Authentifizierungs-Protokolle
SPF (Sender Policy Framework)
¶RFC 7208 · DNS: TXT-Record auf der Domain
SPF ist ein E-Mail-Authentifizierungsverfahren, bei dem eine Domain per DNS-TXT-Record veröffentlicht, welche Server berechtigt sind, E-Mails in ihrem Namen zu versenden. Empfangende Mailserver prüfen die einliefernde IP-Adresse gegen diese Liste.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzOhne SPF kann jeder Server weltweit Mails mit Ihrer Domain als Absender einliefern. SPF ist zudem Pflichtbestandteil der Gmail/Yahoo-Sender-Anforderungen — fehlt es, leidet die Zustellbarkeit jeder Kampagne messbar.
TechnikDer Record beginnt mit v=spf1, gefolgt von Mechanismen wie ip4:, include:, a, mx und einem Qualifier für alle übrigen Quellen (-all = Hard Fail, ~all = Soft Fail). Geprüft wird gegen den Envelope-From (Return-Path), nicht die sichtbare Absenderadresse — deshalb reicht SPF allein nie aus. Maximal 10 DNS-Lookups sind erlaubt.
Der Sentrust-VorteilWir konsolidieren gewachsene SPF-Einträge zu einem fehlerfreien Record, lösen das 10-Lookup-Limit auf und pflegen ihn bei jedem Tool-Wechsel weiter — Sie fassen den Eintrag nie wieder an.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der Hard Fail ist der strikteste SPF-Qualifier: Alle nicht explizit autorisierten Versandquellen sollen als unautorisiert zurückgewiesen werden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzHard Fail signalisiert Empfängern maximale Absender-Disziplin und verhindert, dass unbekannte Server unbeanstandet in Ihrem Namen senden. Falsch eingesetzt blockiert er jedoch legitime Systeme — etwa das vergessene Rechnungstool.
TechnikSyntax: v=spf1 include:… -all. Der empfangende Server wertet nicht gelistete IPs als «Fail». Wie er darauf reagiert, entscheidet er selbst — verbindlich wird die Behandlung erst durch eine DMARC-Policy.
Der Sentrust-VorteilWir setzen -all erst, wenn das Versandquellen-Inventar nachweislich vollständig ist — datenbasiert aus den DMARC-Reports, nicht nach Bauchgefühl.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SPF Soft Fail (~all) & das Soft/Hard-Fail-Problem
¶Der Soft Fail markiert nicht autorisierte Quellen als «verdächtig, aber nicht sicher unautorisiert» — eine Empfehlung zur Skepsis statt einer Abweisung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzViele Unternehmen bleiben dauerhaft auf ~all stehen, weil sie Blockaden fürchten — und wiegen sich in falscher Sicherheit: Spoofing-Mails werden so oft trotzdem zugestellt. Ein reines Placebo, wenn es der Endzustand bleibt.
TechnikSyntax: v=spf1 include:… ~all. Empfänger werten Soft Fail typischerweise als schwaches Spam-Signal. In Kombination mit DMARC ist der Unterschied zwischen ~all und -all praktisch irrelevant — entscheidend ist die DMARC-Policy.
Der Sentrust-VorteilWir nutzen ~all gezielt als Migrationszustand und führen Sie planmässig zum durchsetzungsfähigen Endzustand — statt Sie dort jahrelang parkiert zu lassen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der SPF-Standard erlaubt pro Prüfung maximal 10 DNS-Lookups. Wird das Limit überschritten, endet die Prüfung mit einem permerror — die Authentifizierung scheitert dauerhaft.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzJedes SaaS-Tool bringt sein eigenes include: mit — nach CRM, Newsletter, Helpdesk und Buchhaltung ist das Limit schnell gerissen. Folge: SPF fällt für alle Quellen aus, die Zustellbarkeit sinkt unbemerkt.
TechnikGezählt werden alle Mechanismen, die DNS-Abfragen auslösen (include, a, mx, redirect, exists) — auch verschachtelt: Ein include: kann intern weitere Lookups nach sich ziehen. ip4:/ip6: zählen nicht.
Der Sentrust-VorteilWir überwachen den Lookup-Zähler kontinuierlich und lösen Engpässe durch Konsolidierung oder kontrolliertes Flattening — bevor ein permerror entsteht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SPF Flattening ersetzt lookup-intensive include:-Mechanismen durch die dahinterliegenden IP-Adressen (ip4:/ip6:), um das 10-Lookup-Limit zu umgehen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFlattening löst das Lookup-Problem, schafft aber ein Wartungsrisiko: Ändert ein Provider seine IP-Ranges, wird Ihr Record still ungültig — legitime Mails scheitern plötzlich an SPF.
TechnikDie IP-Netze der Provider werden periodisch aufgelöst und als CIDR-Blöcke (z. B. ip4:203.0.113.0/24) direkt in den Record geschrieben. Seriöses Flattening erfordert automatisierte Re-Synchronisation gegen die Provider-Quellen.
Der Sentrust-VorteilWir setzen Flattening nur ein, wo es nötig ist — und betreiben dann die automatische Aktualisierung, damit der Record nie veraltet.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der include:-Mechanismus importiert den SPF-Record einer fremden Domain — der Standardweg, um SaaS-Dienste (Newsletter-Tool, CRM) zum Versand zu autorisieren.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzJedes include: ist eine Vertrauenserklärung: Sie autorisieren pauschal die gesamte Infrastruktur des Dienstleisters. Vergessene Includes ehemaliger Anbieter sind ein stilles Sicherheitsrisiko.
Technikinclude:spf.provider.com löst den Record des Providers rekursiv auf; ein «Pass» dort gilt als «Pass» für Ihre Domain. Jedes Include verbraucht mindestens einen der 10 erlaubten DNS-Lookups.
Der Sentrust-VorteilIm Audit prüfen wir jedes Include auf Notwendigkeit und Aktualität — Altlasten fliegen raus, jede aktive Quelle wird dokumentiert.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DKIM (DomainKeys Identified Mail)
¶RFC 6376 · DNS: TXT-Record unter selektor._domainkey.domain
DKIM versieht ausgehende E-Mails mit einer kryptographischen Signatur, die Empfänger über einen im DNS publizierten öffentlichen Schlüssel verifizieren. Sie beweist, dass die Mail von der signierenden Domain stammt und unterwegs nicht verändert wurde.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDKIM ist die robusteste der beiden DMARC-Säulen: Es übersteht — anders als SPF — Weiterleitungen und Mailinglisten. Ohne DKIM verlieren Sie bei jedem weitergeleiteten Newsletter Authentifizierung und damit Zustellbarkeit.
TechnikDer sendende Server berechnet Hashes über Body und ausgewählte Header (SHA-256) und signiert sie mit dem privaten Schlüssel (RSA-2048 oder Ed25519). Die Signatur steht im Header DKIM-Signature (Tags: d= Domain, s= Selektor, bh= Body-Hash, b= Signatur). Der Empfänger holt den Public Key aus dem DNS und verifiziert.
Der Sentrust-VorteilWir erzeugen für jede Versandquelle eigene Schlüsselpaare, publizieren die Records und rotieren Schlüssel nach Plan — inklusive der Spezialfälle, in denen SaaS-Anbieter eigene CNAME-Delegationen verlangen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der Selektor ist ein frei wählbarer Namensbestandteil im DKIM-DNS-Eintrag, der es erlaubt, mehrere öffentliche Schlüssel parallel für eine Domain zu publizieren — typischerweise einen pro Versandsystem.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzSelektoren machen Versandquellen einzeln steuerbar: Ein kompromittierter Dienst kann deaktiviert werden, ohne alle anderen zu stören. Ohne saubere Selektor-Strategie wird jede Störung zum Flächenbrand.
TechnikDie Signatur nennt den Selektor im Tag s=; der Empfänger fragt <selektor>._domainkey.<domain> als TXT-Record ab. Beispiel: s=crm2026 → Lookup auf crm2026._domainkey.ihre-firma.ch.
Der Sentrust-VorteilWir etablieren eine dokumentierte Selektor-Namenskonvention pro Quelle und Jahr — Grundlage für saubere Rotation und schnelle Incident-Reaktion.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Die Schlüsselrotation ist der periodische Austausch von DKIM-Schlüsselpaaren, um das Risiko kompromittierter oder kryptographisch gealterter Schlüssel zu begrenzen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEin geleakter privater DKIM-Schlüssel erlaubt perfekt authentifizierte Fälschungen in Ihrem Namen — das Worst-Case-Szenario. Regelmässige Rotation (empfohlen: halbjährlich bis jährlich) begrenzt dieses Fenster.
TechnikNeues Schlüsselpaar erzeugen, Public Key unter neuem Selektor publizieren, Versandsystem umstellen, alten Record nach Karenzfrist entfernen. Dank Selektoren ist die Rotation unterbrechungsfrei möglich.
Der Sentrust-VorteilRotation ist bei uns Kalenderroutine, nicht Krisenreaktion: Im Managed-Abo rotieren wir planmässig und dokumentiert — über alle Quellen hinweg.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der Body Hash ist der kryptographische Prüfwert (typisch SHA-256) über den Nachrichtentext einer E-Mail, der in der DKIM-Signatur mitgeführt wird.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEr garantiert Integrität: Niemand kann unterwegs Rechnungsbeträge, IBAN oder Links in Ihrer Mail manipulieren, ohne dass die Signaturprüfung fehlschlägt. Für Finanz- und Vertragskommunikation essenziell.
TechnikDer Body wird nach dem gewählten Kanonikalisierungsverfahren (simple/relaxed) normalisiert und gehasht: bh=SHA256(body). Schon ein verändertes Zeichen erzeugt einen anderen Hash — die Verifikation ergibt «Fail».
Der Sentrust-VorteilWir konfigurieren die Kanonikalisierung so, dass harmlose Transportänderungen (Zeilenumbrüche) die Signatur nicht brechen — ein häufiger, schwer auffindbarer Fehlerherd.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DMARC (Domain-based Message Authentication, Reporting & Conformance)
¶RFC 7489 · DNS: TXT-Record unter _dmarc.domain
DMARC ist das Richtlinien- und Reporting-Protokoll über SPF und DKIM: Es verlangt, dass mindestens eines der beiden Verfahren zur sichtbaren Absenderdomain passt (Alignment), und weist Empfänger an, wie sie mit Fälschungen umgehen sollen — beobachten, filtern oder abweisen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDMARC ist der einzige Standard, der Domain-Spoofing tatsächlich unterbindet — und Voraussetzung für BIMI sowie für die Bulk-Sender-Anforderungen von Gmail/Yahoo. Für Vorstände zunehmend eine Governance-Frage: Wer keine DMARC-Policy durchsetzt, toleriert wissentlich, dass Dritte im Firmennamen mailen können.
TechnikBeispiel-Record: v=DMARC1; p=reject; rua=mailto:…; adkim=s; aspf=s. Der Empfänger prüft SPF- und DKIM-Ergebnis samt Alignment zum From:-Header. Bestehen beide nicht, wird die Policy (p=) angewendet und das Ergebnis in aggregierten XML-Reports (RUA) an die angegebene Adresse gemeldet.
Der Sentrust-VorteilDMARC ist unser Kernhandwerk: Wir führen Ihre Domain datenbasiert von p=none bis p=reject — mit Zustellbarkeits-Garantie während der gesamten Migration.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DMARC p=none (Monitor-Modus)
¶p=none ist die beobachtende DMARC-Policy: Fälschungen werden nicht sanktioniert, aber alle Authentifizierungsergebnisse werden per Report an den Domain-Inhaber gemeldet.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAls Startpunkt unverzichtbar, als Dauerzustand wertlos: Rund die Hälfte aller DMARC-Domains verharrt auf none — volle Sichtbarkeit, null Schutzwirkung. Angreifer wissen das.
Technikv=DMARC1; p=none; rua=mailto:… — die Zustellung bleibt unverändert, aber jeder grosse Empfänger sendet täglich aggregierte XML-Reports über alle Mails, die Ihre Domain als Absender tragen.
Der Sentrust-VorteilBei uns ist none eine terminierte Phase mit Exit-Kriterium (≥99% legitime Pass-Rate), kein Endlager. Wir sagen Ihnen von Beginn an, wann Enforcement erreicht wird.
Vollständiger Fachartikel mit Praxisfall & Quellen →
p=quarantine weist Empfänger an, Mails ohne bestandene DMARC-Prüfung als verdächtig zu behandeln — in der Praxis: Zustellung in den Spam-Ordner.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie Zwischenstufe mit Sicherheitsnetz: Fälschungen verschwinden aus dem Posteingang, aber fälschlich betroffene legitime Mails sind im Spam-Ordner noch auffindbar — ideal zum kontrollierten Testen der Durchsetzung.
Technikv=DMARC1; p=quarantine; pct=25 — kombiniert mit dem pct=-Parameter lässt sich die Quarantäne zunächst nur auf einen Prozentsatz des fehlschlagenden Verkehrs anwenden und schrittweise auf 100% erhöhen.
Der Sentrust-VorteilWir steuern die Eskalation über pct datenbasiert und beobachten die Reports in Echtzeit — Auffälligkeiten stoppen die Eskalation automatisch, bevor Schaden entsteht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DMARC p=reject (Enforcement)
¶p=reject ist die maximale DMARC-Policy: E-Mails, die die Prüfung nicht bestehen, werden bereits während der SMTP-Zustellung abgewiesen und erreichen kein Postfach — auch keinen Spam-Ordner.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer einzige Zustand, der Domain-Spoofing zu 100% stoppt — und die Eintrittsbedingung für BIMI und das Logo im Posteingang. p=reject ist das messbare Endziel jedes seriösen E-Mail-Security-Programms.
Technikv=DMARC1; p=reject; rua=mailto:… — der empfangende MTA beantwortet die Einlieferung mit einem 5xx-SMTP-Fehler. Der legitime Verkehr muss zuvor zu praktisch 100% SPF- oder DKIM-aligned sein, sonst gehen eigene Mails verloren.
Der Sentrust-VorteilWir bringen Sie sicher auf reject — und halten Sie dort: Das Managed-Abo verhindert, dass ein neues Tool oder ein CRM-Wechsel Ihre Durchsetzung still bricht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der pct=-Tag legt fest, auf welchen Prozentsatz der fehlschlagenden Mails die DMARC-Policy angewendet wird — ein Dimmer für die Durchsetzung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzErmöglicht risikoarmes Enforcement: Statt von 0 auf 100 zu schalten, wird die Wirkung schrittweise hochgefahren und jeder Schritt an realen Daten validiert.
Technikp=quarantine; pct=25 → nur ~25% der DMARC-Fails werden quarantänisiert, der Rest wie none behandelt. Achtung: Bei p=reject; pct<100 fallen die restlichen Mails auf quarantine zurück, nicht auf none.
