Die E-Mail-Authentifizierung verstehen

Du wirst lernen

Erfahre mehr über E-Mail-Authentifizierungsprotokolle, die verwendet werden, um deine Absenderreputation aufzubauen, zu überprüfen, ob eine E-Mail von einem legitimen Absender stammt, und dich vor E-Mail-Missbrauch zu schützen.

Über E-Mail-Authentifizierung

E-Mail-Authentifizierung" bezieht sich auf die technischen Standards, die die Überprüfung der Identität eines E-Mail-Absenders ermöglichen. Die am häufigsten verwendeten E-Mail-Authentifizierungsstandards sind SPF, DKIM und DMARC. Mailserver nutzen diese Authentifizierungsprotokolle, um zu überprüfen, ob eingehende E-Mails von legitimen Absendern stammen. So werden deine Marke und dein Kunde vor böswilligen Akteuren geschützt. Die Implementierung dieser Protokolle kann nicht nur Phishing- und Spoofing-Versuche verhindern, sondern auch die Zustellbarkeit verbessern, da die Mailbox-Anbieter die Identität des Absenders bestätigen können. 

SPF

Sender Policy Framework (SPF) ist eine E-Mail-Authentifizierungsmethode, die entwickelt wurde, um gefälschte Absenderadressen während der Zustellung der E-Mail zu erkennen. SPF ermöglicht es dem empfangenden Mailserver, zu überprüfen, ob E-Mails, die von einer bestimmten Domain kommen, über eine IP-Adresse gesendet wurden, die von den Administratoren dieser Domain genehmigt wurde.

Wenn eine E-Mail von einer IP-Adresse gesendet wird, die nicht über SPF zugelassen wurde, kann der empfangende Mailserver die E-Mail zurückweisen oder sie vom primären Posteingang wegleiten. Ohne SPF-Einträge könntest du IPs nicht mit deiner Absender-Domain authentifizieren, so dass böswillige Akteure sich leicht als deine Marke ausgeben können. 

DKIM 

DomainKeys Identified Mail (DKIM) fungiert als digital Signatur, die dem Header einer E-Mail hinzugefügt wird, um die Identität des Absenders weiter zu überprüfen. Die empfangenden E-Mail-Server überprüfen, ob die DKIM-Signatur mit der der zugehörigen Absender-Domain übereinstimmt. Da die DKIM-Signatur in der Kopfzeile einer E-Mail steht, bleibt sie im Gegensatz zur SPF-Authentifizierung auch erhalten, wenn eine E-Mail weitergeleitet wird.

DMARC

DMARC steht für domain-based message Authentifizierung, Reporting, and conformance. Es ist ein Protokoll, das SPF und DKIM nutzt, um die Authentizität einer E-Mail zu bestimmen und gibt Domaininhabern die Möglichkeit, ihre Domain vor unbefugter Nutzung zu schützen.

DMARC gibt den empfangenden Servern Anweisungen, wie sie eingehende E-Mails behandeln sollen. Um zugestellt werden zu können, müssen die Nachrichten die DKIM- und SPF-Abgleichsprüfungen gemäß den Anforderungen der DMARC-Richtlinie bestehen. Nachrichten, die die DMARC-Prüfung nicht bestehen, können zugelassen, abgelehnt oder in den Spam-Ordner verschoben werden.

Die Implementierung einer DMARC-Richtlinie für deine Domain kann dich vor Spoofing schützen und so die Exposition deiner Marke und der Empfänger gegenüber potenziell betrügerischen und schädlichen Nachrichten einschränken. 

Beispiel DMARC-Richtlinie 

Im Folgenden siehst du ein Beispiel dafür, wie ein einfacher DMARC-Datensatz aussehen kann und wie sich verschiedene Datensätze auf die E-Mail-Zustellung auswirken. 

v=DMARC1; p=keine; rua=mailto:dmarc-reports@yourbrand.com

Während DMARC-Richtlinien eine Reihe von Tags mit unterschiedlichen Funktionen haben können, sind die p- und sp-Richtlinien-Tags die wichtigsten, wenn es um Klaviyo und dein E-Mail-Marketing geht. 

Die Werte dieser beiden Tags sagen dem Inbox-Anbieter, wie er reagieren soll, wenn die Ausrichtungsprüfung fehlschlägt. Wenn das p-Tag in Absender-E-Mail-Adressen verwendet wird, gilt es für die Root-Domain (z. B. @IhreMarke.com) während das sp-Tag für die Subdomains gilt(e.g.,@shop.yourbrand.com). 

Das rua-Tag im Beispiel bestimmt den Posteingang, an den die DMARC-Berichte gesendet werden. Dieser Tag wird empfohlen, ist aber nicht erforderlich. 

