E-Mail

E-Mail existiert bereits seit den 1970er Jahren, seit den Anfängen des Internets. Die heutige Komplexität des Internets war damals noch nicht abzusehen.

Als Kommunikationsmedium in dem jeder Teilnehmer jeden anderen Teilnehmer kontaktieren kann ist es vor einige besondere Herausforderungen gestellt.

Für viele Webseiten ist E-Mail ein wichtiger Bestandteil der Kommunikation mit den Besuchern. Es gibt unter anderem

• Newsletter
• Passwort-Reset bei vergessenem Passwort
• Bestell-Bestätigungen
• Benachrichtigungen über Ereignisse (z.B. Antwort auf einen Kommentar, Erscheinen eines neuen Produkts)

E-Mail ist so zentraler Bestandteil vieler Webseiten, dass sich die E-Mail-Addresse als Loginname stark etabliert hat.

Der Zugang zu einem E-Mail-Konto erlaubt es, sich Zugang zu den Konten des Besitzers der Adresse auf jeder Webseite zu verschaffen welche die E-Mail-Adresse für die „Passwort vergessen“ Funktion verwendet.

E-Mails wird oft vertraut wenn sie scheinbar von bekannten Personen kommen.

Obwohl E-Mail meist unverschlüsselt ist und kein kryptographischer Nachweis existiert dass die Mail tatsächlich vom angegeben Absender stammt werden oft schützenswerte Inhalte per E-Mail versandt und wichtige Anweisungen im Firmen-Umfeld via E-Mail akzeptiert.

Unerwünschte Werbung wird oft per E-Mail verschickt, aber auch explizit abbonierte Werbe-Inhalte verwenden das Medium.

E-Mails mit Betrugsversuchen mit finanziellem Hintergrund finden sich ebenso wie solche, deren Ziel das abfischen von Passwörter oder anderen Zugangsdaten ist.

Auf der anderen Seite werden Mailing-Listen auch für Produkt- und Software-Ankündigungen, Diskussion unter Communities wie beispielsweise Open Source Software-Projekten und für viele weitere sehr produktive Zwecke eingesetzt.

Kurz gesagt. E-Mail ist trotz seines Alters eine der wichtigsten Internet-Technologien. Ob man selbst Nutzer des Internets ist oder eine Webseite betreiben möchte, an der Nutzung von E-Mail kommt man nicht vorbei.

Aufgrund der Anforderung, dass alle E-Mail-Systeme und -Programme zusammen arbeiten müssen ist es schwierig, im E-Mail-Bereich neue Technologien zu etablieren. Das heisst jedoch nicht, dass hier seit den 1970er Jahren kein Fortschritt passiert ist.

Neben Verschlüsselungs-Verfahren wie PGP und S/MIME, die eher für die persönliche Nutzung von E-Mail interessant sind, gibt es im Server-Bereich vor allem auch eine Vielzahl von Technologien die unerwünschte Werbung, sog Spam, und Betrugsversuche verhindern sollen.

Diese Technologien stellen dann den legitimen Versender, wie beispielsweise einen Web-Shop eines unserer Kunden, vor die Aufgabe sich von diesen unerwünschten E-Mails abzuheben.

Dafür ist es oft hilfreich, die entsprechenden Anti-Spam-Technologien zu kennen und ggf. durch für den Versand erforderliche Schritte durchzuführen.

Dies kann leider nicht komplett von saltation für unsere Kunden erfolgen da die Domains über die der Mail-Versand passieren soll oft auch noch für andere Zwecke genutzt wird (z.B. Mail-Empfang für die Mitarbeiter).

Daher möchten wir an dieser Stelle die entsprechenden Möglichkeiten beschreiben und unterstützen Sie natürlich auch gern bei der Einrichtung.

Als Kontext benötigen wir natürlich zunächst ein grundlegendes Verständnis des E-Mail-Systems selbst.

E-Mail ist ein sog. föderiertes System, jede Domain (der Teil der E-Mail-Adresse hinter dem @) läuft auf einem Server welcher unabhängig von den Servern für andere Domains ist. Der Server für die Domain der Absender-Adresse und der Server für die Domain der Empfänger-Adresse arbeiten zusammen um eine E-Mail zuzustellen.

E-Mail-Systeme bestehen aus mehreren Komponenten, zum einen gibt es das, was umgangssprachlich als Mail-Server bezeichnet wird. Dies wird offiziell Mail Transfer Agent (MTA) genannt. Außerdem gibt es die Mail-Clients auf den Systemen der Benutzer, beispielsweise Outlook oder Thunderbird oder auch ein Web-basiertes System. Dies heisst offiziell Mail User Agent (MUA).

Für die Kommunikation zwischen den Komponenten werden mehrere Protokolle verwendet. Alle diese Protokolle gibt es in unverschlüsselten und verschlüsselten Varianten. Die letzteren sind natürlich vorzuziehen wo immer dies möglich ist. Ohne den Einsatz von PGP oder S/MIME ist die Email selbst aber immer noch für die beteiligten MTAs lesbar.

Zum Abrufen der Mails von seinem MTA benutzt ein MUA in der Regel heute das IMAP Protokoll. Dieses ermöglicht es, Mailboxen auf dem Server zu pflegen, Mails dort als gelesen zu markieren, über neue Mails während eine Verbindung besteht informiert zu werden und vieles mehr.

