Willst du direkt anfangen?
Der Thorsten würde euch über E-Mail-Zustellbarkeit erzählen, aber weil er
ziemlich viel zu erzählen hat, machenwir jetzt einfach ganz schnell weiter.
Wunderbar.
Vielen Dank.
Ich freue mich, dassbei diesem doch sehr
technischen Thema soviele Leute hier im Raum sind.
Das wird sehr technisch heute.
Wir bekommen das hin.
Vielleicht einmal kurz die Frage, wer hatsich mit dem Thema schon mal beschäftigt?
Und wer von denen hat es verstanden?
Gut.
Ich sehe das Problem.
Ging mir nicht anders.
Der einzige Grund, warum ich diesen Talkhalte, ist, dass ich mich durch dieses
Thema wühlen musste und mir dachte,wenn ich das jetzt schon gemacht habe,
dann können ja auch andere davonprofitieren.
Und ich teile das.
Und ich versuche jetzt,also der Talk endet ja mit
noch BIMI und malgucken, ob wir da hinkommen.
Wir haben ein bisschen Programm vor uns.
Ich versuche also schnell durchzukommen.
Ich komme noch so ein bisschen darauf an.
Wie sehr ihr mir die Rückmeldung gebt,dass ihr nicht mitkommt oder mitkommt.
Wir schauen mal.
Am Anfang werde ichein bisschen schneller
sein, weil ich denke,dass das bekannt ist.
Aber ich nutze es mal als Einführung indas Thema.
Warum beschäftigen wir uns eigentlich mitdem ganzen Kram?
Hat mit Spam zu tun.
Was ist Spam?
Spam sind unerwünschte, massenhaftverschickte Nachrichten, die uns
unverlangt zugeschickt werden und vorallem werbisch sind.
So die Definition aus der Wikipedia.
Warum ist das ein Problem?
Ganz einfach.
Das sind Zahlen aus dem Jahr 2022.
Es wurden 333 Milliarden E-Mailsverschickt, täglich.
Und davon sind 162, das ist 49 Prozent,also knapp die Hälfte, davon ist Spam.
Das ist also eine unglaubliche Welle,die da verschickt wird.
Und... Da müssen wir irgendwieHerr werden, diesen Problemen.
So.
Kurzer Fun Fact.
Woher kommt eigentlich dieser BegriffSpam?
Das ist aus einem Monty Python Sketch,wo die Menüs, wie man hier sehen kann,
hoffentlich sehen kann.
Die Lichtsituation ist ja nicht ganz sogeil.
Wo alles mit dem Wort Spam, Spam,Spam, Spam und Spam vollgemüllt wird.
Und die ganze Kommunikation gehijackt wirddurch dieses Wort.
Und das ist quasi der Herkunft.
Aber eigentlich ist der Nameeben Unsolicited Commercial
E-Mail, also eine unverlangtekommerzielle E-Mail.
Ansonsten kennt man natürlich auch Scam,Phishing, Hoaxes, die verschickt werden.
Was so typischerweise alles unter diesemSpam Begriff eben subsummiert wird.
Wir kennen alle dieE-Mails, die uns Viagra
verkaufen wollen oderOnline Casino Spiele etc.
etc.
Das ist quasi das Problem.
Und warum sitzen wir hier?
Weil im Februar dieses Jahres Google undYahoo angekündigt haben, sie werden die
Daumenschrauben jetztein bisschen anziehen
und sie verlangen entwedereinen gesetzten SPF.
Was das ist, dazu kommen wir gleich.
Oder einen DKIM.
Und noch ein paar weitere Dinge,die gesetzt sein müssen.
Und für Massenversender, also wenn ihreine Newsletter versenden wollt über
einschlägige Anbieter, dann gelten nochstriktere Regeln.
Die zum Beispiel, die nicht zum Beispiel,sondern die bedeuten, dass wir nicht nur
SPF oder DKIM einrichten müssen,sondern eben beides.
Und außerdem muss auch noch einDMARC-Wert gesetzt werden.
Was genau hier noch die weiterenDefinitionen sind, dazu kommen wir später.
Genau, da wird noch quasi näher definiert,wie der DMARC gesetzt sein muss.
Das ist quasi das, was uns auch betrifft,wenn wir einen Newsletter versenden wollen.
Und das ist das, womit dieKunden ja dann wahrscheinlich
zu uns als diejenigen, diees umsetzen, eben kommen.
So.
Kurze Begriffserklärung.
Wenn nicht im Folgenden von MUA die Redeist, dem Mail User Agent, dann sind die
Programme gemeint, mit denen wir am Endedie E-Mails empfangen.
Also Thunderbird, Outlook und Apple Mailund wie sie alle heißen.
