Voraussichtliche Lesedauer: 17 Minuten
Jeder der eine eigene Domain besitzt kennt den Schmerz. E-Mails landen eventuell beim Empfänger im Spam. Und das obwohl die Nachricht vielleicht nicht mal einen Anhang oder Bilder aufweist. Die Gründe dafür können vielfältig sein. Vielleicht ist die Domain auf einer Blacklist gelandet. Eventuell fehlt dir aber nur die richtige Konfiguration.
Was kann man also nun dagegen tun? Dies zeige ich dir in diesem Artikel mit einem detaillierten Guide. Ich spreche aus Erfahrung, da ich selbst damit gekämpft habe und mir alles mühselig zusammen suchen musste. Da mir auch häufiger Webseiten geholfen haben, die eine Liste an Lösungsmöglichkeiten gegeben haben, möchte ich für euch dasselbe tun.
Wie kann ich testen, ob meine Mails im Spam landen?
Das lässt sich leicht testen indem man über eine E-Mail-Adresse mit der eigenen Domain einfach eine E-Mail an eine andere eigene E-Mail-Adresse oder die eines Freundes sendet. Also beispielsweise von [email protected] an [email protected]. In den Betreff kann man einfach Test schreiben und in die Nachricht „Dies ist lediglich ein Test.“. Dabei sind große Anbieter wie Gmail oder Outlook empfehlenswert, da diese rigoros gegen Spam E-Mails vorgehen.
Sollte die E-Mail im Spam landen sieht das Ganze dann im Postfach oftmals so aus:
Wenn wir uns die E-Mail nun einmal genauer anschauen indem wir sie öffnen, sehen wir direkt eine große Warnung. Dadurch werden HTML-Inhalte und Bilder solange ausgeblendet bis wir auf eigene Gefahr unser Go geben und in dem Fall auf „sieht sicher aus“ klicken.
Nun wissen wir also, dass unsere E-Mails im Spam landen. Wenn das bei einer solchen Standard-Mail schon passiert, dann haben wir ein grundlegendes Konfigurationsproblem. Viele Punkte können dafür verantwortlich sein. Wir gehen diese nun nach und nach alle durch. Es lohnt sich alle Punkte umzusetzen, da sie alle die Glaubwürdigkeit im Internet für Spam-Tests erhöhen.
Die Blacklist für E-Mails (Spam-Indikator)
Bei einer Blacklist handelt es sich um eine gewöhnliche Liste mit Einträgen. Alles Einträge in dieser Liste sind nicht erlaubt und werden ausgeschlossen. Sollte nun eure Domain oder IP-Adresse darauf landen, dann werden eure E-Mails mit großer Wahrscheinlichkeit im Spam landen.
Du
Befindet sich meine Domain auf einer Blacklist?
Diese Frage lässt sich mit Hilfe von Tools aus dem Internet schnell beantworten. Jeder kann dies für jede verfügbare Domain im Internet überprüfen. Dabei kommt das E-Mail Blacklist Tool von MXToolbox zum Einsatz. Tragt einfach eure Domain ein und klickt auf den Button „Blacklist Check“. Danach wird überprüft und es sollte bei euch hoffentlich so aussehen wie auf dem nachfolgenden Bild.
Sollten nun doch Blacklist-Einträge gefunden worden sein, müssen wir diese entfernen und vor allem in erster Linie dafür sorgen, dass eure Domain nicht wieder auf der Liste landet. Dafür entfernen wir die Einträge aber zu erst.
Warum ist meine Domain auf der Blacklist?
Dies kann vielfältige Möglichkeiten haben. Aber hier einmal eine Aufzählung an Dingen, die möglicherweise Verursacher dafür sind:
- Spam Wörter in Betreff oder E-Mail Text wie bspw. limitiertes Angebot
- Ausschließlich groß geschriebene Wörter wie bspw. JETZT KAUFEN
- Betreff, der mit dem eigentlichen E-Mail Text nichts zu tun hat
- Zu viele eingebettete Bilder im E-Mail Text (nicht als Anhang)
- Meldungen von Nutzer über erhaltene Spammails
- Viele Ausrufezeichen bspw. Jetzt erhältlich!!!!!
Wie bekomme ich die Domain von der Blacklist entfernt?