Wie p und sp Tag das Senden auf Klaviyo beeinflussen 

Wenn du eine E-Mail über eine gemeinsame Absender-Domain versendest, gibt es immer einen Versatz zwischen deiner Absender-Adresse (z.B. marketing@yourbrand.com) und der tatsächlichen Absender-Domain der E-Mail (z.B. ksdn.klaviyomail.com). KlaviyoDie eigene gemeinsame Absender-Domain hat eine DMARC-Richtlinie, die auf p=none eingestellt ist, so dass deine E-Mail trotz des Versatzes im Posteingang von Kunde landen kann.

Wenn du eine Gebrandete Absender-Domain verwendest, also eine Domain, die deiner Marke gehört, richtet sich die Absender-Domain nach der Absender-Domain. Die DMARC-Prüfungen werden also bestanden.

rua Tag und DMARC Berichterstattung

Das rua-Tag in einem DMARC-Datensatz ermöglicht es der zugehörigen E-Mail-Adresse, DMARC-Berichte in .xml zu erhalten Format. Diese Berichte sind schwierig und mühsam zu interpretieren, daher empfiehlt Klaviyo die Zusammenarbeit mit einem DMARC-Dienstanbieter, wenn du das rua-Tag für das DMARC-Reporting nutzen möchtest. Diese Anbieter helfen bei der Verarbeitung der .xml DMARC-Berichte, und präsentiere sie so, dass deine Marke leichter Erkenntnisse gewinnen kann. 

Einige Beispiele für DMARC-Anbieter, die Klaviyo empfiehlt, sind:

• Valimail
• EasyDMARC
• Dmarcian

Konfigurieren der E-Mail-Authentifizierung

Wenn du E-Mails mit Klaviyo versendest, musst du keine eigenen SPF- und DKIM-Einträge hinzufügen. Wenn du auf Klaviyo's gemeinsamer Absender-Domain sendest, sind die notwendigen Datensätze bereits gesetzt, um die Authentifizierung zu bestehen. Bei einer gebrandeten Absender-Domain (auch bekannt als dedizierte Absender-Domain) aktivieren die bei der Einrichtung hinzugefügten Klaviyo NS- oder CNAME-Einträge automatisch die DKIM- und SPF-Authentifizierung.

Die Einrichtung von DMARC ist jedoch ein externer Prozess, der außerhalb von Klaviyo, bei deinem DNS-Anbieter, durchgeführt wird. Die DMARC-Richtlinie, die du einstellst, legt fest, wie Nachrichten behandelt werden sollen, die die SPF- und DKIM-Authentifizierung nicht bestehen. DMARC-Richtlinien können unauthentifizierte E-Mails entweder unter Quarantäne stellen und in den Spam-Ordner des Empfängers schicken, sie trotz der Fehlleitung im Posteingang landen lassen oder sie ganz ablehnen und die Zustellung an den Empfänger blockieren. 

Wenn deine Marke derzeit keine DMARC-Richtlinie hat, ist die Konfiguration von p=none ein guter erster Schritt, um die kommenden Anforderungen von Gmail und Yahoo zu erfüllen. Klaviyo empfiehlt jedoch dringend, mit deinem IT-Team oder einem Drittanbieter zusammenzuarbeiten, wenn du eine strengere DMARC-Richtlinie konfigurieren möchtest, die Spoofing verhindert und eine Berichterstattung über Ausrichtungsfehler ermöglicht.

Einrichten von DMARC in deinem DNS

Die Einrichtung von DMARC ist ein Prozess, der außerhalb von Klaviyo bei deinem DNS-Anbieter durchgeführt wird. Es gibt eine große Anzahl verschiedener DNS-Anbieter, aber die folgenden Schritte beschreiben, wie DMARC im Allgemeinen implementiert wird.

Um DMARC einzurichten, muss sich dein Netzwerkadministrator für die Domain in die DNS-Einstellungen der Domain einloggen und einen DMARC-Eintrag wie den unten abgebildeten hinzufügen. Wenn du bei deinem DNS-Anbieter eingeloggt bist, erstelle einen neuen Eintrag mit den folgenden Informationen. 

• Typ: TXT
• Gastgeber: _dmarc
• Wert: v=DMARC1; p=keiner

Die Namen der Felder, Schnittstellen und Prozesse zur Erstellung eines neuen Datensatzes können bei den verschiedenen DNS-Anbietern unterschiedlich sein. Einige Beispiele für DNS-Anbieter sind GoDaddy und Namecheap, aber es gibt noch viele andere. 

Für weitere Anleitungen zur Einrichtung von DMARC für deine Domain empfehlen wir dir die folgenden Ressourcen und Dienste oder wende dich an deinen DNS-Anbieter.

• Verstehen, wie DMARC deine Domain-Reputation schützt 
• MXToolBox: Wie man DMARC einrichtet
• DMARCian: Erste Schritte mit DMARC
• Valimail 

Mach deine Klaviyo E-Mail DMARC-konform

Um DMARC-konform zu sein, musst du eine Gebrandete Absender-Domain mit deinem Konto verbinden, die mit der Root-Domain in deiner Friendly-From-E-Mail-Adresse (d. h. deiner Absenderadresse) übereinstimmt. Wenn du zum Beispiel eine E-Mail mit sales@yourbrand.com als Absenderadresse versendest und deinbrand.com durch DMARC geschützt ist, muss dein Konto eine Gebrandete Absender-Domain wie send.deinbrand.com verwenden, um die DMARC-Anforderungen zu erfüllen.

