Glossar: SPF, DKIM, DMARC, DNSSEC & Co. erklärt

E-Mail-Authentifizierung

SPF Sender Policy Framework: SPF ist ein DNS-Eintrag, der festlegt, welche Server E-Mails im Namen einer Domain versenden dürfen. Empfänger prüfen ihn bei jeder eingehenden Mail.
DKIM DomainKeys Identified Mail: DKIM signiert ausgehende E-Mails kryptografisch. Empfänger prüfen die Signatur mit einem öffentlichen Schlüssel aus dem DNS und erkennen so Fälschungen und Veränderungen.
DMARC Domain-based Message Authentication, Reporting and Conformance: DMARC verknüpft SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was mit gefälschten E-Mails passiert: nichts (none), Spam-Ordner (quarantine) oder Ablehnung (reject).
DMARC-Alignment Übereinstimmung der Domains bei DMARC: Alignment bedeutet, dass die von SPF oder DKIM bestätigte Domain zur sichtbaren From-Domain passt. Ohne Alignment besteht eine Mail DMARC nicht, selbst wenn SPF und DKIM bestehen.
BIMI Brand Indicators for Message Identification: BIMI lässt E-Mail-Programme wie Gmail oder Apple Mail das Markenlogo neben der Nachricht anzeigen – aber nur, wenn die Domain per DMARC streng geschützt ist.

MX Mail Exchanger Record: MX-Records legen fest, welche Server E-Mails für eine Domain annehmen. Eine Domain ohne Mailempfang sollte das mit einem Null-MX-Eintrag ausdrücklich sagen.
Reverse DNS (PTR) Rückwärtsauflösung einer IP-Adresse: Reverse DNS ordnet einer IP-Adresse einen Hostnamen zu (PTR-Record). Mailserver ohne passenden Reverse-DNS-Eintrag landen bei vielen Empfängern im Spam oder werden abgelehnt.
MTA-STS SMTP MTA Strict Transport Security: MTA-STS zwingt sendende Mailserver, E-Mails an deine Domain nur verschlüsselt und nur an die echten Mailserver mit gültigem Zertifikat zuzustellen.
TLS-RPT SMTP TLS Reporting: TLS-RPT sorgt dafür, dass große Mailanbieter dir täglich berichten, ob verschlüsselte Zustellungen an deine Domain geklappt haben oder gescheitert sind.
DANE DNS-based Authentication of Named Entities (TLSA): DANE veröffentlicht den Fingerabdruck des Mailserver-Zertifikats per DNSSEC-gesichertem TLSA-Record. Sendende Server erzwingen damit eine verschlüsselte Verbindung zum echten Server.
Blacklist (DNSBL) DNS-basierte Sperrlisten: DNS-Blacklists (DNSBL) führen IP-Adressen und Domains, die mit Spam aufgefallen sind. Viele Mailserver lehnen Mails von gelisteten Absendern ab oder sortieren sie als Spam aus.

HTTPS & TLS Verschlüsselung von Websites: HTTPS verschlüsselt die Verbindung zwischen Browser und Website per TLS. Dafür braucht es ein gültiges Zertifikat, aktuelle TLS-Versionen und eine Weiterleitung von HTTP auf HTTPS.
HSTS HTTP Strict Transport Security: HSTS ist ein HTTP-Header, mit dem eine Website dem Browser sagt: Ruf mich für eine bestimmte Zeit nur noch per HTTPS auf. Das verhindert Angriffe über unverschlüsselte Erstaufrufe.
Security-Header HTTP-Sicherheitsheader: Security-Header sind HTTP-Antwortheader, mit denen eine Website den Browser anweist, Angriffe wie Cross-Site-Scripting, Clickjacking und Datenabfluss zu blockieren.
CAA Certification Authority Authorization: Ein CAA-Record legt fest, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen. Alle öffentlichen Zertifizierungsstellen müssen ihn vor der Ausstellung prüfen.

Nameserver Autoritative DNS-Server einer Domain: Nameserver beantworten alle DNS-Anfragen zu einer Domain. Fallen sie aus oder sind sie falsch eingerichtet, sind Website und E-Mail nicht mehr erreichbar.
DNSSEC Domain Name System Security Extensions: DNSSEC signiert DNS-Antworten kryptografisch. Resolver erkennen so gefälschte Antworten, etwa durch DNS-Spoofing oder Cache-Poisoning. DNSSEC ist außerdem Voraussetzung für DANE.
RDAP Registration Data Access Protocol: RDAP ist der Nachfolger von WHOIS und liefert Registrierungsdaten einer Domain maschinenlesbar: Registrar, Status, Sperren und Ablaufdatum.
Registrar-Lock Transfer-, Lösch- und Änderungssperren: Registrar-Locks sind Status-Sperren an einer Domain, die einen ungewollten Transfer, eine Löschung oder eine Änderung der Nameserver verhindern – ein wichtiger Schutz gegen Domain-Diebstahl.