E-Mail-Domain-Verifizierung: Inhaberschaft sicher belegen
Single Sign-on und automatisierte Benutzerbereitstellung sind wunderbare Annehmlichkeiten - und gefährliche, wenn die Plattform der falschen Partei vertraut. Bevor empowsec jemanden, der sich mit einer Adresse auf Ihrer Domain anmeldet, an Ihren Identity Provider weiterleitet, muss eine Frage zweifelsfrei beantwortet sein: Kontrolliert Ihre Organisation diese Domain tatsächlich? Die E-Mail-Domain-Verifizierung ist die Ebene, die diese Frage beantwortet. Sie ist bewusst unspektakulär, dauert einmalig wenige Minuten und schützt still jeden SSO-Login und jedes automatisierte Onboarding, das darauf folgt.
Wie die SSO-Unterstützung von empowsec mit SAML und OIDC funktioniert, haben wir in einem eigenen Deep Dive behandelt. In diesem Artikel geht es um die Inhaberschafts-Ebene darunter: wie Unternehmensadministratoren Domains registrieren, wie die Verifizierungsprüfung technisch abläuft und warum der Nachweis der Domain-Inhaberschaft Account-Squatting und Übernahmeversuche aus Ihrer Security-Awareness-Plattform heraushält.
Warum Domain-Inhaberschaft nachgewiesen werden muss
Stellen Sie sich eine Plattform vor, auf der jeder eine Domain eintippen und beanspruchen könnte. Ein böswilliger Akteur - oder schlicht eine unachtsame dritte Partei - könnte die Domain Ihres Unternehmens zuerst registrieren, den eigenen Identity Provider daran koppeln und sich so in den Anmeldepfad Ihrer Mitarbeitenden setzen. Selbst ohne böse Absicht schafft ein unverifizierter Domain-Anspruch Mehrdeutigkeit: Beanspruchen zwei Mandanten dieselbe Domain, kann die Plattform nicht mehr entscheiden, wohin ein Benutzer mit dieser Adresse gehört.
empowsec schließt beide Türen. Eine Domain kann plattformweit nur ein einziges Mal registriert werden, sodass es niemals konkurrierende Ansprüche gibt, und nichts Vertrauenskritisches wird aktiviert, bevor die Domain verifiziert ist. Die Aktion zum Konfigurieren von SSO bleibt gesperrt, solange die Domain den Status Ausstehend hat - Sie weisen zuerst die Inhaberschaft nach und verbinden dann Ihren Identity Provider. Genau diese Reihenfolge ist der Kern: Komfortfunktionen bauen auf einem verifizierten Fundament auf, niemals umgekehrt.
Für Compliance-Teams dient derselbe Mechanismus zugleich als dokumentierter Kontrollnachweis. Die Verifizierung wird mit der verwendeten Methode und einem Zeitstempel festgehalten, sodass Sie einem Auditor exakt zeigen können, wann und wie Ihre Organisation die Kontrolle über die Identitätsgrenze nachgewiesen hat, auf die sich Ihre Trainingsplattform stützt.
Zwei Wege der Verifizierung: DNS-TXT-Eintrag oder gehostete Datei
Wenn ein Unternehmensadministrator in den Einstellungen eine Domain hinzufügt, erzeugt empowsec dafür ein einzigartiges Verifizierungs-Token. Die Inhaberschaft nachzuweisen bedeutet dann, dieses Token an einem Ort zu veröffentlichen, an dem nur der Domain-Inhaber schreiben kann. empowsec akzeptiert zwei Nachweise und prüft sie der Reihe nach, sobald Sie die Verifizierung anstoßen.
Der erste und häufigste Weg ist ein DNS-TXT-Eintrag. Der Verifizierungsdialog zeigt Ihnen den exakt anzulegenden Eintrag: einen dedizierten Challenge-Hostnamen unterhalb Ihrer Domain und einen Wert, der Ihr einzigartiges Token enthält. Wer DNS-Einträge für eine Domain veröffentlichen kann, kontrolliert sie in dem Sinne, der zählt - deshalb ist der TXT-Eintrag der Industriestandard, den große Cloud- und SaaS-Plattformen gleichermaßen nutzen. Sobald der Eintrag live ist, fragt empowsec ihn ab und vergleicht den Wert mit dem erwarteten Token.
