DMARC Archives - News zu Cybersicherheit, geistigem Eigentum und Domainnamen

E-Mail Sicherheit in Unternehmen – Interview

Das Thema E-Mail Sicherheit ist lästig, wird aber immer wichtiger, wie wir an der aktuellen BSI-Veröffentlichung sehen, die sich explizit diesem Thema widmet. Ich hatte bei meinem letzten Besuch in Frankfurt die Gelegenheit, mit unserem Experten für E-Mail Sicherheit, Herrn Jochen Schönweiß, zu sprechen.

Susanne Neuber: Hallo Jochen, sag mal, warum sollte das Thema E-Mail Sicherheit Unternehmen interessieren?

Jochen Schönweiss: Oh, da gibt es natürlich eine ganze Menge Gründe! Zunächst einmal ist die E-Mail nach wie vor das Einfallstor Nummer 1 für Cyberangriffe.

Ich denke da zum Beispiel an CEO-Fraud, bei dem sich der Angreifer als eine ranghohe Führungskraft des Unternehmens ausgibt und von einem Mitarbeiter die Überweisung größerer Summen fordert. Oder an Phishing generell oder Ransomware. Das Prinzip ist immer ähnlich: Angreifer nutzen täuschend echte E-Mails, um Mitarbeiter zur Preisgabe sensibler Daten oder zur Ausführung schädlicher Dateien zu bringen.

Weiterhin werden in Firmen tagtäglich vertrauliche Daten (Kundendaten, Verträge, Angebote, interne Informationen) versendet. Unverschlüsselte oder kompromittierte E-Mails können zum Datendiebstahl führen – mit gravierenden finanziellen und rechtlichen Folgen. So kann ein erfolgreicher Angriff per E-Mail erhebliche Kosten verursachen (z. B. durch Betriebsunterbrechungen, Rechtsstreitigkeiten). Zusätzlich können Geldstrafen und Bußgelder durch Aufsichtsbehörden verhängt werden.

SN: Ok, das sind schon mal viele gute Gründe, die einen hellhörig werden lassen sollten. E-Mail Verkehr findet ja aber auch mit Kunden oder Dienstleistern statt.

JS: Genau! Zum Kunden hin gesehen kann ein E-Mail-Leak oder erfolgreicher Cyberangriff den Ruf eines Unternehmens massiv schädigen. Kunden und Partner erwarten, dass ihre Daten sicher behandelt werden – eine Sicherheitsverletzung kann Vertrauen dauerhaft zerstören.

Nicht zu vergessen ist auch, dass es mittlerweile eine Reihe von gesetzlichen Vorgaben gibt, die eingehalten werden müssen. Datenschutzgesetze wie die DSGVO schreiben den Schutz personenbezogener Daten vor – auch beim Versand per E-Mail. Branchen mit hohen regulatorischen Anforderungen (z. B. Finanzwesen, Gesundheitswesen) müssen da noch einmal besondere Sicherheitsstandards einhalten.

Wir beobachten, dass die Angreifer immer professioneller werden: mit KI-generierten Phishing-Mails, gefälschten Absenderadressen oder gezielten Social-Engineering-Attacken. Herkömmliche Spamfilter reichen oft nicht mehr aus.

SN: Mich hast Du auf jeden Fall schon mal überzeugt. Welche Abteilung sollte Deiner Meinung nach das wichtige Thema E-Mail Sicherheit in die Hand nehmen?

JS: Das Thema E-Mail-Sicherheit betrifft zwar das gesamte Unternehmen, aber die Verantwortung sollte klar zugewiesen sein – mit Schnittstellen zu mehreren Abteilungen.

In erster Linie sehe ich die IT bzw. IT-Sicherheitsabteilung in der Verantwortung, bei größeren Firmen also der CIO bzw. CISO. Er hat das technische Know-how zur Implementierung von Schutzmaßnahmen (z. B. Spamfilter, E-Mail-Verschlüsselung, DMARC), kennt die Infrastruktur des Unternehmens und kann Risiken erkennen, bewerten und absichern. Er ist derjenige, der in der Lage sein sollte, Sicherheitsvorfälle zu erkennen und zu beheben.

SN: Dann liegt das Thema also bei der IT?

JS: Nicht nur. Auch der Personalabteilung kommt meines Erachtens eine wichtige Rolle zu. Oft ist der Mensch das schwächste Glied der Sicherheitskette. Deswegen ist eine gute Schulung der Mitarbeiter wichtig. Auch das E-Mail-Marketing, der Datenschutzbeauftragte und nicht zuletzt die Geschäftsführung sind bei dem Thema miteinzubeziehen.

SN: Wie kann der Schutz konkret aussehen? Welche Produkte helfen?

JS: Zu Sicherstellung der Authentizität von E-Mails empfehle ich sowohl die Kombination aus DMARC; SPF und DKIM , als auch das Signieren und ggf. Verschlüsseln von E-Mails mithilfe von S/MIME oder PGP. Damit das ganze auch zum Kunden hin sichtbar wird, ist BIMI eine gute Ergänzung

SN: Oha, was verbirgt sich hinter diesen ganzen Kürzeln?

JS: Also, DMARC ist ein Protokoll zur E-Mail-Authentifizierung, das SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) ergänzt. DMARC ermöglicht es Domaininhabern, Richtlinien für den Umgang mit nicht authentifizierten E-Mails zu definieren und kann regelmäßige Berichte liefern, die Informationen darüber enthalten, wie die E-Mails der Domain durch SPF und DKIM authentifiziert wurden, sowie Details über mögliche Probleme und Missbrauchsfälle.

