DNS-Sicherheitsprüfer: Was vor Phishing-Simulationen zu

Bildnachweis: Blincjoh, gemeinfrei, via Wikimedia Commons.

Ein DNS-Sicherheitsprüfer hilft Sicherheitsteams dabei zu überprüfen, ob die an E-Mail, Schulung und Berichterstattung beteiligten Domains so konfiguriert sind, dass sie ein Phishing-Simulationsprogramm zuverlässig tragen können. Bevor Sie kontrollierte Simulationen durchführen, sollten Sie wissen, ob SPF-, DKIM-, DMARC-, MX- und verwandte DNS-Einträge vorhanden, abgestimmt und dokumentiert sind.

Das bedeutet nicht, die E-Mail-Sicherheit zu schwächen, damit simulierte Nachrichten durchkommen. Es bedeutet, den aktuellen Zustand vor einer Kampagne zu verstehen, vermeidbare Fehlkonfigurationen zu beheben und nachzuweisen, dass Ihr Awareness-Programm auf sauberen technischen Grundlagen steht.

Dieser Leitfaden ist für defensive Phishing-Simulationen und Security-Awareness-Trainings gedacht. Er enthält keine Phishing-Vorlagen, Umgehungstaktiken, Schritte zur Erfassung von Zugangsdaten oder Anweisungen zum Ausweichen an Mail-Sicherheitskontrollen vorbei.

Warum DNS-Prüfungen vor Awareness-Tests wichtig sind

Phishing-Simulationen sitzen an der Schnittstelle von Menschen, Mailsystemen, Domains und Compliance-Nachweisen. Wenn die DNS-Ebene unordentlich ist, kann das Programm schon schlechte Daten erzeugen, bevor Nutzer überhaupt eine Nachricht sehen.

Häufige Probleme sind:

legitime Trainingsmails werden unerwartet abgewiesen oder in Quarantäne verschoben
Berichte zeigen geringe Interaktion, weil die Mail nie im Posteingang angekommen ist
uneinheitliche Zustellung zwischen Microsoft 365, Google Workspace und regionalen Gateways
verwirrende Audit-Nachweise, weil niemand festgehalten hat, welche Domains autorisiert waren
Sicherheitsteams schaffen riskante Ausnahmen, obwohl eine bessere DNS-Behebung ausgereicht hätte

Die richtige Reaktion ist nicht, die Abwehr zu lockern. Ein gutes Phishing-Simulationsprogramm sollte mit dem E-Mail-Sicherheits-Stack arbeiten, nicht an ihm vorbei. Ein DNS-Sicherheits-Scan gibt IT- und Sicherheitsteams vor Kampagnen, Piloten, Anbietergesprächen und Audit-Besprechungen eine gemeinsame Basis.

AutoPhish umfasst einen DNS-Sicherheitsprüfer zur Bewertung der Domain-Position. Die folgende Checkliste erklärt, was diese Prüfungen im Kontext von Phishing-Simulationen und Awareness-Training bedeuten.

Was ein DNS-Sicherheitsprüfer prüfen sollte

Ein nützlicher DNS-Sicherheitsprüfer sagt nicht nur, ob eine Domain Einträge hat. Er sollte Ihnen helfen zu verstehen, ob diese Einträge vertrauenswürdiges Senden, belastbare Berichte und sichere Abläufe unterstützen.

SPF-Einträge

SPF legt fest, welche Mailserver berechtigt sind, für eine Domain zu senden. Für Phishing-Simulationen ist SPF wichtig, weil die von Ihrer Plattform, Ihren Benachrichtigungen und Ihren Trainingsabläufen genutzten Domains vorhersehbar und dokumentiert sein müssen.