Falls die Domain wirklich bei irgendeinem Provider geblacklistet wurde, dann hilft meist nur die direkte Kommunikation bei der Entfernung des Eintrags. Sprich man sucht sich den Service heraus und eine dementsprechende Kontaktmöglichkeit und bittet darum, dass der Eintrag entfernt wird.
Viele Anbieter stellen auch bereits ein Formular zur Verfügung, das genau für diesen Zweck vorgesehen ist. In diesem Formular trägt man dann lediglich die Domain, den Grund für die Entfernung des Eintrags und seine Kontaktdaten, oftmals in Form von Name und E-Mail-Adresse, ein und schon wird der Eintrag entfernt.
Meine Mails landen ohne Blacklisteintrag im Spam – was tun?
Dieses Problem ist mir bestens bekannt, da ich etwas in meinen DNS-Einträgen (Domain Name System) falsch konfiguriert hatte, respektive etwas gefehlt hatte. Im einfachsten Fall ist es vielleicht ein fehlender CNAME Eintrag in den DNS-Einträgen, wie es bei mir unter anderem der Fall war. Damit die E-Mails ihren korrekten weg finden konnten, brauchte ich den nachfolgenden Eintrag.
mail.sascha-brockel.de. 1 IN CNAME ssl0.ovh.net.Selbst, wenn es eigentlich reichen sollte, dass man die MX-Einträge (Mail Exchange) hinterlegt hatte, war es bei dem Anbieter OVH nicht der Fall. So kann es auch sein, dass ihr ähnliche Probleme bei anderen Anbietern habt. Diese Konfiguration muss man im Zweifelsfall bei dem jeweiligen Anbieter nachschauen.
MX-Einträge prüfen
Ein MX-Eintrag leitet E-Mails an einen Mailserver weiter. Wenn hier nicht der korrekte respektive vom Empfänger erwartete Mail Exchange Eintrag angegeben ist, führt dies in der Regel direkt zur Erkennung als Spam-E-Mail. Die Mails kommen zwar an, aber gehen nicht über den für sie vorgesehenen DNS-Pfad.
Das ist mit der Erteilung eines Nachsendeauftrags an die Post vergleichbar, damit Ihre Briefe auch nach dem Umzug richtig zugestellt werden.
Google (2022), https://support.google.com/a/answer/33915
Den MX-Eintrag findet ihr beim Hoster eurer Domain also beispielsweise Strato, IONOS, OVH, Google, etc. Wenn ihr eure DNS-Einträge bereits umgezogen habt, dann müsst ihr dort nachschauen. So habe ich aktuell meine Domain bei OVH, aber die DNS-Einträge bei Cloudflare. Der Domain-Hoster gibt die MX-Einträge vor. Die könnt ihr bei Bedarf durch Googlen schnell herausfinden.
Eine Ausnahme gibt es dann, wenn ihr einen Service wie die E-Mail-Weiterleitung von Cloudflare nutzt. Dann müssen die MX-Einträge auf die von Cloudflare geforderten Werte gesetzt werden, damit der Service funktioniert. Dies kann bei anderen Anbietern ebenfalls erforderlich sein. Meistens wird aber durch eine Anleitung genau erklärt, was zu tun ist.
Wenn man die Einträge nun auf ihre Korrektheit überprüfen möchte, kann man sich ein Tool von Google zur Hilfe nehmen. Und zwar handelt es sich hierbei um MX-Einträge prüfen aus der Google Admin Toolbox. Dort gebt ihr lediglich eure Domain inklusive Endung ein also bei mir sascha-brockel.de. Wenn alles richtig konfiguriert ist, sollte es ähnlich aussehen wie auf dem nachfolgenden Bild.
Den Punkt „Es wurden keine Google-Mail-Exchanger gefunden“ kann man getrost ignorieren, da er nur für Personen mit Google Workspace relevant ist. Sprich wenn die Domain auch bei Google liegt. Zu dem Punkt der fehlenden DKIM-Einrichtung kommen wir später noch. Selbiges gilt übrigens auch für die hier erfolgreiche Formatierung der DMARC-Richtlinien, die ihr eventuell noch gar nicht eingerichtet habt.
Nun sind die MX-Einträge erfolgreich eingerichtet, es sei denn die Überprüfung hat etwas anderes ergeben. Dann könnt ihr die obigen Punkt noch einmal abarbeiten. Damit kommen E-Mails nun auf jeden Fall an. Aber als Erkennung gegen Spam reicht dies nicht.