Und wenn von MTA dieRede ist, dem Mail Transfer
Agent, dann ist die Softwareauf dem Server gemeint.
Also Postfix, Sendmail, Postmaster.
Das ist quasi das, vondenen man dann manchmal
Mails kriegt, wennirgendwas schief gelaufen ist.
Das ist quasi die Software, die auf demServer läuft, um die Mails zu versenden.
Kurz durchschnaufen.
Jetzt geht's los.
Also, wir haben ein Spam-Problem.
Wir müssen dem irgendwie Herr werden.
Was tun wir?
Wir versuchen also jetzt eine Gegenwehraufzubauen.
Und wer das Symbol da rechts unten erkenntund sich damit mal beschäftigt hat,
wie man das bei Kommentarspam macht,
der wird merken, es ist gar nichtso einfach.
Man könnte ja denken,naja, wenn im Text
einer E-Mail Viagrasteht, dann ist das Spam.
Ja, aber was ist, wenn ich jetztreinschreibe, oh, ich hasse es,
immer so viel Spam zu bekommen.
Da steht ständig Viagra drin.
Ist das ein ganz normaler Kommentar?
Den kann ich ja nicht aussortieren.
Also da müssen jetzt doch irgendwie nochein paar andere Dinge der Fall sein.
Und wenn man dann sagt, naja, okay,da müsste auch noch irgendwie...
weiß ich nicht, der Absender von mail.rukommen.
Das denke ich, ja, klar, das ist super.
Das wird wahrscheinlich bei mir im Blogsuper funktionieren.
Aber ich sage mal so, wennjetzt ein russischer Blogger
das einrichten würde,wäre jetzt nicht so schön.
Also das funktioniert irgendwie nicht,weil es gibt ja auch tatsächlich normale
User bei diesem Mail-Anbieter, dievielleicht nicht geblockt werden wollen.
Also es ist gar nicht so einfach,Spam zu erkennen.
Selbst mit AI und den Möglichkeiten,die wir da so haben.
Am Ende bleibt es halt, die Informationen,die wir zur Verfügung haben, doch recht
begrenzt.
Und so eindeutig können wir das eigentlichgar nicht bestimmen.
Wir müssen also mehrereKomponenten da irgendwie
kombinieren, um eine valideAussage treffen zu können.
Das ist der Grund, warum man den Ansatzumgedreht hat.
SPF, DMARC, DKIM undwie sie alle heißen, haben
eigentlich meistens nicht denAnsatz, Spam zu erkennen.
Auch wenn das in diesem Zuge immer erwähntwird, das hilft uns bei Spam.
Aber in Wirklichkeit geht es darum,seriöse E-Mails besser zu erkennen.
Und wenn ihr euch vondiesem Talk irgendeine
Sache mitnehmen wollt,dann ist das dieser Slide.
Weil das ist quasi jetzt erstmal so dasGrundprinzip von diesen ganzen Sachen.
Mit SPF definieren wir die Frage,wer darf eigentlich eine Mail versenden?
Und DKIM sichert, dass dieMail auf dem Weg unverändert
ist und wirklich vondiesem Absender stammt.
Ich stelle die Slides auch noch online,also ich müsste es nicht fotografieren.
Ich sagte nur, das ist eine wichtigeFolie.
Genau.
Und mit DMARC sagen wir, was passierteigentlich?
Wenn SPF und oderDKIM nicht richtig bedient
werden, also failen,was soll dann passieren?
Das ist quasi der Part DMARC,der das dann zusammenbringt.
Mit BIMI kann ich mein Logo automatischanzeigen, was auch dem Empfänger
signalisiert, diese Mail kommt wirklich
von diesem Anbieter.
Und mit MTA-STS, das ist euch vielleichtbei Websiten-Domains schon mal aufgefallen.
Es gibt dieses HSTS, mitdem man sagen kann, eine
Verbindung soll immerüber HTTPS stattfinden.
Und niemals über eine unverschlüsselteVerbindung.
Und das Gleiche können wir auch für dieVerbindung der Mail-Server vorgeben.
Dass also keine unverschlüsselten Verbindungenzum Mail-Server gemacht werden können.
Das ist quasi das Gleiche, nur aufMail-Server-Ebene.
Und wenn wir das auchnoch einen Report bekommen
wollen, dann ist dasquasi der letzte Punkt.
Das sind die Begrifflichkeiten,die uns jetzt hier so begegnen werden.
SPF, DKIM, DMARC, BIMI, MTA-STS,TLS-RPT.
So, es geht immer darum seriöse Mails zuerkennen und weniger um Spamerkennung.
Erster Punkt, SPF, dieSender Policy Framework.
