Hallo lieber Sven,

vielen Dank für Deine ausführliche Ausarbeitung. Damit sollte es auch für „Nicht-Nerds“ halbwegs verständlich sein.

Folgenden Satz kann ich so leider nicht stehen lassen und muss es relativieren: „Diese Punkte bedeuten keinen akuten Sicherheitsvorfall.“

Du hast Recht: Die fehlerhafte Einrichtung der DNS-Einstellungen ist selber kein Sicherheitsvorfall.

Meine Einschätzung: Ich sehe tagtäglich, wie SPAM, Viren und Phishing-Mails zu 99% aufgrund fehlender SPF-Einträge über bekannte Domains im Umlauf gebracht werden. Wenn eine Einladung vom Bürgermeister an die Ratsmitglieder rausgeht, dann klickt man vielleicht schneller auf einen (verseuchten-) Link, als bei irgendwelchen unbekannten Absendern. Ebenso Unternehmen, die kaum IT-Budget für gute Spam/Virenfilter ausgeben. Und diese gibt es leider in Bergneustadt und dem ländlichen Umfeld noch sehr viele. Aber es können auch Rathaus Intern vielleicht durch den falschen Klick Türen geöffnet werden, die am Ende im Deasaster enden … Für mich ist es sehr wohl ein (vermeidbarer) Sicherheitsvorfall, weil man scheinbar den Datenschutz nicht ernst nimmt.

Da ich beruflich aus dem IT-Bereich komme, habe ich mir die öffentlich sichtbare Mail- und DNS-Konfiguration der städtischen Domain bergneustadt.de einmal selbst angesehen (z. B. über Tools wie MxToolbox, internet.nl). Dabei sind mir ein paar Punkte aufgefallen, die man technisch relativ einfach verbessern könnte.

1. Kein DMARC-Eintrag vorhanden
DMARC ist ein Mechanismus zur Absicherung von E-Mails. Damit kann festgelegt werden, wie Mailserver mit Nachrichten umgehen sollen, die zwar als Absender die Domain verwenden, aber nicht korrekt authentifiziert sind.
Fehlt dieser Eintrag, wird es deutlich einfacher, eine E-Mail mit gefälschtem Absender @bergneustadt.de zu versenden.

Ein möglicher Eintrag könnte z. B. so aussehen:

DMARC Beispiel
v=DMARC1; p=quarantine; rua=mailto:dmarc@bergneustadt.de

Damit würden verdächtige Mails zumindest automatisch in Quarantäne landen.

2. SPF-Konfiguration nicht konsequent umgesetzt
SPF legt im DNS fest, welche Server überhaupt berechtigt sind, E-Mails im Namen einer Domain zu versenden.
Ist dieser Eintrag nicht eindeutig genug definiert, können fremde Server leichter versuchen, Mails mit dieser Absenderdomain zu verschicken.

Ein sauberer SPF-Eintrag könnte z. B. so aussehen:

SPF Beispiel
v=spf1 include:civitec.de -all

Damit wären nur autorisierte Mailserver zum Versand berechtigt.

3. Teilweise nicht erreichbare Mailserver
Bei der Prüfung tauchen Mailserver auf, die zeitweise nicht erreichbar sind oder nur verzögert reagieren.
Das ist kein unmittelbares Sicherheitsproblem, kann aber zu Zustellproblemen führen oder darauf hinweisen, dass alte oder nicht mehr genutzte Einträge noch im DNS vorhanden sind.

4. DNS-Parameter nicht optimal gesetzt
Außerdem weist der Check auf einen SOA-Expire-Wert außerhalb der üblichen Empfehlungen hin.
Dieser Wert bestimmt, wie lange sekundäre DNS-Server Daten zwischenspeichern dürfen, bevor sie erneut aktualisiert werden. Kritisch ist das nicht, zeigt aber, dass die DNS-Konfiguration vermutlich schon länger nicht grundlegend überprüft wurde.

Einordnung

Wichtig ist: Diese Punkte bedeuten keinen akuten Sicherheitsvorfall.

Sie zeigen aber, dass einige heute übliche Schutzmechanismen moderner E-Mail-Infrastruktur offenbar noch nicht vollständig umgesetzt sind. Gerade bei öffentlichen Einrichtungen sollte man solche Dinge regelmäßig prüfen und bei Bedarf anpassen.

Aus den DNS-Einträgen lässt sich außerdem erkennen, dass die Mail-Infrastruktur der Stadt über den kommunalen IT-Dienstleister Civitec betrieben wird. Änderungen müssten daher vermutlich gemeinsam mit diesem Zweckverband umgesetzt werden.

IT-Sicherheit ist letztlich kein politisches Thema, sondern eine laufende technische Aufgabe, die regelmäßig überprüft und verbessert werden sollte.