Gmail-Sicherheitswarnung, wenn E-Mails verschwinden – hier ist die Lösung von Google

Update, 13. Dezember 2024: Dieser Artikel, der ursprünglich am 12. Dezember veröffentlicht wurde, enthält jetzt weitere Informationen darüber, wie Gmail Massenabsender definiert und eine sichere Authentifizierung erfordert, um zu verhindern, dass E-Mails zurückgesendet werden, bevor sie überhaupt im Posteingang eines Gmail-Benutzers landen.

Nachdem ein Forbes.com-Leser mehr als 12 Monate lang gesehen hatte, wie Nachrichten an Gmail-Benutzer im Äther verschwanden, oder besser gesagt, nicht, wandte er sich verzweifelt um Hilfe. Wenn Sie unter einem ähnlichen Problem mit dem Verschwinden von Gmail-E-Mails leiden, erfahren Sie hier, wie Sie es direkt von den Insidern bei Google selbst beheben können.

ForbesNeue E-Mail-Angriffswarnung – 5 Dinge, auf die Sie achten solltenVon Davey Winder

Das Problem mit verschwindenden E-Mails – Gmail-Benutzer erhalten keine Nachrichten

Nachdem ich auf Forbes.com einen Artikel darüber gelesen habe Angriffe zur Übernahme von Gmail-Kontendachte ein Leser, er würde sich an mich wenden, als ich erwähnte, dass ein Google-Insider mit Ratschlägen für Gmail-Nutzer geholfen hatte. Die Sache hier ist jedoch, dass dieser bestimmte Leser kein Gmail-Konto verwendet, sondern eine E-Mail an eines gesendet hat. Um genau zu sein, sogar mehr als einen, und da entstand das Problem.

„Wenn ich mehr als zwei Gmail-Konten per E-Mail sende“, sagte der Leser, „erhalten die Gmail-Benutzer die E-Mail nicht.“ Andere, die in der E-Mail enthalten sind, aber Gmail nicht verwenden, erhalten die E-Mail jedoch. Es gab „keine Fehlermeldungen, nichts“, fuhr der Leser fort, „die E-Mail verschwindet im Äther – normalerweise kann ich einzelnen Gmail-Benutzern eine E-Mail senden, aber nicht immer.“

ForbesGmail-Nutzer erhalten 99,9 % Schutz vor Identitätsdiebstahl-Angriffen – so geht'sVon Davey Winder

Ich habe mich noch einmal mit Google-Sprecher Ross Richendrfer unterhalten, der sich mit allen Themen rund um Gmail sowie Sicherheit und Datenschutz am Arbeitsplatz befasst. Wenn irgendjemand diesem Rätsel auf den Grund gehen konnte, dann Richendrfer und das Team von Gmail-Technikern, die er um Hilfe bitten musste.

Untersuchung des Verschwindens von Gmail-Nachrichten

Um die Privatsphäre des betreffenden Lesers zu wahren, habe ich Richendrfer nur das Wesentliche des Problems weitergegeben, der dennoch versucht hat zu helfen. Dies bedeutete leider, dass es Google schwerfiel, eine endgültige Antwort zu geben, ohne die Absenderdomain zu kennen oder Beispiel-E-Mail-Nachrichten zu sehen. „Alle Nachrichtenfehler“, sagte Richendrfer, „sei es Spam oder sonstiges, würden an die Absenderdomäne zurückgesendet, was für den Benutzer erkennbar sein sollte.“ Das Problem könnte auf etwas auf der Domänenseite zurückzuführen sein, das den Benutzer daran gehindert hat, auf die Bounce-Nachrichten bei Zustellungsfehlern zuzugreifen. Möglicherweise akzeptiert dieser Server beispielsweise keine Bounces bei eingehenden Fehlern. Aber Richendrfer vermutete, dass es sich eher um ein Authentifizierungsproblem handelte, da „die Nachrichten aufgrund einer falschen Authentifizierung gelöscht wurden, bevor sie überhaupt bei Gmail ankamen“. Daher war die Zusammenarbeit mit dem eigenen Anbieter des Lesers, um sicherzustellen, dass Nachrichten ordnungsgemäß authentifiziert werden, der erste von Google empfohlene Schritt.

ForbesGoogle bestätigt neue Gmail-Sicherheitsüberraschung – und es ist so einfachVon Davey Winder

Neue Regeln für die sichere Authentifizierung von Gmail-Massen-E-Mail-Absendern gelten seit dem 1. April

Was hätte passieren können, obwohl ich nicht sicher sein kann, ist, dass der Leser in die Situation geraten ist Neue Regeln für Massenversender, die Google ab dem 1. April für alle eingeführt hat, die E-Mails an eine Gmail-Adresse senden. Im Wesentlichen bedeutete dies, dass Google E-Mails an Gmail-Nutzer ablehnen würde, die nicht den strengen neuen E-Mail-Domänenauthentifizierungsregeln entsprechen. Google selbst warnte bereits im Oktober 2023 per Post davor, dass diese Regeln eingeführt würdenEs ist also nicht so, dass dies eine Überraschung sein sollte. Die Regelung zur Massenabsenderauthentifizierung kam ins Spiel, um die Menge an Spam, die in den Posteingängen von Gmail-Nutzern landet, zu begrenzen. Spam, der oft der Überträger von Schadsoftware und Phishing-Angriffen ist. „Durch die Umsetzung dieser neuen Anforderungen“, schrieb ich damals, „zielt Google darauf ab, böswillige Akteure daran zu hindern, nicht authentifizierte oder kompromittierte Domains zu verwenden, um ihre gefährlichen Nutzlasten zu übermitteln und unerwünschten Spam zu reduzieren.“