Also wir können einenTXT-Record, das ist also
ein DNS-Eintrag, den wirfür die Domain vergeben.
Und der sagt, welcher Mail Server welcheIP-Adresse, welcher Host versenden darf.
Und wichtig ist, es wird sich dabei nichtdie From-Adresse
aus der E-Mail angeschaut.
Sondern, man schaut sich die
Verbindung an die zum SMTP aufgebaut wird.
Und die dauert, bis sich derMail-Server meldet.
Wer das noch nie gesehen hat.
Ich weiss nicht ob man das nocherkennen kann.
Das ist ein Screenshot von einerMail-Anfrage an einem Mail-Server
wo man sehen kann, wie dasfunktioniert.
Also der Server wird connected und dannmeldet sich der Mail-Server, meldet sich,
sagt seine Konfiguration, gibt er quasidurch und jetzt wird versucht,
eine Mail loszusenden mit dieserAbsenderadresse und der Mail-Server
antwortet, dass er von dieser Location
keine E-Mails versenden möchte.
Also das Relaying, also das Weiterleitender Mail ablehnt.
Das ist die richtige Antwort, wenn mandort gar keinen E-Mail-Postfach hat.
Aber da sieht man quasi, wie sich derServer meldet.
Diese Mail-From, das wird quasi jetztgenutzt und geprüft.
Eine E-Mail, müssen wir uns immer wiedervor Augen halten, ist nur eine Textdatei.
Der Header ist quasijede Zeile, ist eine
Konfigurationseinstellung,sowas wie To, From, BCC.
Dann kommt eine Leerzeile und dann kommtder Body.
Das ist quasi eine E-Mail runtergebrochenund ich kann da eintragen in den From,
was ich möchte.
Ich kann auch eine E-Mail schreiben,in der steht...
angela@bundeskanzleramt
Niemand hindert mich das zu tun,
das ist halt nur eine Textdatei.
Was wir aber jetzt mit SPF machenkönnen, ist, dass jetzt geprüft wird,
welcher Server sendet mirdenn diese Anfrage, von der
angeblich vom Bundeskanzleramtgerade geschickt wird.
Und dann wird jetzt ebender Server, der meldet sich
ja an, haben wir geradegesehen, und der prüft jetzt
für die Domain ob daein SPF gesetzt ist, und
schaut sich an, welcheServer dürfen denn senden.
Also welche Server sind autorisiert.
Vergleicht das mit dem, was in derE-Mail steht, bzw.
was der Mail-Servergemeldet hat, und kann dann
eben prüfen, passt daszusammen, matcht das?
Ja, dann ist die Mail in Ordnung.
Nein, dann ist es wohl Spam.
Vielen Dank an dieser Stelle übrigens anspf-record.de,
die mirnetterweise erlaubt haben,
deren Infografik zubenutzen, für diesen Talk.
So, und jetzt werden wir noch ein bisschentechnischer.
Konkret sieht das gerade soaus, also der DNS-Eintrag, wie
gesagt ein TXT -Eintrag,definiert erstmal die Version.
Es gibt noch keine 2, aber falls sie malkommen sollte, gibt es eben die
Möglichkeit, sie hierdirekt auszutauschen gegen
eine 2er-Version, fallses mal eine geben sollte.
Mit MX sagen wir, der Mail-Server,also Mail Exchange darf versenden mit A
der A-Record, also sprich die Webseiteselbst.
Und...
das Fragezeichen definiert,was passiert denn, wenn
nichts von den vorherigenEinstellungen matcht.
Was soll dann mit der Mail passieren?
Und dann gibt es eben dieMöglichkeit, die Mail abzulehnen,
die Mail in den Spam zu packenoder, ja, weiß ich auch nicht.
Das ist quasi das Fragezeichen,mach halt, was du denkst.
Das ist die schwächste Empfehlung,die man da machen kann.
Das ist so der typische Basis-SPF,den man immer setzen kann.
Wir erlauben dem Mail-Server,dass ist was man typischerweise
im jedem Fall möchte und der Webseite,damit
zum Beispiel sowas wie "Passwort vergessen"
oder so, solche Mails auch ankommen.
Und ansonsten, sagt man tue malnicht zu viel.
Entscheid mal selber.
Das ist eigentlich ein SPF, den manimmer setzen sollte,
bevor man gar keinen setzt.
Und das machen viele Hoster eben haltstandardmäßig genau so.
Wer sich das jetzt genauer angucken will.
Screenshot ist von der Wikipedia.
Da kann man das auch alles wunderbarnachlesen.
Es gibt halt noch statt dem Fragezeichenein Plus, ein Minus.
