Der MX-Eintrag im DNS: ein Vertrauenszeichen?

Jede E-Mail-Adresse endet mit einem Domainnamen: alles nach dem @. Damit eine Nachricht ankommt, müssen die Server wissen, wohin die Post für diese Domain geliefert wird. Das ist die Aufgabe einer winzigen Zeile im Adressbuch des Internets: des MX-Eintrags. Winzig, aber unverzichtbar … und sehr praktisch, um eine erfundene Adresse zu entlarven.

Das DNS, das Adressbuch des Internets

Computer kennen nur Zahlen: IP-Adressen wie 203.0.113.10. Menschen mögen lieber Namen wie example.com. Das DNS übersetzt das eine ins andere, so wie das Telefonbuch im Handy „Mama“ in eine Nummer verwandelt.

Für eine Website ist die Frage an das DNS einfach: „Unter welcher Adresse ist diese Seite zu finden?“ Die Antwort ist ein Eintrag vom Typ A (oder AAAA für die neueren IPv6-Adressen). Der Browser geht direkt zu dieser Adresse, fertig.

Die Post hat ihr eigenes Schild: den MX

Die E-Mail bekommt eine Sonderbehandlung: einen Eintragstyp ganz für sich allein, den MX (Mail eXchanger, „Postaustauscher“). Er beantwortet eine andere Frage: „Welchen Server muss man für Post an @diese-domain kontaktieren?“

Warum ein eigenes Schild? Weil der Rechner, der die Post annimmt, oft nicht derjenige ist, der die Website anzeigt. Eine Firma kann ihre Website bei einem Hoster haben und ihre E-Mails Google oder Microsoft anvertrauen. Der MX sagt: „Die Website ist hier, aber die Briefe gehen dorthin.“

Das Web braucht diesen Umweg nicht: Der Browser besucht die Website unter ihrer Adresse, Punkt. Bei der E-Mail dagegen gilt: Eine Domain, die Post empfangen will, muss einen MX eintragen. Die Norm sieht zwar einen Notfallplan vor (fehlt der MX, versuchen es die Server bei der Adresse der Domain selbst), aber das ist ein altes Überbleibsel, auf das sich seriöse Domains nicht verlassen. Ohne MX ist es wie ein Haus ohne Briefkasten. Das ist Schritt 3 im Ratgeber Wie eine E-Mail vom Absender zum Empfänger reist.

Stammspieler und Ersatzspieler

Eine Domain kann mehrere MX-Einträge haben, jeder mit einer Prioritätszahl. Die Regel zum Merken: Die kleinste Zahl ist zuerst dran, wie beim Golf. Die anderen sind Ersatzspieler, wie Torhüter auf der Bank: Sie kommen nur ins Spiel, wenn der Stammspieler nicht antwortet. So sieht das aus:

example.com.   MX   10   mail1.example.com.
example.com.   MX   20   mail2.example.com.

Hier geht die Post zuerst an mail1 (Priorität 10). Fällt dieser Server aus, wird mail2 versucht (Priorität 20). Große Anbieter wie Gmail tragen so mehrere MX ein, damit nie eine Nachricht verloren geht.

Ein Vertrauenszeichen … mit Fragezeichen

Ein vorhandener MX ist ein Mindestmaß an Seriosität. Eine echte Firma, eine echte Behörde, ein echter Mensch wollen Antworten empfangen können. Ihre Domain hat also einen Briefkasten.

Fehlt der MX bei der Domain des Absenders, ist das ein Alarmsignal. Es bedeutet, dass die unter „Von:“ angezeigte Adresse nichts empfangen kann: Wenn Sie antworten, geht Ihre Nachricht ins Leere. Die Adresse wurde vermutlich erfunden oder direkt nach dem Versand weggeworfen. Das ist typisch für Spam und Phishing, die Adressen am Fließband erzeugen.