Interne Empfänger

Wenn du eine gemeinsam genutzte Domäne verwendest, um E-Mails an interne Empfänger zu senden, kann es sein, dass inbox Anbieter eine Warnmeldung anzeigt und E-Mails im Spam-Ordner ablegt, wenn die E-Mail-Adresse des Empfängers mit der Absenderdomäne übereinstimmt.

Zum Beispiel bei Gmail: 

Dies betrifft zwar nur Nutzer mit E-Mail-Adressen, die mit deiner eigenen Absender-Domäne übereinstimmen, aber du kannst eine gebrandete Absender-Domäne einrichten, um dies zu verhindern.

Wenn du diese Warnung für einen persönlichen, nicht unternehmensinternen Posteingang erhältst, ist dies wahrscheinlich das Ergebnis eines fehlgeschlagenen DMARC. Um DMARC-konform zu sein, musst du eine Gebrandete Absender-Domain mit deinem Konto verbinden, die mit der Domain in deiner Absender-E-Mail-Adresse übereinstimmt (d.h. deine Absenderadresse).

Überprüfe deine E-Mail-Authentifizierungskonfiguration

Um zu überprüfen, ob der Eintrag erfolgreich veröffentlicht wurde, kannst du deine Domain in den DMARC-Checker von EasyDMARC eingeben. Mit diesem Tool entspricht der Status " Warnung" oder " Gültig" den Anforderungen der Absender von Gmail und Yahoo.

Alternativ kannst du anhand der Kopfzeile einer von deiner Marke gesendeten E-Mail überprüfen, ob deine E-Mail-Authentifizierung korrekt eingerichtet ist.

Ein E-Mail-Header enthält Metadaten über eine E-Mail und den Netzwerkpfad, den sie genommen hat. Dazu gehören Informationen wie Absenderadresse, Betreff, Empfänger und wichtige Details zur Authentifizierung, z. B. ob SPF, DKIM und DMARC funktionieren.

Umstellung auf eine sicherere DMARC-Richtlinie 

Auch wenn eine DMARC-Richtlinie mit p=none ausreicht, um die ursprünglichen Absenderanforderungen von Gmail und Yahoo zu erfüllen, kann ein Wechsel zu einer sichereren Richtlinie dein Unternehmen besser vor böswilligen Akteuren schützen. 

Vorteile einer sichereren Politik 

Der Hauptvorteil von p=quarantine oder p=reject ist, dass sie verhindern, dass falsch zugeordnete E-Mails (d.h. E-Mails, die von einer Absender-Domain gesendet werden, die nicht mit der Root-Domain deiner Marke übereinstimmt) im Posteingang des Empfängers landen. P=none hat keinen Einfluss auf die Platzierung im Posteingang, wenn eine E-Mail von einer falsch ausgerichteten Domain gesendet wird. Wenn ein Nutzer eine gefälschte E-Mail sieht, die scheinbar von deiner Marke stammt, kann dies das Vertrauen des Kunden in die E-Mails deiner Marke beeinträchtigen. 

Wenn du hingegen eine Richtlinie mit p=quarantine oder p=reject verwendest, werden falsch zugeordnete E-Mails blockiert oder an den Spam-Ordner der Empfänger gesendet. Der Anbieter im Posteingang weiß, dass er die E-Mail dem Empfänger nicht zeigen muss, und die gefälschte E-Mail wird nicht im primären Posteingang landen. 

Andere Überlegungen 

Es ist wichtig zu wissen, dass DMARC für alle E-Mails gilt, die von deiner Marke gesendet werden, auch für solche, die außerhalb von Klaviyo gesendet werden. Mit einer Richtlinie von p=none werden deine Sendungen nicht beeinträchtigt, da die E-Mails weiterhin im primären Posteingang landen. Die strengeren DMARC-Richtlinien können jedoch dazu führen, dass E-Mails nicht zugestellt werden, wenn deine Domänen nicht auf die gesamte E-Mail-Versandinfrastruktur und die Anwendungsfälle deines Unternehmens abgestimmt sind.

Aus diesem Grund empfiehlt Klaviyo, mit deinem IT-Team oder einem DMARC-Dienstanbieter zusammenzuarbeiten, um eine Richtlinie zu implementieren, die den Bedürfnissen deiner Marke am besten entspricht. 

Zusätzliche Ressourcen 

Wie man eine gebrandete Absender-Domain einrichtet 

E-Mail-Zustellbarkeit verstehen

Verstehe die Bereiche, die bei der E-Mail Zustellbarkeit eine Rolle spielen