Also vor diesen M, X und A könnt ihr euchquasi immer ein Plus denken.
Das ist das, was erlaubt ist.
Und das All gilt halt für alles,was dann noch nicht erfasst wurde.
Und da könnte man eben auch sagen,rejecte das.
Also sprich, lehne die Mail komplett ab.
Die Tilde ist ein Soft-Fail.
Das klingt so komisch, Soft-Fail, meintaber dann typischerweise den Spam-Ordner.
Neutral ist wie gesagt nichts.
Jetzt wäre das ja schön einfach,aber manchmal möchte man dann ja zum
Beispiel von der gleichen Domain auch übereine Newsletter was verschicken.
Dann muss ich ja dem Newsletter daszusätzlich erlauben.
Dafür gibt es die Möglichkeit,entweder
die IP-Adressen über IP 4 oder 6 oderden Host über Include einzubauen.
Dann sage ich quasi, erlaube neben demMail-Server und dem A-Record auch noch
einem anderen Server, zum Beispiel demServer von Cleverreach oder Brevo oder wie
der Newsletter-Anbieter auch heißt,eben dann auch noch.
Und die Informationen bekommt mantypischerweise aus der Hilfe,
aus dem Support von demNewsletter-Anbieter.
So, kurze Fragerunde, ob ihr mitgekommenseid.
Wir haben jetzt hier eine typischeAnleitung von All-Inkl, ist das in diesem
Fall, wie man Outlook 365 einrichtet.
Da ist der SPF.
Wir haben hier einen Include.
Das ist der Standard vonOutlook 365, den man dann
hinzufügen muss, wenn maneben Outlook 365 nutzen möchte.
Wir haben hier ein Minus-All hinten.
Wir haben aber eine WordPress-Webseite aufder Seite laufen.
Jetzt, Frage in die Runde.
Wer kann sagen, was das Problem ist?
Exakt, genau.
Es wurde gerade gesagt, der A-Record-Eintrag fehlt und das ist genau richtig.
Wenn wir jetzt eben die Passwort-Vergessen-Funktion zum Beispiel nutzen wollen und
wir haben Gmail hinterlegt als Adresse,dann wird die nicht ankommen.
Gmail lehnt standardmäßig alles,was keinen SPF-Eintrag hat, ab.
Es ist aber kein SPF-Eintrag hinterlegtfür den A-Record.
Das ist aber die Webseite, die gerade danndie Mail verschickt.
Da ist also dieser Server gar nichterlaubt.
Folglich wird die Mail nicht ankommen.
Genau, mit SPF-Records gibt es noch mehrProbleme.
Einer ist zum Beispiel, dass wenn man zuviele Dienste nutzt,
irgendwann das Problem ist, dass zu vieleLook-Ups existieren.
Es dürfen nämlich nur maximalzehn Look-Ups in einem
SPF sein, weil sonst. Wurdeeingebaut um DDoS-Attacken.
Also, wenn man da jetzt ganz viele Werteeinträgt, könnte man den Server
beschäftigen, dass er dieganze Zeit immer Look-Ups
macht und um das zuverhindern, hat man das begrenzt.
Bedeutet, dass manchmal eine ganze Reihevon IP-Adressen dahinterlegt ist.
Weil die IP-Adresse selber muss ja nichtaufgelöst werden.
Das ist ja die fertige Adresse.
Das heißt, das kann man benutzen.
Oder man leitet auf,über ein CNAME,
auf etwas hin, wo dann dieIP-Adressen hinterlegt sind.
Genau, falls euch das mal begegnen sollte,wisst ihr, wo das Problem liegt.
So... genau, das überspringe ich mal.
SPF ist also vor allem ein Schutz vorunberechtigten SMTP-Relays, also dass ich
über einen Server E-Mails verschicke,der gar nicht autorisiert ist,
zu dieser Domain Mails zu verschicken.
Soweit alle mitgekommen?
Ich sehe nickende Gesichter, das ist gut.
Dann können wir uns DKIM widmen.
DKIM.
Asymmetrische Kryptographieklingt wahnsinnig kompliziert,
ist aber eigentlich nursowas wie PGP für Mails.
Wir haben einen MTA,der eine digitale Signatur
erstellt und siemitschickt in der E-Mail.
Und der empfangende MTA, also der andereMailserver, kann jetzt über den DNS-Eintrag
den öffentlichen Schlüsselnehmen, kann die E-Mail, das ist die
gesamte E-Mail inklusive aller Header,einen Hash-Wert berechnen und sich den
mit dem Hash, der in dem Header steht,abgleichen.
Wenn wir die Signatur so verifizierenkönnen, wissen wir, dass die Mail,
weil ja die Berechnung identisch ist,dass die E-Mail unverändert ist.
