esackbauer Du weisst schon, dass das nichts mailcow spezifisches ist?
Mhm, Mailcow ist doch ein umfassendes System, wozu SPF, DKIM und DMARC zählen. Mailcow erhebt - so habe ich das verstanden - den Anspruch, ein gutes und sicheres System zu sein. Ich bin mir daher sicher, dass das Thema hier gut hinpasst.
Damals konnte man tatsächlich ohne Weiteres mittels PHP mail(); E-Mails im fremden Namen versenden. Das geht zwar heute auch, aber SPF & Co. helfen, dies zu verhindern.
Wenn ich mich als olaf.scholz@bundeskanzleramt.de ausgebe, sollte Mailcow als empfangender Server prüfen, ob sich die Absender IP im SPF des Kanzleramts befindet. Falls nicht, regelt DMARC das Weitere.
Ob die Mail im Spam landet, entscheidet die Richtlinie. Ich würde das nicht zulassen, dass es im Spam landet, weil ein Mitarbeiter glauben könnte, die Mail sei versehentlich dort gelandet. Man ist das ja schon gewohnt. Und so kann es passieren, dass eine gefährliche Mail geöffnet wird.
Für uns ist es wichtig, dass Mailcow auch Gebrauch von den Richtlinien macht und diese Umsetzt. Wenn du sagst, Mailcow habe nichts mit SPF & Co. zu tun, beziehst du das womöglich darauf, dass das Einträge sind, die im DNS stehen. Hier muss man zwischen dem Eintrag im DNS und der Durchsetzung der Richtlinie unterscheiden. Der blanke Eintrag macht nur dann Sinn, wenn es eine Instanz gibt, die die Richtlinie letztlich umsetzt. Und das macht Mailcow oder ein integriertes Produkt.
Man kann sich auf Google und Co. tatsächlich nicht verlassen. Das heißt aber nicht, sich auf Mailcow nicht verlassen zu können. Das heißt, wir sind gefordert, unser System bzw. unser Postfach zu schützen.
Und ja, wenn du die domain bundes-kanzler.de registierst, kannst du Mails davon versenden, die auch ihr Ziel finden. Aber das ist nicht Aufgabe von SPF & Co., dies zu verhindern.
Aufgabe ist es, andere Personen davor zu schützen, dass sie tatsächlich ihre E-Mail von bundes-kanzler.de erhalten. Wenn ich mich jetzt als bundes-kanzler.de ausgebe, schützt deine Konfiguration mein Opfer, weil du mich nicht autorisiert hast. So käme meine Fakemail dank deiner Konfiguration bei denen gar nicht an.
Im Grunde war meine Frage, ob Mailcow das auch für uns macht. Gibt sich jemand mit böser Absicht als meine Bank aus, sollte Mailcow prüfen, ob der Absender von meiner Bank autorisiert ist. Falls nicht, regelt DMARC das weitere Vorgehen.
Ich hoffe, den Grundgedanken verständlich rübergebracht zu haben.