Zustellbarkeit

Das Weiterleitungsproblem

Eine E-Mail an die eigene alte Adresse weiterleiten zu lassen, ist die harmloseste Sache der Welt. Sie zerstört zuverlässig die Absenderprüfung — und zwar nicht durch einen Fehler, sondern weil das Verfahren an etwas festmacht, das sich dabei ändert.

Was beim Weiterleiten passiert

Anna schreibt an Bert. Bert lässt seine Post an ein anderes Konto weiterleiten. Der weiterleitende Server nimmt die Nachricht an und liefert sie erneut ein — beim endgültigen Ziel.

Warum das kein Fehler ist

SPF beantwortet die Frage: Darf dieser Rechner in diesem Namen einliefern? Beim zweiten Einliefern ist der Rechner ein anderer, also lautet die Antwort korrekt „nein". Das Verfahren tut genau das, was es soll.

Der Fehler liegt in der Erwartung. SPF prüft eine Beziehung zwischen IP-Adresse und Domain, und diese Beziehung ist an genau einen Zustellschritt gebunden. Sie überlebt keinen zweiten.

Warum DKIM es überlebt

Die Signatur reist in der Nachricht mit. Wer sie weiterreicht, reicht sie mit weiter, und am Ziel lässt sie sich prüfen wie zuvor — unabhängig davon, über wie viele Stationen sie kam.

Genau deshalb verlangt DMARC nicht beide Verfahren, sondern eines von beiden: Bei einer Weiterleitung fällt SPF, DKIM trägt. Eine Domain mit funktionierender Signatur übersteht Weiterleitungen, eine mit SPF allein nicht.

Wo auch DKIM bricht

Die Signatur deckt den Inhalt und ausgewählte Kopfzeilen ab. Wer daran etwas ändert, macht sie ungültig. Klassische Verteiler tun genau das:

• ein Kürzel im Betreff, damit man die Liste erkennt,
• ein Fußtext mit Abmeldehinweis,
• Umwandlung von HTML in reinen Text,
• Entfernen oder Umschreiben von Anhängen.

Jede dieser Änderungen ist gut gemeint und bricht die Signatur. Danach fällt sowohl SPF als auch DKIM — und eine Domain, die eine strenge DMARC-Anweisung veröffentlicht, sorgt dafür, dass ihre eigenen Nutzer aus Verteilern fliegen.

Diese Kollision hat 2014 sichtbar stattgefunden, als große Anbieter ihre Anweisung auf „ablehnen" stellten und Mailinglisten weltweit begannen, deren Nutzer auszusortieren. Die Reaktion der Listen war, den Absender umzuschreiben: Nachrichten kommen seither oft von der Liste selbst, mit der ursprünglichen Autorin nur noch im Anzeigenamen.

Zwei Reparaturversuche

Umschlag umschreiben. Der weiterleitende Server ersetzt den Umschlag-Absender durch eine eigene Adresse, die kodiert enthält, wer ursprünglich gesendet hat. Damit passt SPF wieder zu ihm, und Rückläufer finden trotzdem zurück. Ein etabliertes, aber nie normiertes Verfahren, das die Adressen unansehnlich macht und den Weiterleiter zum Verantwortlichen für fremde Post erklärt.

Die Kette dokumentieren. Der neuere Ansatz lässt jede Zwischenstation eine signierte Notiz anhängen: „Als ich diese Nachricht bekam, war die Prüfung in Ordnung." Das Ziel kann der Kette folgen und einer Station vertrauen, der es ohnehin vertraut.

Beides sind Anbauten an Anbauten. Sie funktionieren, und sie zeigen zugleich, wohin das führt: Um eine Weiterleitung zu überstehen, braucht es inzwischen ein viertes Verfahren zusätzlich zu den drei, die schon nötig waren.

Was das über das System sagt

Weiterleitung ist keine Randerscheinung, sondern eine der ältesten Funktionen überhaupt — E-Mail wurde von Anfang an weitergereicht. Dass ausgerechnet sie mit den nachträglichen Sicherungsverfahren kollidiert, ist kein Zufall.

Die Verfahren mussten Eigenschaften prüfen, die das Protokoll nicht vorsah, und griffen deshalb auf das zurück, was verfügbar war: die IP-Adresse der Gegenstelle. Das ist eine Eigenschaft des Transports, nicht der Nachricht. Alles, was den Transport verändert, bricht sie — und Weiterleiten heißt, den Transport zu verändern.