Wir haben also die Gewissheitüber SPF, dass der Server
der richtige ist, derautorisierte ist, der sendet.
Und mit DKIM wissen wir, dassniemand in der Mitte die Mail
verändert hat oder auf demWeg irgendwie verändert hat.
Genau, das heißt, wir nutzen diesen DNS-Eintrag einfach nur quasi um unseren
Public Key, unserenöffentlichen Schlüssel,
dem Mail-Server, demanderen Mail -Server.
Auch hier eine Infografik dazu,wie das eben dann aussieht.
Wir haben den versendenden Server,der mit einem privaten Schlüssel die
Signatur erstellt, auf dem DNS-Server denöffentlichen Schlüssel.
So kann eben der empfangene Server dieBerechnung nachbauen, den Wert nochmal
abgleichen und wenn das matcht,dann weiß er, alles klar ist.
Unverändert ist esokay, landet in der Inbox,
wenn nicht, dann istes wahrscheinlich Spam.
Problem ist, wir brauchen, um das testenzu können, den Selector, mit dem das
passiert, was das ein bisschen schwierigermacht zu testen im Vergleich zu SPF.
So, kommen wir schon zum dritten,DMARC.
DMARC ist jetzt das Domain-based,
Message, Authentication, Reporting undConformance.
So, das heißt, klingt auch wiederwahnsinnig kompliziert, ist aber auch
letzten Endes nur die Verbindung von SPFund DKIM und führt noch eine weitere Sache
ein, das Alignment, sagt abernur, was passiert, wenn das
eben nicht matcht, wenn wireinen SPF oder DKIM-Fail haben.
Der DMARC ist auch ein TXT-Eintrag,der _dmarc heißt und an der
Domain hängt, wir haben dort drin dieMöglichkeit, auch wieder so ein Basis
-DMARC zu setzen, damit überhaupt einergesetzt ist.
Auch hier haben wir eine Versionsnummer,die wir setzen können, falls es mal eine
Zweier gibt, auch hier gibt es noch keineZweier und die schwächste Variante ist,
P-Policy auf None zu setzen.
Weiß der Server schonmal, hier habe ich einen
DMARC-Eintrag, aber ichhabe noch nichts für dich zu tun.
Die Definition ist jetzt einbisschen komplizierter, wir
haben das auch hier wiederden Screenshot von Wikipedia.
Am Ende ist es aber auchalles verständlich, wir müssen
nur die komischen Abkürzungeneinmal nachvollziehen.
Wir haben mit PCT, das ist einfachPercent, die Abkürzung.
Und wenn man sehr viele Mails in einergroßen Firma hat, dann kann man sagen,
mach das doch erstmal nur für fünfProzent, zehn Prozent des gesamten Mail
-Aufkommens, damitich gucken kann, wie viele
Probleme passieren dennmit meiner Konfiguration.
Dann kann man sich einen aggregiertenBericht definieren, das ist das,
was man typischerweise machen möchte,um eben nachzuvollziehen, was gibt es denn
für Probleme mit meinen Mails,versuchen Leute, Mails von meiner Domain
zu senden, die aber nicht autorisiertsind.
Passiert das?
Wie häufig passiert das?
Die Policy ist, und das kommt jetzt dannbekannt vor, wie beim SPF,
None: Tue gar nichts,entscheide mal selber.
Quarantine: Bugs & Spam,Reject: Mail ablehnen.
Interessant ist hier noch,es gibt die Möglichkeit, für
Subdomains eine eigeneEinstellung zusätzlich einzurichten.
Und normalerweise ist der Standardwerteben das, was für die Domain gesetzt ist.
Man kann aber für Subdomains was andereseinstellen.
Ist jetzt gerade zumBeispiel bei IONOS der Fall,
dass die das für Subdomainsstrikter gemacht haben.
Weshalb man von
Subdomain-WordPress-Installationen nichtmehr Mails verschicken kann.
Da müsst ihr aufpassen,dass ihr das entsprechend
umkonfiguriert oder von derHauptdomain E-Mails versendet.
Genau, dann ist noch interessant derAbgleich-Modus für DKIM und SPF.
Das R und S steht fürStrict bzw. Relaxed.
Und da kommen wirspäter noch zu.
So, ich guck mal, das habe ich glaube ichalles gerade soweit erzählt.
Genau, bei DMARC schaut er sichtatsächlich dann jetzt die From-Zeile aus
der E-Mail an und nicht aus der SMTP-Server-Verbindung wie bei SPF.
Bei Strict muss die Domain exaktübereinstimmen.
Bei Relaxed kann es auch eine Subdomainvon der gleichen Domain sein.