Daher ist IMAP für die moderne E-Mail-Nutzung von mehreren Geräten besser geeignet als das POP3 Protokoll was Mails von der MTA zum MUA kopiert. Zustände wie die Markierung dass eine Mail bereits gelesen wurde sind bei POP3 nur pro MUA verfügbar, d.h. man muss z.B. jede Mail auf dem Telefon und auf dem PC als gelesen markieren. Je nach Einstellung kann es mit POP3 gar passieren dass man jede Mail nur auf dem MUA zu sehen bekommt wo sie zuerst abgerufen wird.

Für den Versand von Emails, sowohl von MUA zu MTA als auch vom Sender-MTA zum Empfänger-MTA, wird dagegen das SMTP-Protokoll verwendet. Welche MTA für eine gegebene Domain zuständig ist zeigt der DNS MX-Eintrag der Domain. Hier kann natürlich auch mehr als ein MTA hinterlegt werden um die Ausfallsicherheit zu erhöhen.

Ein großes Problem in E-Mail wie es ursprünglich designed war und immer noch von vielen Systemen eingesetzt wird ist die fehlende Überprüfung des Absenders. Im Grunde glauben die Empfänger-Systeme hier einfach dem Absender.

Dies ist eine Haupt-Ursache von Spam und wird auf mehrere Arten angegangen. Zum einen wird der Ruf der Absender-IP-Adresse berücksichtigt. Wenn diese in der Vergangenheit bereits Spam verschickt hat so wird bei sog. IP Reputation Diensten darüber Buch geführt und die IP je nach Vergehen auf einen niedrigeren Ruf herabgesetzt oder gleich komplett gesperrt.

Ein ähnliches Verfahren kommt auf Ebene der einzelnen Nachricht zum Einsatz. Mails, die bereits vorhandenen Spam-Emails ähnlich sehen, werden dann ebenfalls abgewiesen. Es gibt Systeme mit denen viele MTAs hier zusammen arbeiten können um die Erkennungsrate zu erhöhen.

Diese Dienste haben den Vorteil, dass Sie ohne Mitarbeit von legitimen Absendern funktionieren. Es ist nicht notwendig weltweit alle MTAs von legitimen Mail-Nutzern zu aktualisieren oder neue Informationen für alle Domains zu hinterlegen. Der Nachteil ist, dass alle diese Verfahren nur heuristisch sind, d.h. keine 100% zuverlässigen Aussagen darüber treffen können ob eine E-Mail tatsächlich vom legitimen Absender kommt.

Die anderen Verfahren sind genauer, benötigen jedoch solche Anpassungen bei legitimen Absendern. Daher sind sie noch nicht sehr weit verbreitet. Die großen Mail-Anbieter setzen diese allerdings bereits seit einigen Jahren ein.

Alle Verfahren funktionieren über eine Prüfung die vom Empfänger-MTA durchgeführt wird.

Zunächst einmal existiert der SPF (Sender Policy Framework) Standard Dieser erlaubt es, in einem DNS TXT Eintrag die IP-Adressen zu hinterlegen von denen Mails für eine gegebene Absender-Domain verschickt werden dürfen.

Manchmal wird auch der veraltete SenderID Standard von Microsoft mit SPF verwechselt da dieser in seiner Implementierung spf2.0 im DNS-Eintrag verwendet. SPF ist aber der eigentlich aktiv verwendete Standard. SenderID hat sich nie wirklich durchgesetzt da es in Konflikt mit anderen, sehr viel weiter verbreiteten Mail-Standards steht und außerdem nicht, wie zunächst behauptet, zusätzliche Probleme löst die SPF nicht behebt. Außerdem gab es auch noch Patent-Probleme mit dem Standard.

Außerdem existiert der DKIM (DomainKeys Identified Mail) Standard Hiermit kann der sendende MTA E-Mail kryptographisch signieren. Dadurch kann der Empfänger MTA dann feststellen ob die E-Mail auf dem Weg verändert wurde. Hierbei wird dann der öffentliche Schlüssel wiederrum im DNS hinterlegt. Es ist möglich mehrere Schlüssel pro Domain zu hinterlegen.

Diese Standards allein enthalten keine genaueren Informationen dazu, was mit E-Mails passieren soll bei denen die SPF oder DKIM Prüfungen fehlschlagen.

Daher wurde etwas später der DMARC (Domain-based Message Authentication, Reporting and Conformance) Standard geschaffen.

Dieser erlaubt es, einerseits festzulegen was für ein Verhalten genau gewünscht ist und andererseits definiert es Möglichkeiten für den Betreiber der Absender-Domain über solche abgewiesenen E-Mails informiert zu werden.

Leider sind strenge DMARC-Regeln noch in einigen Situationen problematisch, beispielsweise wenn eine Mailings-Liste eine empfangene E-Mail an alle Mitglieder der Liste weiterleitet oder ein einzelner Benutzer in seinen Mail-Regeln eine Weiterleitung einrichtet wie das z.B. bei Vertretungen oder beim Umzug auf eine neue Domain (z.B. wegen Firmen-Fusion) üblich ist.

Um dies zu umgehen wird aktuell der Authenticated Received Chain (ARC) Standard entwickelt. Dieser ist allerdings aktuell noch nicht wirklich verwendbar da der Standard erst Mitte 2016 verabschiedet wurde und dann Ende 2017 noch einmal angepasst wurde.

Ein Problem, das vielen dieser Standards gemein ist, ist die Tatsache dass auch DNS-Einträge aktuell nicht kryptographisch verifiziert werden können. Dies ist nur mit DNSSEC möglich, einem Standard der zwar immer weitere Verbreitung findet, insgesamt jedoch noch nicht relativ weit verbreitet ist.