Prüfen Sie:

ob ein SPF-TXT-Eintrag existiert
ob er aktuelle, freigegebene Sendedienste enthält
ob er zu viele DNS-Lookups auslöst
ob alte Anbieter noch aufgeführt sind
ob der abschließende Mechanismus beabsichtigt ist

Behandeln Sie SPF nicht als Hebel, um eine Simulation durch die Hintertür zu ermöglichen. Wenn ein Anbieter weitreichende oder schlecht erklärte SPF-Änderungen verlangt, fragen Sie nach dem Grund, den Auswirkungen auf den normalen Mailverkehr und danach, wie die Änderung zurückgenommen wird, falls der Pilot endet.

DKIM-Einträge

DKIM signiert ausgehende E-Mails, damit empfangende Systeme prüfen können, ob eine Nachricht unterwegs nicht verändert wurde und vom signierenden Domaininhaber autorisiert war. Für Awareness-Programme ist DKIM wichtig, weil es die Unklarheit verringert, wenn überprüft wird, warum Nachrichten angenommen, abgelehnt oder markiert wurden.

Prüfen Sie:

ob DKIM-Selectoren für freigegebene Sender vorhanden sind
ob Schlüssel aktuell und gemäß den Empfehlungen des Mailanbieters ausreichend stark sind
ob nicht mehr genutzte Selectoren entfernt wurden
ob plattformgenerierte Nachrichten durchgängig signiert werden

Wenn Simulationen uneinheitliche Ergebnisse liefern, gehört DKIM-Alignment oft zu den ersten technischen Details, die man prüfen sollte.

DMARC-Richtlinie und Alignment

DMARC verknüpft SPF und DKIM mit der sichtbaren From-Domain und sagt Empfängern, wie sie mit Nachrichten umgehen sollen, die bei der Authentifizierung scheitern. Die Leitlinien von CISA zu E-Mail- und Websicherheit heben DMARC, SPF und DKIM als Kernkontrollen hervor, um Spoofing-Risiken zu senken.

Für Simulationen ist DMARC nicht nur ein Compliance-Kästchen. Es beeinflusst:

ob die sichtbare Absenderdomain mit der authentifizierten Infrastruktur ausgerichtet ist
ob fehlgeschlagene Nachrichten überwacht, in Quarantäne verschoben oder abgewiesen werden
ob Berichts- und Auswertungsdaten Authentifizierungsfehler zeigen können
ob eine Plattform sichere Optionen für Absenderdomains unterstützen kann

Teams sollten vorsichtig sein, DMARC allein als Beweis für Compliance oder Phishing-Schutz darzustellen. Es reduziert das Risiko von Domain-Spoofing, stoppt aber nicht jede schädliche Nachricht, jedes kompromittierte Konto oder jeden SaaS-basierten Missbrauchspfad.

MX-, MTA-STS-, TLS-RPT- und verwandte Einträge

MX-Einträge zeigen, wo E-Mails für eine Domain empfangen werden. MTA-STS und TLS-Reporting können helfen, den verschlüsselten Mailtransport zwischen unterstützenden Systemen durchzusetzen und zu überwachen. Diese Einträge sind nicht immer direkt mit der Zustellung von Phishing-Simulationen verbunden, gehören aber zu einer ausgereiften E-Mail-Sicherheitslage.

Dokumentieren Sie für eine Bereitschaftsprüfung vor Phishing-Simulationen:

den primären Mailanbieter und die Gateways
ob das eingehende Routing zur erwarteten Umgebung passt
ob Sicherheitsgateways Links, Anhänge oder Header verändern
ob Transport-Sicherheits-Einträge vorhanden und überwacht werden

Dieser Kontext hilft, Kampagnenergebnisse zu erklären. Ein Link-Rewriting-Gateway kann zum Beispiel verändern, wie Klicks, Meldungen und sichere Landingpages in den Plattform-Analysen erscheinen.

DMARC-Aggregatberichte

DMARC-Aggregatberichte helfen Domaininhabern zu sehen, welche Quellen E-Mails in ihrem Namen senden. Sie sind besonders nützlich, bevor eine neue Simulationsplattform eingeführt wird, weil sie zeigen können, ob bestehende Sender bereits falsch ausgerichtet sind.

