss: Oh, da gibt es natürlich eine ganze Menge Gründe! Zunächst einmal ist die E-Mail nach wie vor das Einfallstor Nummer 1 für Cyberangriffe.

Ich denke da zum Beispiel an CEO-Fraud, bei dem sich der Angreifer als eine ranghohe Führungskraft des Unternehmens ausgibt und von einem Mitarbeiter die Überweisung größerer Summen fordert. Oder an Phishing generell oder Ransomware. Das Prinzip ist immer ähnlich: Angreifer nutzen täuschend echte E-Mails, um Mitarbeiter zur Preisgabe sensibler Daten oder zur Ausführung schädlicher Dateien zu bringen.

Weiterhin werden in Firmen tagtäglich vertrauliche Daten (Kundendaten, Verträge, Angebote, interne Informationen) versendet. Unverschlüsselte oder kompromittierte E-Mails können zum Datendiebstahl führen – mit gravierenden finanziellen und rechtlichen Folgen. So kann ein erfolgreicher Angriff per E-Mail erhebliche Kosten verursachen (z. B. durch Betriebsunterbrechungen, Rechtsstreitigkeiten). Zusätzlich können Geldstrafen und Bußgelder durch Aufsichtsbehörden verhängt werden.

SN: Ok, das sind schon mal viele gute Gründe, die einen hellhörig werden lassen sollten. E-Mail Verkehr findet ja aber auch mit Kunden oder Dienstleistern statt.

JS: Genau! Zum Kunden hin gesehen kann ein E-Mail-Leak oder erfolgreicher Cyberangriff den Ruf eines Unternehmens massiv schädigen. Kunden und Partner erwarten, dass ihre Daten sicher behandelt werden – eine Sicherheitsverletzung kann Vertrauen dauerhaft zerstören.

Nicht zu vergessen ist auch, dass es mittlerweile eine Reihe von gesetzlichen Vorgaben gibt, die eingehalten werden müssen. Datenschutzgesetze wie die DSGVO schreiben den Schutz personenbezogener Daten vor – auch beim Versand per E-Mail. Branchen mit hohen regulatorischen Anforderungen (z. B. Finanzwesen, Gesundheitswesen) müssen da noch einmal besondere Sicherheitsstandards einhalten.

Wir beobachten, dass die Angreifer immer professioneller werden: mit KI-generierten Phishing-Mails, gefälschten Absenderadressen oder gezielten Social-Engineering-Attacken. Herkömmliche Spamfilter reichen oft nicht mehr aus.

SN: Mich hast Du auf jeden Fall schon mal überzeugt. Welche Abteilung sollte Deiner Meinung nach das wichtige Thema E-Mail Sicherheit in die Hand nehmen?

JS: Das Thema E-Mail-Sicherheit betrifft zwar das gesamte Unternehmen, aber die Verantwortung sollte klar zugewiesen sein – mit Schnittstellen zu mehreren Abteilungen.

In erster Linie sehe ich die IT bzw. IT-Sicherheitsabteilung in der Verantwortung, bei größeren Firmen also der CIO bzw. CISO. Er hat das technische Know-how zur Implementierung von Schutzmaßnahmen (z. B. Spamfilter, E-Mail-Verschlüsselung, DMARC), kennt die Infrastruktur des Unternehmens und kann Risiken erkennen, bewerten und absichern. Er ist derjenige, der in der Lage sein sollte, Sicherheitsvorfälle zu erkennen und zu beheben.

SN: Dann liegt das Thema also bei der IT?

JS: Nicht nur. Auch der Personalabteilung kommt meines Erachtens eine wichtige Rolle zu. Oft ist der Mensch das schwächste Glied der Sicherheitskette. Deswegen ist eine gute Schulung der Mitarbeiter wichtig. Auch das E-Mail-Marketing, der Datenschutzbeauftragte und nicht zuletzt die Geschäftsführung sind bei dem Thema miteinzubeziehen.

