Sender Policy Framework ist ein E-Mail-Authentifizierungsverfahren, das festlegt, welche Mailserver berechtigt sind, E-Mails im Namen einer bestimmten Domain zu versenden, um das Fälschen von Absenderadressen wirksam zu erschweren, insbesondere im betrieblichen Alltag.
SPF nutzt einen speziellen Eintrag im Domain Name System, der auflistet, welche Mailserver autorisiert sind, E-Mails für eine bestimmte Domain zu versenden, wodurch empfangende Mailserver überprüfen können, ob eine eingehende E-Mail tatsächlich von einem berechtigten Server stammt.
Für Unternehmen ist SPF relevant, weil es eine grundlegende, technische Maßnahme gegen das Fälschen der eigenen Absenderadresse durch Angreifer darstellt, was häufig bei Phishing-Angriffen oder CEO-Fraud genutzt wird, um Nachrichten glaubwürdiger erscheinen zu lassen.
Für Architektur- und Ingenieurbüros ist SPF relevant, um zu verhindern, dass Angreifer gefälschte E-Mails im Namen des eigenen Unternehmens an Auftraggeber oder Subplaner versenden, was sowohl das Vertrauen in die Unternehmenskommunikation als auch die Reputation des Büros erheblich schädigen könnte.
Abzugrenzen ist SPF von anderen E-Mail-Authentifizierungsverfahren wie DKIM, das digitale Signaturen für E-Mails nutzt, während SPF primär auf der Überprüfung berechtigter Mailserver basiert. Beide Verfahren werden häufig gemeinsam eingesetzt, um E-Mail-Fälschungen wirksamer zu erschweren. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist SPF relevant, weil es verhindert, dass Angreifer gefälschte E-Mails im Namen Ihres Unternehmens an Auftraggeber oder Subplaner versenden, was sowohl das Vertrauen in Ihre Kommunikation als auch Ihre Reputation erheblich schädigen könnte. Die Einrichtung eines korrekten SPF-Eintrags ist eine vergleichsweise einfache, aber wirksame technische Maßnahme. Für die Cyberversicherung ist relevant, dass grundlegende E-Mail-Authentifizierungsverfahren wie SPF häufig als Bestandteil der Mindestanforderungen an die IT-Sicherheit gelten, insbesondere zur Vorbeugung gegen CEO-Fraud und Business Email Compromise. Ihr IT-Dienstleister oder E-Mail-Anbieter kann einen korrekten SPF-Eintrag für Ihre Unternehmensdomain einrichten. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Ingenieurbüro stellt bei einer Sicherheitsüberprüfung fest, dass für die eigene Unternehmensdomain bislang kein SPF-Eintrag konfiguriert war, wodurch theoretisch jeder beliebige Mailserver E-Mails hätte versenden können, die scheinbar vom Büro selbst stammten. Der beauftragte IT-Dienstleister richtet umgehend einen korrekten SPF-Eintrag ein, der ausschließlich die tatsächlich genutzten Mailserver des Büros als berechtigt ausweist. Kurze Zeit später wird ein Betrugsversuch bekannt, bei dem Angreifer versuchten, gefälschte E-Mails im Namen des Büros zu versenden, die dank des neu eingerichteten SPF-Eintrags von vielen empfangenden Mailservern automatisch als verdächtig eingestuft wurden. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
SPF ist ein E-Mail-Authentifizierungsverfahren, das festlegt, welche Mailserver berechtigt sind, E-Mails im Namen einer Domain zu versenden.
Ein spezieller Eintrag im Domain Name System listet die autorisierten Mailserver auf, die empfangende Server überprüfen können.
Es verhindert, dass Angreifer gefälschte E-Mails im Namen des Unternehmens an Auftraggeber oder Subplaner versenden.
SPF basiert auf der Überprüfung berechtigter Mailserver, während DKIM digitale Signaturen für E-Mails nutzt.
Es gilt häufig als Bestandteil der Mindestanforderungen zur Vorbeugung gegen CEO-Fraud und Business Email Compromise.
• Domain Name System (DNS) – enthält den technischen Eintrag, über den SPF konfiguriert wird.
• API (Application Programming Interface) – kann von E-Mail-Diensten genutzt werden, um SPF-Konfigurationen automatisiert zu überprüfen.
• Browser – kann E-Mail-Sicherheitshinweise anzeigen, die auf einer erfolgreichen SPF-Überprüfung basieren.
• Cookie – steht in keinem direkten technischen Zusammenhang mit SPF, wird aber häufig im selben Kontext der Webtechnologien genannt.