Der zweite Weg ist eine gehostete Verifizierungsdatei - für Teams, bei denen DNS-Änderungen durch eine träge Change-Management-Warteschlange kriechen, die Website aber unter eigener Kontrolle steht. Sie legen eine kleine Textdatei mit dem Verifizierungs-Token im Well-known-Verzeichnis Ihrer Website ab; empowsec ruft sie per HTTPS ab und vergleicht den Inhalt. Der Abruf ist bewusst defensiv gestaltet: Er läuft mit kurzem Timeout und verweigert Domains, die auf private oder interne Netzwerkadressen auflösen - ein Schutz gegen Server-Side Request Forgery, der verhindert, dass die Verifizierungsfunktion als Sonde in irgendein internes Netzwerk missbraucht wird.
Domains auf der Einstellungsseite verwalten
Die Domain-Seite in den Unternehmenseinstellungen bündelt den gesamten Lebenszyklus in einer Ansicht. Jede Domain erscheint als Zeile mit ihrem Verifizierungsstatus - ein grünes Verifiziert-Badge oder ein gelbes Ausstehend-Badge, das beim Klick die Verifizierungsanleitung öffnet. Eine SSO-Spalte zeigt, welcher Identity Provider für jede verifizierte Domain konfiguriert ist, mit einer Konfigurieren-Schaltfläche, die deaktiviert bleibt, bis die Verifizierung gelingt. Das Hinzufügen einer Domain ist ein einziges Formular; die Eingabe wird als gültiger Domainname validiert und plattformweit auf Eindeutigkeit geprüft, bevor sie akzeptiert wird.
Das Entfernen ist bewusst kein Nebenbei-Klick. Das Löschen einer Domain mit hinterlegter SSO-Konfiguration würde alle Benutzer aussperren, die sich darüber anmelden - deshalb warnt empowsec ausdrücklich, bevor die Löschung durchgeht. Und war die entfernte Domain die letzte, die eine bestimmte SSO-Konfiguration nutzte, wird auch diese Konfiguration aufgeräumt. Es bleiben keine verwaisten Identity-Provider-Einstellungen in Ihrem Mandanten zurück, die künftige Administratoren verwirren könnten.
Das Fundament für SSO und Onboarding im großen Maßstab
Sobald eine Domain verifiziert ist, wird sie zum Anker für alles Identitätsbezogene auf dieser Domain. Die SSO-Konfiguration in empowsec ist an verifizierte Domains gebunden: Meldet sich ein Mitarbeiter mit einer passenden Adresse an, weiß die Plattform exakt, an welchen Identity Provider sie ihn übergeben muss - denn die Zuordnung von Domain zu Provider wurde vom Inhaber der Domain festgelegt und von niemandem sonst. Verschiedene Domains innerhalb desselben Unternehmens können sogar unterschiedliche Provider tragen - nützlich nach einer Fusion, wenn eine Tochtergesellschaft in einem Identitäts-Ökosystem lebt und der Rest der Gruppe in einem anderen.
Verifizierte Domains machen zudem das Onboarding im großen Maßstab schlank. Statt Hunderte Mitarbeitende einzeln einzuladen und einen weiteren Satz Zugangsdaten zu pflegen, werden Benutzer auf einer verifizierten, SSO-fähigen Domain bereitgestellt, wenn sie über den Identity Provider eintreffen, den Ihre Organisation ohnehin steuert. Neuzugänge erhalten am ersten Tag Zugriff, und Abgänge verlieren ihn in dem Moment, in dem Ihr Verzeichnis es vorgibt. So bleiben die Zielgruppen Ihrer Phishing-Simulationen und Trainings korrekt - ganz ohne manuelle Listenpflege. Für eine Security-Awareness-Plattform ist diese Genauigkeit nicht kosmetisch: Risikobewertung und Abschluss-Reporting sind nur so vertrauenswürdig wie die Benutzerliste darunter.
Das Wichtigste in Kürze
- Domain-Verifizierung ist die Vertrauensebene unter SSO: Nichts Identitätskritisches wird auf einer Domain aktiviert, bevor die Inhaberschaft nachgewiesen ist.
- Zwei Nachweiswege: ein DNS-TXT-Eintrag mit einzigartigem Token oder eine gehostete Verifizierungsdatei - empowsec prüft zuerst DNS, dann die Datei.
- Squatting ist per Design ausgeschlossen: Jede Domain kann plattformweit nur einmal registriert werden, und unverifizierte Ansprüche schalten nichts frei.
- Die Einstellungsseite zeigt den gesamten Lebenszyklus: hinzufügen, verifizieren, SSO konfigurieren und löschen - mit ausdrücklicher Warnung vor dem Entfernen einer SSO-Domain.
- Verifizierung ist ein Nachweis: Methode und Zeitstempel werden gespeichert und unterstützen Compliance-Prüfungen und Audits.
- Verifizierte Domains skalieren das Onboarding: Benutzer kommen über Ihren Identity Provider - Trainings- und Phishing-Simulations-Zielgruppen bleiben korrekt.