Spoofing & Phishing
Beim Spoofing kann man zwischen Domain-Spoofing, IP-Spoofing und E-Mail-Spoofing unterscheiden. Wir befassen uns hier aber nun passend zum Thema lediglich mit dem E-Mail-Spoofing. Beim E-Mail-Spoofing verwendet ein Angreifer einen E-Mail-Header, um seine eigene Identität zu verschleiern und sich als rechtmäßiger Absender auszugeben. Dabei werden Skripte verwendet, um die Felder zu fälschen, die ein E-Mail-Empfänger sehen kann.
Das heißt eben die Von (From) E-Mail-Adresse. Das E-Mail-Übertragungsprotokoll Simple Mail Transfer Protocol (SMTP) prüft leider nicht gegen solch eine Manipulation. SMTP überprüft den E-Mail-Header niemals, sondern nur „SMTP-Umschlag“. Und genau diesen wiederum sieht der Empfänger nicht. Aber als Domaininhaber kann man sich mit einigen DNS-Einträgen dagegen schützen. Diese folgen nach diesem Themenpunkt.
Unter Phishing versteht man das Versenden von gefälschten E-Mails, die darauf abzielen, dass Menschen auf einen Betrug hereinfallen. Es gibt außerdem Varianten bei dem der Fokus darauf liegt vertrauliche Informationen zu stehlen, um diese Informationen zu nutzen oder zu verkaufen. So würde der Angreifer sich als eure Domain respektive E-Mail-Adresse ausgeben und dementsprechend Vertrauen gewinnen, da es so scheint, als ob ihr diese E-Mail gesendet habt.
SPF-Eintrag gegen Spoofing
Ein SPF-Eintrag (Sender Policy Framework) listet die Server auf, die berechtigt sind, E-Mails von einer bestimmten Domain zu versenden. Wenn also jemand eine E-Mail-Adresse erfindet, die mit einer Domain verbunden ist, wird diese nicht im SPF-Eintrag aufgeführt und kann nicht authentifiziert werden.
Cloudflare (2022), https://www.cloudflare.com/de-de/learning/dns/dns-records/dns-spf-record/
Mit dem Sender Policy Framework oder SPF können Sie alle IP-Adressen und Hostnamen angeben, die E-Mails für Ihrer Domäne senden dürfen. Wenn SPF nicht für die Domäne konfiguriert wird, werden eure E-Mails möglicherweise von E-Mail-Empfängern blockiert oder als Spam markiert. Dementsprechend ist dieser Eintrag ein Must-Have gegen Spam.
So einen SPF-Eintrag könnt ihr euren DNS-Einträgen erstellen. Wie bereits beim MX-Eintrag oben erklärt, findet ihr die DNS-Einträge bei dem Hoster eurer Domain oder dem Anbieter, zu dem ihr die DNS-Einträge umgezogen habt. Ein SPF-Eintrag sieht folgendermaßen aus:
v=spf1 include:_spf.mx.cloudflare.net include:mx.ovh.com -allBei dem Eintrag handelt es sich dann um einen TXT-Eintrag. Mit TXT-Einträgen lässt sich jeder beliebige Text speichern, den ein Domaininhaber mit seiner Domain verknüpfen möchte. Einen SPF-Eintrag als solchen gibt es nicht. Als Name gebt ihr einfach eure Domain an, damit der Eintrag für die gesamte Domain valide ist. Das sieht dann als Export bei mir so aus:
sascha-brockel.de. 1 IN TXT "v=spf1 include:_spf.mx.cloudflare.net include:mx.ovh.com -all"Lösen wir die Formel einmal auf. v=spf1 teilt dem Server mit, dass der Text einen SPF-Eintrag enthält. Dann folgt der Teil, welcher besagt, welche Anbieter berechtigt sind, E-Mails im Namen der Domain zu versenden. Sprich hier sind es include:_spf.mx.cloudflare.net include:mx.ovh.com. Man kann aber auch anstatt include das Keywort ipv4 nutzen, welches dann beispielsweise so aussieht ip4=192.0.1.0. Dabei wird dann direkt gegen die angegebenen IP-Adressen, beziehungswiese hier nur gegen eine, getestet, welcher es erlaubt ist, E-Mails im Namen der Domain zu versenden.