SPF ist ein Protokoll zur Überprüfung der IP-Adressen eines Absenders einer E-Mail. Es verwendet DNS-Einträge, um zu bestätigen, dass der sendende Server berechtigt ist, E-Mails im Namen einer bestimmten Domain zu versenden.

DKIM (DomainKeys Identified Mail) ist ein Signaturverfahren für E-Mails, bei dem der Absender eine kryptografische Signatur mit dem privaten Schlüssel der Domain erstellt. Der Empfänger kann diese Signatur mit dem öffentlichen Schlüssel im DNS verifizieren, um die Authentizität und Integrität der E-Mail zu überprüfen.

Mit S/MIME (Secure/Multipurpose Internet Mail Extensions) und PGP (Pretty Good Privacy) kann der Sender E-Mails signieren und verschlüsseln, um Vertraulichkeit, Authentizität und Integrität der Kommunikation sicherzustellen

Und BIMI (Brand Indicators for Message Identification) ist ein E-Mail-Sicherheitsstandard, der es Unternehmen ermöglicht, ihr Markenlogo neben E-Mails anzuzeigen, die sie senden. Dies geschieht durch die Authentifizierung von E-Mails mittels DMARC, wodurch die Wahrscheinlichkeit verringert wird, dass Phishing- oder Spam-E-Mails im Namen der Marke versendet werden. BIMI erhöht das Vertrauen der Empfänger in die Authentizität von E-Mails und stärkt gleichzeitig die Markenwahrnehmung.

SN: Ach, ich glaube, das kenne ich, bei meinen E-Mails ist jetzt manchmal das Logo des Absenders im Postfach. Das sieht super aus finde ich.

JS: Ja und nicht nur das, es beweist die Authentizität des Absenders und erhöht damit Deine Sicherheit als Kunde.

SN: Das scheint mir eine runde Sache zu sein. Vielen Dank für das Gespräch lieber Jochen!

JS: Gerne und kein Problem! Melde Dich gerne, wenn Du noch Fragen hast.

Haben Sie noch Fragen bzw. benötigen Sie Unterstützung bei der Implementierung der genannten Sicherheitsprotokolle? Dann wenden Sie sich gerne direkt per Mail an jochen.schoenweiss@nameshield.net!

BSI empfiehlt Upgrade für die E-Mail-Sicherheit und fordert offiziell DMARC-Standard

Am 26. Mai 2025 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Beitrag der Allianz für Cyber‑Sicherheit (ACS) neue Impulse zum Thema E‑Mail-Sicherheit gesetzt – mit erheblicher Bedeutung für alle Unternehmen, die E-Mails versenden.

🚀 Was wurde angekündigt?

📢 Aktivierung von SPF, DKIM und DMARC als zentraler Baustein gegen Spoofing und Phishing – seit langem bewährte Standards, nun mit verstärktem Fokus durch das BSI

📢 Empfohlene Einrichtung von DANE mit DNSSEC-Schutz: Besonders für eingehende Mails wird ein durchgängiger Schutz empfohlen. DNSSEC ist Voraussetzung, um TLSA-Einträge abzusichern und Manipulationen über DNS-Ausgestaltung wirksam zu verhindern: Ein echter Mehrwert im Angebot für Kunden, die nicht nur Domain-Sicherheit, sondern Ende-zu-Ende‑Authentizität wünschen.

Achtung: nicht jeder Registrar stellt seinen Kunden DNSSEC zur Verfügung – bei Nameshield ist dies selbstverständlich möglich, sprechen Sie uns gerne an.

📢 Praktische Tipps zur Konfiguration und Hinweis auf häufige Fehler, z.B. Null-MX für nicht‐genutzte Domains oder typische Zeichen- und Tippfehler beim Eintrag der SPF-, DKIM- und DMARC-Records.

📢 Warnung vor geringer DNSSEC-Durchdringung: Viele Unternehmen scheuen DNSSEC aus Angst vor Fehlkonfiguration – dabei ist es das Rückgrat der E‑Mail-Sicherheit. Denn: Ohne DNSSEC bleibt SPF-, DKIM- oder DMARC-Schutz eine potenzielle Schwachstelle.

Benötigen Sie Unterstützung bei der Umsetzung der empfohlenen Maßnahmen? Sprechen Sie unser Team gerne an.

Ab sofort gültig: Microsofts neue DMARC-, SPF- und DKIM-Anforderungen

Am 5. Mai 2025 hat Microsoft angekündigt, sein E-Mail-Sicherheitssystem zu verbessern, indem nun neue strenge Anforderungen für die Authentifizierung von E-Mails gelten.

Dieser Schritt kommt nicht überraschend und reiht sich in die Reihe von Gmail, Yahoo und Apple ein, die seit 2024 DMARC von Absendern verlangen, die mehr als 5000 oder mehr E-Mails pro Tag versenden. Die wichtigsten E-Mail-Dienste haben somit ihre Anforderungen an die Sicherheit von E-Mails verschärft, um besser gegen zahlreiche Cyberbedrohungen (Spam, Phishing durch Identitätsdiebstahl) vorgehen zu können.

Dabei sind nicht nur große Konzerne von dieser neuen Regeln betroffen, es reicht bereits aus, einmal an einem Tag 5000 E-Mails zu versenden, z. B. für eine Marketingkampagne, um betroffen zu sein. So können auch kleine Unternehmen und Verbände dem Risiko ausgesetzt sein, dass ihre E-Mails zurückgewiesen werden.

Welche Risiken bestehen für nicht konforme Unternehmen?

Unternehmen, die sich nicht auf diese neuen Anforderungen eigestellt haben, riskieren seit dem Inkrafttreten dieser Regeln am 5. Mai, dass ihre E-Mails im besten Fall im Spam landen und im schlimmsten Fall abgelehnt werden. Microsoft hat klargestellt, dass nicht authentifizierte E-Mails den Code „550; 5.7.515 Access denied, die sendende Domain [SendingDomain] erfüllt nicht die erforderliche Authentifizierungsstufe“ tragen werden.

