Was ist E-Mail-Authentifizierung?

Definition

E-Mail-Authentifizierung ist eine Gruppe technischer Standards, die als Einträge im DNS deiner Domain veröffentlicht werden und die Herkunft sowie Integrität einer E-Mail-Nachricht verifizieren. E-Mail wurde nicht mit Blick auf Absenderverifizierung gebaut, sodass standardmäßig jeder eine beliebige Adresse ins From-Feld setzen kann. Die Authentifizierung schließt diese Lücke, indem sie empfangenden Servern eine Möglichkeit gibt zu prüfen, ob eine Nachricht, die angeblich von deiner Domain stammt, tatsächlich von ihr autorisiert wurde.

Drei Protokolle erledigen die Arbeit. SPF, das Sender Policy Framework, erklärt, welche Mailserver im Namen deiner Domain senden dürfen. DKIM, DomainKeys Identified Mail, fügt jeder Nachricht eine kryptografische Signatur hinzu, sodass der Empfänger bestätigen kann, dass sie nicht manipuliert wurde und von deiner Domain stammt. DMARC, Domain-based Message Authentication, Reporting and Conformance, bindet diese Prüfungen an die Adresse, die Empfänger tatsächlich sehen, und teilt Empfängern mit, wie sie mit fehlgeschlagener Mail umgehen sollen. Ein verwandter Standard, BIMI, kann ein verifiziertes Marken-Logo anzeigen, sobald DMARC durchgesetzt wird, baut aber auf diesem Stack auf, statt ihn zu ersetzen.

Authentifizierung ist eine Eigenschaft der sendenden Domain, die vom Domain-Inhaber im DNS konfiguriert wird. Sie ist nichts, was ein Empfänger einrichtet, und sie ist getrennt von der Frage, ob die Empfänger auf deiner Liste echt sind. Diese zweite Frage ist die Aufgabe der E-Mail-Verifizierung, weshalb beide oft nebeneinander besprochen werden.

So funktioniert es

Jedes Protokoll läuft in dem Moment, in dem ein empfangender Server eine Nachricht annimmt. SPF funktioniert über einen DNS-Eintrag, der die IP-Adressen und Server auflistet, die zum Versand von Mail für deine Domain autorisiert sind. Wenn eine Nachricht ankommt, betrachtet der empfangende Server die IP-Adresse des sendenden Servers und gleicht sie mit deinem veröffentlichten SPF-Eintrag ab. Ist die IP aufgeführt, besteht SPF; wenn nicht, schlägt es fehl.

DKIM funktioniert über Public-Key-Kryptografie. Dein Versandsystem signiert ausgehende Nachrichten mit einem privaten Schlüssel, fügt eine Signatur in den Nachrichten-Header ein und veröffentlicht den passenden öffentlichen Schlüssel im DNS. Der empfangende Server ruft den öffentlichen Schlüssel ab, validiert die Signatur und bestätigt zwei Dinge auf einmal: dass die Nachricht von deiner Domain signiert wurde und dass die signierten Teile der Nachricht während der Übertragung nicht verändert wurden.

DMARC setzt obenauf und fügt das Konzept des Alignments hinzu. SPF und DKIM authentifizieren jeweils eine Domain, aber diese Domain ist nicht immer die, die eine Person in der From-Zeile sieht. DMARC verlangt, dass die authentifizierte Domain mit der sichtbaren From-Domain übereinstimmt, was einen Angreifer daran hindert, die Authentifizierung auf einer von ihm kontrollierten Domain zu bestehen, während er deine in der sichtbaren Adresse fälscht. Ein DMARC-Eintrag veröffentlicht außerdem eine Richtlinie: p=none bittet Empfänger, nur zu überwachen und zu berichten, p=quarantine bittet sie, fehlgeschlagene Mail mit Misstrauen zu behandeln, und p=reject bittet sie, sie zu blockieren. DMARC erzeugt zusätzlich Aggregate-Reports, die dir zeigen, wer unter deiner Domain Mail versendet, was für das Aufspüren von Fehlkonfigurationen und Missbrauch von unschätzbarem Wert ist.