SN: Wie kann der Schutz konkret aussehen? Welche Produkte helfen?

JS: Zu Sicherstellung der Authentizität von E-Mails empfehle ich sowohl die Kombination aus DMARC; SPF und DKIM , als auch das Signieren und ggf. Verschlüsseln von E-Mails mithilfe von S/MIME oder PGP. Damit das ganze auch zum Kunden hin sichtbar wird, ist BIMI eine gute Ergänzung

SN: Oha, was verbirgt sich hinter diesen ganzen Kürzeln?

JS: Also, DMARC ist ein Protokoll zur E-Mail-Authentifizierung, das SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) ergänzt. DMARC ermöglicht es Domaininhabern, Richtlinien für den Umgang mit nicht authentifizierten E-Mails zu definieren und kann regelmäßige Berichte liefern, die Informationen darüber enthalten, wie die E-Mails der Domain durch SPF und DKIM authentifiziert wurden, sowie Details über mögliche Probleme und Missbrauchsfälle.

SPF ist ein Protokoll zur Überprüfung der IP-Adressen eines Absenders einer E-Mail. Es verwendet DNS-Einträge, um zu bestätigen, dass der sendende Server berechtigt ist, E-Mails im Namen einer bestimmten Domain zu versenden.

DKIM (DomainKeys Identified Mail) ist ein Signaturverfahren für E-Mails, bei dem der Absender eine kryptografische Signatur mit dem privaten Schlüssel der Domain erstellt. Der Empfänger kann diese Signatur mit dem öffentlichen Schlüssel im DNS verifizieren, um die Authentizität und Integrität der E-Mail zu überprüfen.

Mit S/MIME (Secure/Multipurpose Internet Mail Extensions) und PGP (Pretty Good Privacy) kann der Sender E-Mails signieren und verschlüsseln, um Vertraulichkeit, Authentizität und Integrität der Kommunikation sicherzustellen

Und BIMI (Brand Indicators for Message Identification) ist ein E-Mail-Sicherheitsstandard, der es Unternehmen ermöglicht, ihr Markenlogo neben E-Mails anzuzeigen, die sie senden. Dies geschieht durch die Authentifizierung von E-Mails mittels DMARC, wodurch die Wahrscheinlichkeit verringert wird, dass Phishing- oder Spam-E-Mails im Namen der Marke versendet werden. BIMI erhöht das Vertrauen der Empfänger in die Authentizität von E-Mails und stärkt gleichzeitig die Markenwahrnehmung.

SN: Ach, ich glaube, das kenne ich, bei meinen E-Mails ist jetzt manchmal das Logo des Absenders im Postfach. Das sieht super aus finde ich.

JS: Ja und nicht nur das, es beweist die Authentizität des Absenders und erhöht damit Deine Sicherheit als Kunde.

SN: Das scheint mir eine runde Sache zu sein. Vielen Dank für das Gespräch lieber Jochen!

JS: Gerne und kein Problem! Melde Dich gerne, wenn Du noch Fragen hast.

Haben Sie noch Fragen bzw. benötigen Sie Unterstützung bei der Implementierung der genannten Sicherheitsprotokolle? Dann wenden Sie sich gerne direkt per Mail an jochen.schoenweiss@nameshield.net!

BIMI und VMC: Logoanzeige in E-Mails

BIMI (Brand Indicators for Message Identification) ermöglicht es Ihnen, eigene E-Mails zu authentifizieren und das Vertrauen Ihrer Kunden zu stärken, indem Sie Ihr Logo in deren Posteingang anzeigen. VMC (Verified Mark Certificate) ist ein mit BIMI verbundenes Zertifikat, das die Echtheit des angezeigten Markenlogos gewährleistet.

Was ist BIMI?

