Wie E-Mail-Spoofing funktioniert

Das zentrale E-Mail-Protokoll SMTP wurde Anfang der 1980er-Jahre für ein kleines, vertrauenswürdiges Netzwerk von Forschenden entwickelt. Es verfügt über keine integrierte Authentifizierung des Absenders.

Diese ursprüngliche Vertrauensannahme ist der Grund, warum E-Mail-Spoofing heute so einfach ist. Jeder, der per SMTP mit einem Mailserver kommunizieren kann, kann sich als beliebige Person ausgeben, sofern keine zusätzlichen Schutzmechanismen (SPF, DKIM, DMARC) darübergelegt werden.

Ein entscheidendes Konzept: Eine E-Mail enthält tatsächlich zwei Adresssätze, und diese müssen nicht übereinstimmen.

• Envelope (MAIL FROM) — wird von Mailservern zum Weiterleiten der Nachricht und für Rückläufer verwendet; der Benutzer sieht ihn nie
• Header From — die im E-Mail-Client angezeigte Zeile „From:“

Spoofing nutzt diese Lücke aus: Im sichtbaren Header From kann unabhängig vom tatsächlichen Absender alles stehen.

Da SMTP die Identität nicht überprüft, kann ein Angreifer den From-Header einfach auf eine vertrauenswürdige Adresse setzen. Eine direkte SMTP-Unterhaltung sieht so aus:

Spoofing ist die Grundlage für wichtige Angriffskategorien:

• Phishing — Benutzer dazu bringen, Zugangsdaten einzugeben
• Business Email Compromise (BEC) — sich als Führungskraft ausgeben, um betrügerische Zahlungen zu genehmigen
• Malware-Verbreitung — Anhänge, die scheinbar von einem Kollegen stammen

Eine Nachricht, die scheinbar von Ihrer Geschäftsführung oder Ihrer Bank stammt, wird viel eher als vertrauenswürdig eingestuft und ausgeführt.

Spoofing mit exakter Domain fälscht den From-Header so, dass Ihre tatsächliche Domain verwendet wird, zum Beispiel ceo@yourcompany.com.

Dies ist die gefährlichste Form, weil die Adresse tatsächlich korrekt ist und kein Tippfehler auffällt. Ohne E-Mail-Authentifizierung kann ein empfangender Server nicht feststellen, dass die Nachricht nicht von Ihrer tatsächlichen Infrastruktur stammt.

SPF, DKIM und DMARC wurden vor allem entwickelt, um Spoofing mit exakter Domain zu verhindern.

Wenn die Authentifizierung Spoofing mit exakter Domain verhindert, greifen Angreifer auf Lookalike-Domains zurück, die sie tatsächlich besitzen und kontrollieren:

Selbst wenn alle Schutzmechanismen aktiviert sind, missbrauchen Angreifer den Anzeigenamen, den benutzerfreundlichen Text vor der Adresse.

Viele E-Mail-Clients, insbesondere auf Mobilgeräten, zeigen nur den Anzeigenamen an und verbergen die tatsächliche Adresse. Eine E-Mail von:

"Acme CEO" <random123@gmail.com>

kann daher einfach als Acme CEO erscheinen. Die Adresse ist für Gmail gültig, die Authentifizierung ist also erfolgreich, dennoch wird der Benutzer getäuscht. Das ist ein menschliches Problem, das die Authentifizierung nicht lösen kann.

Um eine verdächtige Nachricht zu untersuchen, prüfen Sie die vollständigen Header. Sie dokumentieren den Weg der Nachricht und die Ergebnisse der Authentifizierung.

Die Received-Header bilden eine Kette. Sie werden von unten nach oben gelesen und zeigen jeden Server, den die Nachricht durchlaufen hat.

Warnsignale sind:

• ein Ursprungsserver, der nicht zum angegebenen Absender gehört
• eine Abweichung zwischen der Return-Path- und der From-Domain
• verdächtige oder unerwartete geografische IP-Standorte

Zusammen mit der Zeile Authentication-Results macht die Header-Kette eine Fälschung oft schnell sichtbar.

Drei ergänzende Standards arbeiten zusammen, um E-Mail vertrauenswürdiger zu machen. Jeder dieser Standards schließt eine andere Lücke:

• SPF — legt fest, welche Server E-Mails für Ihre Domain versenden dürfen (den Envelope-Absender)
• DKIM — signiert Nachrichten kryptografisch, sodass Manipulationen und Fälschungen erkennbar sind
• DMARC — verknüpft SPF und DKIM mit dem sichtbaren From-Header und teilt empfangenden Servern mit, was sie bei einem Fehlschlag tun sollen

In den nächsten drei Lektionen beschäftigen Sie sich mit jedem dieser Standards.

SPF, DKIM und DMARC verhindern Spoofing mit exakter Domain für Domains, die Sie kontrollieren. Sie verhindern jedoch nicht:

• Lookalike-Domains, die der Angreifer besitzt und korrekt authentifiziert
• Täuschung durch den Anzeigenamen
• kompromittierte legitime Konten, die echte, authentifizierte E-Mails versenden

E-Mail-Authentifizierung ist unverzichtbar, muss aber durch Schulungen zur Sensibilisierung der Benutzer und eingehende Filterung ergänzt werden. Auch hier gilt das Prinzip der gestaffelten Verteidigung.

Testen Sie Ihr Verständnis von E-Mail-Spoofing.

Sie haben gelernt, warum sich E-Mails leicht fälschen lassen:

• SMTP verfügt über keine integrierte Authentifizierung des Absenders
• Envelope-Absender und sichtbarer Header From müssen nicht übereinstimmen
• Spoofing ermöglicht Phishing, BEC und die Verbreitung von Malware durch Tricks mit exakter Domain, Lookalike-Domains und Anzeigenamen
• E-Mail-Header und die Zeile Authentication-Results helfen bei der Untersuchung von Fälschungen
• SPF, DKIM und DMARC schützen gemeinsam vor Spoofing mit exakter Domain, sind aber keine vollständige Lösung

Als Nächstes lernen Sie, wie SPF legitime Versandserver autorisiert.