Obwohl Google einen Massenversender als jemanden definiert, der innerhalb von 24 Stunden nahezu 5.000 Nachrichten sendet, wird die Verwendung strenger Authentifizierungsprotokolle jedem dringend empfohlen, der E-Mails von seiner eigenen Domain an Gmail-Benutzer oder die eines anderen E-Mail-Anbieters sendet Um ehrlich zu sein. Alles, was hilft, zu bestätigen, dass Sie kein Spammer sind und dass Ihre E-Mails sicher sind, muss doch eine gute Sache sein, oder? Hilft natürlich, keine Garantie. Eine Angriffsmethode, die versucht, solche Schutzmaßnahmen zu umgehen, ist bekannt als SubdoMailingbei dem Angreifer Sender Policy Framework-Datensätze einschleusen, um ihre Simple Mail Transfer Protocol-Server zu authentifizieren und dann Abmeldefunktionen auf gekaperten Subdomains zu hosten. Der oben erwähnte Guardio-Bericht deckte ein Netzwerk von mehr als 8.000 Domains auf, darunter äußerst bekannte Marken wie CBS, eBay, Marvel, McAfee und MSN, die in einer solchen SubdoMailing-E-Mail-Angriffskampagne verwendet wurden. „Gmail verfügt über mehrere Schutzebenen“, sagte Richendrfer, „und wir fügen ständig weitere hinzu, um diesen Angriffsvektor abzuwehren.“

Die Regeln vom 1. April bedeuteten, dass alle Massenversender nun verpflichtet sind, ihre E-Mails mithilfe etablierter Best Practices wie Domain-based Message Authentication, Reporting & Conformance, DomainKeys Identified Mail und Sender Policy Framework zu authentifizieren, um die von Angreifern ausgenutzten Lücken zu schließen Jeder, der E-Mail, Gmail oder auf andere Weise nutzt.

Authentifizierungsprobleme sind wahrscheinlich der Grund für das verschwindende Gmail-Problem

Um dem Problem auf den Grund zu gehen, brauchten Richendrfer und die Google Gmail-Experten wirklich einen Blick auf die betreffende Absenderdomain und ein Beispiel für die E-Mails, die nicht an Gmail-Empfänger zugestellt werden. Ich wandte mich an den Leser und fragte ihn, ob dies möglich sei, und er gab gerne seine Zustimmung. Mit diesen Informationen bewaffnet, ging ich zurück zu Google. Das Gmail-Technikteam schaute sich das dann genauer an und gelangte zu dem Schluss, dass die Einrichtung der DomainKeys Identified Mail-Authentifizierung auf dem Server der sendenden Domain das Problem wahrscheinlich lösen würde. Ich habe über DKIM geschrieben vorher, aber hier ist der TL;DR.

Mit dem Sender Policy Framework kann Ihr Mailserver feststellen, ob eine E-Mail, die angeblich von einer bestimmten Domäne stammt, tatsächlich von einem Host stammt, der über den Domain Name System-Eintrag autorisiert ist. DKIM verfolgt das gleiche Ziel, geht es jedoch aus der Richtung einer digitalen Signatur an, also eines Hash-Werts, der an die E-Mail-Nachricht selbst angehängt und mit einem privaten Schlüssel verschlüsselt wird. Dadurch wird sichergestellt, dass die E-Mail so gesendet wird, wie sie beim Ziel ankommt, da alle Versuche, den Inhalt zu ändern, sofort sichtbar sind, sodass die E-Mail dann vom Server abgelehnt werden kann. Diese sind durch die domänenbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformitätssicherheit miteinander verbunden Protokoll namens DMARC, das sowohl die SPF- als auch die DKIM-Authentifizierungsdatensätze auf Gültigkeit überprüft und dann entsprechend entscheidet, was mit der E-Mail geschehen soll.

ForbesGmail-Leck enthüllt, dass neue E-Mail-Adressen auf Sie zukommenVon Davey Winder

Google-Authentifizierungsressourcen zum Senden von E-Mails an Gmail-Benutzer

Google verfügt über eine spezielle Ressource dafür DKIM einrichten Hier finden Sie Schritt-für-Schritt-Anleitungen für Domänenadministratoren zur Authentifizierung ausgehender E-Mails an Gmail-Konten und zum Schutz der Domäne vor Spoofing. „Wenn der Nutzer Fragen zur Umsetzung hat oder Verzögerungen bei der Lieferung feststellt“, sagte Richendrfer, „kann er sich direkt melden Wenden Sie sich an den Google-Support.“