Yahoo hat es entwickelt, und nun setzt auch eBay das Identifikationsprotokoll DomainKeys ein. Zusammen sagen die beiden Unternehmen damit Phishern den Kampf an.

Zusammen mit eBay plant Yahoo, mit Hilfe des Systems DomainKeys falsche E-Mail-Accounts zu blocken. Eine Fake-E-Mail-Adresse ist eines der wichtigsten Hilfsmittel für Phishing-Banden, um per Mail an die begehrten User-Daten zu kommen. Vermutet jedoch der Mailserver beziehungsweise der Mail-Dienst, dass hinter einer Adresse nicht die Person steht, die sie vorgibt zu sein, wird Yahoo solche Nachrichten künftig blocken. Die Folge: Immer weniger Lock-Angebote sollten bei Endanwendern in den Inboxen auftauchen.

Innerhalb der nächsten Wochen soll das Yahoo-Mailsystem auf dem neuesten Stand sein. »Ein großer Schritt für den Schutz der User gegen die bösen Jungs« äußert sich Yahoo-Mail-Vizepräsident John Kremer dazu auf Yahoo-News.

Bislang scheiterten herkömmliche Anti-Phishing-Versuche auf Basis der Spam-Erkennung, weil entweder korrekte Mails im Spam-Ordner landeten oder Phishing-Mails beispielsweise über derart ausgeklügelte Betreffzeilen und Absendeadressen verfügten, dass sie vom System nicht als böse klassifiziert wurden. Dass auch eBay künftig auf DomainKeys setzt ist kein Wunder: Zählen doch die Kunden des Online-Auktionshaus und des Bezahldienstes PayPal seit jeher zu den beliebtesten Zielen von Datenphishern.

DomainKeys wird bereits seit dem Jahre 2004 entwickelt und soll nun reif für den Einsatz sein. Es basiert auf asymmetrischer Verschlüsselung. Die Mails werden mit einer Signatur versehen, die vom Empfangs-Server anhand eines öffentlichen Schlüssels zu verifizieren ist. Kann er dies nicht, weil der Schlüssel fehlt, wird die Weiterleitung der Nachricht an den Endanwender abgebrochen. Um DomainKeys einzusetzen, sind jedoch Modifikationen am jeweiligen Mailserver nötig. Ein Grund, weshalb das System bislang nur von Yahoo, nun auch eBay und Gmail eingesetzt wird.

eBays PayPal-Security-Chef Michael Barret bringt den Nutzen von DomainKeys folgendermaßen auf den Punkt: »Wenn der User keine E-Mails in seinem Posteingang hat, wird es für den Phisher sehr schwierig, ihn zu prellen«.

Quelle: tom's hardware DE