Genau, typischerweise lässtman sich dann einen Fehlerbericht
zukommen, damit man dasGanze eben monitoren kann.
Interessant ist, dass ebenDMARC dann vor allem
bei größeren Mail-Aufkommenin größeren Firmen.
Und ja, wie wir das vorhin beiMassenversender versus Einzelversender haben.
Man kann es eben so konfigurieren,dass SPF oder DKIM,
eines davon erfolgreich sein muss odereben beides.
Genau, das habe ich soweit erzählt.
Probleme gibt es hier bei Mailinglisten,wenn Sie den Header verändern,
weil Sie dann noch Ihre Listeninformationreinschreiben.
Ihre Mailinglisten-Daten, weil dannverändern Sie ja die Mail.
Dann geht die Signatur kaputt.
Da muss man nochmal gucken, wie weit dasmit der Mailingliste zusammenhängt.
Wie weit das mit Mailinglisten funktioniert,falls das etwas ist, was ihr einsetzt.
Genau, dann schauen wir uns nochmal diesesAlignment näher an.
Auch hier wieder vielen Dank an DMARCian,die mir netterweise erlaubt haben,
die Infografiken zu benutzen für diesenTalk.
In einer E-Mail gibt es immer einenReturn-Path.
Das ist die E-Mail-Adresse, die benutztwird für Fehlermeldungen.
Also wenn ihr von diesem Mailer-DämonMails kriegt.
So ich konnte eine Mail nicht zustellen,etc.
Dann geht ihr an eine Rückläuferadresse.
Das ist der Return-Path,der hinterlegt ist.
Und hier sieht man, der ist von der Domainexample.com.
Wir haben aber auch hier eine DKIM-Signatur, die einen D für die Domain
einen Eintrag hat, der ebenfalls aufexample steht.
Und die From-Adresse.
Also der Absender hat halt auch dieexample-Adresse.
Das sind die drei Werte, dieübereinstimmen müssen, damit
dieser DKIM, SPF, DMARCeben entsprechend aligned ist.
Also zusammenpasst, matcht und erfolgreichist.
Ein Fail sieht dann entsprechend aus.
Wir haben hier eine Bounce-Adresse,die anders aussieht.
Der Server, der hier versendet,erstellt auch die DKIM-Signatur.
Deshalb ist er hier eingetragen,aber der Absender-Adresse ist eine andere.
Wir haben also jetzt hier kein Alignmentmehr.
Das ist also ein Alignment-Fail, der unsdann in den Reports wieder begegnen würde.
So, diese Report,die man da kriegt, ist
eine E-Mail mit einerangehängten XML-Datei.
XML-Dateien sind jetzt eher nicht soschön zu lesen.
Das ist eher so für Maschinen.
Man kann aber mit diesem XML-to-human-Converter von DMARC hier.
Da kann man einfach die Datei reinwerfen,die XML, und sich das dann angucken.
Da sieht man auch schon, ich habe dasjetzt mal für einen meiner Kunden gemacht.
Da hat mir also derFast-Mail, der Empfänger quasi
von der Gegenseite,schickt mir jetzt einen Report.
Und sagt mir nochmal, welche Policies sinddenn eingestellt.
Was er ausgelesen hat und wie er sichjetzt verhält.
Und er hat jetzt also von den Mails,die von unserer Domain zu deren
Mail-Server gegangen sind, hat er jetztgesehen, das sind Microsoft 365-Mails,
die zu 100% DMARC-compliant waren,weil sie ein SPF gesetzt hatten.
Es war kein DKIM gesetzt.
Da das aber relaxed eingestellt ist.
Also SPF oder DKIM ist das DMARC ein Pass.
Und deshalb habe ich hier ein grünesHäkchen.
Und alles ist gut.
Und mit solchen Reports kann man dannquasi das Mail-Aufkommen anschauen und
schauen, ob es da Probleme gibt.
So...
Das ist jetzt...
Ob du einen DMARC brauchst, wenn du einenSPF...
Also es geht eher darum zwischen SPF undDKIM.
Also einen davon brauchst du.
DMARC ist eher so die Überlegung,wenn du einen Report darüber haben
möchtest, wie sich der Server dannverhält.
Für manche Sachen ist das quasi eineVorgabe, dass DMARC vorhanden sein muss.
Da reicht im Zweifelsfall aber auch dieserBasis-DMARC.
So, habe ich die...
Wenn wir Fragen rauslassen, komme ich nochein bisschen weiter, glaube ich.
Ich stelle euch einmal noch kurz Online-Tools vor mit mxtoolbox.com.
Könnt ihr eure DNS-Einstellungen selberchecken.
Alternativ gibt es auch andere Anbieter.