Nun fehlt uns noch das Ende mit -all. Hierbei kann man zwischen drei Varianten unterscheiden:
-all- Adressen, die nicht im SPF-Eintrag aufgeführt sind, sind nicht berechtigt sind E-Mails zu versenden und sollen zurückgewiesen werden
~all- Nicht aufgelistete Adressen sollen als unsicher oder Spam markiert werden, aber dennoch akzeptiert werden
+all- Jeder Server/jede Adresse darf E-Mails im Namen der Domain senden
Pro Domain kann es nur einen SPF-Eintrag geben! Der Eintrag muss mit der Variable all enden oder eine Variable redirect: enthalten. Diese gibt an, dass der SPF-Eintrag von einer anderen Domain gehostet wird.
Warum mehrere Einträge bei Cloudflare?
Wie man unschwer erkennen kann verweise ich bei dem Beispiel sowohl auf eine Adresse von Cloudflare als auch OVH. Grund dafür ist, dass ich den E-Mail-Weiterleitungsservice von Cloudflare nutze. So muss Cloudflare dazu berechtigt sein E-Mail zu senden, auch wenn sie initial noch von OVH kommen. Zusätzlich brauche ich auch noch einen CNAME-Eintrag für die Unterdomain mail.sascha-brockel.de:
mail.sascha-brockel.de. 1 IN CNAME ssl0.ovh.net.Ansonsten gab es Probleme beim Versenden und Empfangen der E-Mails mit OVH. Vielleicht ist das hier eine Eigenart vom Domain-Inhaber.
DKIM-Eintrag gegen Spam
DomainKeys Identified Mail (DKIM)-Einträge verwenden ein Paar kryptografischer Schlüssel zur Authentifizierung: einen öffentlichen und einen privaten. Der öffentliche Schlüssel wird im DKIM-Eintrag gespeichert und der private Schlüssel signiert den DKIM-Header digital. Gefälschte E-Mails von einer Domain mit einem DKIM-Eintrag werden nicht mit den richtigen kryptografischen Schlüsseln signiert und können daher nicht authentifiziert werden.
Cloudflare (2022), https://www.cloudflare.com/de-de/learning/dns/dns-records/dns-dkim-record/
DKIM besteht aus zwei Teilen: dem DKIM-Eintrag, der im DNS für die Domain als Eintrag gespeichert wird, und dem DKIM-Header, der an alle E-Mails der Domain angehängt wird. DKIM verwendet digitale Signaturverfahren auf der Grundlage der Public Key-Kryptographie. Diese kennt ihr vielleicht von SSH-Verbindungen, bei denen man auch ein Paar kryptografischer Schlüssel verwendet (privater Schlüssel & öffentlicher Schlüssel).
Auch für DKIM müssen wir einen DNS-Eintrag respektive TXT-Eintrag in den DNS-Einstellungen erstellen. Ein DKIM-Eintrag sieht so aus:
v=DKIM1;t=s;k=rsa;p=MIGfMA0GCSqGSIb3DQEBAQUBB4GNADCBiQKBgQDWd7m0/outbPZPDp10SY8wpLKoHiNLiap6FvO3Ur0qHcMHmqZbKI1McugQNGttAeIPF4dAWiibtYvsZtgJrQMgTBY7gwuMUoSD23b/z9OoSExbi6PIO51/10JaCpvHa4wE/Gs2CBucGsVBSIpmm0EgpwniaQ8nUad5lV6QcZq/wwIDAQABKeine Sorge, den müsst ihr euch nicht selbst ausdenken. Dafür gibt es Tools wie den DKIM Record Generator von EasyDMARC. Hier gebt ihr lediglich euren Domainnamen an, also bei mir sascha-brockel.de, einen selbstausgewählten Selektor, den ihr nennen könnt, wie ihr möchtet, und könnt die Key Length auf 1024 stehen lassen.
Eine Sache fehlt in dem Eintrag aber standardmäßig. Darauf mache ich nun bei der Aufschlüsselung der Keywords aufmerksam. v=DKIM1 teilt dem Server mit, dass dies einen DKIM-Eintrag enthält. t=s ist optional, aber empfohlen und etwas sehr technisch. Nun der Teil, den ihr manuell ergänzen solltet: k=rsa ist der Verschlüsselungsalgorithmus, welcher immer RSA ist. Zu guter Letzt folgt der öffentliche Schlüssel p=<Wert aus Generator>.