Unternehmen riskieren daher:

dass ihre E-Mails nicht ankommen (Marketing-E-Mails, Rechnungen, Zurücksetzen von Passwörtern oder andere wichtige Mitteilungen).
ihren Ruf als nicht konformer Versender zu beschädigen und das Vertrauen ihrer Kunden zu gefährden.

Wie können Sie die neuen Microsoft-Richtlinien einhalten?

Mehrere Protokolle wie SPF, DKIM und DMARC können effektiv eingesetzt werden, um Ihre E-Mails zu sichern:

SPF (Sender Policy Framework) ermöglicht es Mailservern zu überprüfen, ob eine empfangene E-Mail tatsächlich vom gemeldeten Hostserver stammt. Diese Überprüfung erfolgt automatisch und ist für den Empfänger transparent.
DKIM (Domain Keys Identified Mail), ist eine kryptografische Signatur des DKIM-Nachrichtenkörpers, die die Authentizität der Absenderdomain überprüft und die Integrität der Nachricht gewährleistet.
Schließlich wird DMARC (Domain-based message authentication, reporting and conformance) in den Authentifizierungsprozess für eingehende E-Mails einer Organisation integriert. Mithilfe von DMARC können Empfänger feststellen, ob eine Nachricht konform ist. Es setzt voraus, dass die Nachricht die SPF- und/oder DKIM-Validierung durchlaufen hat und die Domainnamen übereinstimmen.

DMARC ist eine Pflicht, keine Option mehr: Nameshield unterstützt Sie bei der Einhaltung der Vorschriften!

Angesichts dieser Veränderungen bietet Nameshield maßgeschneiderte Dienstleistungen an, um Unternehmen und Organisationen dabei zu helfen, die DMARC-Anforderungen von Microsoft bestmöglich zu erfüllen :

Einrichten Ihrer Plattform
Begleitung bei der Veröffentlichung der DMARC-Einträge in allen Zonen
Überprüfung von SPFs (Syntax, IP-Liste, abgewerteter oder leerer Wert, …)
Vorschlag zur Anpassung der sendenden Subdomains, mit dem Ziel, die Angriffsfläche zu begrenzen
Analyse der RUAs und Empfehlungen für notwendige SPF / DKIM-Änderungen
Empfehlung der durchzuführenden Änderungen: DMARC-Quarantine, Reject und Anpassung der SPF- und DKIM-Einträge.
Verfolgung von auffälligem Verhalten, Phishing-Versuchen und Sensibilisierung.

Um DMARC richtig zu verstehen, können Sie unsere Infografik herunterladen. Zögern Sie nicht, sich mit unseren Teams in Verbindung zu setzen, um Ihre Fragen zu beantworten und Ihre E-Mails zu sichern.

Verkürzung der Laufzeit von SSL/TLS-Zertifikaten auf 45 Tage bis 2027: Apple macht den ersten Schritt

Am 9. Oktober teilte Apple dem CA/Browser Forum mit, dass es auf GitHub einen Entwurf für die Abstimmung über zwei wichtige Ereignisse in der Lebensdauer von SSL/TLS-Zertifikaten zur Kommentierung veröffentlicht hat:

Schrittweise Verkürzung der Höchstdauer öffentlicher SSL/TLS-Zertifikate auf 45 Tage bis 2027
Schrittweise Verkürzung der Wiederverwendungsfrist für DCV-Challenges auf 10 Tage bis 2027

Im März 2023 kündigte Google in seinem Fahrplan „Moving Forward, Together“ an, dem CA/B-Forum eine Verkürzung der maximal möglichen Gültigkeitsdauer für öffentliche TLS-Zertifikate von 398 Tagen auf 90 Tage anzubieten. Seit dieser Ankündigung wartet der Markt gespannt auf Googles Bestätigung, vor allem aber auf den Zeitplan für die Umsetzung… bisher ohne Erfolg. Mozilla seinerseits kündigte vor einigen Wochen an, dem Beispiel von Google bei seinem Firefox-Browser folgen zu wollen, ohne weitere Details zu nennen.

Apple hat nun den ersten Schritt getan und am 9. Oktober bekannt gegeben, zukünftig sowohl die Lebensdauer von Zertifikaten auf 45 Tage zu verkürzen (statt wie erwartet 90 Tage) als auch die Dauer der DCV-Challenges auf 10 Tage zu begrenzen, gemäß dem unten stehenden Zeitplan. Ein echter Paukenschlag:

Sep-15-2025 => Zertifikate und DCV-Validierungszeiten auf 200 Tage reduziert
Sep-15-2026 => Zertifikate und DCV-Validierungszeiten auf 100 Tage reduziert
Apr-15-2027 => Zertifikate und DCV-Validierungszeiten auf 45 Tage reduziert
Sep-15-2027 => DCV Validierungszeit: 10 Tage

Was steckt hinter der Entscheidung, welche Folgen hat sie und wie können Sie sich als Domaininhaber auf die Veränderungen vorbereiten?

Kontext und Analyse:

Im ersten Stadium wird die Veröffentlichung von den Marktteilnehmern kommentiert werden, bevor die formelle Abstimmung im CA/B-Forum erfolgt, über die wiederum die Mitglieder abstimmen: die Herausgeber von Internet-Browsern (Google, Mozilla, Apple und Microsoft…) einerseits und die Zertifizierungsstellen andererseits. Sicherlich wird es noch Änderungen geben, aber die Grundidee steht und der Prozess ist in Gang.