Der Sentrust-VorteilWir nutzen pct-Stufen als definierte Meilensteine mit Report-Review vor jeder Erhöhung — dokumentiert und für Sie jederzeit nachvollziehbar.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der sp=-Tag definiert eine eigene DMARC-Policy für alle Subdomains einer Organisation, unabhängig von der Policy der Hauptdomain.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAngreifer weichen gezielt auf Subdomains aus (rechnung.ihre-firma.ch), wenn die Hauptdomain geschützt ist. Ohne explizite Subdomain-Policy erbt zwar jede Subdomain die Hauptpolicy — aber Ausnahmen und Altlasten bleiben oft unbemerkt.
Technikv=DMARC1; p=reject; sp=reject. Eine Subdomain mit eigenem _dmarc-Record überschreibt beides — deshalb gehört jede Subdomain ins Audit-Inventar.
Der Sentrust-VorteilUnser Audit erfasst sämtliche Subdomains inklusive vergessener Alt-Systeme und setzt eine konsistente Policy-Hierarchie über das gesamte Portfolio.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Identifier Alignment (adkim= / aspf=)
¶Alignment ist die DMARC-Kernregel: Die von SPF bzw. DKIM authentifizierte Domain muss mit der sichtbaren Absenderdomain im From:-Header übereinstimmen — sonst zählt die Prüfung nicht.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAlignment schliesst die Lücke, die reines SPF/DKIM offenlässt: Ein Angreifer kann eine Mail mit seiner Domain korrekt signieren und trotzdem Ihre Adresse anzeigen. Erst Alignment verhindert genau das.
Technikrelaxed (Standard): Organisations-Domain muss übereinstimmen (mail.firma.ch ≙ firma.ch). strict (adkim=s; aspf=s): exakte FQDN-Übereinstimmung. Strict erhöht die Sicherheit, verlangt aber diszipliniertere Konfiguration der Versandsysteme.
Der Sentrust-VorteilWir prüfen pro Versandquelle, ob strict Alignment tragfähig ist, und konfigurieren die Systeme entsprechend — maximale Härte ohne Kollateralschäden.
Vollständiger Fachartikel mit Praxisfall & Quellen →
RUA-Reports (Aggregate Reports)
¶RUA-Reports sind tägliche, aggregierte XML-Berichte, die empfangende Mailserver an den Domain-Inhaber senden: Welche IPs haben mit der Domain gesendet, mit welchen SPF/DKIM/DMARC-Ergebnissen, in welchem Volumen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzRUA-Daten sind das Radar Ihres E-Mail-Verkehrs: Sie zeigen unbekannte Versandquellen, Fehlkonfigurationen und laufende Spoofing-Kampagnen. Ohne kontinuierliche Auswertung sind Enforcement-Entscheide Blindflug.
TechnikAktivierung via rua=mailto:reports@… im DMARC-Record. Die XML-Dateien (per Mail, gezippt) enthalten pro Quelle: IP, Nachrichtenzahl, SPF/DKIM-Resultate, Alignment und angewendete Policy-Disposition. Menschlich unlesbar — Auswertung erfordert eine Analyse-Plattform.
Der Sentrust-VorteilUnsere Plattform verarbeitet Ihre RUA-Reports laufend; Sie erhalten Alerts bei Anomalien und monatlich einen Management-Report in Klartext — nie rohe XML-Dateien.
Vollständiger Fachartikel mit Praxisfall & Quellen →
RUF-Reports (Forensic/Failure Reports)
¶RUF-Reports sind Einzelfall-Berichte über konkrete E-Mails, die die DMARC-Prüfung nicht bestanden haben — teils inklusive Original-Headern oder Nachrichtenauszügen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzForensisch wertvoll, datenschutzrechtlich heikel: RUF kann Personendaten Dritter enthalten. Viele grosse Provider (u. a. Gmail) versenden deshalb gar keine RUF-Reports mehr — verlassen sollte man sich auf RUA.
TechnikAktivierung via ruf=mailto:…; Format AFRF (RFC 6591). Zustellung erfolgt ereignisnah pro fehlgeschlagener Nachricht statt aggregiert.
Der Sentrust-VorteilWir konfigurieren RUF nur, wo es rechtlich sauber und praktisch nützlich ist — und stützen die Analyse primär auf die vollständigeren RUA-Daten.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DMARC-XML-Report (Aufbau)
¶Das standardisierte XML-Format der Aggregate Reports: ein maschinenlesbares Dokument mit Metadaten des Berichtssenders, der publizierten Policy und Zeilen pro beobachteter Quell-IP.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEine mittelgrosse Domain erhält täglich Dutzende solcher Dateien von Gmail, Microsoft, Yahoo & Co. Wer sie manuell öffnet, gibt nach einer Woche auf — der Hauptgrund, warum DMARC-Projekte in Eigenregie scheitern.
TechnikStruktur: <report_metadata> (Absender, Zeitraum), <policy_published> (Ihre Policy), <record>-Elemente mit source_ip, count, disposition, dkim/spf-Ergebnissen samt Alignment.
Der Sentrust-VorteilParsing, Deduplizierung, IP-Anreicherung (Wem gehört diese Quelle?) und Trend-Analyse laufen bei uns automatisiert — Sie sehen nur die Erkenntnisse.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Envelope-From / Return-Path (RFC 5321.MailFrom)
¶Der Envelope-From ist die im SMTP-Dialog übermittelte, für Empfänger unsichtbare Absenderadresse, an die Unzustellbarkeits-Meldungen (Bounces) zurückgehen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzNewsletter-Dienste setzen hier oft ihre eigene Domain ein (für Bounce-Verarbeitung) — dadurch besteht SPF zwar, aber ohne Alignment zu Ihrer sichtbaren Adresse. Wer das nicht versteht, wundert sich über DMARC-Fails trotz «SPF: pass».
TechnikÜbertragen im SMTP-Kommando MAIL FROM:, gespeichert im Header Return-Path. SPF validiert ausschliesslich diese Adresse. Für SPF-Alignment muss ihre Domain zur From-Header-Domain passen — viele ESPs bieten dafür ein «Custom Return-Path»-Feature (CNAME).
Der Sentrust-VorteilWir konfigurieren bei jedem ESP den Custom Return-Path auf Ihre Domain — der Unterschied zwischen «SPF pass» und «SPF pass mit Alignment», also zwischen wertlos und wirksam.
Vollständiger Fachartikel mit Praxisfall & Quellen →
ARC (Authenticated Received Chain)
¶ARC ist ein Protokoll, das Authentifizierungsergebnisse über Zwischenstationen (Weiterleitungen, Mailinglisten) hinweg kryptographisch konserviert, damit sie beim Endempfänger noch bewertbar sind.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzLöst das klassische Mailinglisten-Problem: Ohne ARC verwerfen strenge DMARC-Policies legitime, weitergeleitete Mails. Relevant für Organisationen mit viel Verteiler- und Forwarding-Verkehr.
TechnikJeder Zwischenserver signiert den Zustand der Authentifizierung mit drei Headern (ARC-Authentication-Results, ARC-Message-Signature, ARC-Seal) und bildet so eine prüfbare Kette (RFC 8617). Der Empfänger kann bei DMARC-Fail auf die ARC-Kette zurückgreifen.
Der Sentrust-VorteilWir identifizieren Forwarding-Pfade in Ihren Reports und berücksichtigen ARC-Verhalten der grossen Provider bei der Enforcement-Planung — bevor Verteiler-Mails verloren gehen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Authentication-Results-Header
¶Ein vom empfangenden Server hinzugefügter E-Mail-Header, der die Ergebnisse aller Authentifizierungsprüfungen (SPF, DKIM, DMARC, ARC) dokumentiert.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas erste Diagnose-Werkzeug bei Zustellproblemen: Hier steht schwarz auf weiss, warum eine Mail im Spam landete — etwa dkim=fail wegen eines falschen Selektors.
TechnikRFC 8601. Beispiel: Authentication-Results: mx.google.com; spf=pass …; dkim=pass header.d=firma.ch; dmarc=pass. Auswertbar über «Original anzeigen» im Mail-Client.
Der Sentrust-VorteilUnsere Test-Suite prüft diese Header systematisch über alle grossen Provider nach jedem Setup-Schritt — Abnahme mit Beweis statt Hoffnung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Gmail/Yahoo Sender Requirements (Bulk-Sender-Regeln)
¶Seit Februar 2024 verbindliche Anforderungen von Google und Yahoo an Absender: SPF und DKIM Pflicht, DMARC-Policy Pflicht für Massenversender (ab ~5'000 Mails/Tag), One-Click-Unsubscribe und Spam-Raten unter 0.3%.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie Regeln haben E-Mail-Authentifizierung von «Best Practice» zu «Marktzutrittsbedingung» gemacht: Wer sie nicht erfüllt, dessen Kampagnen werden gedrosselt oder abgewiesen — unabhängig von der Inhaltsqualität.
TechnikKernpunkte: aligned SPF/DKIM, _dmarc-Record mit mindestens p=none, gültiger Forward/Reverse-DNS der Versand-IPs, List-Unsubscribe-Header (RFC 8058), Spam-Rate-Monitoring via Postmaster Tools.
Der Sentrust-VorteilUnser Setup erfüllt die Anforderungen vollständig und zukunftssicher — inklusive Monitoring der Spam-Rate, bevor Google Sie drosselt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Mailinglisten-Problem (DMARC & indirekte Mailflüsse)
¶Das strukturelle Problem, dass Mailinglisten und Weiterleitungen E-Mails verändern (Betreff-Präfix, Footer) und über fremde Server neu versenden — wodurch SPF und DKIM brechen und strenge DMARC-Policies legitime Mails verwerfen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer häufigste Einwand gegen p=reject — und der Grund, warum Enforcement Analyse braucht: Wer viel über Verteiler kommuniziert, muss indirekte Flüsse kennen, bevor er durchsetzt.
TechnikSPF bricht, weil die Listen-IP nicht autorisiert ist; DKIM bricht bei Inhaltsänderung (Body-Hash). Moderne Listen begegnen dem mit From-Rewriting oder ARC-Signierung.
Der Sentrust-VorteilWir quantifizieren Ihren indirekten Verkehr aus den RUA-Daten und legen fest, ob er vernachlässigbar ist oder besondere Massnahmen braucht — vor dem Enforcement, nicht danach.
Vollständiger Fachartikel mit Praxisfall & Quellen →
BIMI, Zertifikate & Markenschutz
BIMI (Brand Indicators for Message Identification)
¶DNS: TXT-Record unter default._bimi.domain
BIMI ist ein offener Standard, der es Mailbox-Providern erlaubt, das verifizierte Markenlogo eines Absenders direkt neben dessen E-Mails im Posteingang anzuzeigen — vorausgesetzt, die Domain setzt DMARC durch.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBIMI verwandelt Sicherheitsinvestitionen in sichtbaren Marketing-Ertrag: Studien zeigen bis zu +21% Öffnungsrate und +18% Markenerinnerung. Gleichzeitig lernt der Kunde: Mail mit Logo = echt — ein antrainierter Phishing-Schutz.
TechnikRecord: default._bimi.domain TXT "v=BIMI1; l=<SVG-URL>; a=<Zertifikats-URL>". Voraussetzungen: DMARC mit p=quarantine (pct=100) oder p=reject, Logo als SVG Tiny PS über HTTPS, und je nach Provider ein VMC/CMC. Der Provider validiert die Kette bei jedem Abruf.
Der Sentrust-VorteilBIMI ist unser Zielprodukt: Wir liefern die komplette Kette — Enforcement, Logo-Konvertierung, Zertifikat, DNS-Rollout, Anzeige-Verifikation — aus einer Hand.
Vollständiger Fachartikel mit Praxisfall & Quellen →
VMC (Verified Mark Certificate)
¶Ein VMC ist ein digitales Zertifikat, das die Inhaberschaft eines als Marke eingetragenen Logos kryptographisch bestätigt und dessen Anzeige via BIMI autorisiert — in Gmail zusätzlich mit blauem Verifikations-Häkchen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas VMC ist das stärkste Vertrauenssignal im Posteingang: geprüfte Organisation, geprüfte Marke, Häkchen. Für Banken, Versicherungen und Marken-Unternehmen der Standard — Kostenpunkt ca. CHF 1'500–1'800 pro Jahr.
TechnikEin X.509-Zertifikat mit eingebettetem SVG-Logo, ausgestellt von einer autorisierten Mark Verifying Authority (DigiCert, Sectigo) nach Prüfung von Organisation (analog EV), Markenregister-Eintrag (z. B. IGE, EUIPO, USPTO) und Video-Verifikation einer zeichnungsberechtigten Person.
Der Sentrust-VorteilWir führen den gesamten VMC-Prozess: Markenregister-Abgleich, Antragstellung, CA-Kommunikation, Terminkoordination — Ihr Aufwand reduziert sich auf 15 Minuten Video-Call.
Vollständiger Fachartikel mit Praxisfall & Quellen →
CMC (Common Mark Certificate)
¶Ein CMC ist ein digitales Markenzertifikat für BIMI, das keine Markeneintragung voraussetzt: Es genügt der Nachweis, dass das Logo seit mindestens 12 Monaten öffentlich verwendet wird.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas CMC demokratisiert BIMI für KMU und Start-ups: Logo-Anzeige in Gmail & Co. ohne jahrelanges Markenverfahren, zu geringeren Kosten (ca. CHF 1'100–1'400/Jahr). Einziger Verzicht: kein blaues Gmail-Häkchen.
TechnikTechnisch dem VMC gleich (X.509 mit eingebettetem SVG). Der Nutzungsnachweis («prior use») erfolgt z. B. über Web-Archiv-Snapshots der Unternehmenswebsite. Gmail akzeptiert CMCs seit 2024 für die Logo-Anzeige.
Der Sentrust-VorteilWir führen die Nutzungsnachweis-Recherche, bereiten die Belege CA-gerecht auf und empfehlen datenbasiert, ob CMC genügt oder das VMC-Upgrade lohnt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
VMC vs. CMC — die Abgrenzung
¶Beide Zertifikatstypen aktivieren die BIMI-Logo-Anzeige; sie unterscheiden sich in der Rechtsgrundlage des Logo-Nachweises (Markenregister vs. nachgewiesene Nutzung) und im Gmail-Verifikations-Häkchen (nur VMC).
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie Wahl ist eine Kosten-Nutzen-Frage: VMC = maximales Vertrauen + Häkchen, aber Markeneintragung nötig. CMC = schnell, günstiger, ohne Registerpflicht. Häufigster Praxisweg: mit CMC starten, auf VMC upgraden.
TechnikIdentische Einbindung im BIMI-Record (a=-Tag). Der Mailbox-Provider liest den Zertifikatstyp aus und entscheidet über Zusatz-Signale wie das Häkchen.
Der Sentrust-VorteilWir prüfen im Audit Markenlage und Logo-Historie und rechnen Ihnen beide Wege transparent vor — inklusive Upgrade-Pfad ohne Doppelkosten.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SVG Tiny PS (Portable/Secure)
¶SVG Tiny PS ist das für BIMI vorgeschriebene, sicherheitsreduzierte SVG-Profil: ein Vektorformat ohne Skripte, externe Referenzen oder Interaktivität, das Mail-Clients gefahrlos automatisch rendern können.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFehlerhafte SVGs sind der häufigste Grund für abgelehnte Zertifikatsanträge und nicht angezeigte Logos — ein vermeidbarer Zeitverlust von Wochen im Projekt.