Warum das für die E-Mail-Zustellbarkeit wichtig ist

E-Mail-Authentifizierung hat sich von einer Best Practice zu einer harten Voraussetzung entwickelt. Gmail und Yahoo setzen Absenderanforderungen durch, die Authentifizierung zur Vorbedingung für die Zustellung machen. Jeder Absender braucht SPF oder DKIM, dazu gültiges Reverse-DNS, einen korrekt konfigurierten PTR-Eintrag und TLS-verschlüsselte Übertragung. Massenversender – also solche, die etwa 5.000 oder mehr Nachrichten pro Tag an Gmail-Adressen senden – haben zusätzliche Pflichten: Sie müssen einen DMARC-Eintrag veröffentlichen, das Domain-Alignment bestehen und bei Marketing-Mail einen One-Click-Unsubscribe anbieten. Yahoo wendet eng übereinstimmende Regeln an und erwartet, dass Massenversender ihre Spam-Beschwerderaten unter 0,30 Prozent halten. Eine DMARC-Richtlinie mit p=none erfüllt derzeit die DMARC-Anforderung, auch wenn ein Schritt in Richtung Durchsetzung stärkeren Schutz gegen Spoofing bietet.

Der Grund, warum Provider auf Authentifizierung bestehen, ist Vertrauen. Authentifizierung lässt einen Empfänger darauf vertrauen, dass Mail, die angeblich von deiner Domain stammt, das auch wirklich tut, was das Exakt-Domain-Spoofing blockiert, das bei Phishing und Business E-Mail Compromise eingesetzt wird. Mail, die die Authentifizierung nicht besteht oder von einer Domain ganz ohne Authentifizierung kommt, wird weitaus eher in den Spam gefiltert oder rundweg abgewiesen.

Es ist wichtig, genau zu sein, was Authentifizierung leistet und was nicht. Sie belegt Identität; sie bürgt nicht für den Inhalt. Ein Spammer kann eine Domain authentifizieren, die ihm gehört. Authentifizierung ist also für gute Zustellbarkeit notwendig, aber für sich genommen nicht ausreichend. Mailbox-Provider kombinieren sie mit Absenderreputation, Empfänger-Engagement und Inhaltsanalyse. Authentifizierung bringt dich durch die Tür; Reputation und Engagement entscheiden, in welchem Ordner du landest.

So geht VeriMails damit um

E-Mail-Authentifizierung und E-Mail-Verifizierung sind die zwei Hälften vertrauenswürdigen Versands und decken entgegengesetzte Enden der Pipeline ab. Bei der Authentifizierung geht es um die Domain, von der du sendest, und sie wird im DNS konfiguriert. Bei der Verifizierung geht es um die Adressen, an die du sendest, und das ist der Teil, den VeriMails direkt übernimmt. Beides muss vorhanden sein: Eine perfekt authentifizierte Domain verliert trotzdem ihre Postfach-Platzierung, wenn sie an eine Liste voller toter Adressen mailt, weil die daraus resultierenden Bounces und Beschwerden die Absenderreputation zerstören, die Provider neben der Authentifizierung gewichten.

VeriMails verifiziert deine Empfängerliste, damit die Authentifizierung nicht durch schlechte Listenqualität untergraben wird. Jede Adresse durchläuft eine vollständige mehrschichtige Prüfung: Syntaxvalidierung, MX- und DNS-Bestätigung, einen Live-SMTP-Handshake mit dem empfangenden Mailserver sowie die Erkennung von Catch-All-Domains, Wegwerf-Adressen und rollenbasierten Adressen. Das Entfernen ungültiger Adressen hält deine Hard-Bounce-Rate niedrig, und eine niedrige Bounce-Rate ist eines der Reputationssignale, das entscheidet, ob deine authentifizierte Mail ins Postfach oder in den Spam-Ordner gelangt. Du kannst eine ganze Liste als CSV-Upload verifizieren oder Adressen einzeln über die REST-API prüfen. VeriMails liefert klare Zustellbarkeits-Kategorien für API- und Bulk-Workflows.

VeriMails stellt außerdem kostenlose Tools bereit, die auf der Authentifizierungsseite selbst helfen, darunter einen SPF-Generator, einen DKIM-Generator und einen DMARC-Generator, sodass du die korrekten DNS-Einträge für deine Domain erzeugen kannst. Zusammen eingesetzt belegt die Authentifizierung, dass du ein legitimer Absender bist, und die Verifizierung hält deine Liste sauber genug, um diesen Status zu wahren. Neue Konten erhalten bei der Anmeldung 100 kostenlose Credits ohne Kreditkarte, die nie verfallen, mit einer Verifizierung ab 0,0019 Dollar pro E-Mail, also 19 Dollar für 10.000 Credits, und Jahresplänen ab $12.50/month bei jährlicher Abrechnung.

Häufig gestellte Fragen