Spamschutz via SPF (Sender Policy Framework)

Seit einigen Tagen benutzt irgendein schadhafter Code auf verschiedenen Rechnern meine schöne eMail-Adresse als Absender. Mein Hoster ECS-Webhosting Support, eilig angeschrieben, spricht dazu:

"E-Mails haben keinen Absenderschutz, d.h. jedes Mailprogramm, Trojaner oder PHP-Script kann in Ihrem Namen E-Mails verschicken. "

Erschrocken probiere ich das folgende PHP-script auf meinen servern mit verschiedenen Absender-Adressen aus, die bei verschiedenen Anbietern registriert sind:

<?php
mail("ichselbst@woauchimmer","Spam","Spamnachricht","From: melchior@blausand.n3t\nReply-to: melchior@blausand.n3t\nReturn-Path: melchior@blausand.n3t\n");
?>

und werde bleich: Jeder Versuch ein Treffer.

Egal von wo nach wo. Ich frage mich natürlich, welche Schutzmöglichkeiten es gibt. Der Hoster schreibt dazu:

"Es gibt zwar gewisse Spamschutz-Mechanismen (z.B. SPF-Record) - nur bringt das gar nichts, solange der empfangende Mailserver diesen nicht prüft - und das tun 99% aller Mailserver nicht. "

Najanaja - 1und1 benutzt SPF. Ein sehr großer Anbieter im Vergleich zu ECS. Soll ich mich also für den Einsatz von SPF bei meinem Provider einsetzen? Wikipedia kennt die Technik Sender Policy Framework genau:

"Empfängt ein Mailserver eine E-Mail mit einem Absender von example.org, sieht er im SPF-Record von example.org nach, ob der zustellende Mailserver laut SPF-Record dazu berechtigt ist, Mails für diese Domain zu versenden. Mit dieser Technik lässt sich die Fälschung von Absenderadressen effektiv verhindern."

Trotz der langen Liste an Kritikpunkten danach, sehe ich dennoch prinzipiell eine sinnvolle Technologie in SPF.

In den Quelltexten meiner Mails sehe ich aber auch häufig DKIM-Header wie:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=1und1.de; s=global1;
	t=1318015036; i=support@hosting.1und1.de; bh=gU/8gLQRy3cPE/KSbYfBbt
	zcsfyFPRqf9lMv/VUE3f4=; h=Date:From:To:Message-ID:Subject:
	 MIME-Version:Content-Type; b=dHm5WNwHlIXM9i9Cbtc04BLp0IaSU6umeJa0H
	qfjHYRySGrJxOKz/iXptlEN/5X0/C3q+o/x+TJKyti4uZsEkEFVQCRov5Qb/+2tD0vz
	mlVIYVgH28Ykh/Dv/BWBnxjVQnLh8B3kECUXL3BlkwVtZK0gh6pbkNsuHNjIzYyC9Ds
	=

Das klingt doch schon eher wie das Zertifikat eines Mailservers. Und prompt: DKIM steht für DomainKeys Identified Mail, und scheint dem SPF geradezu das Wasser abzugraben:

"Die E-Mail wird mit einer Digitalen Signatur versehen, die der empfangende Server anhand des öffentlichen Schlüssels, der im Domain Name System (DNS) der Domäne verfügbar ist, verifizieren kann. Schlägt dies fehl, hat der empfangende Mail Transfer Agent (MTA) oder das empfangende Anwendungsprogramm die Möglichkeit, die E-Mail zu verweigern oder auszusortieren." (Quelle: Wikipedia/DomainKeys)

Warum aber sind trotz alledem unsere eMail-Adressen gänzlich ungeschützt davor, von Üpelthetern missbraucht zu werden? Solange sich keine Alternative flächig durchsetzt, und die Server völlig, aber völlig arglos sind, kann es tatsächlich jeden erwischen.