Warum Regierungsorganisationen DMARC brauchen

Regierungen kommunizieren mit ihren Bürgern zunehmend per E-Mail, und die Menschen müssen sich auf die Kommunikation mit der Regierung verlassen können. Viele Regierungsorganisationen haben jedoch nur zögerlich Maßnahmen zum Schutz vor Spoofing wie Domain-based Message Authentication, Reporting, and Conformance (DMARC) eingeführt und damit Risiken für ihre Bürger - und für ihre eigene Cybersicherheit - geschaffen.

DMARC ist ein Open-Source-Protokoll, das Regierungen (und Unternehmen) dabei hilft, Kriminelle daran zu hindern, ihre Internet-Domänen in Phishing-E-Mails zu fälschen. Durch Hinzufügen eines DMARC-Datensatzes zu ihren Domäneninformationen können Regierungsorganisationen sicherstellen, dass nur legitime Einrichtungen in ihrem Namen Informationen versenden.

Cyberkriminelle nutzen E-Mail-Schwachstellen aus

Regierungen werden als äußerst glaubwürdige und wichtige Ressourcen angesehen. Doch die Offenheit und Benutzerfreundlichkeit der E-Mail hat einen inhärenten Fehler: Jeder kann eine E-Mail senden, die von einer beliebigen Domäne zu stammen scheint. Böswillige nutzen diese Schwachstelle aus, um das Vertrauen der Menschen in ihre Regierung auszunutzen - vor allem in Zeiten, in denen die Bürger auf der Suche nach verlässlichen Informationen sind, z. B. in der Steuersaison, kurz vor Wahlen oder in unsicheren Zeiten wie der COVID-19-Pandemie.

Kriminelle können Regierungsorganisationen fälschen, um:

• Stehlen persönlicher Daten von Bürgern und Regierungsangestellten
• Betrug begehen
• Einsatz von Malware und Ransomware
• Beeinflussung von Wahlen oder Infragestellung der Regierungsautorität

Wie DMARC hilft, E-Mail-Spoofing zu verhindern

DMARC ist ein E-Mail-Authentifizierungs- und Berichterstattungsprotokoll, mit dem eine Regierungsorganisation zwei wichtige Ziele erreichen kann. Sie kann Informationen darüber sammeln, wer ihre Domänen zum Senden von E-Mails verwendet. Und sie kann eine DMARC-Richtlinie festlegen, um die Nutzung ihrer Domäne zu schützen. Die DMARC-Richtlinie teilt den E-Mail-Systemen anderer Organisationen mit, was zu tun ist, wenn sie gefälschte E-Mails erhalten, die die Domäne der Regierung vortäuschen: ob sie diese melden, aber ansonsten nichts unternehmen, sie in einen Spam-Ordner verschieben oder sie ganz ablehnen sollen. [1]

Bei ordnungsgemäßer Umsetzung kann eine DMARC-Ablehnungsrichtlinie Phishing-E-Mails sehr effektiv stoppen. So hat beispielsweise die britische Zollbehörde Revenue & die Bürger vor Identitätsdiebstahl und Betrug geschützt, indem sie im Jahr 2016 300 Millionen Phishing-Versuche gestoppt hat. [2]

Einige Regierungen ergreifen Maßnahmen

Mehrere Länder haben die DMARC-Implementierung für nationale Regierungsorganisationen verbindlich vorgeschrieben oder empfohlen, darunter:

• S. Binding Operational Directive 18-01 . Diese 2017 veröffentlichte Richtlinie schreibt vor, dass alle Domänen der Bundesregierung innerhalb eines Jahres eine DMARC-Ablehnungsrichtlinie einführen müssen.[3]
• Die Sicherheitsrichtlinien des Government Digital Service (GDS) des Vereinigten Königreichs. Diese Richtlinien wurden 2016 aktualisiert, um sicherzustellen, dass alle Regierungsdomänen des Vereinigten Königreichs eine DMARC-Richtlinie veröffentlichen und diese auf Ablehnung setzen.[4]
• Australische Strategien zur Eindämmung bösartiger E-Mails. Enthält Richtlinien, in denen empfohlen wird, dass alle Organisationen - ob auf Bundesebene oder anderweitig - eine DMARC-Richtlinie einrichten und diese auf Ablehnung setzen.[5]
• Das niederländische Standardisierungsforum hat die niederländischen Regierungsorganisationen aufgefordert, bis Ende 2019 eine DMARC-Ablehnungsrichtlinie einzuführen. [6]

Ein großer Teil des öffentlichen Sektors hinkt jedoch noch hinterher - darunter auch lokale Regierungsorganisationen in vielen Ländern. Laut einer kürzlich von Mimecast durchgeführten weltweiten Umfrage haben 64 % der Organisationen des öffentlichen Sektors noch nicht mit der Nutzung von DMARC begonnen.