NS-Lookup, DNS-Checker und viele anderemehr.
Ihr müsst halt nurirgendwie diese
TXT-Records auslesen können,um da dran zu kommen.
Ich habe noch ein paar weitere Quellen.
SPF-Records, Domain Security, DMARCian.
Ganz schön fand ich Learn DMARC.
Das ist so eine interaktive Tour,die ich sehr empfehlen kann.
Weil man dann einmal mit seiner eigenenDomain durchspielen kann, was da passiert.
Und der nimmt einen auf so eine Reise mit,um zu verstehen, was da passiert.
Und wie die Einstellungen sich auswirken.
So, problematisch ist
der Support leider zum Beispielbei Domain-Factory
wird kein DKIMund kein DMARC angeboten.
Ansonsten sollten im Prinzipeigentlich alle Hoster das
unterstützen, wo man an dieDNS-Einstellungen rankommt.
Wenn nicht, wird es für Newsletterschwierig.
Und es sollten aber zumindest diese BasisSPF und DMARC gesetzt sein, damit man...
oder ein DKIM standardmäßig eingerichtetsein, damit man eben keine Probleme kriegt.
Für Newsletter ist das dannaber ein Ausschlusskriterium,
wenn man das SPFnicht erweitern kann.
Ja...
So...
In WordPress,
ein bisschen WordPress-Bezug wollen wirvielleicht haben.
Es gibt ja diesen Website-Zustand.
Da gibt es auch ein Plugin dazu,das das noch ein bisschen erweitert.
Ist aber inzwischen in der Basisfunktionja im Core.
Und meine Idee war ja, dass.
Da haben wir ja eigentlich ein superKriterium, was man erweitern könnte.
Also ein super Ort.
Man kann ja über PHPauch DNS-Records abfragen
und man kann ja kurz einkleines Plugin schreiben.
Und das habe ich gemacht.
Ist auf GitHub aktuell.
Heißt DNS-Info underweitert einfach diesen
Bericht im Healthcheckum einen Bereich DNS.
Wo man dann eben diese Informationen
reinpacken kann.
Ich habe dazu auch ein Trac-Ticket beiWordPress eröffnet.
Wer Bock hat, damit einzusteigen und daszu verfeinern.
Ich freue mich über Mitmacher undMitmacherinnen.
Dann bin ich durch.
Ich danke euch für eure Aufmerksamkeit.
Und falls ihr Fragen
haben solltet und wir noch ein bisschenZeit haben, dann gerne.
Ich würde mich dafür interessieren.
Das DKIM löst eigentlichdas, was OpenPGP wollte
und SPF das, wasS-MIME bereitstellen sollte?
Dazu weiß ich zu wenig über S-MIME,ehrlich gesagt.
Aber ja, könnte sein, dass das hinhaut.
Also SPF sagt eben, wer darf versendenüberhaupt.
Und das andere ist es auch wirklichunverändert.
Und das mit diesen Public-Schlüsseln undso, das haut schon hin so von den...
Genau, Pi mal Daumen.
Oh, da sind mehr jetzt.
Hallo, Thorsten.
Erstmal vielen Dank für deinen tollenVortrag.
Ich habe eine Frage.
Also es geht im Moment...
Es ist eine Multisites-Websitegewesen, die
fast ungefähr 1000Webseiten drin beinhaltet.
Und das Problem ist, man hat z.B.
ein Kontaktformularund man möchte natürlich
jetzt irgendwie eineAbsenderadresse haben.
Und dann muss man das hinterlegen.
Und im Moment geht dasja nicht auf direktem Wege,
dass halt dieseAbsenderadresse geändert wird.
Mittels Hook schon, aber über Multisite-System sehr schwierig, sagen wir mal so.
Das Problem ist aber auch, dass halt dieseE-Mails noch nicht wirklich abgeschickt
werden können wegen diesem Problem,was ein...
Ich weiß den Namen nicht nennen von einemHoster, wo man halt die Sachen noch nicht
konfiguriert hat.
Und deswegen die E-Mails einfach gar nichterhalten werden.
Und meine Frage ist jetzt,hast du vielleicht eine Idee,
wie könnte man das zentralisiert,dieses Problem angehen?
Weil die ganzen Subpages in diesemMultisite-System sind auf verschiedenen Domänen.
Also müsste ich quasi in jeder Seite jetztreingehen und da alles nochmal anpassen?
Oder gibt es dagegebenenfalls auch eine
Möglichkeit, das irgendwiezentral zu steuern?
Sind es Subdomains oder wirklich einzelneDomains?
