Email-Account gehackt oder doch Spoofing

Gera82

Hallo,

ich wollte mich erkundigen, ob mein E-Mail-Account inklusive Passwort gehackt wurde oder ob es sich lediglich um Spoofing handelt.

Heute habe ich eine E-Mail erhalten, die angeblich von meiner eigenen E-Mail-Adresse stammt:

email@meine-domain.de (diese habe ich von mir abgeändert).

Hier sind die Header-Informationen:

Code

Received-SPF: softfail (mx2e8d: transitioning domain of meine-domain.de does not designate 37.221.92.136 as permitted sender) client-ip=37.221.92.136; envelope-from=email@meine-domain.de; helo=meine-domain.de;
From: email@meine-domain.de
To: email@meine-domain.de

Alles anzeigen

Ich wäre für jeden Hinweis dankbar.

VG

KB19

Sofern Du ausschließlich die Mailserver des Webhostings verwendest: Sieht zu 100% wie ein gefälschter Absender aus.

tab

Sieht doch sehr nach Spoofing aus.

Schupp

Zitat von Gera82

Received-SPF: softfail (mx2e8d: transitioning domain of meine-domain.de does not designate 37.221.92.136 as permitted sender) client-ip=37.221.92.136;

Bedeutet ja im Prinzip das die Sender IP eigentlich nicht befugt ist im Namen dieser Domain zu senden.

Je nach spf Einstellung kann die Email als Hardcore Fail sofort gelöscht werden (Nicht zugestellt werden) oder als Softfail im Spam Ordner landen.

tab

Die IP 37.221.92.136 ist nicht dein Webserver, Mailserver oder eins der Relays von netcup.

Zitat

Abuse contact for '37.221.92.128 - 37.221.92.191' is 'abuse@tube-hosting.de'

Gera82

Alles klar, danke.

Ich habe heute DMARC eingerichtet:

v=DMARC1; p=quarantine; rua=mailto:xxx@xxx.de; ruf=mailto:xxx@xxx.de; pct=100

Wird das helfen, und kann ich damit den gesamten Spam/Phishing filtern?

-Manu-

Dein SPF ist auf Softfail konfiguriert, das ist bei deinem DNS-Eintrag das "~all" am Ende.

Zugestellt werden diese Mails trotzdem, sollten aber idealerweise als SPAM/Malicious markiert werden.

Machst du aus dem "~all" ein "-all", dann hast du einen Hardfail....die Mails werden nicht mehr zugestellt.

Damit würden aber eventuelle False-Positives auch nicht ankommen.

Die bisherigen mir bekannten "Best Practices" waren immer ein SPF auf Softfail "~all" und in Kombination ein DMARC auf Reject (p=reject).

Aber hier gibt es wohl bestimmt jemanden/einige, die da deutlich tiefer in der Materie stehen als ich.

tab

Ich gehe bei DMARC meist anfangs auf "p=quarantine". Dann beobachte ich das eine Weile, ob dadurch false positives auftreten, als ob erwünschte Mails als Spam zugestellt werden. Passiert das, versuche ich das mit den entsprechenden Absendern gemeinsam abzustellen. Später gehe ich dann auf "p=reject".

Bei SPF mit "-all" sind weitergeleitete Mails meist problematisch. Also mache ich das höchstens bei Domains, deren Mails normalerweise nicht weitergeleitet werden müssen oder sollen.

Tags