Chapter 3
Während generative künstliche Intelligenz (gen. KI) viel für die Zukunft verspricht, macht sie es auch schwer zu unterscheiden, was echt ist und was nicht – besonders in den falschen Händen. Während E-Mail-Absender KI nutzen, um die Effizienz zu steigern und Marketing-Ideen zu sammeln, haben Betrüger und Spammer ihre eigenen böswilligen Verwendungszwecke dafür gefunden.
Phishing ist seit Jahren ein großes Problem. Jetzt können böswillige Akteure mit generativen KI-Tools schnell täuschend echte E-Mails erstellen, die so aussehen, als kämen sie von einer beliebigen Marke. Sie können auch große Sprachmodelle (LLMs) verwenden, um Betrugsmaschen für ein überzeugenderes Social Engineering zu personalisieren.
Protokolle zur E-Mail-Authentifizierung helfen E-Mail-Anbietern, Sie als legitimen Absender zu identifizieren. Es beweist, dass Sie sind, wer Sie vorgeben zu sein, dass Ihren Nachrichten vertraut werden kann und dass sie im Posteingang zugestellt werden sollten. Aber verwenden genug Absender die E-Mail-Authentifizierung?
der Absender wissen, dass sie sowohl SPF als auch DKIM für die E-Mail-Authentifizierung verwenden.
Zunahme bei Absendern, die wissen, dass sie DMARC verwenden, im Vergleich zu unserer Umfrage im Jahr 2023.
derjenigen, die 100k+ E-Mails pro Monat versenden, wissen, dass sie DMARC für die E-Mail-Authentifizierung verwenden (20 % sind sich unsicher).
der Absender, die DMARC verwenden, wissen, dass sie es mit der Richtlinie „Reject“ oder „Quarantine“ erzwingen.
Die Authentifizierung ist einer der technischeren Aspekte der E-Mail-Zustellbarkeit. Sie umfasst DNS-Einträge, auf die empfangende E-Mail-Server verweisen müssen, bevor Nachrichten zugestellt werden.
Als kurzer Überblick, dies sind die DNS-TXT-Einträge in Verbindung mit der E-Mail-Authentifizierung und die Grundlagen ihrer Funktion:
Sender Policy Framework: SPF gibt an, welche IP-Adressen berechtigt sind, E-Mails im Namen einer Domain zu versenden. Dies hilft zu überprüfen, ob eine gültige Quelle die E-Mail gesendet hat.
DomainKeys Identified Mail: DKIM verwendet eine kryptografische digitale Signatur, die es empfangenden E-Mail-Servern ermöglicht zu überprüfen, ob die E-Mail von der Domain stammt, von der sie angeblich stammt.
Domain-based Message Authentication, Reporting and Conformance: DMARC baut auf SPF und DKIM auf und bietet Domaininhabern eine Möglichkeit anzugeben, wie empfangende E-Mail-Server mit Authentifizierungsfehlern umgehen sollen.
Brand Indicators for Message Identification: BIMI baut auf DMARC auf und ermöglicht es Marken, ein verifiziertes Logo neben E-Mails im Posteingang des Empfängers anzuzeigen, wenn DMARC erzwungen wird.
Massenversender müssen SPF, DKIM und DMARC verwenden, wenn sie eine Posteingangsplatzierung bei den großen E-Mail-Anbietern erreichen möchten. Allerdings kann jeder Absender von der Verwendung aller drei Methoden profitieren – und BIMI ist wie das Sahnehäubchen auf dem Kuchen.
Verwendet Ihr Unternehmen SPF und/oder DKIM für die E-Mail-Authentifizierung?
Die SPF- und DKIM-Protokolle sind für die E-Mail-Authentifizierung unerlässlich. Während Absender mit geringem Volumen den E-Mail-Posteingang möglicherweise nur mit einem der beiden erreichen können, wird die Verwendung von beiden dringend empfohlen. Massenversender müssen SPF und DKIM verwenden, um die Anforderungen von Gmail und Yahoo für 2024 zu erfüllen.
Fast zwei Drittel aller Absender (66,2 %) geben an, dass sie sowohl SPF als auch DKIM für die E-Mail-Authentifizierung verwenden. 25,7 % der Befragten waren unsicher, wie ihre Unternehmen DKIM und SPF nutzen. Weniger als 9 % gaben an, dass sie nur das eine oder das andere verwenden.
Wenn wir diese Ergebnisse nach Versandvolumen filtern, sind mehr als 75 % der Befragten, die mehr als 50.000 E-Mails pro Monat versenden, zuversichtlich, dass sie beide Protokolle verwenden. Der höchste Grad an Unsicherheit in Bezug auf SPF und DKIM kam von den Absendern mit geringem Volumen mit weniger als 50.000 E-Mails pro Monat.