Wichtig beim Einfügen als TXT-Eintrag ist nun euer selbstgewählter Selektor. In meinem Fall ist es wie auf dem Bild erkennbar „test„. Somit muss der Name für den Eintrag test._domainkey lauten. DKIM-Einträge enden immer auf _domainkey. Schlussendlich sieht das Ganze bei mir als exportierter DNS-Eintrag dann so aus:
test._domainkey.sascha-brockel.de. 1 IN TXT "v=DKIM1;t=s;k=rsa;p=MIGfMA0GCSqGSIb3DQEBAQUBB4GNADCBiQKBgQDWd7m0/outbPZPDp10SY8wpLKoHiNLiap6FvO3Ur0qHcMHmqZbKI1McugQNGttAeIPF4dAWiibtYvsZtgJrQMgTBY7gwuMUoSD23b/z9OoSExbi6PIO51/10JaCpvHa4wE/Gs2CBucGsVBSIpmm0EgpwniaQ8nUad5lV6QcZq/wwIDAQAB"Testen, ob der DKIM Eintrag funktioniert
Um zu testen, ob DKIM nun wirklich eingerichtet ist und wie erwartet funktioniert können wir das Tool DKIM Record Checker von EasyDMARC nutzen. Hier geben wir lediglich unsere Domain und unseren selbstausgewählten Selektor an. Anschließend sollten wir die Ausgabe unseres TXT-Eintrags zurückgeliefert bekommen. Wenn stattdessen die Nachricht „no selectors detected“ erscheint, stimmt irgendetwas nicht. Es kann einen Moment dauern bis der Domainhoster den TXT-Eintrag veröffentlicht hat. Das kannst du mit dem Supertool von MXToolbox überprüfen.
Nun hätte auch der Check bei Google MX-Einträge prüfen ergeben, dass DKIM erfolgreich eingerichtet ist, wenn man den DKIM-Selektor mit angegeben hat.
Den privaten Schlüssel muss man dann wiederum auf seinem Mail-Server und/oder seinen Domainhoster für die E-Mails installieren. Ohne diesen funktioniert das Ganze nicht. Die Installation unterscheidet sich bei allen Anbietern, aber kann schnell gegooglet werden.
DMARC-Eintrag im Verbund mit SPF & DKIM gegen Spoofing
DMARC-Einträge (Domain-based Message Authentication Reporting and Conformance) enthalten DMARC-Richtlinien, die E-Mail-Servern mitteilen, was sie nach der Überprüfung von SPF- und DKIM-Einträgen tun sollen. Domaininhaber können auf der Grundlage dieser Prüfungen Regeln festlegen, ob Nachrichten blockiert, zugelassen oder zugestellt werden sollen. Da DMARC-Richtlinien mit anderen Authentifizierungsrichtlinien abgeglichen werden und Domaininhabern die Möglichkeit geben, spezifischere Regeln festzulegen, bieten diese Einträge einen zusätzlichen Schutz gegen E-Mail-Spoofing.
Cloudflare (2022), https://www.cloudflare.com/learning/dns/dns-records/dns-dmarc-record/
Die DMARC-Richtlinie bestimmt, ob die E-Mail als Spam markiert, blockiert oder an den vorgesehenen Empfänger zugestellt wird. Zu erst werden durch SPF & DKIM mit Hilfe der Kopfzeile getestet und DMARC lässt uns nun entscheiden, wie wir vorgehen möchten, wenn die Tests bestanden wurden und wenn nicht. Ein DMARC-Eintrag sieht folgendermaßen aus:
v=DMARC1; p=quarantine; fo=1; rua=mailto:[email protected];Was bedeutet das nun? v=DMARC1 zeigt an, dass dieser TXT-Eintrag eine DMARC-Richtlinie enthält. p=quarantine gibt an, dass E-Mails, die DKIM und SPF nicht bestehen, unter Quarantäne gestellt werden sollen und als Spam betrachtet werden sollen. Andere mögliche Einstellungen hierfür sind p=none, was E-Mails, die nicht bestanden haben, trotzdem versendet. p=reject wiederum weist E-Mail-Server an E-Mails, die nicht bestanden haben, zu blockieren. fo=1 generiert einen DMARC-Fehlerbericht, wenn SPF und/oder DKIM beim Test durchfallen. Wenn man die Fehlerberichte nun an eine bestimmte E-Mail-Adresse erhalten möchte, muss man rua=mailto:[email protected] ergänzen.