Die Softwarehersteller sind sich in der Tat einig, dass die Lebensdauer von Zertifikaten verkürzt werden muss. Unter den Zertifizierungsstellen unterstützt Sectigo, einer der wichtigsten Akteure in der Zertifikatsbranche, die Initiative bereits. Es ist davon auszugehen, dass die Dinge von nun an schnell voranschreiten werden und in den kommenden Wochen oder Monaten nur wenige Kommentare eingehen und ein Votum verfasst wird. Sobald wir mehr über die Bestätigung der Laufzeiten und des Zeitplans wissen, werden wir Sie natürlich informieren.

Erwartete Ergebnisse:

Lebensdauer von Zertifikaten: Ob 90 Tage, 45 Tage oder sogar weniger, diese Verkürzung ist keine Überraschung mehr und hat erhebliche Auswirkungen auf das Portfolio öffentlicher Zertifikate. Die Zertifikate können nicht mehr manuell verwaltet werden. Der Markt hat mit dem Übergang zur Automatisierung begonnen, insbesondere durch CLMs (Certificate Lifecycle Managers). Für Unternehmen und Organisationen wird es darauf ankommen, sich auf Partner zu verlassen, die so viele Verbindungen wie möglich zwischen Organisationen, Zertifizierungsstellen und CLMs anbieten können.
Dauer der DCV-Abfrage: Eine Verkürzung der Dauer der DCV-Abfrage auf 10 Tage hätte, sofern sie validiert wird, erhebliche Auswirkungen, vielleicht sogar mehr als eine Verkürzung der Lebensdauer von Zertifikaten. Bislang hat die Branche Domainnamen 398 Tage lang vorvalidiert und dabei nur einmal die DCV-Anforderung verwendet. Die Ankündigung von Apple würde somit die Verwendung einer DCV-Challenge für praktisch alle Bestellungen erzwingen, was einen großen Paradigmenwechsel darstellen und Verbindungen mit einem weiteren Baustein im Ökosystem mit sich bringen würde: dem DNS. Bei der DCV-Abfrage (Domain Control Validation) wird in die Zone des/der im Zertifikat aufgeführten Domainnamens/-namen eingegriffen, im Idealfall sofort, um das Zertifikat zu validieren.
Dauer der Organisationsauthentifizierung: Apple hat nichts zum Thema der Gültigkeitsdauer der Organisationsauthentifizierung für OV-Zertifikate bekannt gegeben, die derzeit 825 Tage beträgt. Es kursieren jedoch Gerüchte, dass diese auf 398 Tage oder sogar 365 Tage verkürzt werden könnte.

Was Sie bereits jetzt tun können:

Der Schlüssel zu einer erfolgreichen Zertifikatsverwaltung liegt in der Automatisierung. Eine Zertifikatslebensdauer von 45 Tagen entspricht 9 Eingriffen pro Jahr und Zertifikat. Eine manuelle Verwaltung wird damit utopisch. Wir empfehlen Ihnen folgende Lösungsbausteine:

Zertifikatsanbieter/Zertifizierungsstelle (CA): ein vertrauenswürdiger Partner, der Sie bei Problemen mit der Authentifizierung in Ihrem Unternehmen und Ihrer Domain unterstützt. Das Dienstleistungsniveau ist der Schlüssel zu einem guten Management. Ein Multi-CA-Partner wird daher empfohlen, um die Abhängigkeit von einer einzigen CA zu begrenzen, wie im Falle der jüngsten Rückschläge von Entrust.
Registrar/Primärer DNS: Die Beherrschung des primären DNS der in den Zertifikaten aufgeführten Domainnamen wird zum Schlüssel für die Zustellung. Jedes Mal, wenn ein Zertifikat ausgestellt wird, wird ein TXT oder CNAME in der/den betreffenden Zone(n) installiert. Eine Verbindung zwischen der CA und dem DNS ist unerlässlich.
CLM-Editor: Der CLM hat die Aufgabe, das Zertifikatsportfolio zu inventarisieren, Regeln für die Verwaltung des Zertifikatsportfolios festzulegen und den gesamten Bestellprozess zu automatisieren, von der Erstellung von CSRs bis zum Einsatz von Zertifikaten auf Servern. Um ordnungsgemäß zu funktionieren, ist der CLM auf Verbindungen mit CAs oder Zertifikatslieferanten angewiesen.

Vorbereitung bedeutet also, die geeignetste Lösung auf der Grundlage dieser drei Dimensionen zu ermitteln und diese Analyse durchzuführen, um die Auswirkungen in Bezug auf Verfahren, Technologie und Budget – im Idealfall – vor Ende des ersten Halbjahres 2025 zu verstehen.

Der Ansatz von Nameshield:

Nameshield nimmt als Registrar und Anbieter von Multi-AC-Zertifikaten eine besondere Stellung auf dem Markt ein. Seit über 10 Jahren stellt die Authentifizierung von Organisationen und Domains mit Zertifikaten unser Tagesgeschäft dar. Einerseits haben wir eine enge Beziehung zu den größten CAs auf dem Markt (Digicert, Sectigo, GlobalSign), andererseits beherrschen wir den DNS-Brick für die DCV-Validierung. Infolgedessen können wir öffentliche Zertifikate fast sofort ausstellen. Nicht zuletzt verfügt Nameshield über Beziehungen zu den wichtigsten Akteuren auf dem CLM-Markt, so dass Sie eine umfassende Verbindung zwischen den verschiedenen an der Zertifikatsverwaltung beteiligten Parteien sicherstellen können. Auf diese Weise können wir Sie dabei unterstützen, sich gut auf die oben genannten Herausforderungen vorzubereiten.

Für weitere Informationen wenden Sie sich bitte an unser Verkaufsteam oder an unser Team für Zertifikate.

