Dedizierte Versand- und Tracking-Domains für Simulationen

Sie können die überzeugendste simulierte Phishing-E-Mail der Welt schreiben - wenn der Mailfilter sie in Quarantäne schiebt, bevor jemand sie sieht, misst Ihre Kampagne den Filter und nicht Ihre Mitarbeitenden. Zustellbarkeit ist die unsichtbare Hälfte realistischer Phishing-Simulation, und genau hier scheitern die meisten Eigenbau-Ansätze im Stillen. empowsec löst das mit dedizierten Versanddomains pro Unternehmen, vollautomatischer E-Mail-Authentifizierung und einer klaren Allow-List-Anleitung - alles verwaltet auf einer einzigen Einstellungsseite.

Mit einem Klick zur dedizierten, authentifizierten Versanddomain

Unter Einstellungen und Phishing-Konfiguration richtet ein Unternehmensadmin die gesamte Versandinfrastruktur mit einer Schaltfläche ein. empowsec erzeugt eine eindeutige Subdomain für das Unternehmen - ein Kürzel des Firmennamens plus vier zufällige Zeichen unterhalb der Versandzone der Plattform. So versendet jede Organisation ihre Simulationen von ihrer eigenen, isolierten Domain. Eine Kampagne für Acme Corp teilt sich nie eine Absenderidentität mit einem anderen Kunden, was Reputation, Ergebnisse und Fehlersuche sauber voneinander trennt.

Hinter diesem einen Klick legt die Plattform die Mail-Domain und ein dediziertes security@-Postfach auf der verwalteten Mail-Infrastruktur von empowsec an, ruft den DKIM-Signaturschlüssel der Domain ab und konfiguriert alle erforderlichen DNS-Einträge über den DNS-Dienst der Plattform. Der Kunde muss nichts installieren und für den Versand keine Änderungen in der eigenen DNS-Zone vornehmen - die Domain lebt vollständig in der verwalteten Infrastruktur. Jedes Unternehmen hat genau eine Phishing-Mail-Konfiguration, und die Plattform verhindert das Anlegen einer zweiten.

Auch das Provisioning ist auf sicheres Scheitern ausgelegt. Wenn ein Schritt in der Kette nicht abgeschlossen werden kann - zum Beispiel, weil das DNS-Update nicht anwendbar ist - rollt die Plattform den gesamten Vorgang zurück und entfernt die teilweise angelegte Mail-Domain. Sie erhalten entweder eine vollständig funktionierende Konfiguration oder einen sauberen Ausgangszustand für einen neuen Versuch - niemals eine halb eingerichtete Domain, die unauthentifizierte Mails versendet.

DNS richtig gemacht: SPF, DKIM und eine strikte DMARC-Richtlinie

Moderne Mail-Provider lehnen E-Mails ohne Authentifizierung zunehmend ab oder sortieren sie in den Spam-Ordner - eine Simulationsplattform, die SPF und DKIM auslässt, verlässt sich auf ihr Glück. Wenn empowsec eine Versanddomain bereitstellt, schreibt der DNS-Dienst automatisch den vollständigen Eintragssatz: die Adress- und MX-Einträge für den Mail-Host, einen SPF-Eintrag, der exakt die Versand-IP-Bereiche der Plattform auflistet, den vom Mailserver abgerufenen öffentlichen DKIM-Schlüssel und eine strikte DMARC-Richtlinie auf Reject mit striktem Alignment. Jede Simulations-E-Mail ist damit signiert, ausgerichtet und überprüfbar - genau wie legitime Unternehmensmail.

Das ist mehr als eine Frage der Inbox-Platzierung. Sauber authentifizierte Simulationen verhalten sich wie das Phishing, das Ihre Nutzer in der Realität tatsächlich erreicht: Moderne Angreifer registrieren eigene Domains und konfigurieren ebenfalls Authentifizierung. Tests mit unauthentifizierter Mail würden Menschen gegen ein Bedrohungsmodell trainieren, das Mailfilter längst abfangen. Die Einstellungsseite macht das sichtbar - eine DNS-Gesundheitskarte zeigt SPF-Eintrag, DKIM-Signatur und Return-Path als verifiziert an.

