Für den Versand und Empfang von E-Mails spielt DNS eine entscheidende Rolle, da es die Infrastruktur bereitstellt, die Mailserver benötigen, um miteinander zu kommunizieren. Dennoch wird die richtige Konfiguration der DNS-Einträge oft vernachlässigt oder fälschlicherweise angenommen, dass dies nicht manuell gemacht werden müssen. Fakt ist: Auch wenn du mit M365 arbeitest, musst du diese Einträge selbst konfigurieren. Machst du das nicht, landen deine Mails im Spam Ordner und es entstehen Sicherheitslücken.
Darüber hinaus entstehen schwerwiegende Sicherheitsrisiken:
- E-Mail-Spoofing: Angreifer können gefälschte E-Mails senden, die so aussehen, als würden sie von Ihrer Domain stammen.
- Phishing-Angriffe: Benutzer können durch manipulierte E-Mails getäuscht werden, wodurch sensible Daten kompromittiert werden.
- Ausnutzung der Domain für Spam: Ihre Domain kann für den Versand von Spam-Mails missbraucht werden, was Ihren Ruf schädigt.
Richtige Konfiguration von DNS-Einträgen für E-Mails
Für alle E-Mail Provider benötigst du die richtige DNS-Konfiguration, um E-Mails erfolgreich senden und empfangen zu können.
1. MX-Einträge:
MX-Einträge (Mail Exchange) sind entscheidend dafür, dass E-Mails korrekt zugestellt werden. Sie geben an, welcher Server für den Empfang von E-Mails für eine bestimmte Domain verantwortlich ist. Um MX-Einträge richtig zu konfigurieren, musst du sicherstellen, dass der Prioritätswert korrekt gesetzt ist. Ein niedriger Wert bedeutet höhere Priorität.
Beispiel:
- Name: example.com
- Typ: MX
- Priorität: 1
- Wert: mail.example.com o Weitere MX-Einträge mit niedrigeren Prioritäten (falls notwendig).
2. TXT-Eintrag (SPF):
Ein SPF-Eintrag hilft, E-Mail-Spam zu verhindern, indem er festlegt, welche IP-Adressen E-Mails für eine Domain senden dürfen. Dazu erstellst du einen TXT-Eintrag im DNS-Server, beginnend mit „v=spf1“, gefolgt von IP-Adressen oder Domain-Namen der autorisierten Server. Das „-all“ am Ende weist darauf hin, dass andere Server abgelehnt werden. Überprüfe und aktualisiere den Eintrag regelmäßig bei Änderungen deiner E-Mail-Server.
Beispiel:
- Name: example.com
- Typ: TXT
- Wert: v=spf1 include:mail.example.com ~all
3. TXT-Eintrag (DKIM):
Ein TXT-Eintrag für DKIM (DomainKeys Identified Mail) ist wichtig für die E-Mail-Authentifizierung. DKIM fügt ausgehenden E-Mails eine digitale Signatur hinzu, damit der empfangende Mailserver die Authentizität und Integrität prüfen kann. Um DKIM korrekt einzurichten, hinterlege einen öffentlichen Schlüssel im DNS deiner Domain. Der Eintrag sieht oft so aus: `selector._domainkey.example.com`, wobei „selector“ ein selbst gewählter Name ist. Dieser Eintrag enthält im Wertfeld den öffentlichen Schlüssel, den der empfangende Mailserver zur Signaturprüfung nutzt.
Beispiel:
- Name: default._domainkey.example.com
- Typ: TXT
- Wert: DKIM-Schlüssel, bereitgestellt von Ihrem Mailserver oder Hosting-Provider.
4. TXT-Eintrag (DMARC):
Ein DMARC-TXT-Eintrag (Domain-based Message Authentication, Reporting & Conformance) definiert E-Mail-Richtlinien. Damit legst du fest, was passiert, wenn E-Mails SPF- oder DKIM-Prüfungen nicht bestehen. Füge dazu einen speziellen TXT-Eintrag in deinen DNS-Einstellungen hinzu. Dieser Eintrag bestimmt, ob fehlgeschlagene E-Mails akzeptiert, in Quarantäne gestellt oder abgelehnt werden. Zudem kannst du Zustellungsberichte erhalten, um Probleme zu erkennen und die E-Mail-Sicherheit zu verbessern.
Beispiel:
- Name: _dmarc.example.com
- Typ: TXT
- Wert: v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com
Welche DNS-Einträge brauche ich, um zu verhindern, dass Hacker E-Mails unter dem Namen meiner Marke versenden?
Um zu verhindern, dass Angreifer E-Mails unter deinem Markennamen versenden, brauchst du drei DNS-Einträge – alle als TXT-Record: SPF, DKIM und DMARC. Entscheidend ist DMARC mit der Richtlinie p=reject, denn erst DMARC weist empfangende Mailserver an, gefälschte E-Mails tatsächlich abzulehnen.
SPF legt fest, welche Server für deine Domain senden dürfen, DKIM versieht deine Mails mit einer fälschungssicheren Signatur – und DMARC erzwingt beides und bestimmt, was mit nicht authentifizierten E-Mails passiert.
Oft vergessen: Sichere auch Domains ab, die gar keine E-Mails versenden (z. B. geparkte Domains oder reine Webseiten-Domains). Genau diese missbrauchen Angreifer am liebsten, weil sie ungeschützt sind. Best Practice (u. a. von BSI und Mozilla empfohlen): v=spf1 -all kombiniert mit v=DMARC1; p=reject;.
Ob alle deine Domains korrekt geschützt sind, siehst du in wenigen Minuten mit dem gratis Security-Check von CheckFix.
5. CNAME-Eintrag (Autodiscover)
Ein CNAME-Eintrag für Autodiscover ist entscheidend, um E-Mail-Clients wie Outlook automatisch zu konfigurieren. Er leitet Anfragen an den richtigen Server, sodass Nutzer ihre Konten einfach einrichten können. Mit einem korrekt eingestellten Autodiscover-Eintrag werden Servereinstellungen wie IMAP und SMTP automatisch erkannt. Das spart Zeit und minimiert Fehler. Stelle sicher, dass dein CNAME auf den richtigen Autodiscover-Server zeigt und konfiguriere ihn in deiner DNS-Verwaltung für optimale automatische Konfiguration.
Beispiel:
- Name: autodiscover.example.com
- Typ: CNAME
- Wert: mail.example.com
Tipps zur DNS-Konfiguration für E-Mails
- Nutze Authentifizierungsprotokolle: Implementiere SPF, DKIM und DMARC, um die Domain vor Missbrauch zu schützen.
- Teste die Konfiguration: Verwende Tools wie MXToolbox oder DMARC-Analyzer, um sicherzustellen, dass die Einträge korrekt sind.
- Monitoring: Überwache die DMARC-Berichte, um verdächtige Aktivitäten frühzeitig zu erkennen.
Fazit
Die richtige Konfiguration von DNS-Einträgen ist entscheidend für den sicheren und reibungslosen Betrieb deiner E-Mails. Alles richtig eingestellt? Mach jetzt den GRATIS Status-Check von CheckFix und schau dir an, wie es um die IT-Sicherheit in deinem Unternehmen oder bei deinem Kunden steht. Oder mach gleich den umfangreichen Hack-Test, erhalte deine persönliche ToDo CheckList, in der Schritt für Schritt beschrieben ist, was DU für dein Unternehmen tun kannst, um Hackern in Zukunft das Leben schwer zu machen.