TechnikBasierend auf SVG Tiny 1.2: Pflicht-Attribut baseProfile="tiny-ps", <title>-Element erforderlich, verboten sind u. a. <script>, externe Links, Rasterbilder und Animationen. Empfohlen: quadratische ViewBox, zentriertes Logo, deckender Hintergrund.
Der Sentrust-VorteilWir konvertieren Ihr Logo aus jedem Ausgangsformat (AI, EPS, PNG) spezifikationskonform und validieren es gegen die BIMI-Group-Vorgaben — Abnahme im ersten Anlauf.
Vollständiger Fachartikel mit Praxisfall & Quellen →
BIMI-Selektor (default._bimi)
¶Der BIMI-Selektor adressiert den DNS-Eintrag, unter dem Logo- und Zertifikats-URL einer Domain publiziert sind; Standard ist default, weitere Selektoren erlauben mehrere Logos je Mail-Strom.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzMit mehreren Selektoren können Konzerne unterschiedliche Marken-Logos für unterschiedliche Kampagnen oder Tochterfirmen über dieselbe Domain ausspielen — Markensteuerung auf DNS-Ebene.
TechnikDie sendende Mail kann per Header BIMI-Selector: v=BIMI1; s=marke2; einen alternativen Selektor anfordern; der Empfänger fragt dann marke2._bimi.domain ab. Jedes Logo braucht ein eigenes zertifiziertes SVG.
Der Sentrust-VorteilIm Enterprise-Paket managen wir Multi-Logo-Setups über Selektoren — inklusive Zertifikats-Portfolio und Kampagnen-Zuordnung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
MVA (Mark Verifying Authority)
¶Eine Mark Verifying Authority ist eine von den Mailbox-Providern anerkannte Zertifizierungsstelle, die berechtigt ist, VMC- und CMC-Zertifikate auszustellen — aktuell im Wesentlichen DigiCert und Sectigo.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie MVA-Wahl beeinflusst Preis, Prozessdauer und Support-Qualität. Da nur wenige Anbieter autorisiert sind, gibt es keinen Preiswettbewerb nach unten — umso wichtiger ist effiziente Abwicklung.
TechnikMVAs betreiben eigene Root-/Intermediate-CAs für Mark Certificates und folgen den Richtlinien der BIMI Group. Die Provider (Gmail, Apple, Yahoo) pflegen Vertrauenslisten der akzeptierten MVAs.
Der Sentrust-VorteilWir arbeiten mit beiden MVAs, kennen deren Prozesse im Detail und wählen je Fall den schnellsten, günstigsten Weg — mit direktem Draht zu den Validierungsteams.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Markeneintragung (IGE / EUIPO / USPTO) im BIMI-Kontext
¶Die formale Registrierung eines Logos als Bildmarke bei einem anerkannten Markenamt — in der Schweiz beim Eidgenössischen Institut für Geistiges Eigentum (IGE) — als Voraussetzung für ein VMC.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie Eintragung schützt Ihr Logo rechtlich weit über E-Mail hinaus und schaltet das VMC samt Gmail-Häkchen frei. Kosten in der Schweiz: ab ca. CHF 550 Amtsgebühr, Dauer typischerweise 3–6 Monate.
TechnikFür das VMC muss das eingetragene Bildzeichen dem eingereichten SVG entsprechen; die MVA gleicht Registernummer, Inhaber und Darstellung ab. Anerkannte Register sind u. a. IGE/Swissreg, EUIPO, USPTO, UKIPO, DPMA, WIPO.
Der Sentrust-VorteilFalls die Marke fehlt, starten Sie bei uns mit dem CMC und wir koordinieren parallel die Eintragung mit Partner-Anwälten — nahtloses VMC-Upgrade nach Registrierung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Prior-Use-Nachweis (12-Monats-Regel des CMC)
¶Der Prior-Use-Nachweis belegt für ein CMC, dass das Logo seit mindestens 12 Monaten kontinuierlich und öffentlich von der antragstellenden Organisation genutzt wird.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie 12-Monats-Regel verhindert, dass Betrüger schnell ein Logo «erfinden» und zertifizieren lassen. Für etablierte Unternehmen ist der Nachweis reine Formsache — wenn man weiss, welche Belege die CA akzeptiert.
TechnikAkzeptierte Belege: archivierte Website-Snapshots (Wayback Machine) mit sichtbarem Logo, datierte Publikationen, Geschäftsberichte. Die MVA verifiziert Datum, Logo-Identität und Zuordnung zur Organisation.
Der Sentrust-VorteilWir recherchieren und dokumentieren die Nutzungshistorie für Sie — inklusive Plan B, falls das Logo kürzlich überarbeitet wurde (Rebrand-Fälle sind unsere Spezialität).
Vollständiger Fachartikel mit Praxisfall & Quellen →
Blaues Gmail-Verifikations-Häkchen
¶Ein von Gmail neben dem Absendernamen angezeigtes blaues Häkchen, das signalisiert, dass Logo und Identität des Absenders per VMC verifiziert wurden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas Häkchen überträgt die aus sozialen Netzwerken gelernte Verifikations-Semantik in den Posteingang — ein unmittelbar verständliches Vertrauenssignal, das aktuell nur eine kleine Minderheit der Absender vorweisen kann.
TechnikGmail zeigt das Häkchen nur bei gültigem VMC (nicht CMC) in Kombination mit bestandener DMARC-Prüfung der jeweiligen Mail. Es ist nicht separat beantragbar — es folgt automatisch aus der VMC-BIMI-Kette.
Der Sentrust-VorteilWir sagen Ihnen ehrlich, ob sich der VMC-Aufpreis für das Häkchen in Ihrem Kundensegment lohnt — und liefern es, wenn ja.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Logo-Rebrand & Zertifikats-Update
¶Die Aktualisierung von SVG, Zertifikat und BIMI-Record nach einer Logo-Änderung, damit im Posteingang das neue Markenbild erscheint.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEin Rebrand ohne Zertifikats-Update bedeutet: altes Logo im Posteingang oder — schlimmer — gar keines. Die Anzeige-Kontinuität gehört in jeden Rebrand-Projektplan.
TechnikNeues SVG Tiny PS erstellen, Re-Validierung bei der MVA (bei VMC ggf. neue/geänderte Markeneintragung), Zertifikat neu ausstellen, l=- und a=-URLs aktualisieren, Provider-Caches beachten.
Der Sentrust-VorteilIm Managed-Abo koordinieren wir den Wechsel so, dass das neue Logo nahtlos übernimmt — abgestimmt auf Ihren Rebrand-Launch-Termin.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Brand Impressions (Posteingang als Werbefläche)
¶Brand Impressions bezeichnen jede Sichtung Ihres Markenlogos im Posteingang — unabhängig davon, ob die Mail geöffnet wird.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBei 50'000 Mails/Monat erzeugt BIMI 50'000 garantierte Logo-Kontakte in einem Umfeld mit voller Aufmerksamkeit — Mediawert, den Sie sonst teuer einkaufen müssten, hier als Nebeneffekt der Sicherheitsarchitektur.
TechnikDas Logo wird vom Mailbox-Provider gerendert, nicht von Ihnen versendet — es verbraucht kein Kampagnen-Budget, keine Bildladezeit und funktioniert auch bei deaktivierten Remote-Inhalten.
Der Sentrust-VorteilUnsere Management-Reports rechnen Ihre Versandvolumina in Logo-Impressions und Mediawert um — Zahlen, mit denen Marketing das Budget verteidigt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Das Industriekonsortium (u. a. Google, Yahoo, Fastmail, Proofpoint, Valimail), das den BIMI-Standard entwickelt, die Spezifikationen pflegt und die Anforderungen an Zertifikate und Logos definiert.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie BIMI Group bestimmt die Spielregeln: Welche Zertifikate gelten, welche SVG-Profile akzeptiert werden, welche Provider teilnehmen. Ihre Roadmap entscheidet über künftige Reichweite Ihrer Logo-Investition.
TechnikPubliziert Spezifikationen für den BIMI-Record, das SVG-Tiny-PS-Profil und die Anforderungen an MVAs; betreibt Validierungswerkzeuge (BIMI Inspector).
Der Sentrust-VorteilWir verfolgen die Standardentwicklung laufend und passen Kunden-Setups proaktiv an — z. B. als Gmail 2024 CMCs zuliess, waren unsere Kunden in Wochenfrist live.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Apple Branded Mail / BIMI in Apple Mail
¶Apples Umsetzung der Marken-Anzeige in Apple Mail (iOS/macOS): Logos verifizierter Absender werden in der Nachrichtenliste und Detailansicht angezeigt, gestützt auf BIMI und eigene Programme.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzApple Mail hat auf Schweizer Smartphones einen sehr hohen Anteil — die Logo-Anzeige dort erreicht Ihre Kundschaft mit iPhone praktisch flächendeckend.
TechnikApple wertet seit iOS 16 BIMI-Records inkl. Zertifikat aus; zusätzlich existiert Apple Business Connect als ergänzender Registrierungsweg für Markenauftritte.
Der Sentrust-VorteilUnsere Anzeige-Verifikation testet Gmail, Apple Mail und Yahoo einzeln — inklusive der Apple-spezifischen Eigenheiten bei Cache und Darstellung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Self-Asserted BIMI (ohne Zertifikat)
¶Eine BIMI-Konfiguration, die nur das Logo (l=) ohne Zertifikats-Verweis (a=) publiziert — vom Absender selbst behauptet statt von einer MVA verifiziert.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzKostenfrei, aber reichweitenschwach: Yahoo zeigt self-asserted Logos teils an, Gmail und Apple verlangen ein Zertifikat. Wer beim grössten Provider sichtbar sein will, kommt am VMC/CMC nicht vorbei.
TechnikRecord ohne a=-Tag: v=BIMI1; l=https://…/logo.svg;. Die übrigen Voraussetzungen (DMARC-Enforcement, SVG Tiny PS) gelten unverändert.
Der Sentrust-VorteilWir setzen self-asserted BIMI als kostenlosen Zwischenschritt, wo sinnvoll — und rechnen transparent vor, wann das Zertifikat die Reichweite rechtfertigt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Kryptographie & PKI
Asymmetrische Kryptographie (Public-Key-Verfahren)
¶Ein Kryptographie-Verfahren mit mathematisch verbundenem Schlüsselpaar: Was mit dem privaten Schlüssel signiert wird, kann jeder mit dem öffentlichen Schlüssel verifizieren — ohne dass der private Schlüssel je geteilt wird.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas Fundament jeder digitalen Vertrauensbeziehung: DKIM-Signaturen, TLS, Zertifikate — alles basiert darauf. Wer den privaten Schlüssel verliert, verliert die Identität; deshalb ist Schlüssel-Governance Chefsache.
TechnikBeruht auf Einwegfunktionen: RSA auf der Faktorisierung grosser Halbprimzahlen (n = p·q), elliptische Kurven (ECDSA, Ed25519) auf dem diskreten Logarithmus. Signatur: s = Sign(priv, H(m)); Verifikation: Verify(pub, s, H(m)) — mit H als kryptographischer Hashfunktion.
Der Sentrust-VorteilWir erzeugen, verwahren und rotieren Ihre E-Mail-Schlüssel nach Best Practice — Sie müssen kein Kryptographie-Team aufbauen, um eines zu haben.
Vollständiger Fachartikel mit Praxisfall & Quellen →
PKI (Public-Key-Infrastruktur) im E-Mail-Verkehr
¶Die PKI ist das System aus Zertifizierungsstellen, Zertifikaten, Registern und Sperrmechanismen, das öffentliche Schlüssel verlässlich an Identitäten (Organisationen, Domains, Logos) bindet.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie PKI ist die Antwort auf die Frage «Warum sollte ich diesem Schlüssel glauben?». VMC/CMC erweitern sie erstmals um visuelle Markenidentität — Ihr Logo wird Teil derselben Vertrauensarchitektur wie Bank-Zertifikate.
TechnikHierarchisches Vertrauensmodell: Root-CA signiert Intermediate-CAs, diese signieren End-Zertifikate (X.509). Prüfpfad-Validierung, Gültigkeitszeiträume und Revokation (CRL/OCSP) sichern die Kette ab.
Der Sentrust-VorteilWir navigieren die PKI-Prozesse der MVAs für Sie — von der CSR-Erstellung bis zur fristgerechten Erneuerung, ohne dass Sie je ein Zertifikatsformat von Hand anfassen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
RSA & Schlüssellängen (RSA-1024/2048/4096)
¶RSA ist das verbreitetste asymmetrische Verfahren für DKIM-Signaturen; die Schlüssellänge in Bit (heute Standard: 2048) bestimmt die Sicherheitsmarge gegen Faktorisierungsangriffe.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzVeraltete 1024-Bit-Schlüssel gelten als brechbar — wer sie noch einsetzt, riskiert perfekt gefälschte Signaturen im Firmennamen. Ein stiller Altlast-Fund in vielen Audits.
TechnikSicherheit beruht auf der Härte, n = p·q in die Primfaktoren p, q zu zerlegen. RSA-2048 bietet ~112 Bit Sicherheitsniveau und ist DKIM-Standard; RSA-4096 scheitert teils an DNS-TXT-Längenlimits (Aufteilung in mehrere Strings nötig).
Der Sentrust-VorteilUnser Audit findet schwache Alt-Schlüssel; wir migrieren auf RSA-2048 oder Ed25519 und halten die Schlüsselstärke dauerhaft auf Stand der Technik.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Ed25519 (Elliptische-Kurven-Signaturen für DKIM)
¶Ed25519 ist ein modernes Signaturverfahren auf Basis der elliptischen Kurve Curve25519, das in DKIM als Alternative zu RSA standardisiert ist (RFC 8463) — kürzere Schlüssel bei gleichwertiger Sicherheit.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzZukunftssichere Kryptographie mit schlanken DNS-Einträgen. Einschränkung: Noch verifizieren nicht alle Empfänger Ed25519 — deshalb wird es produktiv parallel zu RSA signiert (Dual-Signing).
Technik256-Bit-Schlüssel mit ~128 Bit Sicherheitsniveau (vergleichbar RSA-3072). DKIM-Record: k=ed25519; p=<Base64-PublicKey>. Deterministische Signaturen, sehr schnelle Verifikation.
Der Sentrust-VorteilWo Versandsysteme es unterstützen, richten wir Dual-Signing (RSA + Ed25519) ein — kompatibel heute, zukunftssicher morgen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SHA-256 & kryptographische Hashfunktionen
¶Eine kryptographische Hashfunktion bildet beliebige Daten auf einen Prüfwert fester Länge ab (SHA-256: 256 Bit), aus dem sich weder die Daten rekonstruieren noch Kollisionen praktisch erzeugen lassen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzHashes machen Manipulation nachweisbar: Ändert jemand ein Zeichen Ihrer Rechnung, ändert sich der Hash — die DKIM-Prüfung schlägt fehl. Das ältere SHA-1 gilt als gebrochen und darf nicht mehr eingesetzt werden.
