NorbertFe

Hi, weil ich grad drüber gestolpert bin. Mal ganz interessant zu lesen: https://arstechnica.com/security/2023/07/microsoft-takes-pains-to-obscure-role-in-0-days-that-caused-email-breach/ im dazugehörigen MS Artikel wird auch nicht erwähnt, dass die on prem Variante nicht betroffen war/ist. https://www.microsoft.com/en-us/security/blog/2023/07/14/analysis-of-storm-0558-techniques-for-unauthorized-email-access/

Echt? Wie hast du das denn so schnell festgestellt? Wie lautet denn jetzt der verwendete dmarc Record?

Nö, denn der dkim Schlüssel ist dann ja kunde1.Smarthost123.de er muss aber Kunde.de sein. hast du doch oben von all inkl selbst verlinkt. Du musst also die Domain des Kunden anlegen und dort dkim aktivieren. Aber ob das funktioniert wirst du dann schon merken.

Ich würde sagen, du liest dich mal ein, was die Provider dir bieten, die haben im Zweifel ja auch einen Support, der dir weiterhelfen kann (solange du deine Anforderungen klar formulierst). Ich mach jetzt Wochenende und denke nicht mehr an deinen Smarthost. ;) Schönes Wochenende Norbert

Ich dachte du hast dich zu DKIM eingelesen? Es gibt zwei Stellen, das hast du korrekt erkannt. DNS da steht der public Key im sogenannten Selector. Und die Mail wird signiert und als Headerinfo steht dann der hash und der Selectorname (wo der public Key zum überprüfen des Hash-Wertes gefunden werden kann). Du kannst also den einen Teil nicht ohne den anderen konfigurieren. Beides einzeln bringt Fehler, die die Reputation und/oder die Zustellbarkeit deiner Mails verschlechtern. WEnn also dein Smarthostanbieter (den du hier nicht genannt hast) das nicht kann, dann musst du entweder selbst versenden und die Signatur erzeugen (Exchange kann man das bspw. beibringen, oder auch einer Sophos SG), oder einen Smarthostanbieter finden, der sowas kann. Spontan fällt mir All-inkl ein, die zumindest DKIM Signatur immer mit als Option in der Domänenkonfiguration anzeigen. Aber da ich keine Smarthosts verwende, wirds schwer. Schau dir im Zweifel sowas wie Mailgun an, die sollten sowas auf jeden Fall ermöglichen. Wobei ich sowas im Allgemeinen lieber selbst in der Hand habe. Aber du wirst schon was passendes finden. Das wäre eine Möglichkeit. Siehe oben. Nein tun sie nicht. Die bieten dir an, deine DMARC Reports aufzubereiten und entsprechend bereitzustellen. Zusätzlich bieten sie dir noch hosted MTA-STS (inklusive SMTP TLS Reporting) und hosted BIMI. Anbieter wie diese gibt es einige, da sollte man ggf. auch vorher überlegen, welchen man sich erwählt. Man sollte aber tatsächlich daran nicht sparen, sonst hilft einem DMARC nämlich deutlich weniger, wenn niemand das DMARC Reporting auswertet. Tu das.

Liest du eigentlich die Hinweise die ich dir hier schreibe? Falls nein, dann sag das einfach, dann brauch ich nicht mehr antworten. Nochmal der Smarthostbetreiber MUSS die DKIM Konfiguration ermöglichen. Tut er das nicht, dann kann er auch keine Schlüssel importieren, die du IRGENDWO erstellst. Denn dann wird er mit nahezu 100% Wahrscheinlichkeit keine ausgehende DKIM Signierung durchführen. Egal ob du dann dein Schlüsselmaterial bei dir per openssl, aufm Server oder bei DKIM-Config.ru erstellt hast. Jetzt verstanden?

Falsches Vorgehen. Du musst einen Smarthostanbieter suchen, der dir eine DKIM Konfiguration ermöglicht. Die Schlüssel sind BESTANDTEIL der Konfiguration!