Das Vertrauen der Nutzer im Mittelpunkt – Highlights des CSA E-Mail Summits 2024 in Köln

In Köln fand vom 22. bis 24. April der Certified Senders Alliance Summit zum Thema „Trust fuels the future » statt. Und es gab Grund zum Feiern: bereits seit 20 Jahren hat sich die Initiative das Thema sichere E-Mail auf die Fahnen geschrieben

Die Unternehmenskommunikation hat sich in den letzten 20 Jahren mit dem Aufstieg der sozialen Netzwerke stark verändert: Instagram hat heute monatlich insgesamt mehr als 2 Milliarden Nutzer, YouTube mehr als 2,5 Milliarden und Facebook mehr als 3 Milliarden. Obwohl diese Plattformen weitgehend in die Kommunikationsstrukturen der Unternehmen integriert sind, ist die Nutzung von E-Mails zur Kundenkommunikation nach wie vor von hoher Relevanz – unter anderem aufgrund der Vielfältigkeit ihrer Einsatzgebiete wie z.B. Versand von Mailings, Newslettern, Rechnungen oder auch Auftragsbestätigungen . Daten von Statista zeigen einen Anstieg des Gesamtvolumens an E-Mails um 4,3 % im Jahr 2023 im Vergleich zum Vorjahr mit fast 347,3 Milliarden E-Mails, die täglich weltweit verschickt werden. Ein weiterer Fakt ist, dass eine Person im Durchschnitt etwa 121 E-Mails pro Tag erhält; eines scheint sicher: Die E-Mail wird nicht so schnell verschwinden.

Gartner weist jedoch darauf hin, dass die Sorge um die Sicherheit von E-Mails zunimmt, da kaum ein Unternehmen von Sicherheitsvorfällen verschont bleibt. Phishing-Attacken durch bösartige Links oder Anhänge werden immer ausgefeilter und verursachen Daten- und Umsatzverluste. Ausgehend von dieser Feststellung bringt die CSA jedes Jahr Experten des E-Mail-Ökosystems zusammen, um sich über bewährte Verfahren und Lösungen auszutauschen, welche die Qualität des Kanals verbessern und so das Vertrauen auf Kundenseite in die E-Mail verbessern. Die Veranstaltung ist um eine Reihe von Workshops, Sessions, Konferenzen und Masterclasses herum organisiert.

Nameshield war als Gold-Sponsor auf der Jubiläumsausgabe des CSA Email Summits dabei. Im Rahmen ihres Workshops im DNS TRACK stellten unsere Experten Joëlle Samaké und Arnaud Witterheim heraus, dass es keine E-Mail-Sicherheit ohne sichere Domainnamen und eine robuste und leistungsfähige DNS-Infrastruktur gibt. Die Sicherheit von E-Mails hängt daher von der Wahl des Domainnamenanbieters und den Cybersicherheitslösungen ab, die er seinen Kunden anbieten kann. Dazu zählt der Einsatz des DMARC-Protokolls, das die Nutzer vor betrügerischen E-Mails schützt. Die personalisierten Marken-Top Level Domains, die sogenannten Dot Brands, sind ein weiterer Hebel, um im Hinblick auf die nächste Runde neuer generischer Domainendungen, die für April 2026 geplant ist, Vertrauen in die eigene Marke zu schaffen.

Für weitere Informationen zu unseren Lösungen wenden Sie sich bitte an Ihren Nameshield-Berater.

Nameshield auf dem CSA Summit in Köln – Feiern Sie mit uns das 20-jährige Jubiläum und seien Sie Teil der Diskussion rund um die Zukunft der kommerziellen E-Mail

Seit 20 Jahren hat sich die CSA (Certified Senders Alliance) die Stärkung des Vertrauens in den Kommunikationskanal E-Mail auf die Fahnen geschrieben. Brücken bauen zwischen E-Mail Versendern und E-Mail Anbietern war von Anfang an das zentrale Ziel der CSA – der Jubiläums-Summit dieses Jahr wird die Erfolgsfaktoren der Zukunft unter dem Motto ‚Trust Fuels the Future‘ untersuchen.

Nameshield ist als Gold-Sponsor der Veranstaltung mit dabei – unser Team würde sich sehr freuen, Sie dort zu treffen. Sichern Sie sich marktführendes Know-How mit den Erkenntnissen von CSA und den sich entwickelnden Best Practices. Wir sind besonders gespannt auf die Diskussion rund um die Implementierung von DMARC, das sich gerade zu einem neuen Standard entwickelt. Nameshield stellt seinen Newsletter-Abonnenten drei Gutscheine im Wert von 100 € zur Verfügung. Bei Interesse wenden Sie sich bitte an Ihren Ansprechpartner bei Nameshield – first come, first served!

Treffen Sie ein internationales Netzwerk von Marken, Agenturen, E-Mail-Dienstleistern und Mailbox-Anbietern zum dynamischen Informationsaustausch im gut vernetzten E-Mail-Ökosystem! Der CSA Email Summit ist nicht nur eine Veranstaltung, sondern Ihr Weg, Ihr volles Potenzial in der sich ständig weiterentwickelnden Landschaft der kommerziellen E-Mail auszuschöpfen.

Der CSA Email Summit wird von verschiedenen Branchenverbänden unterstützt und bietet eine solide Plattform für Gespräche, welche wertvolle Einblicke in die Zukunft des E-Mail-Marketings erlauben. Lernen Sie von Branchenexperten in Workshops, Sessions, Kurzvorträgen und Masterclasses, um Ihre Fachkenntnisse zu erweitern.

Bitte kontaktieren Sie das Nameshield-Team für weitere Informationen und um einen Termin auf dem Summit zu vereinbaren!