Viele Kommunalverwaltungen bleiben verwundbar

In den USA ist nur eine Minderheit der Regierungsdomänen Bundesdomänen, die zur Durchsetzung einer DMARC-Richtlinie verpflichtet sind. Von den 6.154 US-Regierungsdomänen sind 1.254 Domänen der Bundesregierung; die anderen 4.900 Domänen umfassen staatliche, städtische und andere lokale Regierungsorganisationen. [7] Dies bietet böswilligen Akteuren eine weitreichende Möglichkeit, sich als diese lokalen Regierungsorganisationen auszugeben, um Phishing-E-Mails an ahnungslose Bürger zu senden, die dies möglicherweise sind:

• Suche nach Krankenversicherungen
• Staatliche Steuerhilfe beantragen
• Bezahlung von Rechnungen kommunaler Versorgungsunternehmen
• Beantragung von Leistungen der Arbeitslosenversicherung
• Eintragung in das Wählerverzeichnis
• Erneuerung eines Führerscheins

Aber auch Regierungsangestellte, von Auftragnehmern bis hin zu gewählten Vertretern, können dazu verleitet werden, E-Mails zu öffnen, die den Anschein erwecken, dass es sich um dringende Nachrichten von echten Regierungsmitarbeitern handelt. [8] Der 2019 Data Breach Investigations Report von Verizon stellt fest, dass Cyberspionage im öffentlichen Sektor weit verbreitet ist und möglicherweise Unmengen an sensiblen Regierungsdaten kompromittiert. [9] Diese Angriffe können kostspielig sein, um sie zu beheben, und gleichzeitig den Ruf der Regierung schädigen.

Schritte zum Implementieren einer DMARC-Abweisungsrichtlinie

Im Allgemeinen führen Unternehmen eine DMARC-Abweisungsrichtlinie nicht über Nacht ein. DMARC soll schrittweise eingeführt werden, beginnend mit einer "Nur-Melde"-Richtlinie, die jeder Organisation dabei hilft, alle Unternehmen zu ermitteln, die in ihrem Namen E-Mails versenden, seien sie rechtmäßig oder nicht. Sobald eine Organisation sicher ist, dass sie alle legitimen Absender identifiziert hat, kann sie zu einer Richtlinie übergehen, die alle illegitimen Absender zurückweist. Ohne diese schrittweise Umsetzung riskieren Organisationen, dass ihre legitimen E-Mails auf eine schwarze Liste gesetzt werden - was für Regierungen, die versuchen, legitime und wichtige Informationen an Bürger und Mitarbeiter zu übermitteln, schädlich sein kann.

Mit anderen Worten: Je eher Regierungen DMARC einsetzen, desto eher können sie böswillige Akteure davon abhalten, gefälschte E-Mails zu versenden. Dies kann Regierungen dabei helfen, Spam zu minimieren, Benutzer zu schützen und letztendlich ihren Ruf als vertrauenswürdige Quelle aufrechtzuerhalten. [10]

Die Quintessenz

E-Mails sind ein äußerst leistungsfähiges Instrument für die Kommunikation zwischen Behörden und ihren Bürgern. Eine strenge DMARC-Richtlinie ist eine wirksame Maßnahme gegen Spoofing, die sicherstellt, dass alle E-Mails, die im Namen einer Regierungsorganisation versendet werden, legitim sind - und damit ein wichtiges Teil des großen Puzzles der Cybersicherheit löst.

[1] " Bereichsbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformität ," DHS CISA Cyber Infrastructure

[2] " Bekämpfung von Phishing - ein (sehr) großer Meilenstein ," HMRC digital blog

[3] " Verbindliche operationelle Richtlinie 18-01 ," Department of Homeland Security

[4] " Aktualisierung unserer Sicherheitsrichtlinien für digitale Dienste ," GOV.UK Blog

[5] " Strategien zur Eindämmung bösartiger E-Mails ," Australian Cyber Centre

[6] " https://dmarc.org/presentations/JPAAWG-2018-DMARC-Update.pdf " DMARC.org

[7] " Daten ," DotGov.gov

[8] " Bereichsbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformität ," DHS CISA Cyber Infrastructure

[9] 2019 Data Breach Investigations Report , Verizon

[10] " Verbindliche operationelle Richtlinie 18-01 ," Department of Homeland Security