Protokolle

Umschlag und Briefkopf

Jede E-Mail trägt ihre Adressen zweimal, an zwei völlig getrennten Stellen, die nichts miteinander abgleichen. Wer diese Trennung nicht kennt, versteht weder Phishing noch Bcc noch Rückläufer.

Das Vorbild ist wörtlich zu nehmen

Ein Brief hat einen Umschlag und ein Blatt darin. Die Post liest den Umschlag; sie interessiert nicht, was auf dem Briefbogen steht. Der Empfänger nimmt das Blatt heraus, wirft den Umschlag weg und liest den Briefkopf.

Bei E-Mail ist das genauso — mit dem Unterschied, dass niemand prüft, ob beides zusammenpasst.

Warum die Trennung nötig ist

Man könnte meinen, beides gehöre schlicht zusammengelegt. Drei alltägliche Funktionen sprechen dagegen:

• Rückläufer. Ist eine Adresse ungültig, muss die Fehlermeldung irgendwohin. Sie geht an die Umschlagadresse — bei einem Newsletter also an ein Auswertungspostfach, nicht an die Redaktion, die im Briefkopf steht.
• Bcc. Eine Blindkopie funktioniert nur, weil der Umschlag Empfänger nennen kann, die im Briefkopf nicht auftauchen. Der Server stellt an RCPT TO zu; was in To: steht, ist ihm gleichgültig.
• Weiterleitungen und Verteiler. Ein Verteiler übernimmt den Umschlag-Absender, damit Rückläufer bei ihm landen, lässt den Briefkopf aber stehen, damit die ursprüngliche Autorin sichtbar bleibt.

Und warum sie ausgenutzt wird

Dieselbe Freiheit macht Phishing so einfach. Der Briefkopf ist reiner Text innerhalb der Nachricht — man schreibt hinein, was man will. Kein Prüfschritt im Protokoll vergleicht ihn mit dem Umschlag oder mit der Wirklichkeit.

Ein Mailprogramm zeigt in der Regel nur den Anzeigenamen, nicht einmal die Adresse dahinter. Aus From: Deine Bank <irgendwas@fremde.example> wird in der Liste schlicht Deine Bank.

Was die Schutzverfahren daraus machen

An dieser Trennung entscheidet sich, warum es drei Verfahren braucht und nicht eines:

• SPF prüft den Umschlag. Eine Mail kann SPF bestehen und im Briefkopf trotzdem in fremdem Namen auftreten.
• DKIM signiert Teile der Nachricht, üblicherweise einschließlich der From:-Zeile — sagt aber nichts über den Umschlag.
• DMARC verlangt, dass eines von beiden besteht und zur Domain im Briefkopf passt. Erst damit wird die angezeigte Absenderin überprüfbar.

Ausführlich steht das auf der Seite zu SPF, DKIM und DMARC. Ohne die Unterscheidung von Umschlag und Briefkopf ist dort allerdings kein Satz verständlich — deshalb diese Seite zuerst.

Selbst nachsehen

Jedes Mailprogramm kann den vollständigen Kopfbereich einer Nachricht anzeigen, meist unter „Quelltext anzeigen" oder „Original anzeigen". Zwei Zeilen lohnen den Blick:

• Return-Path: — hier trägt der zustellende Server ein, was im Umschlag stand. Das ist der einzige Ort, an dem der Umschlag-Absender die Nachricht überlebt.
• Received: — für jede Station eine Zeile, die neueste oben. Von unten nach oben gelesen ergibt sich der tatsächliche Weg.

Weicht Return-Path deutlich von From ab, ist das für sich genommen kein Alarmzeichen — bei jedem Newsletter ist es der Normalfall. Es ist nur der Beleg dafür, dass hier zwei verschiedene Dinge stehen, die zwei verschiedene Fragen beantworten.