PCI DSS – Implementierung von DMARC bald für Händler notwendig

Als Reaktion auf die explosionsartige Zunahme von weltweit gemeldeten Phishing-Angriffen wird die nächste Version der Standards für die Kreditkartenindustrie (PCI DSS v4.0) die Implementierung des DMARC-Protokolls vorschreiben, um den E-Mail-Verkehr sicherer zu machen.

Hier finden Sie alles, was Sie darüber wissen sollten.

Was ist PCI DSS und wer ist davon betroffen?

Dieses Akronym steht für eine Reihe von Sicherheitsstandards, die entwickelt wurden, um den Schutz von Informationen im Zusammenhang mit Kreditkarten zu gewährleisten. Diese Standards wurden vom Payment Card Industry Security Standards Council (PCI SSC) geschaffen. Die Organisation vereint die wichtigsten Unternehmen der Kreditkartenbranche wie Visa, MasterCard, American Express, Discover und JCB.

Das Hauptziel des PCI DSS ist es, die Sicherheit von Transaktionen mit Kreditkarten zu gewährleisten und die sensiblen Daten der Karteninhaber, wie Kartennummern, Ablaufdaten und Geheimzahl, zu schützen.

Die Einhaltung des PCI DSS ist für alle Organisationen erforderlich, die Kreditkarteninformationen verarbeiten, speichern oder weitergeben.

In seiner aktuellen Version basiert der Standard auf den folgenden Kriterien:

Einrichtung und Verwaltung eines sicheren Netzwerks und Systems
Schutz der Daten des Karteninhabers
Aufrechterhaltung eines Programms zum Schwachstellenmanagement
Umsetzung strenger Maßnahmen zur Zugangskontrolle
Regelmäßige Überwachung und Tests der Netzwerke
Aufrechterhaltung einer Richtlinie zur Informationssicherheit

E-Mails nicht betroffen von den Maßnahmen – bis März 2025

Wie Sie bemerkt haben, werden E-Mails in den Kriterien, die der PCI DSS-Standard in seiner aktuellen Version definiert, nicht eindeutig erwähnt. Da E-Mails jedoch der Hauptvektor für Online-Betrügereien sind, war es höchste Zeit, sie vollständig in den Mittelpunkt zu stellen und einen starken Aktionsplan zum Schutz von Händlern und ihren Kunden zu definieren.

In diesem Zusammenhang wird sich der PCI DSS-Standard bald weiterentwickeln und den Einsatz einer strengen DMARC-Richtlinie („p=reject“ oder „p=quarantine“) vorschreiben, damit Anti-Spam-Software E-Mails, die von Ihrem Domainnamen aus ohne Ihre Genehmigung verschickt werden, effektiver herausfiltern kann.

Ab März 2025 werden PCI DSS-Prüfer die korrekte Konfiguration der Protokolle SPF, DKIM und DMARC bei ihren Audits berücksichtigen.

Die Experten von Nameshield stehen Ihnen gerne zur Verfügung, um Sie bei der Einführung dieses Protokolls zu unterstützen.

_{Bildnachweis: pixabay/storyset.com/nameshield}

Neue Anforderungen an die E-Mail-Authentifizierung von Google und Yahoo

Google und Yahoo haben kürzlich bedeutende Änderungen an ihren Anforderungen für die Authentifizierung von E-Mails angekündigt. Diese Anpassungen zielen darauf ab, die Sicherheit der Online-Kommunikation zu erhöhen, was in der heutigen Zeit der Cyberkriminalität eine große Herausforderung darstellt.

Die beiden Branchenriesen legen den Schwerpunkt auf die Einführung fortschrittlicher Authentifizierungsprotokolle, insbesondere DMARC (Domain-based Message Authentication, Reporting and Conformance). DMARC baut auf den bestehenden Standards SPF und DKIM auf und bietet eine robuste Methode, um die Authentizität von E-Mails zu überprüfen und das Risiko von Identitätsdiebstahl und Phishing zu verringern.

Um diese neuen Anforderungen umzusetzen, werden Google und Yahoo ihre Algorithmen anpassen, um E-Mails von Domains zu priorisieren, die DMARC korrekt implementiert haben. Dadurch soll die Zustellbarkeit authentifizierter E-Mails verbessert werden, wodurch das Vertrauen der Nutzer in die Sicherheit ihrer Posteingänge gestärkt wird.

Die neuen Richtlinien gelten ab dem 1. Februar 2024 für alle Absender, die mehr als 5.000 E-Mails pro Tag versenden. Sie unterstreichen das Engagement von Google und Yahoo im Kampf gegen Online-Bedrohungen, insbesondere gegen Phishing, eine gängige Methode von Cyberkriminellen, um Nutzer zu täuschen und an ihre sensiblen Informationen zu gelangen. Durch die Einführung strengerer Anforderungen an die E-Mail-Authentifizierung erhöhen diese Unternehmen den Schutz der Nutzer vor bösartigen Angriffen.

Für Domaininhaber und Akteure der digitalen Welt ist es nun entscheidend, diese neuen Richtlinien einzuhalten, um zur Schaffung eines sichereren und geschützteren Internets für alle beizutragen.

Die Experten von Nameshield stehen Ihnen gerne zur Verfügung, um Sie bei der Einführung dieses Protokolls zu unterstützen.

Deutsche Banken mit Nachholbedarf? Neue Nameshield Studie zum Thema E-Mail Sicherheit bei Banken

Nameshield führt als Experte der Themen Domainsicherheit und Online Brand Protection regelmäßig Studien zur aktuellen Lage in diesen Bereichen durch, so auch bei unserer aktuellen DMARC-Studie.