Prüfen Sie vor einem Pilotprojekt, ob Berichte erfasst und ausgewertet werden. Wenn niemand die Berichte liest, kann der DNS-Eintrag zwar existieren, aber kaum operativen Nutzen bringen.

Ein DNS-Bereitschafts-Workflow vor der Simulation

Die beste DNS-Prüfung ist kurz, wiederholbar und dokumentiert. Verwenden Sie diesen Ablauf, bevor Sie ein neues Phishing-Simulationsprogramm starten oder den Anbieter wechseln.

Legen Sie den Geltungsbereich der Domains fest

Listen Sie die Domains auf, die für Unternehmens-E-Mail, Plattform-Benachrichtigungen, Trainingslinks, Berichts-Postfächer und etwaige dedizierte Simulationsdomains verwendet werden. Halten Sie die Liste eng gefasst und freigegeben.

Führen Sie einen DNS-Sicherheits-Scan durch

Prüfen Sie SPF-, DKIM-, DMARC-, MX- und verwandte Einträge für jede Domain. Speichern Sie das Ergebnis zusammen mit den Notizen zur Kampagne oder zur Anbieterbewertung.

Bestätigen Sie Senderverantwortung und Zweck

Jeder einbezogene Sender sollte einen fachlichen Verantwortlichen haben. Entfernen Sie veraltete Dienste, wo immer möglich. Wenn ein Eintrag existiert, weil „niemand weiß, ob er noch gebraucht wird“, klären Sie das, bevor Sie weitere Komplexität hinzufügen.

Mit den Verantwortlichen für Mail-Sicherheit abstimmen

Bringen Sie die Scan-Ergebnisse zu dem Team, das für Microsoft 365, Google Workspace, Secure Email Gateways und DNS zuständig ist. Ziel ist nicht, eine Kampagne irgendwie durchzubekommen. Ziel ist, sich darauf zu einigen, was der Mail-Stack tun soll.

Führen Sie einen kleinen Pilot durch

Beginnen Sie mit einer kontrollierten Pilotgruppe und vergleichen Sie dann Zustellung, Öffnungen, Meldungen und Gateway-Protokolle. Wenn die Zahlen nicht zusammenpassen, untersuchen Sie den Mailpfad, bevor Sie das Nutzerverhalten interpretieren.

Belege aufbewahren

Speichern Sie den DNS-Scan, die Kampagneneinstellungen, die Freigabe der Stakeholder und die Nachbesprechung nach der Kampagne. Das ist nützlich für Governance-Gespräche und für an Standards ausgerichtete Awareness-Programme wie ISO 27001 oder SOC 2, ohne zu viel darüber zu behaupten, was die Simulation beweist.

Was Käufer von Phishing-Simulationsanbietern fragen sollten

Wenn Sie Phishing-Simulationssoftware evaluieren, sollten DNS- und E-Mail-Authentifizierungsunterstützung Teil des Beschaffungsgesprächs sein.

Fragen Sie Anbieter:

Welche Domains senden E-Mails, hosten Schulungen und sammeln Berichte?
Unterstützen Sie abgestimmte SPF-, DKIM- und DMARC-Konfigurationen?
Können wir Simulationen durchführen, ohne unsere Produktions-Mail-Sicherheitslage zu schwächen?
Wie gehen Sie mit Unterschieden zwischen Microsoft 365, Google Workspace und Secure Email Gateways um?
Können wir Kampagnenbelege für Audits exportieren?
Können Admins Zustellprobleme getrennt von Nutzerverhaltensmetriken sehen?
Unterstützen Sie datenschutzfreundliche Berichte und anonymisierte Ansichten, wo nötig?

Hier spielt auch Plattformautomatisierung eine Rolle. Eine Phishing-Simulationsplattform sollte Teams helfen, konsistente Kampagnen durchzuführen, aber Automatisierung darf die DNS- und Zustelldetails nicht verdecken, denen Sicherheitsexperten vertrauen müssen.