Man kann die Einstellungen für DMARC noch viel feingranularer einstellen. Sprich, Prozentzahlen für Filterungen, Prüfmodi für SPF und DKIM und Weiteres. Die sogenannten DMARC Tags könnt ihr hier einsehen und nach eurem Bedarf anwenden.
Erneut müsst ihr einen TXT-Eintrag erstellen. Der Name für den Eintrag muss mit _dmarc beginnen. Darauf folgt dann regulär eure Domain. So wird der Eintrag von DMARC Prüfmechanismen wahrgenommen. Dies sieht dann als DNS-Eintrag Export bei mir so aus:
_dmarc.sascha-brockel.de. 1 IN TXT "v=DMARC1; p=quarantine; fo=1; rua=mailto:[email protected]"BIMI-Eintrag als Nice-to-Have
Ein Brand Indicators for Message Identification (BIMI)-Eintrag ist ein weiterer DNS-Eintrag durch große Hersteller vorangetrieben. Ihr kennt von eurem Smartphone sicherlich E-Mails in denen man beim Empfänger einen Kreise sieht, wo eventuell das Foto des Absenders hinterlegt ist, wenn ihr ihn eingespeichert habt oder beispielsweise das Google Logo, wenn ihr eine E-Mail von Google bekommt. Genau dasselbe könnt ihr auch für euer Branding mit eurem Logo machen.
Das ist aber durchaus komplex, da das Logo ganz viele Anforderungen erfüllen muss, um dann auch genutzt zu werden. Es muss eine SVG-Datei (Vektorgrafik) im Tiny-Format sein und vieles Weiteres. Dazu kann ich bei Bedarf einen separaten Artikel schreiben. Es würde ansonsten den Umfang sprengen. BIMI funktioniert nur in Zusammenarbeit mit DMARC. Dementsprechend ist der logische Pfad der Konfiguration die Einrichtung von SPF gefolgt von DKIM gefolgt von DMARC und zu guter Letzt dann BIMI.
Abschließender Test
Um nun zu schauen, ob ihr wirklich alles richtig konfiguriert habt und eure Einträge passen, gibt es ein All-in-One Tool von MXToolbox namens Email Deliverability. Das Ganze zu nutzen ist kinderleicht. Ihr sendet eine E-Mail von eurer zu testenden E-Mail-Adresse beziehungsweise der Domain an [email protected] und erhaltet dann eine E-Mail von MXToolbox mit euren Ergebnissen.
Dort könnt ihr dann eine Seite aufrufen, wo ihr vollständige Ergebnisse darüber erhaltet, ob alles geklappt hat. Ihr seht alle E-Mail Kopfzeilen und sogar die benötigte Zeit der einzelnden Endpunkte und ob diese auf einer Blacklist sind. Bei mir war zum Zeitpunkt des Screenshots DKIM nicht auf dem Mailserver eingerichtet und ist deshalb fehlgeschlagen.
Auf der Webseite von MXToolbox findet ihr noch unzählige weitere Tools, die euch helfen können alles in puncto E-Mails zu testen. So beispielhaft auch der Email Health Report. Wenn ihr lieber auf ein deutschsprachiges Tool setzen möchtet, kann ich euch den DNS Check von experte.de ans Herz legen.
Fazit
Lange Rede, gar kein Sinn… Wenn ihr diese Schritte durchgegangen seid und alles eingerichtet habt, seid ihr bestens dagegen geschützt mit eurer Domain in Blacklists zu geraten und damit auch nicht in den Spam Ordner. Diese DNS-Einträge sind elementar für die Glaubwürdigkeit eurer Domain. Gerade da es immer mehr Spammer und auch Scammer gibt, ist es enorm wichtig.
Ich hoffe ich konnte euch weiterhelfen. Besucht gerne meinen YouTube-Kanal. Bei Fragen oder Anmerkungen gerne einen Kommentar verfassen.
0 Kommentare