TechnikEigenschaften: Einwegfunktion (Preimage-Resistenz), Kollisionsresistenz, Avalanche-Effekt. In DKIM: a=rsa-sha256 hasht Body (bh=) und Header vor der Signierung.
Der Sentrust-VorteilWir stellen sicher, dass sämtliche Signatur-Algorithmen Ihrer Versandkette auf SHA-256 stehen — inklusive Alt-Systeme, die still auf SHA-1 signieren.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Ein kryptographisches Verfahren, das Authentizität (wer hat signiert) und Integrität (wurde nichts verändert) eines Dokuments oder einer Nachricht mathematisch beweisbar macht.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie digitale Entsprechung von Unterschrift und Siegel — nur fälschungssicherer. Im E-Mail-Kontext (DKIM) schützt sie jede einzelne Nachricht; im Zertifikatswesen beglaubigt sie Identitäten.
TechnikSignieren: s = Sign(priv, H(m)). Verifizieren: Verify(pub, s, H(m)) → wahr/falsch. Die Sicherheit folgt aus der Geheimhaltung des privaten Schlüssels und der Kollisionsresistenz von H.
Der Sentrust-VorteilWir bringen digitale Signaturen dorthin, wo sie täglich wirken: unter jede Ihrer E-Mails — automatisch, unsichtbar, verlässlich.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Public Key & Private Key
¶Das Schlüsselpaar der asymmetrischen Kryptographie: Der private Schlüssel bleibt geheim beim Inhaber (signieren/entschlüsseln), der öffentliche wird frei verteilt (verifizieren/verschlüsseln) — im E-Mail-Kontext via DNS.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer private DKIM-Schlüssel ist ein Kronjuwel: Wer ihn besitzt, sendet perfekt authentifizierte Mails in Ihrem Namen. Seine Verwahrung (bei Ihnen, beim ESP, im HSM) gehört in jedes Sicherheitskonzept.
TechnikMathematisch verbunden über Einwegfunktionen; aus dem Public Key lässt sich der Private Key praktisch nicht ableiten. DKIM publiziert den Public Key als Base64 im TXT-Record (p=-Tag).
Der Sentrust-VorteilWir dokumentieren für jede Quelle, wo der private Schlüssel liegt und wer Zugriff hat — Schlüssel-Governance als Teil des Audits.
Vollständiger Fachartikel mit Praxisfall & Quellen →
X.509 ist das Standardformat digitaler Zertifikate: eine von einer CA signierte Datenstruktur, die einen öffentlichen Schlüssel an eine geprüfte Identität bindet — bei VMC/CMC zusätzlich an ein Markenlogo.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDasselbe Format, dem Browser bei jedem HTTPS-Aufruf vertrauen, beglaubigt mit VMC/CMC nun Ihr Logo. Ihre Marke erbt damit die Vertrauensinfrastruktur des gesamten Internets.
TechnikFelder u. a.: Subject, Issuer, Gültigkeitszeitraum, Public Key, Extensions; bei Mark Certificates ist das SVG-Logo als Extension eingebettet. Kodierung ASN.1/DER, Auslieferung meist als PEM.
Der Sentrust-VorteilWir handhaben Formate, Ketten und Hosting des Zertifikats (öffentlich abrufbare a=-URL) — technische Details, die Sie nie sehen müssen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
CA (Certificate Authority / Zertifizierungsstelle)
¶Eine CA ist eine vertrauenswürdige Organisation, die nach Identitätsprüfung digitale Zertifikate ausstellt und signiert — die Notare des Internets.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas Geschäftsmodell der CA ist Vertrauen: Ihre strengen Prüfprozesse sind der Grund, warum ein VMC/CMC etwas beweist. Für Sie relevant: Prozessdauer, Preis und Support unterscheiden sich je Anbieter deutlich.
TechnikCAs betreiben Root- und Intermediate-Schlüssel in Hochsicherheitsumgebungen (HSM), unterliegen Audits (WebTrust) und publizieren Sperrlisten. Für Mark Certificates sind nur MVA-akkreditierte CAs zugelassen.
Der Sentrust-VorteilWir sind Ihr einziger Ansprechpartner — die gesamte CA-Kommunikation, inklusive Rückfragen und Eskalationen, läuft über uns.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Zertifikatskette (Root → Intermediate → End-Zertifikat)
¶Die hierarchische Vertrauenskette der PKI: Ein selbstsigniertes Root-Zertifikat beglaubigt Intermediate-Zertifikate, die wiederum End-Zertifikate (z. B. Ihr VMC) signieren.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEine unvollständige Kette ist ein klassischer, schwer diagnostizierbarer Fehler: Das Zertifikat ist gültig, wird aber nicht akzeptiert — und das Logo erscheint nicht.
TechnikDer Prüfende validiert rekursiv jede Signatur bis zu einem Root in seinem Trust Store. Die ausgelieferte PEM-Datei muss End- und Intermediate-Zertifikate enthalten; Roots liegen beim Prüfenden.
Der Sentrust-VorteilWir validieren die vollständige Kette maschinell nach jeder Ausstellung und Erneuerung — Kettenfehler erreichen die Produktion nicht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
CSR (Certificate Signing Request)
¶Der CSR ist der formale, kryptographisch signierte Antrag an eine CA: Er enthält den öffentlichen Schlüssel und die Identitätsangaben, für die ein Zertifikat ausgestellt werden soll.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFehler im CSR (falsche Organisationsangaben, schwache Schlüssel) verzögern die Ausstellung um Tage bis Wochen — vermeidbar durch saubere Vorbereitung.
TechnikFormat PKCS#10: Subject-Daten + Public Key, signiert mit dem zugehörigen Private Key (Besitznachweis). Der Private Key verlässt dabei nie den Antragsteller.
Der Sentrust-VorteilCSR-Erstellung, Schlüsselerzeugung und Einreichung übernehmen wir — abgestimmt auf die Anforderungen der jeweiligen MVA.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Zertifikats-Revokation (CRL / OCSP)
¶Die Revokation erklärt ein Zertifikat vor Ablauf für ungültig — etwa nach Schlüsselkompromittierung — publiziert über Sperrlisten (CRL) oder Echtzeit-Abfragen (OCSP).
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer Notausschalter der PKI: Bei einem Vorfall muss das Zertifikat sofort gesperrt und ersetzt werden, sonst missbraucht der Angreifer weiter Ihre beglaubigte Identität.
TechnikCRL: periodisch publizierte, signierte Sperrliste. OCSP: Online-Statusabfrage je Zertifikat. Prüfende Systeme sollen den Status vor Vertrauensentscheidung abfragen.
Der Sentrust-VorteilUnser Incident-Prozess umfasst Sofort-Revokation, Neuausstellung und DNS-Umstellung — koordiniert in Stunden, nicht Wochen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
HSM (Hardware Security Module)
¶Ein HSM ist ein manipulationsgeschütztes Hardware-Gerät zur Erzeugung und Verwahrung kryptographischer Schlüssel — private Schlüssel verlassen das Modul nie.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer Goldstandard der Schlüsselverwahrung, den CAs für ihre Root-Schlüssel einsetzen. Für Unternehmen relevant bei besonders schutzwürdigen Signatur-Infrastrukturen.
TechnikZertifizierte Module (FIPS 140-2/3, Common Criteria) führen Signaturoperationen intern aus; Zugriff nur über authentifizierte APIs, physische Manipulation löst Schlüssellöschung aus.
Der Sentrust-VorteilWir bewerten im Enterprise-Audit, ob Ihre Schlüsselverwahrung dem Schutzbedarf entspricht — pragmatisch, ohne Über-Engineering.
Vollständiger Fachartikel mit Praxisfall & Quellen →
S/MIME & PGP (Inhaltsverschlüsselung) — Abgrenzung
¶S/MIME und PGP verschlüsseln und signieren E-Mail-Inhalte Ende-zu-Ende zwischen einzelnen Personen — im Unterschied zu SPF/DKIM/DMARC, die die Domain-Authentizität auf Infrastrukturebene sichern.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBeides hat seinen Platz: DMARC schützt Ihre Marke gegenüber allen Empfängern weltweit; S/MIME schützt vertrauliche Inhalte zwischen definierten Partnern. Das eine ersetzt das andere nicht.
TechnikS/MIME nutzt X.509-Zertifikate pro Person, PGP ein dezentrales Vertrauensmodell (Web of Trust). Beide arbeiten auf Nachrichtenebene (MIME), nicht auf DNS/Transportebene.
Der Sentrust-VorteilWir ordnen im Audit klar ein, welche Schutzschicht welches Risiko adressiert — damit Budget dort landet, wo das grösste Risiko liegt: bei der Domain-Authentifizierung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DNS & Infrastruktur
DNS (Domain Name System)
¶Das DNS ist das hierarchische Verzeichnissystem des Internets, das Domainnamen in IP-Adressen und andere Ressourcen-Einträge auflöst — und zugleich der Publikationsort aller E-Mail-Authentifizierungsregeln.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzIhre gesamte E-Mail-Sicherheit steht und fällt mit korrekten DNS-Einträgen. Wer die DNS-Zone kontrolliert, kontrolliert die Domain-Identität — Zugriffsrechte darauf gehören streng geregelt.
TechnikVerteilte Datenbank mit Delegation von der Root über TLDs (.ch) zu autoritativen Nameservern. E-Mail-relevante Record-Typen: MX, TXT (SPF, DKIM, DMARC, BIMI), CNAME, A/AAAA.
Der Sentrust-VorteilWir arbeiten mit jedem Registrar und DNS-Provider (Hostpoint, Infomaniak, Cloudflare, Route 53 …) — Sie geben uns einmal Zugriff oder delegieren die Einträge, wir erledigen den Rest.
Vollständiger Fachartikel mit Praxisfall & Quellen →
TXT-Record im E-Mail-Security-Kontext
¶Der TXT-Record ist ein frei beschreibbarer DNS-Eintragstyp, der sich als universeller Träger für E-Mail-Sicherheitsrichtlinien etabliert hat: SPF, DKIM, DMARC und BIMI werden alle als TXT publiziert.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzVier unscheinbare Textzeilen im DNS entscheiden über Spoofing-Schutz, Zustellbarkeit und Logo-Anzeige. Tippfehler darin wirken sofort und global — Änderungen gehören in professionelle Hände mit Vier-Augen-Prinzip.
TechnikMax. 255 Zeichen pro String (längere Werte wie DKIM-Keys werden in mehrere Strings gesplittet und vom Resolver konkateniert). Standorte: SPF auf der Domain selbst, DKIM unter <sel>._domainkey, DMARC unter _dmarc, BIMI unter default._bimi.
Der Sentrust-VorteilJede Änderung an Ihren TXT-Records durchläuft bei uns Validierung, Staging und dokumentierte Freigabe — DNS-Änderungen wie Software-Releases.
Vollständiger Fachartikel mit Praxisfall & Quellen →
MX-Record (Mail Exchanger)
¶Der MX-Record bestimmt, welche Server eingehende E-Mails für eine Domain entgegennehmen, inklusive Prioritätsreihenfolge für Ausfallsicherheit.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFalsche MX-Einträge bedeuten: Kundenanfragen und Bestellungen kommen nie an. Bei Anbieterwechseln (z. B. zu Microsoft 365) ist die MX-Umstellung der kritische Moment.
Technikfirma.ch. MX 10 mail1.provider.ch. — niedrigere Präferenzwerte werden zuerst angesteuert. Domains, die nie Mail empfangen sollen, erhalten den Null-MX (MX 0 ., RFC 7505).
Der Sentrust-VorteilBeim Audit prüfen wir MX-Konsistenz mit; bei Migrationsprojekten koordinieren wir die Umstellung mit Ihrer Authentifizierungslage.
Vollständiger Fachartikel mit Praxisfall & Quellen →
CNAME-Record & Provider-Delegation
¶Ein CNAME ist ein DNS-Alias, der einen Namen auf einen anderen verweist — von E-Mail-Diensten häufig genutzt, damit Kunden DKIM-Schlüssel oder Return-Path-Domains an den Provider delegieren.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzKomfortabel, aber eine Vertrauensfrage: Mit einem DKIM-CNAME kann der Provider Schlüssel eigenständig rotieren — praktisch, solange die Delegation dokumentiert ist und beim Vertragsende zurückgebaut wird.
TechnikBeispiel: s1._domainkey.firma.ch CNAME s1.domainkey.esp.com. — der Resolver folgt dem Alias zum TXT-Record des Providers. CNAMEs dürfen nicht neben anderen Records am selben Namen stehen.
Der Sentrust-VorteilWir inventarisieren alle Delegationen und räumen verwaiste CNAMEs ehemaliger Dienstleister ab — jede davon ist ein potenzielles Einfallstor (Subdomain-Takeover).
Vollständiger Fachartikel mit Praxisfall & Quellen →
TTL (Time to Live) & DNS-Propagation
¶Die TTL legt fest, wie lange Resolver einen DNS-Eintrag zwischenspeichern dürfen; die «Propagation» beschreibt die Übergangszeit, bis Änderungen weltweit wirksam sind.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzWer eine DMARC-Policy mit 24h-TTL «kurz zurückdrehen» will, wartet im Ernstfall einen Tag — bei einem Zustellproblem eine Ewigkeit. TTL-Strategie ist Risikomanagement.
TechnikSekundenwert je Record (z. B. 3600 = 1h). Best Practice bei Migrationen: TTL vorab senken (300s), ändern, verifizieren, TTL wieder erhöhen.
Der Sentrust-VorteilUnsere Änderungs-Playbooks enthalten TTL-Absenkung und Rollback-Pfad standardmässig — jede Änderung ist in Minuten reversibel.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Subdomains & nicht-sendende Domains
¶Subdomains sind untergeordnete Namensräume einer Domain (shop.firma.ch); nicht-sendende Domains sind registrierte Domains ohne legitimen Mailversand — beide brauchen explizite Absicherung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAngreifer spoofen bevorzugt, was niemand überwacht: die Parking-Domain aus dem Marken-Portfolio, die alte Event-Subdomain. Jede ungesicherte Domain im Besitz ist ein Reputationsrisiko des Konzerns.
TechnikAbsicherung nicht-sendender Domains: v=spf1 -all, leerer DKIM-Wildcard-Record, v=DMARC1; p=reject, Null-MX. Aufwand: Minuten. Wirkung: vollständig.
Der Sentrust-VorteilIm Enterprise-Paket sichern wir Ihr gesamtes Domain-Portfolio ab — inklusive der Domains, von denen nur der Rechtsdienst weiss.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DNSSEC (DNS Security Extensions)
¶DNSSEC signiert DNS-Antworten kryptographisch, sodass Resolver deren Echtheit prüfen können — Schutz vor DNS-Manipulation (Cache Poisoning), auf der Ihre gesamte Mail-Authentifizierung aufbaut.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzOhne DNSSEC könnte ein Angreifer theoretisch gefälschte SPF/DKIM/DMARC-Antworten unterschieben. Für Hochsicherheitsumgebungen (Finanz, Behörden) zunehmend Compliance-Anforderung; Voraussetzung für DANE.