Dazu _muss_ der Provider das aber unterstützen, dass du den DKIM Kram auch hinterlegen kannst. Und wenn er das unterstützt bietet er meist auch eine eigene ERstellungsmöglichkeit. Ich kenne bisher keinen, wo man sein Schlüsselmaterial irgendwo extern erzeugen muss.

Ich interpretiere das mal als: Der Exchange sendet an den Smarthost des Providers? Falls ja, dann muss der die DKIM Signaturkonfiguration bereitstellen. Ob das mittels CName (wie Microsoft das für Exchange Online macht) oder mittels Text Records mit selector und pub key erfolgt kann dir egal sein. Und die Aussage oben vom Provider bezieht auf eingehende DKIM Prüfung. Du brauchst aber ausgehende DKIM Signatur.

Wer versendet die Mails? Der Server muss die DKIM signatur an die Mail hängen. und der muss auch die DKIM Konfig erstellen. Der Rest ist dann pille palle.

Ach menno. Wer schaut denn schon in die Kommentare bei sowas. Ich hab das direkt aus dem CVE abgepinselt. ;)

Naja das is aber nur zutreffend für deinen Provider. Ansonsten kann das wohl jeder Empfänger für sich selbst entscheiden. ;) selbstverständlich. Das ist schon mal ein guter Plan. Klar, hier liegen jede Menge DKIM und DMARC Einträge rum. Willst einen haben? ;) Hilft, wenn man sich als Dienstleister damit befaßt und sich das nicht vorkauen läßt. Im Fehlerfall stehst du dann nämlich wieder rum und fragst hier im Forum, ob und warum die Mail nicht ankommt. :/

Nein, das ist _kein_ Schreibfehler. ;) Die .exe heißt wirklich so. "C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE"

Die Aussage liest sich irgendwie komisch. Dann geh mal zu einem externen Dienstleister der dir den DMARC Record erzeugt. Was is eigentlich mit DKIM?

Na dann paßt es ja.

https://www.tech-faq.net/windows-server-2012-alias-erstellen/ Ich kann mir gar nicht vorstellen, dass du noch nie davon gehört hast. Zusätzlich noch den SPN hinterlegen, sonst gibts nur ekliges NTLM anstatt Kerberos. ;)

Dann konfiguriere ein neues Outlookprofil und binde NUR das andere Konto ein. Was passiert dann?

Sehr gut. Danke für die Rückmeldung.

Wie man mit den Fakten zu diesen Aussagen kommen kann, nachdem man oben die entsprechenden Hinweise bekommen hat ist mir unklar. Da steht also der Exchange sendet an den Smarthost "HARDWARE-FIREWALL"! Wer wird also die Mail an mx5.vodafonemail.de senden? Der Exchange oder die Hardware Firewall? ;) Also solltest du nochmal genau nachschauen: Da du ja hier kein Produkt nennst, wirst du wohl selbst rausfinden müssen, was deine Firewall da tut.

Firewall-BD.DOMAINNAME.local>: Helo command rejected: Host not found>' Da steht wohl deine lokale Domain im EHLO String des Sendeconnectors des Exchange _ODER_ im Smarthost drin. Korrigier das mal, so dass der DNS Name der öffentlichen IP (oder dein MX Name) drin steht, dann wird das vermutlich einfach funktionieren. Wenn deine Firewall die Mails versendet (Relay), dann ist die auch schuld, dass das Problem existiert. ;) Ansonsten ist es der Exchange.

"Aber ich will". :)

Ja, aber wie wärs denn einfach mit ausprobieren, anstatt bei sowas hier erst auf eine Antwort zu warten?

GEnau. Neues Konto Exchange "Mailadresse des anderen Kontos" Kein Passwort nötig oder falls doch, dann logischerweise dein Anmeldename und dein Passwort. :)

Ja, aber auch da muss man ggf. drauf achten.

SChon lange nicht mehr gebraucht, aber ich meine es ging so: https://www.dell.com/support/manuals/de-de/command-update/dellcommandupdate_ug/suspend-bitlocker?guid=guid-dfefeae0-580b-43a7-9451-0e8abc220572&lang=en-us