Das Vorhängeschloss, das alle preisen, hängt an einer offenen Tür

Etwa neun von zehn Domains, die einen DMARC-Eintrag veröffentlichen, haben ihn auf p=none gesetzt — den Modus, der der Welt genau mitteilt, wer dich spooft, und dann winkt ihnen durch. Red Sifts Analyse des letzten Jahrzehnts zeigt, dass echte DMARC-Durchsetzung über Jahre hinweg nur im einstelligen Prozentbereich lag, und selbst die optimistischen Zahlen der Anbieter zeigen, dass die überwiegende Mehrheit der Einträge auf none steht.

Hier steckt der Witz in diesem Wort. DMARC — ausgeschrieben in RFC 7489 — ist das Merkmal, das entscheidet, was ein empfangender Mail-Server tun soll, wenn eine Nachricht, die angeblich von deiner Domain stammt, die zugrundeliegenden Prüfungen nicht besteht. Diese Prüfungen sind SPF (ist dieser Server berechtigt, für dich zu senden?) und DKIM (ist diese Nachricht kryptographisch von dir signiert?). DMARC sitzt oben drauf und erteilt ein Verdikt. p=none ist das Verdikt, das keines ist. Es sagt: beachte den Betrug, protokolliere den Betrug, schreib mir einen Bericht über den Betrug — und liefere ihn trotzdem zu.

Ein Rauchmelder mit herausgezogener Batterie hängt immer noch an der Decke. Er sieht nach Schutz aus. Er fotografiert sich wie Schutz ab. Er piepst nur nicht, wenn die Küche brennt.

Die zwei Einstellungen, die wirklich beißen, sind p=quarantine, die fehlgeschlagene Mails in den Spam schieben, und p=reject, die dem Empfänger sagen, sie vor der Ankunft abzuweisen. Das ist das ganze Spiel. Ein Betrüger, der billing@yourbank.example fälscht, läuft nur in eine Wand, wenn diese Bank reject veröffentlicht hat. Wenn die Bank none veröffentlicht hat — und die meisten haben das — segelt die Fälschung in den Posteingang und sieht genauso aus wie die echte, komplett mit dem echten Logo, das direkt von der echten Website gezogen wurde.

Warum bleibt jeder bei none stecken? Weil none der sichere erste Schritt ist, und sichere erste Schritte haben die Gewohnheit, zur permanenten Adresse zu werden. Du solltest dort anfangen, die Berichte lesen, jeden legitimen Service finden, der im Namen deiner Domain sendet — die Lohnabrechnung, die Marketing-Plattform, das Ticketing-Tool, das keiner dokumentiert hat — sie alle korrekt signieren lassen, und dann auf reject verschärfen. Dieser letzte Schritt ist der beängstigende. Wechsel zu reject, während ein unauthentifizierter Absender noch wild herumläuft, und du leitest deine eigenen Rechnungen ins Nirvana. Also veröffentlichen Teams den Eintrag, erzählen dem Auditor, dass es erledigt ist, und kommen nie wieder zurück zum Abschluss. Die Benachrichtigungsmails stapeln sich ungelesen. Die Batterie bleibt heraus.

Das Opfer bist du, die Person, die die Nachricht liest. Wenn eine Marke, der du vertraust, DMARC auf none lässt, bedeutet „es kam von ihrer echten Domain" nichts mehr, weil die Fälschung eines Kriminellen denselben Augentest besteht. Das ist genau die Lücke, die wir bei xmail auf der Empfängerseite beobachten: Eine Nachricht kann die Authentifizierung komplett nicht bestehen und kommt trotzdem als dein Energieversorger an, weil der Energieversorger dem Internet nie befohlen hat, die Fälschungen abzulehnen.

Hier ist ein Test, den du in etwa fünfzehn Sekunden durchführen kannst. Nimm eine beliebige Marke, die dir mit einer „verdächtige Aktivität"-E-Mail Angst eingejagt hat — rufe einen öffentlichen DMARC-Lookup auf und gib ihre Domain ein. Wenn die Richtlinie p=none liest, bittet dieses Unternehmen die Empfänger, die Personenbestechung zu beachten und nichts dagegen zu tun. Millionen von Domains stellen diese Bitte jeden Tag leise.

Die Lösung ist nicht mehr Technologie. Es ist der Mut, ein Wort von none zu reject zu ändern. Der Alarm sieht den Rauch bereits. Jemand muss nur die Batterie wieder einbauen.