Wie verhindern Sie E-Mail-Spoofing auf ungenutzten Domains?

Warum brauchen ungenutzte Domains E-Mail-Einträge?

Weil jeder Ihre Domain in die Absenderzeile einer E-Mail schreiben kann und eine Domain ohne Einträge den Empfängern nichts zum Prüfen gibt. Eine Defensiv-Domain wie ein Tippfehler Ihrer Marke ist aus diesem Grund attraktiv. Phisher versenden Mails, die scheinbar von der Variante stammen oder von einem Namen, der wie Ihre Support-Adresse aussieht, und ein empfangendes System, das keine Richtlinie findet, hat keinen Grund, sie abzulehnen.

Zwei Einträge schließen den größten Teil dieser Lücke. SPF listet die Server auf, die für eine Domain senden dürfen, und ein SPF-Eintrag ohne Server mit hartem Fail weist jeden Absender zurück. DMARC sagt den Empfängern, was sie mit Mails tun sollen, die die SPF- und DKIM-Prüfungen nicht bestehen, und p=reject bittet sie, diese abzulehnen. Der dritte Eintrag, ein Null-MX, teilt Absendern mit, dass die Domain keinen Mailserver hat, sodass eine Nachricht daran sofort scheitert, statt tagelang erneut versucht zu werden.

Wardmints Liste der Defensiv-Endungen steht in Welche Domains ein Krypto-Projekt registrieren sollte. Sobald Sie sie besitzen, sind diese drei Einträge das Erste, was Sie hinzufügen.

Was bewirkt ein Null-MX-Eintrag (RFC 7505)?

Ein Null-MX ist ein einzelner MX-Eintrag mit Präferenz 0 und einem Root-Punkt als Ziel und bedeutet, dass die Domain keine E-Mails annimmt. RFC 7505 definiert ihn. Der Exchange ist ein Label der Länge null, in Zonendateien als Punkt geschrieben, und da ein Punkt kein gültiger Hostname ist, kann der Eintrag nicht mit einem echten Mailserver verwechselt werden.

Es gelten zwei Regeln. Eine Domain, die einen Null-MX veröffentlicht, darf keinen anderen MX-Eintrag veröffentlichen. Und der Eintrag ist nur in genau dieser Form ein Null-MX: Präferenz 0, Ziel Punkt. Absender, die ihn sehen, scheitern sofort mit einem dauerhaften Fehler, was Mailschleifen verhindert und den Wiederholungswarteschlangen ehrlicher Absender erspart, die sich bei Ihrer Domain vertippt haben.

Ohne ihn greift ein Absender, der keinen MX findet, auf den A-Eintrag der Domain zurück und versucht dort zuzustellen, was langsamer und unklarer ist. Ein Null-MX beseitigt dieses Rätselraten.

Was bedeutet SPF v=spf1 -all?

Es ist ein TXT-Eintrag, der keinen Absender autorisiert, und das Minuszeichen lässt jede Prüfung fehlschlagen. RFC 7208 definiert ihn: v=spf1 ist das Versions-Tag, und -all ist eine einzelne Direktive, bei der der Mechanismus all immer zutrifft und der Qualifier Minus fail zurückgibt. Zusammen besagen sie, dass kein Host Mails für den Namen senden darf.

RFC 7208 empfiehlt dieses Vorgehen für Namen, die weder in Adressen verwendet werden noch Mails senden sollen. Veröffentlichen Sie es am Apex jeder Defensiv-Domain. SPF wird für die Domain im Envelope-Absender oder im HELO-Namen geprüft, ein Spoofer kann es also auch mit einer Subdomain versuchen, die Sie nie konfiguriert haben. Ein Wildcard-TXT-Eintrag, der für Namen unter der Domain ohne eigene Einträge gilt, kann diese abdecken.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Was fügt DMARC p=reject hinzu?

DMARC fügt die Richtlinie und das Reporting hinzu: Es weist Empfänger an, fehlschlagende Mails abzulehnen, und lässt Sie sehen, wer es versucht. RFC 7489 legt die Richtlinie als TXT-Eintrag unter dem Namen _dmarc der Domain fest. Das Tag v muss zuerst stehen und DMARC1 lauten, und p setzt die Richtlinie auf none, quarantine oder reject. Das Tag sp legt die Richtlinie für Subdomains fest, und fehlt es, gilt p auch für sie. Die Tags adkim und aspf bestimmen strikte oder lockere Ausrichtung, und rua gibt Adressen für aggregierte Berichte an.

Der RFC ist bei der Stärke von p=reject vorsichtig: Der Inhaber bittet die Empfänger um Ablehnung, und von den Empfängern wird ein bestmögliches Bemühen erwartet, sie sind aber nicht strikt verpflichtet. Große Mailbox-Anbieter befolgen es in der Praxis, weshalb sich der Eintrag lohnt.

Um Versuche zu sehen, fügen Sie eine Meldeadresse hinzu, zum Beispiel rua=mailto:[email protected], auf einem Postfach, das Sie lesen. Für ein Projekt mit mehreren Defensiv-Domains genügt ein Meldepostfach für alle. Halten Sie eine Domain, die tatsächlich Mails versendet, etwa Ihre Hauptdomain, bei einer Richtlinie, die zu ihren echten Absendern passt, und lesen Sie die aggregierten Berichte, bevor Sie sie auf reject stellen.

Wie viel kostet es, einen Defensiv-Satz zu schützen?

Die drei Einträge kosten bei Wardmint nichts extra; die Domains sind der Kostenpunkt. Wardmint stellt eine „Keine-E-Mail“-DNS-Vorlage (Null-MX, SPF -all, DMARC p=reject), damit eine defensive Domain nicht zum Fälschen Ihrer E-Mails missbraucht werden kann, kostenlose URL-Weiterleitung, die jede Variante auf Ihre Hauptseite leitet, und automatische Verlängerung aus Ihrem Guthaben, damit keine Variante ausläuft bereit.

Laut Wardmints Erhebung vom 12. November 2026 kosten die neun Endungen in seinem Phisher-Set (.xyz, .pro, .info, .shop, .online, .icu, .click, .live und .support) zusammen $212.41 pro Jahr oder $637.23 über drei Jahre, und jede kann die Vorlage ohne E-Mail tragen. Das Kernset von .com, .net, .org, .io, .xyz, .app kostet $128.94 pro Jahr. Die Sets sind Vorschläge, keine Pakete: Die Namen kommen über die Massensuche in den Warenkorb, bis zu 50 auf einmal.

Wenden Sie die Vorlage auf jede defensive Domain an, die keinen Webverkehr weiterleitet, und kombinieren Sie sie mit URL-Weiterleitung für die, die das tun. Die Methode zur Auswahl der Namen steht unter Wie Sie eine defensive Domain-Liste für Ihre Marke erstellen.