Einzelne Domains, also immer unterschiedlicheKundenadressen, die über ein System...
verwaltet werden, aber es wäre natürlichcool, eine E-Mail-Adresse einzurichten,
damit halt man über die E-Mail daserhalten kann.
Passwort vergessen etc., die kommeneinfach nicht an, weil der Server halt
nicht so konfiguriert wurde, sagen wir malso, dass das funktioniert.
Also auch wenn man schondie DNS-Einträge einfügt,
funktioniert es immer nochnicht, sagen wir mal so.
Deswegen ist meine Frage vielleicht,hast du eine Idee?
Oh... Also ich würde gucken,woran es genau scheitert.
Wenn du den SPF anstatt auf einen Host aufdie Server-IP-Adresse packen kannst,
aber wenn ich das richtig verstehe,mal hattest du das schon versucht,
wüsste ich gerade ad hoc auch nicht.
Also ist ein schönesProblem, über das es sich
lohnt nachzudenken, aberad hoc jetzt hier quasi.
Lass uns nachher schnacken.
Klingt nach etwas, was man,
was interessant ist, dass man das mal löstund wo man genauer gucken muss,
wie man das jetzt machen kann.
Aber ist jetzt nicht so, wo ich sage,ah ja, das liegt daran, mach mal so.
Das ist komplex und ja, schauen wir mal.
Hallo Thorsten, auch von mir vielen Dank.
Kannst du ein bisschen über BIMI erzählen?
Ja.
Die Abkürzung steht für Brand Indicatorsfor Message Identification.
Ist in Kurzform eine SVG-Datei in einemganz spezifischen Format, die hinterlegt
wird an einem Ort, den du dann über denDNS-Eintrag mitgibst.
Und das Ganze ist nur erlaubt,wenn du HTTPS eingerichtet hast.
Und eigentlich, wobei esinzwischen optional ist, sollte
man eine Verified Mark Certificatefür das Logo haben.
Also du musst quasi imbesten Fall nachweisen,
dass dir die Markegehört an diesem Logo.
Und dann hinterlegst du das SVG an dieserStelle und dann weiß,
das Mail-Programm, der Mail-Client weißdann, kann dann diesen DNS-Eintrag
auslesen, findet den SVG-Link und dannpassiert das, dass zum Beispiel hier das
Logo standardmäßig dasteht, ohne dassjetzt irgendwie Gravatar zum Beispiel
abgefragt wird, sondern das ist dann deinFirmenlogo, das da auftaucht.
Und das ist dann so eineSeriositätssache, dass dann irgendwie,
weiß ich nicht, dasSparkassen-Logo da steht oder so.
Das gibt dann nochmal eingutes Gefühl, dass das eine seriöse
E-Mail ist und die auch wirklichvon der Sparkasse kommt.
So.
Das ist BIMI.
Das sollte aber unsereletzte Frage, denke ich,
sein, sonst haben wirnämlich keine Pause mehr.
Wenn ich das jetzt richtig verstandenhabe, war ja bei den
DKIM- und DMARC-Einträgen die Möglichkeit,Spam zu markieren.
Aber das sind doch die Einträge,die der zu erhaltene Server ausliest.
Also in welcher Situation sollte ich meineeigene E-Mail als Spam konfigurieren oder
wofür war dieser Spam-Eintrag?
Das ist das, was man dem anderenMail-Server sagt.
Also eine Mail von einem Dritten wird anjemand anderen geschickt.
Und dieser andere, der muss ja jetztentscheiden, ist das wirklich eine Mail
von mir oder von irgendwem, der nichtautorisiert ist.
Und der guckt sich jetzt quasi über dieDNS-Einträge an, welche IP-Adresse er hat.
Also er darf sie dann zum Beispielversenden.
Das ist, was SPF macht.
Und stellt dann fest, derversendende Server ist aber
laut dem DNS-Eintraggar nicht erlaubt zu senden.
Dann ist das wahrscheinlichgar nicht von dem
Richtigen, sondern esist Spam, es ist Phishing.
Jemand schickt also zumBeispiel dir eine E-Mail und
die soll angeblich von mail attorstenlandsiedel.de kommen.
Ich habe die aber gar nicht geschrieben,sondern jemand möchte...
mit meiner Seriosität quasi von dir waserschleichen.
Und dann weiß der Server aber jetzt,das ist gar nicht erlaubt und kann diese
Mail eben als Spam verwerfen oder sogarablehnen komplett.
Wir sagen quasi einemdritten Mail-Server, wie es sich
zu verhalten hat, wenn derMatch eben nicht stattfindet.
So ist das gemeint.
Dann sind wir hier fertig erstmal.
Ich weiß gerade nicht, was der nächsteTalk ist.
Aber,
finde ich noch raus.
Dankeschön.