smtp.vrfy.enabled

VRFY-Befehl aktiviert

Was wir prüfen

Wir senden dem Mailserver einen VRFY-Befehl und testen, ob er die Existenz einzelner Postfächer bestätigt. VRFY war einmal ein Debugging-Werkzeug — heute lässt sich damit vor allem prüfen, ob eine bestimmte Adresse auf dem Server existiert.

Was dieses Ergebnis bedeutet

Der Server beantwortet VRFY-Befehle und bestätigt oder verneint damit die Existenz einzelner Postfächer. Ein Angreifer kann so systematisch gültige Adressen sammeln, bevor er gezieltes Phishing oder Brute-Force startet.

Warum das wichtig ist

• Adress-Enumeration. Mit VRFY lässt sich systematisch herausfinden, welche Adressen gültig sind — eine fertige Zielliste für Spear-Phishing und Credential-Stuffing.
• Aufklärungswerkzeug. Kombiniert mit Firmenverzeichnissen oder LinkedIn beschleunigt VRFY die Kartierung der Mail-Infrastruktur einer Organisation erheblich.
• Kaum praktischer Nutzen. Legitim wird VRFY heute so gut wie nie gebraucht; eingeschaltet bringt es keinem modernen Mailsystem einen Vorteil.

So behebst du das

1. Deaktiviere VRFY. Für Postfix:

   # /etc/postfix/main.cf
   disable_vrfy_command = yes
   

2. Lade Postfix neu:

   postfix reload
   

3. Andere MTAs: Exim: acl_smtp_vrfy = deny; Sendmail: goaway in den PrivacyOptions.

So fließt es in die Bewertung ein

VRFY aktiviert ist informativ und kostet keine Punkte — es wird als Härtungsempfehlung gemeldet. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.

Evidenzbeispiel

C: VRFY admin
S: 252 2.0.0 admin@example.com

Referenzen

• RFC 5321 — Simple Mail Transfer Protocol