Bei denjenigen, die sich bezüglich der SPF- und DKIM-Authentifizierung unsicher sind, ist es wahrscheinlich, dass sie mindestens eines davon verwenden. Die meisten E-Mail-Service-Provider (ESPs) verlangen, dass diese Protokolle konfiguriert sind, bevor E-Mails gesendet werden. In einigen Fällen kann ein ESP seine eigenen SPF- und DKIM-Einträge im Namen kleinerer Absender über geteilte IP-Adressen verwenden.
Ungefähr wie oft rotieren Sie DKIM-Schlüssel?
Das DKIM-Protokoll beinhaltet ein Schlüsselpaar, einen öffentlichen und einen privaten Schlüssel, die zur Authentifizierung einer Absenderdomain verwendet werden. Der private Schlüssel enthält die verschlüsselte digitale Signatur und wird zusammen mit E-Mail-Nachrichten gesendet. Der öffentliche Schlüssel befindet sich im DNS und wird mit dem privaten Schlüssel abgeglichen, um die Authentizität der Nachricht zu überprüfen.
DKIM-Schlüssel müssen regelmäßig geändert werden. Diese Praxis wird als Rotation von DKIM-Schlüsseln bezeichnet. Es ist notwendig, da diese Schlüssel kompromittiert werden können, was böswilligen Akteuren die Tür öffnet, um echten Schaden anzurichten.
Die Rotation von DKIM-Schlüsseln ähnelt dem Ändern Ihrer persönlichen Kontopasswörter, um sie sicher zu halten. Leider scheinen Absender nicht die Gewohnheit zu haben, DKIM-Schlüssel zu rotieren.
47,7 % der Absender, die DKIM verwenden, geben zu, dass sie Schlüssel erst nach einem Sicherheitsproblem rotieren. Bis dahin kann es jedoch schon zu spät sein. Weitere 40 % der Absender in unserer Umfrage geben an, dass sie sich bezüglich der Praktiken zur Rotation von DKIM-Schlüsseln unsicher sind.
Nur insgesamt 12 % der Absender geben an, dass sie einen ungefähren Zeitrahmen für die Rotation von DKIM-Schlüsseln haben. Die restlichen 88 % könnten ihre Kunden und Abonnenten sowie die Reputation ihrer Marke gefährden.
Wenn jemand Ihre DKIM-Schlüssel stiehlt, muss er nicht einmal Spoofing verwenden. Sie sind buchstäblich in der Lage, E-Mails so zu signieren, als wären sie von Ihrer Domain gesendet worden.
Es gilt als Best Practice, DKIM-Schlüssel mindestens alle 6 bis 12 Monate zu rotieren. Wenn Ihre DKIM-Schlüssel durchsickern oder es einem böswilligen Akteur gelingt, sie zu entschlüsseln, ändern Sie die Schlüssel so schnell wie möglich. Besuchen Sie das Helpcenter von Sinch Mailgun, um zu erfahren, wie Sie Ihre DKIM-Schlüssel aktualisieren oder rotieren können.
Absender, die DMARC für die E-Mail-Authentifizierung verwenden (2023 im Vergleich zu 2024)
Man kann mit Recht behaupten, dass der wichtigste Aspekt der neuen Regeln von Google und Yahoo für Massenversender die DMARC-Anforderung ist. DMARC bietet eine Möglichkeit, die Leistung von sowohl SPF als auch DKIM für eine starke E-Mail-Authentifizierung zu nutzen.
Unsere Umfrageergebnisse zeigen einen Anstieg bei der DMARC-Einführung im Vergleich zu den Ergebnissen, die wir in State of email deliverability 2023 veröffentlicht haben. Im Jahr 2024 gaben 53,8 % der Absender an, dass sie DMARC verwenden. Das entspricht einer Zunahme von 11 % im Vergleich zu den 42,6 %, die DMARC im Jahr 2023 implementiert hatten.
Absender, die DMARC im Jahr 2024 verwenden (Vergleich des monatlichen Volumens)
Wie zu erwarten war, scheint der Anstieg aufgrund der DMARC-Anforderung von Google bei den Massenversendern noch stärker zu sein. Während im Jahr 2023 etwa 56 % der Absender mit dem höchsten Volumen DMARC eingerichtet hatten, taten dies im Jahr 2024 etwa 70 % oder mehr von ihnen.
Bei der Einrichtung von DMARC müssen Absender eine bestimmte Richtlinie wählen, die empfangenden E-Mail-Servern mitteilt, wie sie mit Nachrichten umgehen sollen, bei denen SPF oder DKIM fehlschlagen. Hier erfahren Sie, wie jede der drei Richtlinien funktioniert:
1. None (p=none): Diese DMARC-Richtlinie weist die empfangenden E-Mail-Server an, nichts zu unternehmen, wenn eine Nachricht die Authentifizierung nicht besteht.