Da Finanzinstitute und deren Kunden ein attraktives Ziel für Angreifer sind und mit dem DMARC-Standard ein zuverlässiger Schutz vor Phishing E-Mails möglich ist, haben wir uns in der aktuellen Studie gefragt, wie weit deutsche Banken bei der Umsetzung bereits fortgeschritten sind. Um eine Vergleichsbasis zu haben, wurde das europäische Bankenumfeld in die Analyse miteinbezogen.

Basierend auf unserer über 30-jährigen Erfahrung auf dem Gebiet der Domain- und E-Mail-Sicherheit kann Nameshield in dem Report auch erste Handlungsempfehlungen geben. Der vollständige Report steht hier für Sie zum Download bereit. Fragen Sie auch gerne eine personalisierte Auswertung und Beratung bei uns an.

ChatGPT, kannst du mir eine Phishing E-Mail schreiben?

„Können Maschinen denken?“, diese doch recht einfache Frage des Mathematikers Alan Turing aus dem Jahr 1950 löste den Beginn der Forschung und langwieriger Experimente rund um die künstliche Intelligenz aus. Heute haben die zahlreichen Forschungen und technologischen Fortschritte Früchte getragen und viele Erfindungen, bei denen künstliche Intelligenz zum Einsatz kommt, sind entstanden. 72 Jahre später, am 30. November 2022, kommt chatGPT auf den Markt. chatGPT wurde von OpenAI, einem Forschungsunternehmen für künstliche Intelligenz, entwickelt und hat sich schnell in der breiten Öffentlichkeit etabliert. Heute gibt es 186 Millionen Konten und 1,6 Milliarden Zugriffe allein im März 2023.

**Was ist chatGPT und wie funktioniert es** ?

ChatGPT ist ein Chatbot mit künstlicher Intelligenz und einem selbstgenerierenden System. Das bedeutet, dass die Maschine „konversationell interagiert“, indem sie eine natürliche Sprache verwendet (NLP „Natural Language Processing“ genannt). Die künstliche Intelligenz greift dabei auf Deep-Learning-Algorithmen zurück; sie ist in der Lage, die Fragen der Nutzer zu analysieren und passende Antworten zu generieren. Mit der Zeit lernt chatGPT nicht nur von den Fragen, sondern auch von den Antworten seiner Nutzer. Dadurch kann der Chatbot auf eine sehr breite Palette von Anfragen antworten, wie z. B. das Schreiben von Bewerbungen, Hausarbeiten oder auch Codezeilen. Und wenn die Antwort nicht passt, kann man einfach einen Dialog mit ihm führen und eine überzeugendere Antwort wird vorgeschlagen. Aus diesem Grund hat diese Erfindung so schnell so viele Menschen begeistert.

ChatGPT bringt jedoch auch Risiken mit sich, unter anderem in Bezug auf die Cybersicherheit und, genauer gesagt, Phishing.

Große Macht – große Verantwortung: Der Umgang mit den Cyber-Risiken, die mit chatGPT verbunden sind, wird zu einer herausfordernden Aufgabe. Gemeinhin gehen Cyberkriminelle nicht zimperlich vor. In den letzten Jahren haben die weltweiten Straftaten und Cyberangriffe stark zugenommen (plus 38% im Jahr 2022.)

Was angesichts von chatGPT Sorgen bereitet, ist dessen Einsatz zur Vorbereitung von Phishing-Angriffen. Seine Fähigkeit, Texte aller Art fehlerfrei zu schreiben und dabei menschenähnliche Antworten zu generieren, ist ein großer Trumpf für Cyberkriminelle. Dies verschärft eine bereits vorhandene und weit verbreitete Bedrohung. Der IC3-Bericht des FBI für das Jahr 2022 zeigt, dass Phishing das Delikt ist, das am häufigsten gemeldet wurde. Mit 300.497 Anzeigen allein in den USA im Jahr 2022 wird Phishing nicht nur in den Vereinigten Staaten, sondern auch weltweit zur am weitesten verbreiteten Art von Cyberangriffen. Damit ist die Thematik nicht nur ein regional weit verbreitetes Problem, sondern sie betrifft auch alle Branchen.

Phishing wird von Cyberkriminellen eingesetzt, um an persönliche und sensible Informationen über ihre Opfer zu gelangen. Dazu geben sich die Kriminellen mithilfe von Nachrichten, die sie per SMS, Telefonanruf oder E-Mail versenden, als vertrauenswürdige Organisationen aus. In diesen Nachrichten fordern sie ihre Opfer auf, auf einen Link zu klicken, um ihre persönlichen Daten einzugeben.

OpenAI verbietet ausdrücklich jede böswillige Nutzung von chatGPT. Wenn der Bot direkt aufgefordert wird, einen bösartigen Code zu schreiben oder eine Phishing-E-Mail zu verfassen, weigert er sich. Mit anhaltendem Nachdruck und einer geschickten Wendung kann die künstliche Intelligenz jedoch genügend Informationen liefern, um einem Cyberkriminellen die Arbeit zu erleichtern. Diese Manipulation kann mit der Standardversion von chatGPT durchgeführt werden, ohne dass ein „JailBreaking“ erforderlich ist.

Interview mit chatGPT

Was sagt der Hauptbetroffene dazu? Um der Sache auf den Grund zu gehen, haben wir uns daran gemacht, chatGPT einige Fragen zu stellen, um seine „Meinung“ zur Situation zu erfahren, aber auch um die Erstellung betrügerischer E-Mails zu testen.

Erstens, aus rechtlicher Sicht: Folgt chatGPT einem Verhaltenskodex und gibt es Vorgaben, die das ‚Verhalten‘ von künstlichen Intelligenzen regeln ?