TechnikZonen werden mit Schlüsselpaaren (KSK/ZSK) signiert (RRSIG-Records); die Vertrauenskette läuft über DS-Records bei der übergeordneten Zone bis zur Root. Resolver mit Validierung verwerfen unsignierte Manipulationen.
Der Sentrust-VorteilWir beraten zur DNSSEC-Aktivierung bei Ihrem Provider und berücksichtigen die Besonderheiten signierter Zonen in unseren Änderungsprozessen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Domain-Registrar & DNS-Zonenverwaltung
¶Der Registrar verwaltet die Registrierung Ihrer Domain; die DNS-Zone (oft beim selben Anbieter gehostet) enthält die konkreten Einträge. Beide Zugänge sind sicherheitskritisch.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEin gekaperter Registrar-Account hebelt jede E-Mail-Sicherheit aus — der Angreifer schreibt Ihre Records einfach um. 2FA und geregelte Zugriffsrechte sind Pflicht, nicht Kür.
TechnikSchutzmechanismen: Registrar-Lock, 2FA/Passkeys, Änderungs-Benachrichtigungen, getrennte Rollen für Registrierung und Zonen-Bearbeitung, Audit-Logs.
Der Sentrust-VorteilUnser Audit umfasst eine Zugriffs-Hygiene-Prüfung: Wer kann Ihre Zone ändern, mit welcher Absicherung? Oft der wichtigste Einzelbefund.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Die Zonendatei ist die vollständige, textbasierte Beschreibung aller DNS-Einträge einer Domain — die «Quellcode-Datei» Ihrer Domain-Identität.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEine versionierte, dokumentierte Zone ist Betriebssicherheit: Nach Personalwechseln oder Providerwechseln weiss sonst niemand mehr, welcher Eintrag wozu dient — und niemand traut sich, aufzuräumen.
TechnikStandardformat nach RFC 1035: Records mit Name, TTL, Klasse, Typ, Wert. Export/Import ermöglicht Migration, Versionierung (Git) und Änderungs-Reviews.
Der Sentrust-VorteilSie erhalten von uns eine dokumentierte, kommentierte Zonen-Übersicht als Teil des Audits — jeder Eintrag mit Zweck und Verantwortlichem.
Vollständiger Fachartikel mit Praxisfall & Quellen →
PTR-Record (Reverse DNS)
¶Der PTR-Record löst eine IP-Adresse zurück in einen Hostnamen auf — die Gegenrichtung des normalen DNS und ein Basissignal für die Vertrauenswürdigkeit von Mailservern.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzGmail verlangt für einliefernde Server konsistentes Forward/Reverse-DNS (FCrDNS). Eigene Mailserver ohne sauberen PTR werden gedrosselt oder abgewiesen — ein häufiger Grund für mysteriöse Zustellprobleme.
TechnikPTR liegt in der in-addr.arpa-Zone des IP-Inhabers (meist Hosting-Provider). FCrDNS: PTR der IP zeigt auf einen Hostnamen, dessen A-Record wieder auf dieselbe IP zeigt.
Der Sentrust-VorteilWir prüfen FCrDNS aller Versand-IPs im Audit und koordinieren PTR-Korrekturen mit Ihrem Hosting-Provider.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Ein Angriff, bei dem verwaiste DNS-Einträge (z. B. CNAME auf einen gekündigten Cloud-Dienst) übernommen werden — der Angreifer kontrolliert dann Inhalte oder Mailverkehr unter Ihrer Subdomain.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzPhishing von einer echten Subdomain Ihres Unternehmens ist kaum zu erkennen — für Kunden wie für Filter. Entsteht fast immer durch fehlendes DNS-Housekeeping nach Projektende.
TechnikTypisch: alt-projekt.firma.ch CNAME projekt.provider-xyz.com — der Provider-Account wurde gelöscht, der Angreifer registriert den Namen dort neu und «erbt» die Subdomain.
Der Sentrust-VorteilUnser Audit scannt Ihre Zone auf verwaiste Delegationen; das Managed-Abo überwacht Neuzugänge — Takeover-Flächen werden geschlossen, bevor sie jemand findet.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Bedrohungen & Angriffsvektoren
Exact-Domain-Spoofing · Absenderfälschung
Domain Spoofing ist das Fälschen der sichtbaren Absenderadresse einer E-Mail, sodass die Nachricht scheinbar von Ihrer echten Domain stammt. Ohne DMARC-Enforcement kann technisch jeder Server weltweit Mails als rechnung@ihre-firma.ch versenden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzGefälschte Rechnungen, CEO-Fraud und Phishing im Namen Ihrer Marke treffen Kunden, Lieferanten und Mitarbeitende — der Reputationsschaden bleibt bei Ihnen, auch wenn Sie die Mail nie geschrieben haben.
TechnikSMTP (RFC 5321/5322) prüft den From:-Header nicht — er ist ein frei beschreibbares Textfeld. Erst DMARC koppelt ihn kryptographisch bzw. per Policy an SPF/DKIM-Ergebnisse und erlaubt der Empfängerseite die Abweisung (p=reject).
Der Sentrust-VorteilWir schliessen genau diese Lücke: kontrollierte Migration auf p=reject, ohne dass legitime Mails verloren gehen. Danach ist Exact-Domain-Spoofing für Ihre Domain technisch unterbunden.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Phishing ist der Versuch, Empfänger per täuschend echter E-Mail zur Preisgabe von Zugangsdaten, Zahlungen oder zum Öffnen von Schadsoftware zu bewegen — meist unter Missbrauch einer vertrauten Markenidentität.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzE-Mail ist der mit Abstand häufigste Einstiegspunkt für Cyberangriffe. Wird Ihre Marke als Köder benutzt, verlieren Sie doppelt: direkte Schäden bei Betroffenen und langfristig sinkendes Vertrauen in jede echte Mail von Ihnen.
TechnikPhishing kombiniert technische Vektoren (Exact-Domain-Spoofing, Lookalike-Domains, Display-Name-Tricks) mit psychologischen (Dringlichkeit, Autorität). DMARC-Enforcement eliminiert den wirksamsten Vektor — die exakte Absenderfälschung.
Der Sentrust-VorteilEnforcement plus BIMI-Logo geben Empfängern ein positives Erkennungsmerkmal: Echte Mails tragen Ihr verifiziertes Logo, Fälschungen nicht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Spear-Phishing & Whaling
¶Spear-Phishing ist gezieltes Phishing gegen einzelne Personen oder Abteilungen; Whaling richtet sich speziell gegen Führungskräfte («grosse Fische»). Beide nutzen recherchierte, personalisierte Inhalte statt Massenversand.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzPersonalisierte Angriffe haben drastisch höhere Erfolgsquoten als Massen-Phishing und zielen dort, wo Zahlungsfreigaben und Datenzugriffe liegen: Finanzabteilung und Geschäftsleitung.
TechnikAngreifer sammeln Informationen aus LinkedIn, Website und Handelsregister, imitieren dann interne Kommunikationsmuster. Absender ist oft die exakte Firmendomain (Spoofing) oder eine Lookalike-Domain.
Der Sentrust-Vorteilp=reject nimmt dem Angreifer die glaubwürdigste Waffe: Ihre eigene Domain als Absender interner «Anweisungen».
Vollständiger Fachartikel mit Praxisfall & Quellen →
BEC (Business Email Compromise / CEO-Fraud)
¶BEC ist Betrug per geschäftlicher E-Mail-Kommunikation: Der Angreifer gibt sich als Geschäftsleitung, Lieferant oder Anwalt aus und veranlasst Zahlungen oder Datenherausgabe. CEO-Fraud ist die bekannteste Variante.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBEC verursacht weltweit Schäden in Milliardenhöhe pro Jahr — pro Fall oft sechsstellige Beträge, die selten zurückgeholt werden können. Für KMU kann ein einziger Fall existenzbedrohend sein.
TechnikDrei Vektoren: (1) Spoofing der echten Domain, (2) Lookalike-Domain, (3) kompromittiertes echtes Konto. DMARC neutralisiert Vektor 1 vollständig, Monitoring erkennt Vektor 2 — Vektor 3 erfordert zusätzlich MFA und Prozessdisziplin.
Der Sentrust-VorteilWir schliessen die beiden domainbasierten Vektoren und liefern der Geschäftsleitung den Nachweis dafür — relevant auch für Versicherer und Revisoren.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Lookalike-Domain & Typosquatting
¶Lookalike-Domains sind registrierte Domains, die Ihrer täuschend ähnlich sehen (firrna.ch statt firma.ch, firma-ag.ch, firma.co). Typosquatting nutzt gezielt häufige Tippfehler.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDa der Angreifer die Lookalike-Domain wirklich besitzt, kann er dort sogar valides SPF/DKIM/DMARC einrichten — Ihr eigenes DMARC schützt hier nicht. Erkennung erfordert aktives Monitoring.
TechnikErkennungsverfahren: Permutations-Scans (Zeichendreher, Homoglyphen, TLD-Varianten), Abgleich neu registrierter Domains (Certificate-Transparency-Logs, Zonefile-Feeds) gegen Ihr Markenportfolio.
Der Sentrust-VorteilUnser Managed-Abo überwacht Neuregistrierungen rund um Ihre Marke und begleitet bei Bedarf Takedown-Verfahren beim Registrar.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Homograph-Angriff (IDN / Punycode)
¶Ein Homograph-Angriff nutzt Unicode-Zeichen, die lateinischen Buchstaben optisch gleichen (kyrillisches а statt lateinischem a), um visuell identische Domains zu registrieren.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFür das menschliche Auge ist firmа.ch von firma.ch nicht unterscheidbar — klassische Mitarbeiterschulung («prüfen Sie den Absender») versagt hier vollständig.
TechnikInternationalisierte Domains werden als Punycode kodiert (xn--firm-8cd.ch). Viele Clients zeigen gemischte Skripte inzwischen als Punycode an, aber nicht alle — und nicht in jedem Kontext.
Der Sentrust-VorteilUnsere Lookalike-Scans schliessen Homoglyphen-Permutationen explizit ein — auch die, die kein Mensch beim Lesen erkennt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Eine Cousin Domain ist eine plausibel klingende Variante Ihrer Domain mit Zusätzen wie firma-support.ch, firma-billing.com oder login-firma.ch — kein Tippfehler, sondern eine glaubwürdige Erweiterung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzCousin Domains wirken auf Empfänger oft legitimer als die echte Domain («das wird schon das Support-Portal sein») und werden bevorzugt für Rechnungs- und Login-Phishing genutzt.
TechnikErkennung über Keyword-Kombinatorik (Marke + support/billing/secure/login …) in Registrierungs-Feeds und CT-Logs; Bewertung nach MX-/Webserver-Aktivität der Fundstellen.
Der Sentrust-VorteilWir priorisieren Funde nach Gefährlichkeit (aktiver Mailserver? Login-Seite?) und melden nur handlungsrelevante Treffer — kein Alert-Rauschen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Beim Display-Name-Spoofing fälscht der Angreifer nur den Anzeigenamen («Maria Muster, CFO»), während die tatsächliche Absenderadresse eine beliebige Fremdadresse ist.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAuf Mobilgeräten zeigen viele Mail-Apps standardmässig nur den Anzeigenamen — der Angriff funktioniert trotz perfektem DMARC, weil keine fremde Domain gefälscht wird.
TechnikDer Display-Name ist Freitext im From:-Header (RFC 5322) und wird von keinem Authentifizierungsprotokoll geprüft. Gegenmassnahmen: BIMI als positives Echtheitssignal, Gateway-Regeln für VIP-Namen, Awareness.
Der Sentrust-VorteilGenau hier zahlt BIMI ein: Ihr verifiziertes Logo erscheint nur bei authentifizierten Mails Ihrer Domain — der Namens-Trick verliert sein wichtigstes Täuschungsmittel.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Der Angreifer setzt einen abweichenden Reply-To:-Header, sodass Antworten auf eine scheinbar legitime Mail unbemerkt an ihn umgeleitet werden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzKlassiker im Zahlungsbetrug: Die erste Mail sieht harmlos aus, aber die gesamte Antwort-Konversation — inklusive Rechnungsdetails und IBAN-«Korrekturen» — läuft beim Angreifer auf.
TechnikReply-To: ist ein legitimer, unauthentifizierter Header (RFC 5322 §3.6.2). Mail-Clients übernehmen ihn beim Antworten kommentarlos. Erkennung nur über Gateway-Heuristiken (From/Reply-To-Divergenz).
Der Sentrust-VorteilIm Audit prüfen wir Ihre Gateway-Konfiguration auf Divergenz-Erkennung und geben konkrete Regelempfehlungen für Ihre Mail-Plattform.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Malware- & Ransomware-Delivery via E-Mail
¶Die Zustellung von Schadsoftware über E-Mail-Anhänge oder Links — vom makrobehafteten Office-Dokument bis zum Ransomware-Loader. E-Mail bleibt der dominierende Erstinfektionsweg.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzRansomware-Vorfälle kosten im Mittel ein Mehrfaches des Lösegelds (Ausfall, Wiederherstellung, Meldepflichten). Die glaubwürdigste Verpackung für den Loader: eine Mail, die von Ihrer eigenen Domain zu kommen scheint.
TechnikDMARC verhindert nicht die Malware selbst, sondern entzieht ihr den vertrauenswürdigsten Absender. Content-Filter (Sandboxing, Attachment-Analyse) und Authentifizierung sind komplementäre Schichten (Defense in Depth).
Der Sentrust-VorteilWir positionieren DMARC korrekt als Identitätsschicht in Ihrer Sicherheitsarchitektur — und dokumentieren das Zusammenspiel mit Ihrem bestehenden Gateway.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Social Engineering ist die Manipulation von Menschen zur Umgehung technischer Sicherheitsmassnahmen — über Autorität, Dringlichkeit, Hilfsbereitschaft oder Angst.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer Mensch ist die am häufigsten ausgenutzte «Schwachstelle». Jede technische Massnahme, die dem Angreifer Glaubwürdigkeit entzieht (etwa die gefälschte Chef-Adresse), reduziert die Wirksamkeit der Manipulation direkt.
TechnikWirksame Abwehr kombiniert technische Kontrollen (DMARC, MFA, Zahlungs-Vier-Augen-Prinzip) mit Prozess- und Awareness-Massnahmen. Technik zuerst: Sie wirkt ohne Tagesform.
Der Sentrust-VorteilWir liefern die technische Basis, auf der Awareness-Training überhaupt greifen kann: Wenn echte Mails verifiziert sind, wird «im Zweifel misstrauen» praktikabel.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Account Takeover vs. Spoofing — die Abgrenzung
¶Beim Account Takeover versendet der Angreifer aus einem echten, kompromittierten Konto — die Mail ist technisch vollständig authentifiziert. Spoofing dagegen fälscht die Identität von aussen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzWichtig für realistische Erwartungen: DMARC stoppt Spoofing, nicht kompromittierte Konten. Wer beides vermischt, kauft entweder zu wenig Schutz oder erwartet Falsches.