Weitere Kaufkriterien finden Sie in AutoPhishs Leitfaden zu Phishing-Simulation-Reporting und in der praxisnahen Anleitung, warum Phishing-Simulations-E-Mails im Spam landen.

DNS-Prüfungen und Compliance-Nachweise

Compliance-Teams verlangen oft einen Nachweis, dass Awareness-Trainings stattfinden. Ein DNS-Sicherheitsprüfer beweist nicht, dass Mitarbeitende etwas gelernt haben, und er bescheinigt für sich genommen auch keine Compliance. Er kann jedoch eine stärkere Nachweiskette unterstützen.

Nützliche Belege sind:

der DNS-Scan vor der Kampagne
die Domains und Anbieter, die für das Senden freigegeben wurden
der Umfang und das Datum der Kampagne
die Zusammenfassung zu Zustellung und Berichterstattung
die nach der Kampagne ergriffenen Folgemaßnahmen
das Datum der nächsten Überprüfung

So lässt sich zeigen, dass Phishing-Simulationen kontrolliert, geprüft und in den Sicherheitsbetrieb eingebettet sind. Das ist glaubwürdiger als ein einzelner Screenshot mit einer Klickrate.

FAQ

Ist ein DNS-Sicherheitsprüfer dasselbe wie ein Phishing-Simulationstool?

Nein. Ein DNS-Sicherheitsprüfer bewertet technische Einträge wie SPF, DKIM, DMARC und MX. Ein Phishing-Simulationstool führt kontrollierte Awareness-Kampagnen, Schulungen, Berichte und Follow-up-Abläufe aus. Die DNS-Prüfung ist ein Bereitschaftsschritt, nicht die Simulation selbst.

Sollten wir DNS-Einträge ändern, nur damit simulierte Phishing-Mails ankommen?

Seien Sie vorsichtig. DNS-Änderungen sollten legitimes, freigegebenes Senden unterstützen und vom Verantwortlichen für Mail-Sicherheit geprüft werden. Vermeiden Sie pauschale Ausnahmen, unerklärte Includes oder Änderungen, die die Produktionssicherheit für einen Test schwächen.

Stoppt DMARC Phishing?

DMARC hilft, direktes Domain-Spoofing zu reduzieren, wenn es korrekt konfiguriert und durchgesetzt wird, aber es stoppt nicht jeden Phishing-Pfad. Angreifer können Lookalike-Domains, kompromittierte Konten, SaaS-Missbrauch, QR-Codes, SMS, Sprache und andere Kanäle nutzen. Awareness-Training und Simulationen brauchen daher weiterhin eine breitere Abdeckung.

Was tun wir, wenn der DNS-Scan Lücken findet?

Priorisieren Sie Behebungen, die Risiken senken und das Vertrauen in die Kampagnenergebnisse stärken: veraltete Sender entfernen, autorisierte Plattformen ausrichten, DKIM prüfen, DMARC-Richtlinie überprüfen und Zuständigkeiten dokumentieren. Führen Sie dann einen kleinen Pilot durch, bevor Sie die Simulation ausweiten.

Machen Sie DNS-Bereitschaft zu einem Teil Ihres Phishing-Simulationsprogramms

Phishing-Simulationen sind nützlicher, wenn das technische Fundament klar ist. Ein DNS-Sicherheitsprüfer gibt IT-, Sicherheits- und Compliance-Teams eine gemeinsame Ausgangsbasis, bevor sie Kampagnenergebnisse interpretieren oder Anbieter vergleichen.

AutoPhish hilft Teams, datenschutzbewusste Phishing-Simulationen, Berichte und Follow-up-Abläufe durchzuführen, ohne Awareness in eine Strafübung zu verwandeln. Beginnen Sie damit, Ihre Domain-Position mit dem DNS-Sicherheitsprüfer zu prüfen, und registrieren Sie sich, um ein sichereres Phishing-Simulationsprogramm aufzubauen.

DNS-Sicherheitsprüfer: Was vor Phishing-Simulationen zu verifizieren ist