Die Tracking-Domain: Zuhause der Simulationslinks

Der Versand ist nur die halbe Strecke - die Links in einer Simulation brauchen ein Ziel. Die Seite Phishing-Konfiguration zeigt außerdem die Tracking-Domain der Plattform samt ihrer Wildcard-Subdomain an, die gemeinsam die Klick- und Öffnungs-Tracking-Links in simulierten E-Mails hosten. Da Link-Scanning und URL-Rewriting in Unternehmens-Mailfiltern diese URLs blockieren oder vorab abrufen können, gehören sowohl die Tracking-Domain als auch ihre Wildcard zusammen mit Ihrer dedizierten Versanddomain auf die Allow-List Ihres Filters. Die Seite listet alle Einträge mit Ein-Klick-Kopierschaltflächen auf.

Allow-Listing: den eigenen Filter bewusst umgehen

Eine Phishing-Simulationsplattform auf die Allow-List zu setzen, fühlt sich zunächst widersprüchlich an: Schwächt das nicht den Mailfilter? In der Praxis ist es das Gegenteil von Nachlässigkeit - es ist sauberes Scoping. Ihr Secure Email Gateway fängt Massen-Phishing ohnehin ab; das Simulationsprogramm existiert, um die menschliche Ebene hinter dem Filter zu messen und zu trainieren. Wenn Simulationen zufällig vom Gateway verschluckt werden, werden Ihre Klickraten zu Rauschen, Abteilungen erhalten ungleiche Testabdeckung, und Ihre Reporting-Dashboards unterschätzen das Risiko. Das bewusste Freischalten der bekannten, veröffentlichten Bereiche der Plattform hält das Experiment kontrolliert, während Ihr Filter seine normale Arbeit gegen echte Angreifer weiter verrichtet.

empowsec veröffentlicht genau vier IP-Bereiche für die Allow-List, angezeigt auf der Konfigurationsseite mit Kopierfunktion je Eintrag und einer Alle-kopieren-Aktion:

Weil die meisten Kunden Microsoft 365 oder Google Workspace einsetzen, belässt es die Seite nicht bei einer rohen Liste. Eigene Tabs führen Admins Schritt für Schritt durch die Übernahme der Domains und IP-Bereiche im jeweiligen Ökosystem - aus der Allow-List-Arbeit, die sonst ein Support-Ticket kostet, wird eine Copy-and-Paste-Übung von zehn Minuten.

Das Wichtigste in Kürze

• Zustellbarkeit ist messbarer Realismus - kommen Simulationen nicht an, misst Ihr Phishing-Simulationsprogramm den Mailfilter statt des Verhaltens Ihrer Mitarbeitenden.
• Ein Klick stellt alles bereit - eine eindeutige Versanddomain pro Unternehmen, ein security@-Postfach und der DKIM-Schlüssel, angelegt auf verwalteter Infrastruktur ohne kundenseitige DNS-Änderungen für den Versand.
• Authentifizierung ist automatisch und strikt - SPF, DKIM und ein DMARC-Eintrag mit Reject-Richtlinie werden vom DNS-Dienst der Plattform im Moment der Bereitstellung geschrieben.
• Fehler werden sauber zurückgerollt - ein Provisioning-Fehler entfernt die Teileinrichtung, es gibt nie eine halb konfigurierte Domain, und jedes Unternehmen hat genau eine Konfiguration.
• Vier Bereiche bewusst freischalten - 206.168.56.0/22, 207.167.112.0/22, 216.238.56.0/22 und 45.91.95.92/32, dazu die Tracking-Domain und ihre Wildcard, mit geführten Schritten für Microsoft 365 und Google Workspace.