Eine gefälschte „PayPal Support"-E-Mail kann jede Sicherheitsprüfung bestehen, der man vertrauen soll

Ja, eine gefälschte E-Mail kann problemlos DMARC passieren, während die Absenderzeile „PayPal Support" oder „Chase Fraud Department" anzeigt. Die drei Buchstaben-Protokolle, die alle als Beweis dafür anführen, dass eine E-Mail echt ist — SPF, DKIM, DMARC — verifizieren nur die Senderdomain und die kryptografische Signatur. Der Anzeigename, der menschenlesbare Teil, auf den dein Auge zuerst fällt, wird nie überprüft. Das Vertrauenssiegel schützt das Feld, das niemand ansieht.

Kann eine gefälschte E-Mail wirklich DMARC mit einem falschen Anzeigenamen passieren?

Ja, und der Grund ist in den Standard eingebaut. RFC 7489, die DMARC-Spezifikation, besagt explizit, dass es sich nur um die Domain im Header „RFC5322.From" handelt — der Teil nach dem @-Zeichen. Es sagt nichts über den Anzeigenamen, das Freitextfeld, das vor der Adresse kommt. Ein Angreifer, der also eine gewöhnliche Domain wie support-team-alerts.com kontrolliert, korrekte SPF- und DKIM-Einträge einrichtet und von billing@support-team-alerts.com versendet, erhält einen sauberen DMARC-Pass. Er stellt einfach den Anzeigenamen auf „PayPal Service". Technisch einwandfreie Authentifizierung. Völlig unehrliche Darstellung.

Die meisten Mail-Clients verschärfen das Problem noch. Mobiltelefone zeigen insbesondere den freundlichen Namen und verstecken die Adresse komplett, bis man darauf tippt. Du siehst „PayPal Service"; die tatsächliche support-team-alerts.com sitzt hinter einem Chevron, das du niemals drücken wirst.

Was überprüft DMARC dann eigentlich?

DMARC überprüft, dass die Domain im From-Header mit einer Domain übereinstimmt, deren Verwendung der Absender berechtigt ist — und nichts darüber hinaus. SPF bestätigt, dass die IP des Sendservers auf der genehmigten Liste der Domain steht. DKIM fügt eine an eine Domain gebundene kryptografische Signatur hinzu. DMARCs Aufgabe ist die „Ausrichtung": Sie stellt sicher, dass die Domain, die SPF oder DKIM validiert haben, mit der sichtbaren From-Domain übereinstimmt, sodass man sich nicht mit evil.com authentifizieren und gleichzeitig behaupten kann, paypal.com zu sein.

Das ist tatsächlich nützlich. Deshalb ist der vollständige Domain-Identitätsdiebstahl großer Marken schwieriger geworden, und deshalb begannen Google und Yahoo im Februar 2024, DMARC für Massen-E-Mail-Versender zu verlangen. Aber M3AAWG, die Branchengruppe, die Richtlinien zur Absenderauthentifizierung verfasst, ist klar: Diese Protokolle authentifizieren die Domain, nicht die Absicht oder die Formulierung. Die Hülle kann echt sein, während die Nachricht eine Lüge ist.

Warum bekommt der Anzeigename einen Freipass?

Weil E-Mail gebaut wurde, bevor jemand sich vorstellte, dass sie Geld bewegen würde, und der Anzeigename so konzipiert war, freundlich zu sein, nicht verifiziert. Es ist ein Höflichkeitsetikett. Es gibt kein Register, wer sich „Apple Billing" nennen darf, keine Überprüfung gegen Markenzeichen, nichts. Du kannst deinen auf den Papst setzen. E-Mail-Standards behandeln ihn als Dekoration, daher springen Authentifizierungsschritte direkt über ihn hinweg.

Das ist auch die Funktionsweise einer wachsenden Kategorie von Betrügereien: Display-Name-Spoofing gepaart mit einer legitim aussehenden Lookalike-Domain. Das FBI Internet Crime Complaint Center verzeichnete 2023 mehr als $2,9 Milliarden Verluste bei Business-E-Mail-Kompromittierung — und BEC verlässt sich stark auf genau diesen Trick, einen vertrauenswürdig aussehenden Namen über einer Adresse, die das Ziel niemals genau überprüft. Die Protokolle passierten alle. Das Geld verließ trotzdem den Bereich.

Wie liest man die Absenderzeile jetzt wirklich?

Höre auf, den Namen zu lesen, und lese die Adresse. Auf dem Desktop: Hover über oder klicke auf, um die vollständige user@domain zu erweitern und stelle eine Frage: Ist das die Domain, die das echte Unternehmen nutzt, buchstabe für Buchstabe? PayPal versendet von paypal.com, nicht von paypal-secure.net oder service-paypal.com. Auf dem Mobiltelefon: Tippe auf den Absender, um die Adresse anzuzeigen, bevor du auf etwas anderes tippst.

Dann eine zweite Überprüfung: Würde sich diese Organisation mit einer generischen Begrüßung an dich wenden und dich zu einem Login-Link drücken, statt eine Anfrage zu stellen, die du nicht erwartet hast? Das ist der Teil, den kein Header verifiziert. Das ist auch, wo KI-Filter ihren Nutzen beweisen — Tools wie xmails Betrugs-Flagging vergleichen den Anzeigenamen mit der authentifizierten Domain und zeigen die Unstimmigkeit auf, anstatt dem freundlichen Label zu vertrauen, wie es dein Auge tut. Ein DMARC-Pass sagt dir, dass die Domain ist, wer sie sagt. Er hat dir niemals gesagt, dass der Name echt war.