TechnikGegen Takeover wirken MFA/Passkeys, Conditional Access und Anomalie-Erkennung. Gegen Spoofing wirken SPF/DKIM/DMARC. Ein vollständiges Schutzkonzept braucht beide Ebenen.
Der Sentrust-VorteilWir sagen klar, was unser Service abdeckt und was nicht — und benennen im Audit auch Lücken ausserhalb unseres Pakets. Das ist Teil des Vertrauensversprechens.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Vendor Email Compromise (Lieferketten-Phishing)
¶VEC ist BEC über die Lieferkette: Der Angreifer imitiert oder kompromittiert einen Ihrer Lieferanten und schleust manipulierte Rechnungen oder geänderte Bankverbindungen in laufende Geschäftsbeziehungen ein.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzZahlungen an «Lieferanten» mit geänderter IBAN fallen oft erst bei der Mahnung des echten Lieferanten auf. Umgekehrt gilt: Ist Ihre Domain ungeschützt, werden Ihre Kunden zum Ziel — in Ihrem Namen.
TechnikAbwehr auf Empfangsseite: Prüfung eingehender DMARC-Ergebnisse am Gateway, Prozessregel «Bankdaten-Änderung nur mit Rückruf». Auf Sendeseite: eigenes Enforcement, damit Partner Ihre Mails verifizieren können.
Der Sentrust-VorteilIhr p=reject ist auch ein Service an Ihre Geschäftspartner: Deren Filter können Fälschungen in Ihrem Namen zuverlässig abweisen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Quishing (QR-Code-Phishing)
¶Quishing versteckt Phishing-Links in QR-Codes innerhalb von E-Mails oder Anhängen, um URL-Filter zu umgehen — der Empfänger scannt den Code privat mit dem Smartphone, ausserhalb des Unternehmensschutzes.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer Angriff verlagert den Klick auf ein ungemanagtes Gerät. Beliebt für MFA-Reset- und «Lohnabrechnung»-Köder — Themen, bei denen Mitarbeitende schnell scannen.
TechnikModerne Gateways dekodieren QR-Codes in Bildern und prüfen die Ziel-URL. Absender-Authentifizierung bleibt die vorgelagerte Schicht: Die glaubwürdigsten Quishing-Mails tragen gefälschte interne Absender.
Der Sentrust-VorteilMit Enforcement kommt der gefälschte «HR-Absender» gar nicht erst in den Posteingang — der QR-Code wird nie gescannt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Brand Abuse (Markenmissbrauch)
¶Brand Abuse umfasst jede unautorisierte Nutzung Ihrer Markenidentität — gefälschte Absender, kopierte Logos, imitierte Landingpages, Fake-Shops und Social-Media-Profile.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzJeder Missbrauchsfall erodiert das wertvollste immaterielle Asset: die Erwartung Ihrer Kunden, dass «Absender = Marke» stimmt. Sinkendes Vertrauen senkt messbar Öffnungs- und Konversionsraten echter Kampagnen.
TechnikDer E-Mail-Kanal ist der einzige, der sich technisch vollständig absichern lässt: DMARC-Enforcement plus VMC-verifiziertes Logo machen Identität kryptographisch nachweisbar statt nur optisch behauptet.
Der Sentrust-VorteilWir machen E-Mail zur geschützten Referenz Ihrer Markenidentität — und überwachen das Umfeld (Lookalikes, CT-Logs) im Abo weiter.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Zustellbarkeit & Marketing-KPIs
Zustellbarkeit (Deliverability) vs. Zustellung (Delivery)
¶Zustellung heisst: Die Mail wurde vom Empfangsserver angenommen. Zustellbarkeit heisst: Sie landet im Posteingang statt im Spam-Ordner. Erst die zweite Kennzahl entscheidet über Geschäftswirkung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzESP-Dashboards zeigen fast immer die Zustellrate («99 % delivered») — der stille Umsatzverlust im Spam-Ordner bleibt unsichtbar. Wer nur Delivery misst, optimiert die falsche Zahl.
TechnikInbox-Placement wird von Reputation, Authentifizierung (SPF/DKIM/DMARC), Engagement-Signalen und Inhalt bestimmt. Messbar über Seed-Tests und Postmaster-Daten, nicht über SMTP-Antwortcodes.
Der Sentrust-VorteilWir messen Inbox-Placement vor und nach dem Enforcement-Projekt — Sie sehen den Effekt in der Kennzahl, die zählt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Inbox Placement Rate (IPR)
¶Die Inbox Placement Rate ist der Anteil versendeter E-Mails, der tatsächlich im Posteingang (nicht Spam, nicht blockiert) ankommt — die ehrlichste Deliverability-Kennzahl.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzRechenbeispiel: 100'000 Newsletter, 12 % im Spam = 12'000 unsichtbare Mails. Bei 2 % Konversion und CHF 80 Warenkorb sind das CHF 19'200 entgangener Umsatz — pro Versand.
TechnikGemessen via Seed-Listen (Testadressen bei allen grossen Providern) und Panel-Daten. Authentifizierung ist der grösste einzeln kontrollierbare Hebel auf die IPR.
Der Sentrust-VorteilIPR-Baseline im Audit, IPR-Verlauf im Quartalsreport — Deliverability wird bei uns eine Management-Kennzahl, kein Bauchgefühl.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Öffnungsrate & der BIMI-Uplift
¶Die Öffnungsrate misst den Anteil der Empfänger, die eine zugestellte Mail öffnen. Ein verifiziertes Markenlogo im Posteingang (BIMI) erhöht Wiedererkennung und damit die Öffnungswahrscheinlichkeit messbar.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBranchenstudien berichten von Öffnungsraten-Uplifts im Bereich von etwa 10–20 % durch BIMI-Logos — auf Jahresvolumen gerechnet oft der grösste einzelne Marketing-Hebel unterhalb der Betreffzeile.
TechnikMessung seit Apple Mail Privacy Protection verzerrt (automatische Pixel-Ladung); sauber ist ein A/B-Vergleich über Klick- und Konversionsraten sowie Provider-Segmente mit/ohne BIMI-Anzeige.
Der Sentrust-VorteilWir definieren das Messdesign vor dem Rollout, damit der Uplift belastbar nachweisbar ist — Ihr Marketing bekommt eine saubere Vorher/Nachher-Story.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Absender-Reputation (Domain- & IP-Reputation)
¶Die Absender-Reputation ist die von Mailbox-Providern geführte Vertrauensbewertung Ihrer Domain und Versand-IPs — sie entscheidet massgeblich über Inbox, Spam-Ordner oder Ablehnung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzReputation ist ein Vermögenswert mit Gedächtnis: Sie baut sich über Monate auf und kann durch einen einzigen schlechten Versand (gekaufte Liste, Spam-Trap-Treffer) einbrechen.
TechnikSignale: Complaint Rate, Bounce-Quote, Spam-Trap-Treffer, Engagement, Authentifizierungs-Konsistenz. Seit der Verbreitung von DMARC verlagert sich das Gewicht von IP- auf Domain-Reputation — Ihre Domain trägt ihre Historie zu jedem Provider mit.
Der Sentrust-VorteilWir überwachen Reputationssignale (u. a. Google Postmaster) im Abo und schlagen Alarm, bevor ein Trend zum Blockierungsproblem wird.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Spamfilter & Content-Filter
¶Spamfilter bewerten eingehende Mails mehrstufig — Verbindungsdaten, Authentifizierung, Reputation, Inhalt — und entscheiden über Annahme, Spam-Ordner oder Ablehnung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer verbreitete Reflex «der Inhalt war wohl zu werblich» greift meist zu kurz: Authentifizierungs- und Reputationssignale wiegen heute schwerer als einzelne Reizwörter im Text.
TechnikModerne Filter sind ML-Systeme mit Feedback aus Milliarden Nutzerinteraktionen. Deterministisch beeinflussbar sind vor allem die Vorstufen: SPF/DKIM/DMARC-Pass, saubere Listen-Hygiene, konsistente Versand-Infrastruktur.
Der Sentrust-VorteilWir bringen die deterministischen Faktoren auf Grün — damit Ihr Marketing sich auf Inhalt und Timing konzentrieren kann statt auf Filter-Raterei.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Blocklists (RBL / DNSBL)
¶Blocklists (Realtime Blackhole Lists) sind öffentlich abfragbare Verzeichnisse von IPs und Domains, die als Spam-Quellen eingestuft wurden — z. B. Spamhaus. Viele Mailserver weisen gelistete Absender pauschal ab.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEin Listing kann den Mailversand des ganzen Unternehmens über Nacht lahmlegen — auch Transaktionsmails wie Auftragsbestätigungen und Passwort-Resets.
TechnikAbfrage per DNS: Der Empfangsserver prüft 4.3.2.1.zen.spamhaus.org für die einliefernde IP 1.2.3.4. Delisting-Prozesse variieren je nach Liste von Self-Service bis zu begründetem Antrag.
Der Sentrust-VorteilUnser Monitoring prüft die relevanten Listen laufend; im Ereignisfall übernehmen wir Ursachenanalyse und Delisting-Kommunikation.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Complaint Rate & Feedback Loops (FBL)
¶Die Complaint Rate ist der Anteil der Empfänger, die eine Mail als Spam markieren. Feedback Loops sind Kanäle, über die Provider diese Beschwerden an den Absender zurückmelden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzGoogle und Yahoo definieren harte Schwellen: Ab 0.3 % Beschwerdequote drohen Bulk-Sendern massive Zustellprobleme; empfohlen wird unter 0.1 %. Das ist keine Richtlinie, sondern gelebte Filterpraxis.
TechnikGmail meldet die Quote über Postmaster Tools (aggregiert), klassische FBLs (Yahoo, Microsoft) liefern Einzelmeldungen im ARF-Format an eine registrierte Adresse.
Der Sentrust-VorteilWir richten FBL-Registrierungen und Postmaster-Zugänge ein und verdrahten die Kennzahl in Ihr Quartalsreporting.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Bounce (Hard Bounce / Soft Bounce)
¶Ein Bounce ist eine unzustellbare Mail. Hard Bounces sind permanent (Adresse existiert nicht, SMTP 5xx), Soft Bounces temporär (Postfach voll, Server nicht erreichbar, SMTP 4xx).
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzHohe Hard-Bounce-Quoten signalisieren Providern «gekaufte oder veraltete Liste» und beschädigen die Reputation überproportional — Listen-Hygiene ist Reputationspflege.
TechnikSMTP-Statuscodes: 550 5.1.1 (User unknown) = sofort austragen; 452 4.2.2 (Mailbox full) = Retry-Logik. Gute ESPs automatisieren die Unterscheidung, prüfen sollte man sie trotzdem.
Der Sentrust-VorteilIm Audit prüfen wir Bounce-Handling und Listen-Hygiene Ihrer Versandsysteme — oft die schnellste Reputationsverbesserung überhaupt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Warm-up ist der kontrollierte, schrittweise Volumenaufbau beim Versand über neue IPs oder Domains, damit Mailbox-Provider Vertrauen aufbauen können, bevor Volllast anliegt.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer klassische Fehler bei ESP- oder CRM-Migrationen: Tag 1 volles Volumen über die neue Infrastruktur — die Provider drosseln, Kampagnen landen wochenlang im Spam.
TechnikTypisch: Start mit den engagiertesten Segmenten, tägliche Volumensteigerung (z. B. Verdopplung) über 2–6 Wochen, laufende Kontrolle von Bounce-, Complaint- und Placement-Signalen je Provider.
Der Sentrust-VorteilBei Infrastruktur-Wechseln planen wir den Warm-up mit — inklusive Anpassung von SPF/DKIM auf die neue Plattform, bevor die erste Mail läuft.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Dedizierte vs. geteilte Versand-IP
¶Bei geteilten IPs (Shared) versenden viele ESP-Kunden über dieselben Adressen und teilen sich die Reputation; eine dedizierte IP gehört exklusiv Ihnen — mit voller Kontrolle und voller Verantwortung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFaustregel: Unter ~100'000 Mails/Monat ist Shared meist besser (stabiles Grundvolumen), darüber lohnt Dediziert. Die falsche Wahl kostet Zustellbarkeit in beide Richtungen.
TechnikDedizierte IPs brauchen Warm-up und konstantes Volumen (Reputation «verdunstet» bei Pausen). Mit DMARC verlagert sich Reputation ohnehin zunehmend auf die Domain — die IP-Frage wird zweitrangig, die Domain-Hygiene erstrangig.
Der Sentrust-VorteilWir beraten die IP-Strategie im Kontext Ihres Volumens und Ihrer Versandmuster — herstellerneutral, ohne ESP-Verkaufsinteresse.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Engagement-Signale sind Empfänger-Interaktionen — Öffnen, Klicken, Antworten, Verschieben in den Posteingang, aber auch Löschen ohne Lesen —, die Mailbox-Provider zur Bewertung künftiger Zustellung heranziehen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzWer an unengagierte Empfänger weitersendet, trainiert den Filter gegen sich selbst. Sunset-Policies (inaktive Adressen ruhen lassen) sind darum Deliverability-Massnahmen, keine Marketing-Kosmetik.
TechnikProvider gewichten Signale nutzerindividuell: Dieselbe Kampagne kann beim engagierten Kunden im Posteingang und beim inaktiven im Spam landen. Segmentierung nach Aktivität ist daher direkt zustellwirksam.
Der Sentrust-VorteilUnsere Deliverability-Reviews verbinden Authentifizierungs- mit Engagement-Daten — und geben Ihrem Marketing konkrete Segmentierungs-Empfehlungen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
List-Unsubscribe & One-Click (RFC 8058)
¶Der List-Unsubscribe-Header ermöglicht Abmeldung direkt im Mail-Client; RFC 8058 definiert die One-Click-Variante per HTTPS-POST, die Gmail und Yahoo für Bulk-Sender verbindlich fordern.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzKontraintuitiv, aber belegt: Einfache Abmeldung schützt die Reputation — wer sich nicht abmelden kann, drückt stattdessen «Spam», und das kostet die Zustellbarkeit aller künftigen Mails.
TechnikZwei Header: List-Unsubscribe: <https://…>, <mailto:…> und List-Unsubscribe-Post: List-Unsubscribe=One-Click. Der POST muss ohne Login und ohne Bestätigungsseite wirken.
Der Sentrust-VorteilTeil unseres Bulk-Sender-Compliance-Checks: Wir prüfen alle Versandsysteme auf korrekte RFC-8058-Umsetzung — Pflicht seit den Gmail/Yahoo-Regeln 2024.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Seed-Testing & Inbox-Monitoring
¶Seed-Testing versendet Kampagnen zusätzlich an ein kontrolliertes Netz von Testadressen bei allen relevanten Providern und misst, wo die Mail tatsächlich landet: Inbox, Spam, Promotions-Tab oder gar nicht.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie einzige Methode, Spam-Ordner-Platzierung vor dem Schaden zu sehen. ESP-Statistiken zeigen sie nicht — der Provider meldet «angenommen» auch bei Spam-Zustellung.
TechnikSeed-Listen decken Provider-Matrix und Client-Varianten ab; ergänzt um Panel-Daten realer Postfächer für statistische Breite. Aussagekraft steigt mit Regelmässigkeit (Trend statt Einzelmessung).