2. Quarantine (p=quarantine): Diese DMARC-Richtlinie weist die empfangenden E-Mail-Server an, dass Authentifizierungsfehler in den Spam-Ordner gefiltert werden sollen.
3. Reject (p=reject): Diese DMARC-Richtlinie ist die strengste. Sie weist die empfangenden E-Mail-Server an, dass bei Authentifizierungsfehlern überhaupt keine Zustellung erfolgen soll.
Wie lautet Ihre aktuelle DMARC-Richtlinie?
Die DMARC-Anforderung von Yahoo und Google schrieb lediglich vor, dass Absender die Richtlinie p=none verwenden. Das liegt daran, dass die E-Mail-Anbieter zu diesem Zeitpunkt versuchen, Absender dazu zu bringen, den ersten Schritt in Richtung Durchsetzung zu machen.
Die Richtlinie p=none war die am häufigsten verwendete Richtlinie von Absendern im Jahr 2023, und das ist in unserer neuesten Umfrage so geblieben. 31,8 % der Absender, die DMARC verwenden, haben ihre Richtlinie auf „None“ festgelegt, 19,3 % verwenden „Quarantine“ und bei 17,7 % ist die Richtlinie auf „Reject“ eingestellt.
Implementierung der DMARC-Richtlinie (2023 im Vergleich zu 2024)
Im Jahr 2023 hatten etwa 23 % der Absender DMARC-Richtlinien auf „None“ eingestellt. Die auffälligste Veränderung war jedoch ein Rückgang bei den Absendern, die sich unsicher sind, welche Richtlinie verwendet wird. Während 31,3 % der Absender in der diesjährigen Umfrage sich über ihre DMARC-Richtlinie unsicher sind, ist dies ein Rückgang gegenüber den mehr als 40 % im Jahr 2023.
Dieses Ergebnis lässt darauf schließen, dass die neuen Anforderungen für Absender nicht nur die Einführung von DMARC gefördert haben, sondern auch das Bewusstsein für den Standard und seine spezifischen Richtlinien erhöht haben.
„DMARC füllt tatsächlich eine Lücke, die SPF und DKIM beide gewissermaßen hinterlassen haben, indem es das Konzept der Angleichung einführt… es schließt diese Lücke und stellt sicher, dass Sie sind, wer Sie vorgeben zu sein. Sie können eine DMARC-Richtlinie festlegen, die besagt: ablehnen, in Quarantäne verschieben oder überwachen. Im Moment verlangen die E-Mail-Anbieter nichts Strengeres als p=none, aber das könnte sich ändern.“
Es gibt ein Problem bei der Verwendung der DMARC-Richtlinie p=none. Sie trägt nicht gerade viel zur Verbesserung Ihrer Authentifizierung bei. Nachrichten, die DKIM oder SPF nicht bestehen, können trotzdem in E-Mail-Posteingänge zugestellt werden. Technisch gesehen erzwingen Sie DMARC erst, wenn Sie eine Richtlinie p=quarantine oder p=reject implementieren.
Werden Absender, die p=none verwenden, im nächsten Jahr eine strengere DMARC-Richtlinie implementieren?
Die Richtlinie p=none ist dazu gedacht, DMARC während der Einrichtung zu testen. Letztendlich sollen die Absender die Richtlinie ändern. Ist das also, was die Absender in unserer Umfrage vorhaben?
Die Ergebnisse zeigen, dass insgesamt 25,5 % der Absender, die p=none verwenden, planen, die Richtlinie innerhalb des nächsten Jahres zu aktualisieren. Allerdings werden 61 % dies nur tun, wenn sie dazu aufgefordert werden, und 13 % haben nicht vor, eine Aktualisierung vorzunehmen, da sie die aktuellen DMARC-Anforderungen erfüllen.
„Das Endziel ist idealerweise eine Richtlinie p=reject. Dafür ist DMARC da. Um sicherzustellen, dass Ihre Domain nicht gespooft werden kann, und um unsere gemeinsamen Kunden vor Missbrauch zu schützen.“
Absender, die abwarten möchten, bis die Durchsetzung von DMARC erforderlich ist, müssen möglicherweise nicht lange warten. Vertreter von Gmail und Yahoo teilten uns mit, dass sie letztendlich eine strengere Richtlinie fordern werden. Absender, die bereits Schritte zur Durchsetzung von DMARC unternommen haben, sind im Vorteil – und sie tun das Richtige.
Wenn Sie einen weiteren Grund benötigen, eine strengere DMARC-Richtlinie zu wählen, ist BIMI vielleicht die Lösung. Diese Spezifikation ermöglicht es Absendern, ein verifiziertes Logo neben ihren E-Mails anzuzeigen. Um sich für ein BIMI-Logo zu qualifizieren, müssen Sie jedoch DMARC mit einer Richtlinie „Reject“ oder „Quarantine“ erzwingen.
