Wir beantworten Ihre Fragen zur neuen DMARC Reject Richlinie von Yahoo! Mail

Autor Return Path 

Anfang April diesen Jahres hat Yahoo als erster großer Mailbox Provider seine DMARC Richtlinie auf „reject“ eingestellt. Wenn Sie mit DMARC noch nicht so vertraut sind – einfach ausgedrückt bedeutet das, dass Yahoo in seinen DNS Record die Anweisung an andere Mailbox Provider aufgenommen hat, E-Mails von Yahoo-Domains abzulehnen (Reject = ablehnen) und damit nicht zuzustellen, sofern diese nicht von Yahoos eigenen Servern stammen. Diese Nachricht hat für viel Aufmerksamkeit gesorgt und hatte für die Branche insgesamt mehr als nur Signalwirkung. Warum das so ist möchte ich im Rahmen dieses Artikels erläutern, so dass Sie die Auswirkungen auf Ihr Business besser abschätzen können. Bei Fragen steht unser Team gerne für Sie zur Verfügung.

Lassen Sie mich mit der Frage nach dem “Warum” starten. Warum also entschloss sich Yahoo zu diesem Schritt? Stellen Sie sich folgendes Szenario einmal vor. Cyberkriminelle versuchen tagein tagaus sich in die Konten der Yahoo-Nutzer zu hacken, um deren Kontakte zu kopieren. Dann schicken sie von ihren eigenen Servern aus Spam an diese Kontakte, der so aussieht als käme er von dem Yahoo Nutzer selbst. Haben Sie nicht auch schon einmal oder sogar mehrmals eine E-Mail von einem Freund oder Familienangehörigen erhalten, die nur einen Link enthielt? Vermutlich war es genau das oben beschriebene Szenario, das hier zugange war. Denn letztlich handelt es sich um Spam, der nur so getan hat als käme er von einem Freund oder Verwandten, um sich Ihr Vertrauen zu erschleichen.

Für Yahoo hat dieses Szenario gleich auf mehreren Ebenen äußerst negative Konsequenzen. Zuallererst scheint der Spam ja auf den ersten Blick von Yahoo zu stammen, was dem Vertrauen in die Marke „Yahoo“ schadet. Zweitens haben Cyberkriminelle damit eindrucksvoll bewiesen, dass sie sich bei Yahoo Mail einhacken konnten, so dass dieser Missbrauch gleichzeitig auch ein erhöhtes Sicherheitsrisiko für andere Nutzer darstellt.

Indem die Richtlinie auf “Reject” eingestellt wurde sagt Yahoo im Endeffekt: „Wenn Sie eine Mail eines Yahoo Nutzers sehen, die nicht über uns verschickt wurden, stellen Sie diese Mail bitte nicht zu.“ Diese Richtlinie wirkt sich lediglich bei den Mailbox Providern aus, die eingehende E-Mails auf DMARC hin prüfen, doch diese Liste wächst stetig und umfasst heute bereits: Comcast, Gmail, Outlook.com (also Microsoft), AOL und Yahoo selbst. Das bedeutet im Endeffekt also, dass Milliarden an Posteingängen vor gespooften Mails, die nur angeblich von Yahoo Domains stammen, sicher sind.

Also alles gut, oder?

Nun ja, für Yahoo selbst hatte dieser Schritt große Vorteile. Das Vertrauen in die Marke Yahoo wird gestärkt. Yahoo Nutzer müssen sich nicht mehr länger rechtfertigen, warum sie Onkel, Tante, Schwester und bester Freundin Spam-Mails schicken (obwohl der Spam doch gar nicht von ihnen ausging). Und Hacker haben weniger Interesse an den Konten der Yahoo-Nutzer, da Mails von gespooften Accounts in aller Wahrscheinlichkeit noch vor Erreichen der Adressaten abgefangen werden würden, was man folglich als Pluspunkt auf dem Konto „Nutzer-Sicherheit“ verbuchen darf. Jeff Bonforte, SVP of Communications Products bei Yahoo veröffentlichte folgenden Kommentar auf der Yahoo! Mail Tumbl Seite: „Über Nacht konnten wir die bösen Buben, die Phishing-Angriffe mithilfe gespoofter E-Mails durchführen, die so taten als kämen sie von einem Yahoo Mail-Account, fast vollständig stoppen.“

Wo also ist das “aber”?

Der Nachteil ergibt sich für all diejenigen Einzelpersonen (und Unternehmen!), die E-Mails von ihren Yahoo Account versenden, dafür aber nicht die Server von Yahoo nutzen. Beispiele hierfür sind KMUs, die ihre Mails über einen Hosting-Anbieter versenden, jedoch eine Yahoo-Domain verwenden sowie ESPs (Email Service Provider), deren Kunden Yahoo-Domains nutzen.

Wir haben auch von vielen Einzelpersonen gehört, die plötzlich keine Mails mehr an ihre Kontakte mit Gmail, Outlook.com oder Yahoo Adressen schicken konnten und sich nicht erklären konnten, woran das lag. Zufällig hörte ich auf dem Weg nach Hause eine Radiosendung, in der die Moderatorin erzählte, dass all ihre Mails aufgrund von Heartbleed nicht zugestellt würden. Natürlich lag dies keinesfalls an Heartbleed, sondern vielmehr daran, dass sie eine Yahoo Domain, nicht aber den Yahoo Server nutzte. (Und ja, ich habe sie natürlich angerufen und darüber informiert.)

Welche Auswirkungen ergeben sich also?

Solange Yahoo seine derzeitige DMARC Richtlinie unverändert als “Reject” beibehält (und wir haben keinerlei Hinweise dafür, dass Yahoo eine Änderung in Betracht zieht) können Sie die Yahoo Domain nicht mehr länger verwenden, wenn Sie nicht auch über Yahoo Server versenden. Glücklicherweise ist es relativ einfach, eine eigene Domain aufzusetzen.

Wenn Sie Freunde oder Verwandte haben, die Probleme bei der Zustellung von E-Mails von ihren Yahoo Accounts haben – Ihre erste Frage sollte sein, ob sie einen Yahoo Server verwenden. Wenn die Antwort darauf „ja“ lautet, so wird das Problem bestehen bleiben, da es aufgrund der Reject-Richtlinie nicht mehr länger möglich sein wird, E-Mails von einer Yahoo Domain zuzustellen, die nicht auch über den Yahoo Service verschickt werden.

Yahoo selbst hat auf seinem Blog weitere Informationen und Empfehlungen veröffentlicht: „Yahoo DMARC Policy Change – What Should Senders Do?

Author Image

About Return Path

Author Archive

Your browser is out of date.

For a better Return Path experience, click a link below to get the latest version.