Der Sentrust-VorteilIm Premium- und Enterprise-Abo laufen regelmässige Seed-Tests mit — Abweichungen erscheinen in Ihrem Report, bevor das Marketing sie im Umsatz spürt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
E-Mail-ROI (Return on Investment)
¶Der E-Mail-ROI setzt den durch E-Mail erzielten Umsatz ins Verhältnis zu den Kanalkosten. E-Mail gehört mit typischen Faktoren von 30–40:1 zu den rentabelsten Marketingkanälen überhaupt.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzGerade weil der Kanal so rentabel ist, ist jeder Prozentpunkt verlorener Zustellbarkeit teuer. Authentifizierung und BIMI sind darum keine IT-Kosten, sondern Skalierungsfaktoren auf einen bereits profitablen Kanal.
TechnikSaubere Attribution erfordert UTM-Disziplin und Konversions-Tracking über den gesamten Funnel: Zustellung → Inbox-Placement → Öffnung → Klick → Konversion. Jede Stufe ist einzeln optimierbar.
Der Sentrust-VorteilUnser Reporting rechnet Deliverability-Gewinne in Umsatzäquivalente um — die Sprache, in der CFO und CMO Investitionen bewerten.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Das Mail-Ökosystem
ESP (E-Mail Service Provider)
¶Ein ESP ist eine Plattform für den professionellen E-Mail-Versand — z. B. Mailchimp, Brevo, HubSpot, Salesforce Marketing Cloud. Er stellt Versand-Infrastruktur, Listenverwaltung und Kampagnen-Tools.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzJeder ESP ist eine autorisierungspflichtige Versandquelle: Er muss in SPF eingebunden und mit eigenem DKIM-Schlüssel versehen sein — sonst scheitern seine Mails am DMARC Ihrer eigenen Domain.
TechnikEinbindung typischerweise per include: im SPF und CNAME-delegierten DKIM-Selektoren. Wichtig: Custom-Domain-Authentifizierung aktivieren, sonst signiert der ESP mit seiner eigenen Domain — kein DMARC-Alignment.
Der Sentrust-VorteilWir inventarisieren alle ESPs aus Ihren DMARC-Reports und konfigurieren jede Plattform auf sauberes Alignment — auch die, von der die IT nichts wusste.
Vollständiger Fachartikel mit Praxisfall & Quellen →
MTA (Mail Transfer Agent)
¶Der MTA ist die Server-Software, die E-Mails zwischen Systemen transportiert — etwa Postfix, Exim oder die MTAs hinter Microsoft 365 und Google Workspace.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzSelbstbetriebene MTAs (alte ERP-Server, Multifunktionsdrucker mit Direktversand!) sind häufige unentdeckte Versandquellen, die nach DMARC-Enforcement plötzlich keine Mails mehr zustellen.
TechnikMTAs kommunizieren via SMTP (Port 25 Server-zu-Server), signieren ggf. mit DKIM und werten eingehend SPF/DMARC aus. Empfehlung: Alle internen Systeme über ein zentrales Smart-Host-Relay führen.
Der Sentrust-VorteilUnsere Report-Analyse findet jeden versendenden MTA in Ihrer Infrastruktur — die Drucker-Überraschung passiert bei uns im Audit, nicht nach dem Enforcement.
Vollständiger Fachartikel mit Praxisfall & Quellen →
MUA (Mail User Agent) & Client-Darstellung
¶Der MUA ist das Programm des Endnutzers — Apple Mail, Outlook, Gmail-App. Er entscheidet, was der Empfänger sieht: Anzeigename, Logo (BIMI), Verifikations-Häkchen, Warnhinweise.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzIhre Markenwahrnehmung im Posteingang wird vom MUA gerendert. Ob Ihr Logo erscheint, hängt von Client-Support und korrekter BIMI-Kette ab — Client-Matrix kennen heisst Wirkung planen können.
TechnikBIMI-Support (Stand 2026): Gmail (Web + Apps), Apple Mail (ab iOS 16/macOS Ventura), Yahoo/AOL, La Poste u. a. Microsoft Outlook/M365 unterstützt BIMI weiterhin nicht flächendeckend — dort wirkt das Enforcement, nicht das Logo.
Der Sentrust-VorteilWir liefern Ihnen die Client-Abdeckungs-Matrix für Ihre Empfängerstruktur — B2C-Listen sehen das Logo häufiger als reine B2B-Outlook-Welten, und das gehört ehrlich in jede ROI-Rechnung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Mailbox-Provider (Gmail, Microsoft, Yahoo & Co.)
¶Mailbox-Provider betreiben die Empfänger-Postfächer und setzen die Spielregeln des Ökosystems: Authentifizierungspflichten, Volumen-Schwellen, Beschwerdegrenzen, BIMI-Darstellung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzWenige Anbieter kontrollieren den Grossteil aller Postfächer. Ihre Anforderungen (Gmail/Yahoo-Regeln 2024, Microsoft ab 2025) sind de-facto-Gesetze: Wer sie ignoriert, verliert Reichweite — unabhängig von Inhaltsqualität.
TechnikJeder Provider gewichtet Signale eigen: Gmail stark ML- und engagement-getrieben, Microsoft mit eigenen Reputationssystemen (SNDS), Yahoo FBL-orientiert. Deliverability-Arbeit ist immer providerspezifisch.
Der Sentrust-VorteilWir übersetzen die Regelwerke aller grossen Provider in eine Compliance-Matrix für Ihre Domains und halten sie aktuell, wenn sich Anforderungen ändern.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SMTP (Simple Mail Transfer Protocol)
¶SMTP (RFC 5321) ist das Transportprotokoll der E-Mail seit 1982. Es regelt die Übergabe von Nachrichten zwischen Servern — und enthält von Haus aus keinerlei Absender-Authentifizierung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas Kernproblem des E-Mail-Kanals in einem Satz: Das Weltprotokoll vertraut jedem. SPF, DKIM und DMARC sind nachgerüstete Reparaturen dieser 40 Jahre alten Vertrauenslücke.
TechnikDialog aus Kommandos (EHLO, MAIL FROM, RCPT TO, DATA) über Port 25 (Server-zu-Server) bzw. 587/465 (Einlieferung mit Auth). Der MAIL FROM (Envelope) ist vom sichtbaren From:-Header unabhängig — die Wurzel des Spoofing-Problems.
Der Sentrust-VorteilSie müssen SMTP nicht verstehen — wir schon. Unser Audit liest Ihre Mailflüsse auf Protokollebene und übersetzt den Befund in Entscheidungsvorlagen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
STARTTLS & Transportverschlüsselung
¶STARTTLS rüstet eine bestehende SMTP-Verbindung auf TLS-Verschlüsselung um. Es schützt die Übertragung zwischen Servern — nicht den Inhalt im Postfach und nicht die Absender-Identität.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzTransportverschlüsselung ist heute Erwartungsstandard (und Datenschutz-Thema bei Personendaten). Aber: STARTTLS allein ist gegen aktive Angreifer strippbar — dafür gibt es MTA-STS und DANE.
TechnikOpportunistisches TLS: Der Sender fragt STARTTLS an; antwortet der Empfänger nicht, fällt die Verbindung auf Klartext zurück. Ein Man-in-the-Middle kann die Capability-Antwort entfernen («Downgrade») — ohne Policy merkt es niemand.
Der Sentrust-VorteilWir prüfen TLS-Versionen und Cipher-Suiten Ihrer Mailwege im Audit und empfehlen, wo MTA-STS die Downgrade-Lücke schliessen soll.
Vollständiger Fachartikel mit Praxisfall & Quellen →
MTA-STS (SMTP MTA Strict Transport Security)
¶MTA-STS (RFC 8461) lässt eine Domain per Policy erklären: «Mails an uns nur über validiertes TLS.» Damit werden Downgrade- und Umleitungs-Angriffe auf den Mailtransport unterbunden.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzRelevant für alle, die vertrauliche Inhalte per Mail empfangen (HR, Recht, Finanzen) — und zunehmend Prüfpunkt in Sicherheits-Audits und Lieferantenbewertungen.
TechnikZwei Komponenten: TXT-Record _mta-sts.domain.ch (Policy-Version/ID) und Policy-Datei unter https://mta-sts.domain.ch/.well-known/mta-sts.txt (mode: enforce, erlaubte MX-Muster, max_age).
Der Sentrust-VorteilIm Enterprise-Paket richten wir MTA-STS inklusive Policy-Hosting ein — Sie brauchen dafür keinen eigenen Webserver zu betreiben.
Vollständiger Fachartikel mit Praxisfall & Quellen →
TLS-RPT (SMTP TLS Reporting)
¶TLS-RPT (RFC 8460) ist das Reporting-Gegenstück zu MTA-STS: Sendende Server melden täglich, ob TLS-Verbindungen zu Ihrer Domain gelangen oder scheiterten — und warum.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzOhne TLS-RPT ist eine strikte MTA-STS-Policy ein Blindflug: Fehlkonfigurationen würden Mails geräuschlos abweisen. Mit Reporting wird Transportsicherheit beherrschbar wie DMARC.
TechnikTXT-Record _smtp._tls.domain.ch mit v=TLSRPTv1; rua=mailto:…. Reports kommen als JSON (Erfolgs-/Fehlerzähler je Policy und MX) — analog zur DMARC-RUA-Pipeline verarbeitbar.
Der Sentrust-VorteilTLS-RPT läuft bei uns in dieselbe Auswertungs-Pipeline wie Ihre DMARC-Reports — ein Dashboard für Identität und Transport.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DANE (DNS-based Authentication of Named Entities)
¶DANE (RFC 7672 für SMTP) bindet TLS-Zertifikate per DNS an eine Domain: TLSA-Records legen fest, welches Zertifikat der Mailserver vorweisen muss — abgesichert durch DNSSEC.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDie härteste verfügbare Transportabsicherung; in einigen Märkten (NL, DE-Behörden) bereits Beschaffungskriterium. Setzt DNSSEC voraus — eine Infrastrukturentscheidung, kein Quick Win.
TechnikTLSA-Record z. B. _25._tcp.mail.domain.ch TLSA 3 1 1 <SHA-256 des SPKI>. Sendende MTAs mit DANE-Support validieren das Server-Zertifikat gegen den Record statt (nur) gegen CA-Vertrauensketten.
Der Sentrust-VorteilWir beraten ehrlich, ob DANE für Ihre Empfängerstruktur Mehrwert bringt oder ob MTA-STS pragmatischer ist — und implementieren beides sauber.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Google Postmaster Tools ist das kostenlose Dashboard, in dem Gmail Domain-Inhabern Reputations-, Authentifizierungs- und Beschwerdedaten über ihre Versanddomains offenlegt.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer einzige direkte Blick in die Gmail-Bewertung Ihrer Domain — für die meisten Unternehmen ist Gmail der grösste einzelne Empfänger-Provider. Wer die Daten nicht nutzt, verhandelt blind.
TechnikVerifikation per DNS-Record; Kennzahlen: Domain-/IP-Reputation (4 Stufen), Spam Rate, SPF/DKIM/DMARC-Erfolgsquoten, TLS-Quote, Zustellfehler. Seit v2 mit Compliance-Status zu den Sender Requirements.
Der Sentrust-VorteilWir richten den Zugang ein, überwachen die Trends und eskalieren Auffälligkeiten proaktiv — Postmaster-Daten fliessen direkt in Ihr Quartalsreporting.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Transaktionale vs. Marketing-E-Mails
¶Transaktionsmails werden durch Nutzeraktionen ausgelöst (Bestellbestätigung, Passwort-Reset, Rechnung); Marketing-Mails sind kampagnengetriebener Massenversand. Beide brauchen Authentifizierung — aber getrennte Behandlung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzEine Passwort-Reset-Mail im Spam-Ordner ist ein Support-Ticket; eine blockierte Rechnung ein Liquiditätsthema. Transaktionsmails sind geschäftskritischer als jede Kampagne — und teilen sich oft fahrlässig deren Reputation.
TechnikBest Practice: Trennung über Subdomains (mail.firma.ch für transaktional, news.firma.ch für Marketing) mit je eigenem DKIM-Selektor — Reputationsschäden einer Kampagne bleiben so isoliert.
Der Sentrust-VorteilWir entwerfen Ihre Subdomain-Strategie im Audit und setzen die Trennung um, ohne dass ein System offline geht.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Versandquellen-Inventar & Shadow-IT
¶Das Versandquellen-Inventar ist die vollständige Liste aller Systeme, die im Namen Ihrer Domain E-Mails versenden — vom CRM über das Buchhaltungstool bis zum Ticketsystem der Fachabteilung (Shadow-IT).
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzIn der Praxis finden sich bei mittleren Unternehmen regelmässig 10–30 Versandquellen — der IT bekannt sind oft weniger als die Hälfte. Jede unbekannte Quelle ist ein potenzieller Mail-Ausfall beim Enforcement.
TechnikErhebung datengetrieben statt per Umfrage: 4–6 Wochen DMARC-RUA-Reports zeigen jede real sendende Quelle mit Volumen und Auth-Status. Das Inventar wird dann klassifiziert: legitim → alignen, illegitim → auslaufen lassen.
Der Sentrust-VorteilDas Inventar ist Kernstück unserer Phase 1 — und wird im Abo laufend fortgeschrieben: Neue Quellen erscheinen bei uns als Ticket, nicht als Ausfall.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Ein Smart Host ist ein zentrales Relay, über das interne Systeme (ERP, Scanner, Server-Jobs) ihre Mails versenden, statt selbst direkt zuzustellen — ein Aufräum-Werkzeug für gewachsene Infrastrukturen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzZwanzig direkt sendende Altsysteme einzeln DMARC-konform zu machen ist teuer; sie auf ein Relay zu bündeln, macht Authentifizierung, Logging und TLS an einer Stelle beherrschbar.
TechnikInterne Systeme liefern per SMTP-Auth an das Relay (z. B. M365 High-Volume-Email, SMTP2GO, eigener Postfix); nur das Relay steht in SPF und signiert DKIM. Nebeneffekt: zentrale Ratensteuerung und Audit-Trail.
Der Sentrust-VorteilWo das Inventar Wildwuchs zeigt, entwerfen wir die Relay-Konsolidierung gleich mit — weniger bewegliche Teile, dauerhaft weniger Wartung.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Compliance, Governance & Managed Service
NIS2 ist die EU-Richtlinie für Cybersicherheit kritischer und wichtiger Einrichtungen. Sie verpflichtet betroffene Unternehmen zu Risikomanagement-Massnahmen — explizit auch zur Sicherheit der Kommunikation.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAuch Schweizer Unternehmen sind betroffen, wenn sie in der EU tätig sind oder in Lieferketten regulierter EU-Kunden stehen — Lieferantenfragebögen fragen E-Mail-Authentifizierung zunehmend explizit ab. Geschäftsleitungen haften bei Pflichtverletzung persönlich.