Gmail, Apple Mail und Yahoo Mail unterstützen alle BIMI, aber Outlook tut dies derzeit nicht. So könnte ein BIMI-Logo im Posteingang aussehen:
Haben Sie BIMI für ein verifiziertes Logo im Posteingang eingerichtet?
Wie beliebt ist BIMI also? Die Website BIMI Radar überwacht mehr als 72 Millionen Domains auf das, was sie „BIMI-Readiness“ nennt. Zum Zeitpunkt dieses Schreibens gibt die Website an, dass nur 3,8 % dieser Domains für ein BIMI-Logo qualifiziert wären. Das bedeutet, dass die überwiegende Mehrheit DMARC nicht verwendet oder keine ausreichend starke Richtlinie hat.
In unserer jüngsten Umfrage wurden E-Mail-Absender gefragt, ob sie BIMI bereits implementiert hätten. Die Ergebnisse zeigen, dass 5,7 % der Befragten BIMI verwenden, während weitere 11,4 % daran arbeiten, die Spezifikation zu implementieren. Dennoch verwenden fast 60 % der Absender BIMI nicht.
BIMI wirkt sich nicht direkt auf die Zustellbarkeit aus oder trägt in irgendeiner Weise zur Authentifizierung Ihrer E-Mails bei. Dennoch wird es mit Authentifizierung in Verbindung gebracht, da nur Absender, die den Aufwand für DMARC auf sich genommen haben, ein verifiziertes Logo im Posteingang anzeigen können. Wie Sie sich vorstellen können, hat dies Vorteile für viele Marken.
Vertrauen von Kunden/Abonnenten
Schutz der Markenreputation
Aufbau der Markenbekanntheit
E-Mail-Sicherheit
Wir wollten herausfinden, was die Absender, die BIMI verwenden, dazu veranlasst hat, ein Logo im Posteingang anzustreben. Was erhofften sie sich davon? Hier ist, was diese Absender als Hauptantrieb für die Implementierung von BIMI angeben:
Ein Logo im Posteingang bietet sicherlich ein gewisses zusätzliches Branding über Ihre E-Mails. Während BIMI selbst nichts zur Erhöhung der E-Mail-Sicherheit beiträgt, ist es ein Beweis dafür, dass ein Absender andere Schritte in diese Richtung unternommen hat. Es ist wahrscheinlicher, dass Empfänger E-Mails mit einem Logo im Posteingang öffnen und mit ihnen interagieren, weil dies vertrauenswürdiger wirkt.
7,4 % der Befragten gaben an, dass sie BIMI verfolgt haben, um das E-Mail-Engagement zu steigern. Und das könnte sehr wohl stimmen. Eine Studie aus dem Jahr 2021 über Logos im Posteingang deutet darauf hin, dass sie sich positiv auf Engagement-Metriken wie die Öffnungsraten auswirken.
Wie Absender von der E-Mail-Authentifizierung profitieren:
• Verhindert, dass Ihre Marke gespooft wird.
• Schützt Kunden vor Sicherheitsbedrohungen.
• Unterstützt eine gute Absenderreputation.
• Führt zu einer besseren Posteingangsplatzierung.
Wie die E-Mail-Authentifizierung E-Mail-Anbietern hilft:
• Hilft bei der Identifizierung legitimer Absender im Gegensatz zu bösartigen Nachrichten.
• Unterstützt die Integrität ihres Produkts.
• Sorgt dafür, dass Menschen E-Mail für die Markenkommunikation nutzen.
• Bietet Anleitung zum Filtern von Authentifizierungsfehlern.
Wie die E-Mail-Authentifizierung Empfänger unterstützt:
• Verhindert, dass Phishing-E-Mails, Spam und Malware ihre Posteingänge erreichen.
• Schafft Vertrauen für Marken, von denen sie hören möchten.
• Verbessert das Erlebnis im Posteingang durch Reduzierung unerwünschter E-Mails
Die Einrichtung der E-Mail-Authentifizierung kann komplex sein, aber die ganze Arbeit zahlt sich aus. Es ist ein Gewinn für alle Beteiligten … außer für Spammer und Betrüger.
Unsere Umfrageergebnisse zeigen, dass die E-Mail-Community Fortschritte bei der Authentifizierung und der Sicherheit im Posteingang macht, aber es gibt noch Raum für Verbesserungen.
Mit den Services zur Optimierung der Zustellbarkeit von Sinch Mailgun erhalten Sie Ihren eigenen Technical Account Manager (TAM), der Ihnen hilft, die Komplexität beim Erreichen einer Posteingangsplatzierung zu bewältigen. Kontaktieren Sie uns, um mehr zu erfahren.