Achtung, das Fragezeichen ist wichtig! Ein MX beweist keine Ehrlichkeit. Ein Betrüger, der eine eigene Domain kauft, kann ihr in zwei Minuten einen MX geben und sogar SPF, DKIM und DMARC einrichten. Eine weitere häufige Verwechslung: Der MX sagt, wo die Post ankommt, nicht, woher sie kommt. Der sendende Server muss nicht der MX sein; was den Versand regelt, ist SPF, erklärt im Ratgeber Phishing: Wie Betrüger ihre E-Mails durchbringen.

Kurz gesagt: Kein MX, großer Zweifel. Ein MX, guter Anfang, aber weiter prüfen.

Warum Baitback das prüft

Wenn eine E-Mail mit Baitback analysiert wird, nimmt das Tool die Domain der „Von:“-Adresse und fragt das DNS: Hat diese Domain einen MX oder wenigstens eine Notfalladresse? Lautet die Antwort nein, zeigt Baitback eine Warnung an („diese Domain kann keine E-Mails empfangen: Wegwerf- oder erfundene Adresse“) und addiert 15 Punkte zum Warnwert.

Diese Prüfung steht nie allein: Sie kommt zu den anderen Hinweisen hinzu (Domain vor wenigen Tagen angelegt, Name, der eine Marke imitiert, fehlgeschlagenes SPF …). Erst das Gesamtbild lässt den Wert steigen und hilft bei der Entscheidung, ob man meldet.

Selbst prüfen in 10 Sekunden

Jeder sollte sich das angewöhnen, bevor er einem Unbekannten antwortet, auf einen Link klickt oder irgendetwas bezahlt. Drei Möglichkeiten:

• Am einfachsten: die E-Mail in Baitback einfügen, das die Prüfung zusammen mit den anderen Kontrollen selbst erledigt.
• Am Computer (Windows, Mac oder Linux) ein Terminal öffnen und eingeben:

  nslookup -type=mx example.com

  Unter Mac und Linux geht auch:

  dig mx example.com +short

  Enthält die Antwort keine Zeile „mail exchanger“ oder „MX“, hat die Domain keinen Briefkasten.
• Online: Viele kostenlose „DNS-Lookup“-Websites zeigen die MX-Einträge einer Domain mit einem Klick an.

Sie haben einen eigenen Domainnamen? Prüfen Sie, ob er einen MX hat, wenn er Post empfängt. Und wenn er nie E-Mails sendet oder empfängt, sagen Sie es der ganzen Welt: Ein „Null-MX“ und ein SPF, das jeden Versand verbietet (v=spf1 -all), verhindern, dass Betrüger Ihren Namen glaubwürdig missbrauchen.

Schon gewusst?

• Der MX wurde 1986 erfunden, nur drei Jahre nach dem DNS selbst. Die E-Mail war damit einer der allerersten Dienste mit eigenem Schild im Verzeichnis.
• example.com gehört niemandem … fast. Dieser Name ist, wie example.org und alles, was auf .example endet, seit 1999 für Beispiele reserviert. Man kann ihn nicht kaufen: Deshalb verwenden Ratgeber ihn.
• Es gibt einen „Null-MX“. Seit 2015 kann eine Domain MX 0 . eintragen: Das ist der Aufkleber „Bitte keine Post“ auf dem Briefkasten. Die Server wissen dann, dass es sich nicht lohnt, es weiter zu versuchen.
• 13 Namen, Hunderte Kopien. Ganz oben im DNS stehen die Root-Server, benannt mit 13 Buchstaben von A bis M. Jeder davon ist aber an Hunderten Orten der Welt kopiert: Einer steht wahrscheinlich gar nicht weit von Ihnen.
• Das DNS hat ein Gedächtnis. Jede Antwort wird für eine von der Domain festgelegte Dauer gespeichert, die TTL: von wenigen Minuten bis zu einem Tag. Deshalb kann eine MX-Änderung ein paar Stunden brauchen, bis sie überall sichtbar ist.