BIMI ist eine Brancheninitiative mit dem Ziel, die Verwendung und Anzeige von Markenlogos in E-Mail-Clients zu standardisieren. Ein Marken- oder Firmenlogo – direkt im Posteingang neben dem E-Mail Kopf – schafft ein Gefühl der Legitimität und des Vertrauens. Die Implementierung wirkt sich deutlich auf die Öffnungsraten aus und erhöht den Schutz der Verbraucher vor betrügerischen E-Mails.

Technisch gesehen ist BIMI eine neue Sicherheitstechnologie, die zusammen mit den Protokollen DKIM, SPF und DMARC arbeitet, um Ihren Domainnamen davor zu schützen, von böswilligen Akteuren für den Versand betrügerischer E-Mails verwendet zu werden.

Vor BIMI waren der Prozess zur Anzeige eines Markenlogos neben einer E-Mail für jeden E-Mail-Dienst unterschiedlich; der Implementierungsprozess war teilweise vollständig manuell oder hing von anderen Anwendungen ab.

Die AuthIndicators-Gruppe, der E-Mail-Dienstleister wie Google, Verizon Media, IONOS by 1&1 und Fastmail angehören, arbeitet an der Implementierung von BIMI in die gängigsten E-Mail-Clients. Viele Anbieter haben BIMI bereits übernommen, andere sind dabei, und es wird erwartet, dass die Positionen von Microsoft und Apple die endgültige Übernahme des Standards vorantreiben werden.

Warum ist BIMI wichtig?

  • Vervollständigung des Schutzes einer Marke im Internet, insbesondere gegen Hijacking-Versuche durch betrügerische Spoofing-E-Mails, deren Ziel es ist, den Benutzer zu täuschen und ihn auf Phishing-Seiten zu führen.
  • Erhöhung der Attraktivität von E-Mails, insbesondere bei Marketingkampagnen. Die Einführung von BIMI und in größerem Umfang von Sicherheitsprotokollen und -zertifikaten für den mit einer Marke verbundenen Domainnamen ist heute unerlässlich und hat einen großen Einfluss auf den Online-Ruf.
  • Weil es sich zu einem Marktstandard entwickelt, der leicht zu implementieren ist, im Gegensatz zu den zahlreichen bereits existenten E-Mail-Betrugsbekämpfungslösungen, die oft schwer zu testen und zu implementieren sind.

Wie funktioniert BIMI?

BIMI validiert E-Mails in mehreren Schritten, um sicherzustellen, dass sie tatsächlich mit der Domain des Absenders verbunden sind. Die Absender müssen einen für BIMI bestimmten TXT-DNS-Eintrag hinzufügen.

Damit BIMI funktionieren kann, müssen die Domainnamen auch mehrere andere Schutzmechanismen gegen Betrug aufweisen, z. B:

  • SPF (Sender Policy Framework): Authentifizierung von E-Mails durch Identifizierung von Mailservern, die zum Versand vom jeweiligen Domainnamen aus berechtigt sind
  • DKIM (DomainKeys Identified Mail): Fügt jeder E-Mail eine digitale Signatur hinzu, um zu überprüfen, ob sie von einem autorisierten Domainnamen gesendet wurde
  • DMARC (Domain-Based Message Authentication, Reporting and Conformance): bestätigt SPF- und DKIM-Einträge und legt fest, wie nicht konforme E-Mails behandelt werden sollen

Wenn E-Mails mit BIMI versendet werden, führt der empfangende E-Mail-Server zunächst die standardmäßige DMARC/DKIM-Authentifizierung und SPF-Validierung durch. Wenn die E-Mail diese Prüfungen besteht, überprüft der Mailserver, ob sie einen gültigen BIMI-Eintrag hat, und zeigt das Markenlogo an.

Wie interagiert BIMI mit DMARC, DKIM und SPF?

