Wissen · Tool-Anleitungen

Domain-Sicherheit prüfen: das Domänen-Zeugnis auf einen Blick

Mailsicherheit, Zertifikat und Verwechslungsdomains in einem gesiegelten Bericht.

Ob eine Domain gut abgesichert ist, sieht man ihr nicht an. Zwei Fragen tauchen im Alltag trotzdem ständig auf: Kann jemand in meinem Namen Mails verschicken, die echt aussehen? Und ist die Domain, die mir gerade geschrieben hat, überhaupt vertrauenswürdig? Beides lässt sich aus öffentlich sichtbaren Daten beantworten — nur liegen sie über ein halbes Dutzend Abfragen verstreut, und man muss wissen, wo man hinschaut. Das Domänen-Zeugnis fasst diese Abfragen zu einem Bericht zusammen und hält den Zustand fest, damit man ihn später belegen kann.

Was «Domain-Sicherheit prüfen» wirklich umfasst

Das Zeugnis liest drei Bereiche aus — alle aus dem öffentlichen DNS und aus öffentlichen Zertifikatsdaten, ohne Anmeldung und ohne das Ziel anzugreifen:

• Mailsicherheit. SPF legt fest, welche Server für die Domain senden dürfen; DKIM signiert die Nachrichten; DMARC verbindet beides und sagt dem Empfänger, was mit Fälschungen geschehen soll. DNSSEC signiert die DNS-Antworten, damit sie unterwegs nicht manipuliert werden, und CAA schränkt ein, welche Stelle überhaupt Zertifikate ausstellen darf.
• Zertifikat. Aussteller und Restlaufzeit des TLS-Zertifikats — ein abgelaufenes oder bald ablaufendes Zertifikat fällt sofort auf.
• Verwechslungsdomains. Ähnlich geschriebene Adressen (Tippfehler, vertauschte Endungen, mit Umlauten getarnte Buchstaben), die für Phishing genutzt werden könnten — samt Hinweis, ob sie registriert und aktiv sind.

Ein Domänen-Zeugnis im Beispiel

Für eine erfundene Domain muster-treuhand.ch könnte das Ergebnis so aussehen. Die Gesamtbewertung fasst die Einzelbefunde in einer Ampel zusammen — von «Unauffällig» bis «Dringender Handlungsbedarf»:

Zwei Dinge stechen heraus. Erstens: DMARC steht auf p=none — die Domain beobachtet Fälschungen nur, weist Empfänger aber nicht an, sie abzulehnen. Bis auf p=quarantine oder p=reject erhöht, bleibt Spoofing im eigenen Namen praktisch möglich. Zweitens sind zwei Verwechslungsdomains registriert und aktiv — das gehört im Auge behalten. Was das Zeugnis dabei nicht tut: Es liest keine E-Mail-Inhalte, testet nicht, ob gerade tatsächlich gefälschte Mails verschickt werden, und nennt hinter einer fremden Domain keinen Namen mit Sicherheit (WHOIS-Daten sind oft geschwärzt).

Warum der Zustand gesiegelt wird

Jedes Zeugnis wird beim Erstellen mit einem SHA-256-Fingerabdruck versehen und über einen Prüflink abrufbar gemacht, der auf ?h= und 64 Zeichen endet. Ruft man ihn auf, bestätigt stratdata nur, dass genau dieser Bericht erzeugt wurde und seither unverändert ist — mehr nicht. Das ist nützlich, wenn man einen Befund über die Zeit dokumentieren, einem Administrator vorlegen oder einer Meldung an den Registrar beilegen will: Der Bericht lässt sich nachträglich nicht heimlich frisieren. Belegt ist damit der öffentlich sichtbare Zustand zu einem Zeitpunkt — keine Aussage darüber, wer was beabsichtigt.