+KONF.13.5 Publikation der Sendeberechtigung
---+KONF.13.5.1 Strenge Senderpolicy

KONF.13.5 Publikation der Sendeberechtigung

Konfiguration für E-Mail SOLLTE die Publikation der eigenen Sendeberechtigung im DNS aktivieren.

Erläuterung

Dies wird typischerweise über spezielle DNS-Einträge wie den Sender Policy Framework (SPF) realisiert. Damit kann eine Institution im DNS festlegen, welche Mail-Server berechtigt sind, E-Mails im Namen ihrer Domäne zu versenden. Ein entsprechender DNS-Eintrag, der sogenannte SPF-Record, ermöglicht es empfangenden Mail-Servern, die Absender-Adresse einer eingehenden E-Mail zu überprüfen. Dies kann die Schutzwirkung gegen gängige Risiken wie E-Mail-Spoofing verbessern, bei dem sich ein Angreifer als legitimer Absender ausgibt, um die Empfänger zu täuschen. Ohne eine solche Konfiguration könnte ein Angreifer beispielsweise E-Mails mit gefälschter Absenderadresse verschicken, die scheinbar von der Geschäftsleitung stammen, um einen Nutzer zur Herausgabe von sensiblen Informationen zu verleiten (Phishing). Durch die Aktivierung von SPF kann das Risiko verringert werden, dass solche bösartigen Nachrichten die Postfächer von Nutzern erreichen. Es ist wichtig, den Eintrag sorgfältig zu erstellen, um alle legitimen Absender abzudecken, einschließlich Diensten von Drittanbietern. Ein häufiger Fehler ist, dass nicht alle autorisierten Mail-Server korrekt gelistet sind, was dazu führen könnte, dass legitime E-Mails fälschlicherweise als Spam markiert werden.

1. Apžvalga

KONF.13.5.1 Strenge Senderpolicy

Konfiguration für E-Mail SOLLTE eine strenge Senderpolicy aktivieren.

Erläuterung

Ein strenger Senderpolicy-Eintrag, auch "hard fail" (-all) genannt, weist empfangende Mailserver an, E-Mails, die von nicht autorisierten Servern stammen, zurückzuweisen oder als Spam zu markieren. Dies kann das Risiko von Phishing-Angriffen erheblich reduzieren, bei denen Angreifer versuchen, sich als vertrauenswürdige Institutionen auszugeben. Eine solche Konfiguration kann auch Spoofing verhindern, bei dem die Absenderadresse gefälscht wird, was dazu führen könnte, dass Kunden oder Mitarbeiter betrügerischen Anweisungen folgen, die scheinbar von der Institution selbst stammen. Zur Umsetzung einer strengen Senderpolicy kann die Institution sicherstellen, dass sie einen SPF-Eintrag in ihren DNS-Einstellungen hinterlegt. Dieser Eintrag sollte alle autorisierten Server explizit auflisten und mit dem "-all" Mechanismus enden, um eine strikte Ablehnung nicht konformer E-Mails zu signalisieren.

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai
Šaltinis	Reikalavimas

3. Susiję teisės aktai

Teisės aktai
Šaltinis	Reguliavimas

BSI_DE -
EN: Publications of the Bundesamt für Sicherheit in der Informationstechnik (BSI, Federal Office for Information Security), https://www.bsi.bund.de/. This is not an official BSI website. Only the versions published by the BSI are authoritative.
- Cloud Computing Compliance Criteria Catalogue C5:2026, German version: © BSI, licensed under CC BY-ND 4.0; content unchanged, converted into the GRCA format.
- Anwenderkatalog Grundschutz++: © BSI, from Stand-der-Technik-Bibliothek, licensed under CC BY-SA 4.0. Changes: converted into the GRCA format, the links of the catalog shown as links between the requirements. These adaptations are shared under CC BY-SA 4.0 as well.
DE: Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), https://www.bsi.bund.de/. Kein amtlicher Auftritt des BSI. Maßgeblich sind allein die vom BSI veröffentlichten Fassungen.
- Kriterienkatalog Cloud Computing C5:2026: © BSI, lizenziert unter CC BY-ND 4.0; Inhalt unverändert, in das GRCA-Format umgewandelt.
- Anwenderkatalog Grundschutz++: © BSI, aus der Stand-der-Technik-Bibliothek, lizenziert unter CC BY-SA 4.0. Änderungen: in das GRCA-Format umgewandelt, die Verweise des Katalogs als Verknüpfungen zwischen den Anforderungen. Diese Bearbeitungen stehen ebenfalls unter CC BY-SA 4.0.