Der erste Schritt zur Verwendung von BIMI zur Anzeige eines Logos ist die Implementierung von DMARC. Dies wird als DNS-Eintrag vom Typ TXT auf dem Domainnamen gespeichert. Damit DMARC mit BIMI funktioniert, muss die Ablehnungsrichtlinie in diesem Eintrag für alle von Ihrer Domain gesendeten E-Mails p=quarantine oder p=reject lauten.

BIMI erfordert DMARC… und DMARC erfordert, dass Ihr Domainname DKIM-Einträge hat, um zu funktionieren. Während DMARC nur SPF- oder DKIM-Einträge erfordert, um zu funktionieren, ist es trotzdem besser, SPF-Einträge für mehr Sicherheit bei der Verwendung von BIMI einzuschließen. Diese beiden Sicherheitstools werden auch als TXT-DNS-Einträge in der Domainnamenzone gespeichert.

VMC, das letzte Glied in der Kette

Ein Prüfzeichen-Zertifikat ist ein digitales Zertifikat, das den Besitz eines Logos bestätigt und die Verwendung von BIMI in E-Mail-Clients wie Gmail vervollständigt.

Das VMC-Zertifikat garantiert die Echtheit des angezeigten Logos, das notwendigerweise dem Inhaber des Domainnamens gehört, der die E-Mail versendet. Es ist das letzte Glied in der Kette, um die Authentizität der empfangenen E-Mail zu garantieren.

Wenn Sie eine E-Mail an einen Kontakt senden, übernimmt der empfangende Mailserver, der den Posteingang verwaltet, die URL des Tags, der angibt, wo das Logo angezeigt werden soll. Er überprüft dann das VMC-Zertifikat, um sicherzustellen, dass das richtige Logo verwendet wird. Sobald das Logo vom VMC verifiziert wurde, wird BIMI es neben der E-Mail im Posteingang anzeigen.

Um ein VMC-Zertifikat zu erhalten, ist die Implementierung von DMARC auf dem Domainnamen Voraussetzung. Es folgt ein Authentifizierungsprozess mit einer Zertifizierungsstelle, die die Identität der Organisation validiert, die Registrierung des Logos bei einer zertifizierten Stelle und die Ausstellung des Zertifikats nach einem persönlichen Treffen mit einem Notar.

Je nach Land können die Ämter für geistiges Eigentum für die Eintragung von Logos unterschiedlich sein, ebenso wie die Regeln für die Zulassung zur Ausstellung des Zertifikats.

Zugelassene Marken können sein:

  • Bild-Marken: bestehen ausschließlich aus einem Logo
  • Verbale Marken: Sie bestehen aus Wörtern, Buchstaben und/oder Zahlen, ohne besondere Schriftart, Größe, Farbe oder Stil
  • Kombinationsmarken: beinhalten eine Kombination von Wörtern mit einem Muster, stilisierten Buchstaben oder Zahlen

Obwohl dies derzeit keine Voraussetzung für die Implementierung von BIMI in Ihrem Domainnamen ist, sollte VMC in Zukunft Teil des Standards sein.

Entrust Datacard und DigiCert sind die ersten beiden Unternehmen, die VMC-Zertifikate für den BIMI-Standard ausstellen. Nameshield ist Partner beider Unternehmen und unterstützt Sie bei der Beschaffung von VMC-Zertifikaten. Sie können sich bei allen Fragen zu diesem Thema direkt an unsere Zertifikatsabteilung wenden.

BIMI + VMC = Garantie der Authentizität

BIMI, VMC… und Nameshield

Nameshield unterstützt seine Kunden bei der Implementierung von DMARC, SPF, DKIM sowie von BIMI-Protokollen und der Erlangung der zugehörigen VMC-Zertifikate. Der Domain-Name ist der Kern der Implementierung dieser verschiedenen Protokolle. Unser  Geschäft als Registrar und Verwalter von DNS-Zonen erlaubt es uns heute, unsere Kunden bei diesen wichtigen Themen des Kampfes gegen Online-Betrug und der Steigerung der Erwünschtheit von E-Mails zu unterstützen.