Brand Indicators for Message Identification auf dem Prüfstand Lookalike-Domains machen BIMI-Logos zur potenziellen Phishing-Falle

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Absender vertrauenswürdig, Inhalt unverändert, und keine Phishing-Falle? Mit dieser Frage beschäftigt sich jede Person, die den E-Mail-Empfang verwaltet. Die Tech-Industrie hat es bislang über Jahrzehnte verabsäumt, Lösungen zu liefern. Jetzt soll Brand Indicators for Message Identification E-Mail-Empfänger über ein Logo im Posteingang mehr Vertrauen geben. Doch Lookalike-Domains untergraben dieses Versprechen.

Die E-Mail ist mehr als 50 Jahre alt. Zu Beginn galt hier eine „Vertraue jedem“-Strategie. Das war in einer Zeit, in der man froh war, wenn IT überhaupt funktioniert hat. Mit der Entwicklung zum Massenkommunikations-Medium hat sich diese Denkweise bald ins Gegenteil gedreht. Laut einem BSI-Bericht von 2022 bekommen Nutzer für jede erwünschte E-Mail vier unerwünschte.

Der SPAM- und Phishing-Tsunami, der somit täglich auf die Mail-Infrastruktur der Wirtschaft einprasselt, erfordert kostenintensive Gegenmaßnahmen. Das Abfangen von SPAM, Phishing und Schadcode ist ein gutes Geschäft für die Anbieter von Sicherheitsprodukten. Jeder namhafte Hersteller bietet dafür etwas an. Die Tech-Industrie hat also nur zögerlich reagiert, wenn es um die Vermeidung von unerwünschten E-Mails geht; dafür mit Produkten, die das Problem bekämpfen. Das passierte teils aufgrund der beschränkten Möglichkeiten und teils wegen des Geschäfts mit E-Mail-Security-Software.

BSI-Sicherheits-Empfehlung

So schützen Unternehmen ihre E-Mails mit eigener Domain

Das Vertrauensmodell von SMTP und seine Grenzen

Rufen wir in diesem Kontext die Eckpfeiler der E-Mail-Technologie ins Gedächtnis:

• Jedes Unternehmen kann ein System ins Netz stellen, welches E-Mails versenden und empfangen kann, es gibt keine zentrale, steuernde Instanz.

• Basis dafür ist das uralte SMTP-Protokoll, entwickelt für verteilte, sich einander vertrauende Systeme.

• SMTP bildet einen physischen Brief nach und hat zwei Absenderadressen: den MAIL-FROM (Umschlag)- und den FROM (Briefkopf)-Sender, ein Umstand, den Angreifer tagtäglich nutzen.

• Mittels DNS kann man die Eigentümerschaft über die Domänen beweisen, für die man E-Mails sendet und empfängt.

• Die Verschlüsselung über TLS sichert die gesamte Kommunikation zwischen zwei Punkten, wie bei einem Webbrowser zwischen Client und Server. Der Versand von E-Mails passiert aber nicht immer direkt zwischen Sender und Empfänger, sondern kann auch „Hops“ dazwischen beinhalten.

• Private/Public Key-Verfahren können Daten signieren und verschlüsseln. Das Empfänger-System braucht nur den Public Key.

• Vertrauensstellungen über Dritte (Authorities) erfordern, dass sowohl sendendes als auch empfangendes System der Authority vertrauen.

Aufgrund dieser Rahmenbedingungen folgte nun eine Reihe von Maßnahmen, um SPAM einzudämmen und die E-Mail-Kommunikation vertrauenswürdiger zu machen.

Das Feedback der IT-Industrie zum Einsatz dieser Technologien ist nach wie vor zurückhaltend. In der Praxis werden viele dieser Verfahren nur inkonsequent umgesetzt. Einer der Gründe dafür könnte sein, dass der größte Anbieter von Business-Mailboxen sich sehr lange Zeit gelassen hat, um DMARC in der M365-Cloud für Exchange-Online überhaupt zur Verfügung zu stellen. Zwölf Jahre nach der Einführung von Exchange-Online in Europa hat Microsoft erstmals DMARC möglich gemacht, das war vor drei Jahren. Wie ernst ist es der Industrie also wirklich damit?

Checkliste für CISOs

5 Funktionen, die Ihre E-Mail-Sicherheitslösung braucht

BIMI: alter Wein in neuen Schläuchen?

Die AuthIndicators Working Group hat das Konzept für Brand Indicators for Message Identification (BIMI) ab 2019 in großen Pilotprojekten ausgerollt. Es basiert grundlegend auf dem E-Mail-Sicherheitsstandard DMARC und nutzt für seine DNS-Einträge die Strukturvorgaben, die unter anderem in RFC 8553 für Namen mit Unterstrichen hinterlegt sind. Dahinter stehen große, internationale Anbieter von E-Mail Services wie Google, Yahoo, mailchimp und Twilio (Sendgrid). Mit BIMI können Unternehmen ihr Firmenlogo direkt im Posteingang der Empfänger anzeigen lassen. Voraussetzung dafür ist, dass die betreffende E-Mail zuvor bestimmte Authentifizierungsverfahren erfolgreich durchlaufen hat und der E-Mail-Client diese Logos anzeigen kann.