TechnikNIS2 schreibt DMARC nicht wörtlich vor, verlangt aber «Stand der Technik» für Kommunikationssicherheit — und der ist bei E-Mail-Identität klar definiert: SPF, DKIM, DMARC auf Enforcement. ENISA-Guidance nennt die Protokolle ausdrücklich.
Der Sentrust-VorteilUnsere Compliance-Dokumentation ist audit-tauglich formuliert — Sie beantworten Lieferantenfragebögen mit Nachweisen statt Absichtserklärungen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DORA (Digital Operational Resilience Act)
¶DORA ist die EU-Verordnung für digitale Betriebsstabilität im Finanzsektor (anwendbar seit Januar 2025). Sie regelt IKT-Risikomanagement, Vorfallmeldung und Drittparteien-Risiken für Finanzunternehmen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFür Banken, Versicherer, Zahlungsdienstleister — und deren IKT-Dienstleister, auch aus der Schweiz. Phishing-resistente Kommunikation mit Kunden gehört zum erwarteten Schutzniveau; Vorfälle sind meldepflichtig.
TechnikDORA verlangt dokumentierte Schutzmassnahmen und deren Wirksamkeitsnachweis. DMARC-Reports liefern genau das: kontinuierliche, maschinenlesbare Evidenz über Missbrauchsversuche und Abwehrquote.
Der Sentrust-VorteilUnser Reporting ist als Wirksamkeitsnachweis konzipiert — Kennzahlen, Trend, Vorfälle, Massnahmen. Direkt ablagefähig im IKT-Risikodossier.
Vollständiger Fachartikel mit Praxisfall & Quellen →
revDSG & DSGVO im E-Mail-Kontext
¶Das revidierte Schweizer Datenschutzgesetz (revDSG, seit 2023) und die EU-DSGVO verpflichten zu angemessener Datensicherheit bei der Bearbeitung von Personendaten — E-Mail-Verkehr eingeschlossen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzErfolgreiches Spoofing Ihrer Domain kann Personendaten Dritter kompromittieren (Phishing-Opfer geben Daten «an Sie»). Fehlende Basis-Absicherung wird dann schnell zur Frage der Sorgfaltspflicht — inkl. Melde- und Bussgeldrisiken.
Technik«Angemessene Massnahmen» bemessen sich am Stand der Technik: Transportverschlüsselung (TLS/MTA-STS) und Absender-Authentifizierung (DMARC-Enforcement) gelten als Basis-Hygiene, nicht als Kür.
Der Sentrust-VorteilAls Schweizer Anbieter dokumentieren wir revDSG-konform und liefern Ihrem DSB die technischen Nachweise in Berichtsform zu.
Vollständiger Fachartikel mit Praxisfall & Quellen →
ISO/IEC 27001 & E-Mail-Kontrollen
¶ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Ihre Kontrollen (Annex A) verlangen u. a. Schutz der Informationsübertragung und Schutz vor Malware/Phishing.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBei Zertifizierung und Re-Audits fragen Prüfer konkret: «Wie stellen Sie sicher, dass Ihre Domain nicht für Phishing missbraucht wird?» Eine p=none-Antwort ist eine Feststellungs-Einladung.
TechnikRelevante Kontrollbereiche (ISO 27001:2022): 5.14 Informationsübertragung, 8.7 Schutz gegen Malware, 5.7 Threat Intelligence. DMARC-Enforcement plus Report-Monitoring bedient alle drei mit einem Mechanismus.
Der Sentrust-VorteilWir liefern die Kontroll-Dokumentation im Format Ihres ISMS — Massnahme, Verantwortlichkeit, Nachweis, Wirksamkeitsmessung. Ihr Auditor bekommt Antworten, keine Ausreden.
Vollständiger Fachartikel mit Praxisfall & Quellen →
PCI DSS 4.0 & Anti-Phishing-Anforderungen
¶PCI DSS ist der Sicherheitsstandard der Kartenindustrie für alle, die Kartendaten verarbeiten. Version 4.0 fordert in Requirement 5.4.1 explizit automatisierte Mechanismen zum Schutz des Personals vor Phishing-Angriffen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFür Händler und Zahlungsdienstleister ist der Anforderungspunkt seit 31. März 2025 verpflichtend. DMARC wird in der offiziellen Guidance als geeigneter Mechanismus genannt — Nichterfüllung gefährdet die Zertifizierung.
TechnikErfüllung typischerweise durch Kombination: DMARC (idealerweise Enforcement) auf eigenen Domains, eingangsseitige Auswertung am Gateway, technische Anti-Phishing-Kontrollen. Awareness allein genügt Requirement 5.4.1 ausdrücklich nicht.
Der Sentrust-VorteilWir mappen unsere Leistungen direkt auf Requirement 5.4.1 und liefern den Text-Baustein für Ihren Self-Assessment-Questionnaire (SAQ) mit.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Cyber-Versicherung & DMARC
¶Cyber-Versicherungen decken Schäden aus IT-Sicherheitsvorfällen. Versicherer prüfen vor Abschluss zunehmend technische Mindeststandards — E-Mail-Authentifizierung erscheint regelmässig in den Risikofragebögen.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzFehlendes DMARC kann Prämien erhöhen, Deckungsausschlüsse begründen (insbesondere für BEC/Zahlungsbetrug) oder im Schadenfall zur Leistungskürzung wegen Obliegenheitsverletzung führen.
TechnikFragebogen-Standardpunkte: MFA, Backups, EDR, Patch-Management — und «SPF/DKIM/DMARC implementiert? Policy-Level?». Enforcement-Nachweis per DNS-Record und Report-Historie ist in Minuten erbracht, wenn er existiert.
Der Sentrust-VorteilUnsere Kunden beantworten die E-Mail-Sektion jedes Versicherungsfragebogens mit «ja, seit Datum X, hier der Nachweis» — das zahlt direkt auf Prämie und Deckung ein.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Managed Service vs. Self-Service-SaaS
¶Self-Service-SaaS liefert Ihnen ein Werkzeug und ein Dashboard — die Arbeit bleibt bei Ihnen. Ein Managed Service liefert das Ergebnis: Beim Werkzeug, der Analyse und jeder Änderung arbeitet der Dienstleister.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDMARC-Tools scheitern in der Praxis selten an der Software, sondern am fehlenden internen Owner: Reports laufen auf, niemand interpretiert sie, die Domain bleibt jahrelang auf p=none. Das Tool-Abo wird zur Alibi-Ausgabe.
TechnikAuch Sentrust nutzt professionelle Analyse-Plattformen — der Unterschied ist die Verantwortung: Wir interpretieren, entscheiden, ändern DNS, koordinieren mit Ihren Tool-Anbietern und haften vertraglich für den Fortschritt bis p=reject.
Der Sentrust-VorteilGenau das ist unser Geschäftsmodell: Zero-Friction. Sie kaufen den Zustand «geschützt und sichtbar», nicht ein weiteres Login.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Zero-Friction-Implementierung
¶Zero-Friction-Implementierung ist das Sentrust-Lieferprinzip: Das gesamte Projekt — Audit, DNS-Änderungen, Tool-Konfiguration, Zertifikatsprozesse, Monitoring — läuft ohne Arbeitspakete auf Kundenseite.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDas interne Engpass-Problem verschwindet: kein Projektleiter, keine geblockten IT-Sprints, keine Lernkurve. Ihr Aufwand beschränkt sich auf Freigaben — typischerweise unter zwei Stunden für das Gesamtprojekt.
TechnikUmsetzung wahlweise über delegierten DNS-Zonen-Zugriff, CNAME-Delegation der Auth-Records an unsere verwaltete Zone oder präzise Change-Anweisungen an Ihren Provider — je nach Ihrer Governance-Vorgabe. Jede Änderung mit Rollback-Plan.
Der Sentrust-VorteilDas ist der Kern unseres Versprechens — deshalb steht es als eigener Begriff in diesem Glossar.
Vollständiger Fachartikel mit Praxisfall & Quellen →
SLA (Service Level Agreement)
¶Ein SLA definiert messbare Leistungszusagen eines Dienstleisters: Reaktionszeiten, Verfügbarkeiten, Eskalationswege und die Folgen bei Nichteinhaltung.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzBei E-Mail-Identität zählen Stunden: Ein falsch konfigurierter Record oder ein ablaufendes Zertifikat wirkt sofort auf Zustellung und Logo-Anzeige. Ohne SLA ist «wir kümmern uns» unverbindlich.
TechnikSinnvolle SLA-Metriken in diesem Feld: Time-to-Acknowledge bei Alerts, Time-to-Change für DNS-Anpassungen, Zertifikats-Erneuerung X Tage vor Ablauf, Reporting-Turnus, definierter Eskalationspfad zu Registrar/CA.
Der Sentrust-VorteilUnsere Abos enthalten gestaffelte SLAs bis zu 4h-Reaktionszeit (Enterprise) — vertraglich, nicht als Marketingversprechen.
Vollständiger Fachartikel mit Praxisfall & Quellen →
DMARC-Enforcement-Roadmap (none → quarantine → reject)
¶Die Enforcement-Roadmap ist der kontrollierte Stufenplan von der reinen Beobachtung (p=none) über Quarantäne bis zur Abweisung (p=reject) — mit datenbasierten Kriterien für jeden Übergang.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzZu schnell eskaliert = legitime Mails verschwinden; nie eskaliert = kein Schutz und keine BIMI-Fähigkeit. Die Roadmap ist das Risikomanagement zwischen beiden Fehlern — und der Taktgeber des gesamten Projekts.
TechnikTypische Gates: Übergang zu quarantine erst ab ~98 % Alignment-Quote legitimer Quellen über mehrere Wochen; Feinsteuerung via pct=-Stufen und Subdomain-Policy sp=; reject nach stabiler Quarantäne-Phase ohne False Positives.
Der Sentrust-VorteilUnsere Roadmap hat feste Prüfpunkte und dokumentierte Freigaben — Sie sehen jederzeit, auf welcher Stufe Sie stehen und was zur nächsten fehlt.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Das E-Mail-Security-Audit ist die systematische Bestandsaufnahme aller Domains, DNS-Einträge, Versandquellen und Authentifizierungs-Zustände eines Unternehmens — die Entscheidungsgrundlage vor jeder Massnahme.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzOhne Audit sind Angebote in diesem Feld Blindflüge: Aufwand und Risiko hängen komplett von der vorgefundenen Infrastruktur ab. Ein gutes Audit macht Kosten und Zeitplan vor Vertragsabschluss ehrlich kalkulierbar.
TechnikPrüfumfang bei Sentrust: DNS-Zonen-Analyse (SPF/DKIM/DMARC/MX/BIMI aller Domains inkl. Parked Domains), Report-Datensammlung, Versandquellen-Inventar, TLS-Posture, Lookalike-Erstscan, BIMI-Readiness (Markenrechte, Logo-Format).
Der Sentrust-VorteilDer Basis-Check Ihrer Domain ist bei uns kostenlos und in 48 h geliefert — als Management-Summary mit Ampel-Befund, nicht als Rohdaten-Export.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Infrastruktur-Wechsel & Change Management
¶Jeder Wechsel von CRM, ESP, Ticketsystem oder Hosting verändert Ihre Versandinfrastruktur — und macht bestehende SPF/DKIM-Konfigurationen still ungültig, wenn niemand sie nachführt.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzDer klassische Spätschaden: Sechs Monate nach dem CRM-Wechsel wundert sich das Marketing über eingebrochene Zustellraten — die neue Plattform sendet seit Tag 1 ohne Alignment. Bei p=reject heisst das: Mails weg.
TechnikSauberer Ablauf: neue Plattform vor Go-Live authentifizieren (SPF-include, DKIM-CNAME), Testversand mit Report-Kontrolle, dann Migration, dann Rückbau der Alt-Einträge. Reihenfolge ist alles.
Der Sentrust-VorteilIm Abo enthalten: Sie melden den Wechsel (oder unsere Reports entdecken ihn) — wir führen alle Records nach, bevor etwas bricht. Genau dafür existiert das Abo-Modell.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Management-Reporting (Security als Kennzahl)
¶Management-Reporting übersetzt technische Telemetrie (DMARC-Reports, Reputationsdaten, Zertifikatsstatus) in Entscheider-Kennzahlen: Schutzgrad, abgewehrte Missbrauchsversuche, Zustellbarkeits-Trend, Logo-Reichweite.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzWas nicht berichtet wird, wird nicht budgetiert. Ein Quartalsreport mit «14'000 abgewehrte Spoofing-Versuche, +2.1 pp Inbox-Placement, Logo auf 68 % der Empfängerclients» verteidigt jedes Renewal von selbst.
TechnikKennzahlen-Set: DMARC-Pass-Quote, Enforcement-Level je Domain, Fail-Volumen nach Quelle (Missbrauchsindikator), IPR-Trend, Complaint Rate, Zertifikats-Laufzeiten, offene Lookalike-Fälle — konsolidiert über alle Domains.
Der Sentrust-VorteilJedes Abo enthält den Quartalsreport in Vorstandsqualität; Enterprise-Kunden erhalten monatliche Reports plus Review-Call.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Multi-Domain-Governance ist die einheitliche Verwaltung der E-Mail-Identität über ein ganzes Domain-Portfolio — Hauptdomains, Länder-Domains, Marken-Domains und geparkte Domains.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzAngreifer suchen das schwächste Glied: Die vergessene Alt-Marke ohne DMARC ist genauso missbrauchbar wie die Hauptdomain — mit demselben Reputationsschaden. Konzerne haben oft Hunderte solcher Flanken.
TechnikGeparkte Domains härten mit: v=spf1 -all, leerem DKIM-Wildcard-Ansatz und p=reject ohne Ausnahmen. Aktive Domains erhalten je nach Rolle eigene Policies; zentrale Übersicht per Portfolio-Dashboard.
Der Sentrust-VorteilUnser Enterprise-Paket behandelt das Portfolio als Ganzes: einheitliche Policies, ein Report, ein Ansprechpartner — statt Domain-für-Domain-Flickwerk.
Vollständiger Fachartikel mit Praxisfall & Quellen →
Exit-Fähigkeit & Vendor-Lock-in-Freiheit
¶Exit-Fähigkeit bedeutet: Alle Konfigurationen, Schlüssel und Dokumentationen bleiben Eigentum des Kunden und sind so dokumentiert, dass ein Wechsel des Dienstleisters ohne Sicherheitsverlust möglich ist.
Vertiefung: Business-Relevanz, Technik & der Sentrust-Ansatz
Business-RelevanzSeriöse Beschaffung fragt vor dem Einstieg nach dem Ausstieg. Ein Managed Service, der Abhängigkeit durch Intransparenz erzeugt, ist ein Risiko — kein Partner.
TechnikKonkret: DNS-Zonen bleiben beim Kunden-Registrar, DKIM-Schlüssel und Zertifikate laufen auf den Kunden, jede Änderung ist im Change-Log dokumentiert, Übergabedossier ist Vertragsbestandteil.
Der Sentrust-VorteilWir binden Kunden über Ergebnisqualität, nicht über Abhängigkeit — die vollständige Dokumentation gehört Ihnen ab Tag 1.
Vollständiger Fachartikel mit Praxisfall & Quellen →