Im Kampf gegen Phishing-Mails setzt eBay auf die von Yahoo entwickelte Anti-Spam-Technologie DomainKeys: Alle E-Mails von eBay und seiner Tochter PayPal an Yahoo-Accounts werden dabei automatisch auf ihre Authentizität geprüft.

Das Online-Auktionshaus eBay, in jüngster Zeit wegen einiger Betrugsversuche ins Gerede gekommen, versucht sich [und sein Image] nun mit Technologie gegen weitere Betrugsfälle zu schützen.

Im ersten Anlauf werden nun alle E-Mails von eBay-Domains und seiner Bezahltochter PayPal, die an E-Mail-Adressen mit einer Yahoo-Domain geschickt werden, mittels DomainKeys auf ihre Echtheit überprüft.

Zwei Schlüssel
Dabei werden die E-Mails beim Versenden mit zumindest einem Schlüsselpaar signiert. Der öffentliche Schlüssel ist über die DNS-Server verfügbar, die Signatur ist im E-Mail-Header enthalten.

Auf dem Server des Empfängers wird die E-Mail dann anhand des öffentlichen Schlüssels und der Signatur auf Echtheit geprüft. Dazu muss dieser Server allerdings auch DomainKeys unterstützen.

Seit kurzem auch in Österreich
Sind die technischen Voraussetzungen gegeben, können auf diesem Weg nur E-Mails von geprüften Absendern weitergeleitet werden, andernfalls können sie direkt auf dem Server blockiert und von dort ins Datennirwana geschickt werden. In Österreich werden laut eBay Österreich alle E-Mails seit kurzem auf diese Weise abgesichert.

Info

DomainKeys [RFC 4870] floss in den Standard DomainKeys Identified Mail [DKIM, RFC 4871] ein, der auch Ciscos Spezifikationen für Identified Internet Mail enthält, und nach erfolger Standardisierung den RFC 4870 ablösen soll.

Großer Praxistest
Verschlüsselt werden laut Jörg Bartussek, Sicherheitsbeauftragter bei eBay Österreich, alle E-Mails, die über eine eBay- und PayPal-Domain verschickt worden: Promotion-Mails, Hinweise zu Auktionen, E-Mails mit Fragen an den Verkäufer.

EBay hoffe, auf diesem Weg einer großen Zahl der Phishing-Mails Einhalt gebieten zu können, so Bartussek. E-Mails von so genannten Cousin Domains [Domänen, die vortäuschen, dass sie Teil der legitimen Domäne sind] könnten jedoch noch durchrutschen.

"Wir müssen uns ansehen, wie das in der Praxis funktioniert", sagte Bartussek gegenüber Ress.at. Er setze aber große Hoffnungen in die Technologie im Kampf gegen Phishing und Spoofing.

Info

So soll etwa automatisch erkannt werden, wenn von einer Adresse massenhaft E-Mails verschickt und diese Infos auch bei der hauseigenen Toolbar genutzt werden.

Suche nach weiteren Partnern
Laut Bartussek ist das nur einer erster Schritt des Online-Auktionshauses in Richtung mehr Sicherheit für seine Nutzer. EBay sei weltweit in "intensiven" Gesprächen mit anderen E-Mail- und Internet-Service-Providern auch auf nationaler Ebene, das aktuelle System werde auch weltweit implementiert.

Für die Zukunft will sich eBay nicht auf DomainKeys als einzige Technologie festlegen, auch das konkurrierende Sender ID von Microsoft sei möglich, so Bartussek: "Wir sind technologieneutral."

Kein einfacher Weg
Das Problem dabei: Wie schon beim aktuellen Deal mit Yahoo wird es eBay wohl kaum schaffen, alle möglichen Quellen für Phishing-Mails auf diesem Weg auszuschalten.

Denn auch bei Sender ID, das kein anerkannter Standard und derzeit bei Microsofts Hotmail im Einsatz ist, müssen beide Server die Technologie unterstützen. Damit wirklich alle E-Mails erfasst werden, müssten auch alle E-Mail-Provider die jeweilige Technologie entsprechend implementieren.