Bisher gibt es in Europa noch keine wirklichen Gesetze, die den Einsatz von künstlichen Intelligenzen wie chatGPT regeln. Die Europäische Kommission hat jedoch bereits ein Projekt gestartet, um einen Rechtsrahmen zu schaffen, und es wurden bereits Vorschläge für Richtlinien erstellt. Daher gibt es in Europa noch keine offiziellen Regeln oder Verbote. Dennoch wird erwartet, dass sich die Situation in den nächsten Monaten oder Jahren ändern wird. ChatGPT unterliegt also keinen gesetzlichen Vorgaben, allerdings scheint das Tool einem moralischen Verhaltenskodex zu folgen.

Laut Eigenauskunft darf chatGPT folgendes nicht tun: sich an illegalen Aktivitäten beteiligen, geistige Eigentumsrechte verletzen, persönliche oder vertrauliche Informationen bereitstellen und schließlich die Identität einer Person oder einer Organisation vortäuschen.

Wir haben ihn auch um seine Meinung gebeten, ob er einer Person helfen würde, einen Phishing-Angriff zu starten. Er bestätigt uns, dass er dazu moralisch nicht berechtigt ist

Im Anschluss prüften wir, ob es möglich sei, frei verfügbare Informationen über das Vorhandensein eines DMARC-Eintrags in der Zonendatei eines Unternehmens zu erhalten. Domain-Based Message Authentification Reporting and Conformance (DMARC) ist eine Methode zur E-Mail-Authentifizierung, die es dem Domaininhaber ermöglicht, Anweisungen für die Verarbeitung von Nachrichten in seinem E-Mail-System zu definieren – ein wirksames vorbeugendes Mittel gegen Phishing. Cyberkriminelle können diese Informationsabfrage nutzen, um Unternehmen als Angriffsziel auszuwählen, welche DMARC noch nicht implementiert haben, da die Erfolgswahrscheinlichkeit eines Phishing-Angriffes hier höher ist.

ChatGPT war nicht in der Lage, direkt etwas über den DMARC-Eintrag des Unternehmens zu sagen, erklärte uns aber, wie man ihn mithilfe der Windows-Befehlszeile erhalten kann.

Anschließend baten wir chatGTP, eine Phishing-E-Mail für uns zu formulieren. Nach anfänglicher Skepsis konnten wir ihm schnell die richtigen Fragen stellen. Schließlich war er in der Lage, uns eine überzeugende E-Mail zu schreiben, die von einer Bank stammen könnte.

Eine nahezu perfekte Phishing-Falle, denn sie enthält alle Codes einer klassischen E-Mail einer Bank, in der der Empfänger aufgefordert wird, seine persönlichen Daten preiszugeben. Die Nachricht ist in gutem Deutsch und ohne Rechtschreibfehler verfasst und fordert den Empfänger auf, schnell und ohne weiteres nachzudenken zu handeln. ChatGTP scheint eine willkommene Arbeitserleichterung für Cyberkriminelle zu sein, da sie die Hürde der weltweit weniger verbreiteten und relativ schwer perfekt zu erlernenden deutschen Sprache meistert – eine bedrohliche Entwicklung.

Was können wir von der Zukunft erwarten?

Wird es möglich sein, die Entwicklung der KI zu blockieren oder zu verlangsamen? Nach der Veröffentlichung von chatGPT haben einige einflussreiche Persönlichkeiten aus der Technologiebranche, wie Elon Musk oder Steve Wozniak, Mitbegründer von Apple, ihre Bedenken geäußert, indem sie Petitionen unterzeichnet und einen offenen Brief veröffentlicht haben, die darauf abzielen, die Forschung und die Veröffentlichung einer KI, die über chatGPT hinausgeht, auszusetzen. Dies spiegelt die Besorgnis der Europäischen Kommission und der Bürger über den technologischen Fortschritt wider.

Es ist jedoch schwer vorstellbar, dass künstliche Intelligenzen wie chatGPT in Zukunft völlig verboten werden – trotz der Risiken, die sie beispielsweise in Bezug auf die Cybersicherheit darstellen. Wie im Entwurf der Europäischen Kommission vorgeschlagen, wird die Nutzung von künstlichen Intelligenzen wie chatGPT reguliert werden. Es ist jedoch unwahrscheinlich, dass dies ausreicht, um Cyberkriminelle, die chatGPT als Phishing-Werkzeug einsetzen wollen, zu bremsen.

Besser scheint es, sich auf die Risiken, die mit künstlicher Intelligenz verbunden sind, vorzubereiten und sein Unternehmen zu schützen.

DMARC-Richtlinie von Nameshield

Ein erster wichtiger Schritt sind Schutzmaßnahmen im Bereich E-Mail. Cyberkriminelle versuchen oft, über diesen Weg an Ihre Informationen und die Ihres Unternehmens zu gelangen.

Eine effektive Möglichkeit zum Gegenangriff besteht darin, eine DMARC-Richtlinie einzusetzen.

Die Einführung einer DMARC-Richtlinie in Ihrem Unternehmen hat viele Vorteile. Sie ermöglicht es Ihnen, Spoofing-Versuche und betrügerische E-Mails zu blockieren. Darüber hinaus wird die Authentifizierung Ihres Datenverkehrs verbessert und die Zustellbarkeit Ihrer E-Mails erhöht.

Nameshield unterstützt Sie bei der Einführung einer DMARC-Richtlinie. Mit unserem Fachwissen können wir dafür sorgen, dass die Implementierung unter den bestmöglichen Bedingungen erfolgt.
Zögern Sie nicht, sich mit Ihrem Nameshield-Berater in Verbindung zu setzen und halten Sie sich über technologische Fortschritte wie chatGPT und deren sicherheitsbezogene Folgen auf dem Laufenden, indem Sie unseren Newsletter abonnieren.

Bildquelle : Unsplash