Schütze Domains, die nie E-Mails senden

Was das bedeutet

Viele Unternehmen besitzen Domains, die sie nie für E-Mails nutzen: eine Schreibvariante, einen alten Firmennamen, eine Domain für ein künftiges Projekt, eine Länderversion, die nur auf die Hauptwebsite weiterleitet.

Eine Domain ohne E-Mail-Einträge gibt Empfängern keine Anweisungen. Betrüger mögen solche Domains: Sie können Phishing „von“ ihnen senden, und Empfänger haben keinen klaren Grund, es abzulehnen.

Warum das wichtig ist

• Phishing mit deiner Marke auf einer Ersatzdomain schadet trotzdem deinem Namen.
• Backscatter: Wenn Spam mit deiner Domain als Bounce zurückkommt, können die Bounces bei dir landen.
• Es dauert fünf Minuten und kostet nichts.

So prüfst du es

Gib jede ungenutzte Domain unter /domain-scanner ein. Eine Domain, die keine E-Mails sendet, sollte ein strenges SPF, einen DMARC-Eintrag mit p=reject und kein MX oder ein „Null-MX“ zeigen.

So behebst du es

Öffne den DNS-Anbieter jeder ungenutzten Domain und füge diese Einträge hinzu.

1. Null-SPF: Überhaupt kein Server darf für diese Domain senden.

   yourdomain.com  TXT  "v=spf1 -all"

2. DMARC reject: Lehne jede E-Mail ab, die vorgibt, von ihr zu kommen.

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"

   Du kannst rua=mailto:dmarc@yourmaindomain.com hinzufügen, um Berichte über Missbrauchsversuche zu bekommen. Berichte an eine Adresse auf einer anderen Domain zu senden, kann einen zusätzlichen Autorisierungseintrag auf dieser Domain erfordern; sieh in der Anleitung deines DMARC-Berichtsdienstes nach.
3. Null-MX, wenn die Domain auch keine E-Mails empfangen soll. Es sagt Absendern sofort, dass die Domain keine E-Mails annimmt, statt sie tagelang neu versuchen zu lassen:

   yourdomain.com  MX  0  .

   Der Wert ist ein einzelner Punkt mit Priorität 0. Entferne vorher jeden anderen MX-Eintrag. Manche DNS-Oberflächen akzeptieren keinen einzelnen Punkt; in dem Fall leg einfach keinen MX-Eintrag an.

Optional: DKIM widerrufen

Manche Experten veröffentlichen außerdem einen leeren DKIM-Schlüssel für alle Selektoren, sodass jede Signatur mit der Domain scheitert:

*._domainkey.yourdomain.com  TXT  "v=DKIM1; p="

Das ist nicht nötig: SPF -all plus DMARC p=reject lassen bereits jede E-Mail scheitern.

Sei vorsichtig

• Sei sicher, dass die Domain wirklich nie sendet, nicht einmal über ein Website-Formular, einen Drucker, ein Rechnungstool oder ein altes Postfach. Diese Einträge blockieren sie alle.
• Nutze kein Null-MX auf einer Domain, die E-Mails empfängt, nicht einmal für eine einzige Weiterleitungsadresse.
• Mach das auch für Subdomains, die du nicht nutzt: sp=reject auf deiner Hauptdomain schützt sie alle auf einmal.
• Verlängere die Domains rechtzeitig: Eine abgelaufene Domain kann jemand anderes kaufen, mit ihrer ganzen Vorgeschichte.

Prüfe, ob es behoben ist

Warte ein paar Minuten, bis das DNS aktualisiert ist, und starte dann den Domain-Scanner für jede Domain erneut. Er sollte v=spf1 -all finden, einen DMARC-Eintrag mit p=reject und entweder das Null-MX oder gar kein MX. Wiederhole die Prüfung jedes Mal, wenn du eine neue Domain kaufst.