Dazu muss:

• eine korrekt konfigurierte DMARC-Richtlinie (mindestens „quarantine“ oder „reject“) des Absenders existieren und diese gültig durchlaufen worden sein;

• ein Logo im SVG-Format, das über DNS abrufbar und im besten Fall sogar mit einem sogenannten Verified Mark Certificate (VMC) beglaubigt ist, in DNS abgelegt sein.

Wichtig ist dabei: BIMI baut auf aktuellen Sicherheitsmechanismen auf und nutzt existierende, nämlich DNS und eine Vertrauensstellung zu einer externen Autorität.

Es ist nicht überraschend, dass große Anbieter mit kommerziellen Interessen den Standard unterstützen. Sie erhalten so die Möglichkeit, ein visuelles Element, das für Vertrauen steht, direkt in die Inbox des Empfängers zu bringen. Damit ist Werbung für die Marke und mehr Sicherheit aus Sendersicht in einem Paket kombiniert.

Von DKIM zu BIMI

So schützt DKIM Markenidentität und -reputation

Authentifizierung ist nicht gleich Identität

Ein zentrales Missverständnis im Kontext von BIMI ist die Gleichsetzung von technischer Authentifizierung mit tatsächlicher Identität. DMARC bestätigt lediglich, dass eine Domain technisch korrekt verwendet wurde – nicht, dass sie zum Unternehmen gehört.

Deswegen sind die größte Gefahr bei BIMI vor allem Lookalike-Domains. Es ist für den Durchschnittsanwender schon schwierig, zwischen MAIL-FROM- und FROM-Domäne zu unterscheiden. Wenn BIMI wirklich Standard werden sollte, bekommt ein Logo vom Sender in der Inbox eine ganz neue Bedeutung. Empfänger von E-Mails könnten sich in trügerischer Sicherheit wiegen und die Scheu verlieren, in Fallen zu tappen. Ein Cyberangreifer von gutef1rma.de kann ein Logo von gutefirma.de in DNS ablegen und dann eine E-Mail mit ordnungsgemäßer DMARC Policy an ein potenzielles Opfer senden. Wenn Empfänger von E-Mails einmal BIMI-Logos gewöhnt sind, kann die Wirkung fatal sein. Der visuelle Reiz eines Bildes wird die falsche Domäne im Text sehr wahrscheinlich überstrahlen, und die Falle kann zuschnappen. Der Schutz der Logos über VMC hilft da nur bedingt weiter. VMC hadert aktuell mit der Anzahl der Certificate Authorities, die BIMI unterstützen, und den Kosten des Zertifikates. Ungefähr 150 € mögen für E-Mail-Sicherheit zunächst nicht viel erscheinen. Ein Blick auf die geringe Verbreitung sowie die Möglichkeit der Fälschung über Fake-Domains relativiert diesen Business Case jedoch deutlich.

Micro-Trainings und klare Prozesse erhöhen die Melderate

Phishing-Abwehr gelingt nur vernetzt mit Technik und Verhalten

Sichtbarkeit ersetzt keine Sicherheit

Im Vergleich zu anderen Standardtechnologien wird BIMI von vielen Anbietern von E-Mail-Sicherheitslösungen weniger als Fortschritt, sondern eher als potenzielles neues Risiko bewertet. Deswegen liegt der Fokus weiterhin auf der konsequenten Durchsetzung etablierter Verfahren wie DMARC, DANE, DNSSEC und MTA-STS.

Echtes Vertrauen in E-Mail-Kommunikation lässt sich nur durch konsequent umgesetzte Ende-zu-Ende-Sicherheitsmechanismen erreichen. Verfahren, die unabhängig von der korrekten Konfiguration einzelner Transportstationen funktionieren und die Integrität sowie die Identität des Absenders eindeutig absichern, bieten hier klare Vorteile gegenüber rein transportbasierten Ansätzen.

Solange die E-Mail jedoch primär auf nachträglich ergänzten Schutzmechanismen basiert, bleibt sie anfällig für Missbrauch. Wenn sie langfristig als sicheres Kommunikationsmedium bestehen soll, wird kein Weg daran vorbeiführen, stärker auf verbindliche, durchsetzbare Sicherheitsverfahren zu setzen.

Über den Autor: Roman Stadlmair beschäftigt sich seit vielen Jahren mit E-Mail-Technologien und sammelte Erfahrung mit Microsoft Mail, Exchange Server und Exchange Online. Er ist neunfacher Microsoft MVP sowie Gründer und Betreiber der PowerShell Usergroup Austria. Seit 2019 ist Stadlmair Country Manager Österreich bei SEPPmail und verantwortet Partner­manage­ment, Kundenbetreuung, Vertrieb sowie die Weiterentwicklung der PowerShell SEPPmail-Toolbox.

Server-Infrastruktur in Deutschland beschlagnahmt

Cybercrime-Dienst „RedVDS“ abgeschaltet

(ID:50881503)