Tablets & Convertibles
E-Mail-Sicherheit mit SPF, DKIM und DMARC – vollständiger Leitfaden für Unternehmen
Gefälschte Absenderadressen, Phishing-Wellen, beschädigte Domain-Reputation: E-Mail-Missbrauch verursacht in deutschen Unternehmen jährlich Milliardenschäden.
Wer seine Domain nicht absichert, gibt Kriminellen ein mächtiges Werkzeug in die Hand, um CEO-Fraud, Rechnungsbetrug und Identitätsdiebstahl im Namen Ihres Unternehmens zu betreiben.
SPF, DKIM und DMARC sind die drei DNS-basierten Schutzmechanismen, die das verhindern.
⏱ Das Wichtigste in 30 Sekunden
- SPF legt im DNS fest, welche Mailserver E-Mails in Ihrem Namen versenden dürfen. Alle anderen werden blockiert.
- DKIM versieht jede ausgehende E-Mail mit einer kryptografischen Signatur, die Empfänger serverseitig prüfen können.
- DMARC verbindet SPF und DKIM, definiert die Reaktion bei Fehlern und liefert tägliche Berichte über Ihren Domain-Verkehr.
- Ohne diese drei Mechanismen kann jede Person E-Mails scheinbar von Ihrer Domain versenden. Überzeugend gefälscht, schwer nachzuverfolgen.
- Seit 2024 verlangen Google und Yahoo für Massensender korrekte Authentifizierung. Fehlt sie, landen legitime E-Mails im Spam-Ordner.
- Für Kanzleien, Praxen und KMU ist die korrekte Einrichtung heute Stand der Technik und Teil der DSGVO-Sorgfaltspflicht.
Warum ungesicherte Domains zum Unternehmensrisiko werden
E-Mail ist das meistgenutzte Kommunikationsmittel im Geschäftsalltag und gleichzeitig das beliebteste Angriffsziel.
Laut Bundesamt für Sicherheit in der Informationstechnik ist Phishing eine der häufigsten Ursachen für erfolgreiche Cyberangriffe auf Unternehmen in Deutschland.
Das Tückische daran: Angreifer brauchen keinen Zugang zu Ihren Systemen. Es reicht, dass Ihre Domain nicht abgesichert ist.
Mit Domain-Spoofing versenden Kriminelle E-Mails, die scheinbar von Ihrer Adresse stammen, an Ihre Mandanten, Patienten, Lieferanten oder Mitarbeitenden.
Die Empfänger sehen eine echte Absenderadresse, erkennen die Fälschung nicht und folgen den Anweisungen: Überweisungen an falsche Konten, weitergegebene Zugangsdaten, geänderte Vertragsbedingungen.
Ohne technischen Schutz gibt es keine Möglichkeit, das zu verhindern.
⚠ Gefälschte E-Mail
- 📧 Von: chef@ihre-domain.de (gefälscht)
- 🌐 Versandserver: fremde IP im Ausland
- ✗ Keine Signatur, keine Prüfung
- ✗ Kein DMARC, keine Konsequenz
- ⚡ Ergebnis: Betrug im Namen Ihrer Firma
✔ Authentifizierte E-Mail
- 📧 Von: chef@ihre-domain.de (verifiziert)
- ✓ Versandserver: im SPF-Eintrag autorisiert
- ✓ DKIM-Signatur gültig und geprüft
- ✓ DMARC: Fakes werden abgelehnt
- ✅ Ergebnis: Vertrauen und Zustellsicherheit
Was SPF, DKIM und DMARC gemeinsam leisten
Alle drei Mechanismen sind DNS-basiert und ergänzen sich. Erst im Zusammenspiel schließen sie die wichtigsten Sicherheitslücken:
| Verfahren | Zweck | Prüft | DNS-Eintrag | Ohne diesen Schutz … |
|---|---|---|---|---|
| SPF | Erlaubte Versandserver definieren | IP-Adresse des Mailservers | TXT-Record | Jede IP kann E-Mails Ihrer Domain versenden |
| DKIM | E-Mail digital signieren | Signatur und Nachrichtenintegrität | TXT-Record (Selektor) | Inhalte können unterwegs manipuliert werden |
| DMARC | Richtlinie und Reporting | SPF/DKIM-Alignment zur Domain | TXT-Record _dmarc.* | Kein Schutz vor Spoofing, keine Transparenz |
SPF, DKIM und DMARC im Detail
Sender Policy Framework
SPF definiert per DNS-Eintrag, welche Mailserver berechtigt sind, E-Mails für Ihre Domain zu versenden. Empfänger-Mailserver prüfen automatisch, ob die sendende IP im SPF-Record steht. Unbekannte Server scheitern und werden je nach DMARC-Policy abgelehnt.
Dieses Beispiel erlaubt Google Workspace als Versandserver und markiert alle anderen als soft-fail.
DomainKeys Identified Mail
DKIM versieht jede ausgehende E-Mail mit einer digitalen Signatur, erzeugt mit einem privaten Schlüssel. Empfänger prüfen die Signatur gegen den öffentlichen Schlüssel im DNS. Manipulationen am Inhalt werden auch nach Weiterleitung erkannt.
Der Selektor (z. B. „google._domainkey“) verknüpft den Schlüssel mit dem jeweiligen Versanddienst.
Domain-based Message Authentication
DMARC baut auf SPF und DKIM auf und legt fest, was bei fehlgeschlagenen Prüfungen passiert: beobachten, Quarantäne oder Ablehnen. Zusätzlich liefert DMARC täglich aggregierte Berichte und zeigt damit erstmals, wer E-Mails von Ihrer Domain versendet.
rua definiert die Adresse für aggregierte Berichte. Ohne diese Angabe erhalten Sie keine Auswertungen.
Die drei DMARC-Richtlinien: Welche passt zu Ihrem Unternehmen?
DMARC bietet drei Eskalationsstufen. Wer zu früh auf reject wechselt, riskiert, legitime E-Mails zu blockieren. Das Vorgehen sollte deshalb immer schrittweise sein.
Beobachten
Keine Aktion an E-Mails, aber vollständige Berichte. Der richtige Einstieg: Welche Systeme versenden von Ihrer Domain? Wo fehlen SPF- und DKIM-Einträge? Ohne diese Phase sollte keine weitere Konfiguration erfolgen.
Quarantäne
Verdächtige E-Mails landen im Spam-Ordner des Empfängers. So bleibt Zeit, verbleibende Versandsysteme korrekt zu konfigurieren, ohne dass gefälschte Nachrichten ungefiltert zugestellt werden.
Ablehnen
Nicht authentifizierte E-Mails werden vollständig abgelehnt und nicht zugestellt. Das ist das Ziel: maximaler Schutz Ihrer Domain und Ihrer Empfänger.
Schritt für Schritt: E-Mail-Sicherheit korrekt einrichten
Diese Checkliste führt Sie strukturiert durch den Prozess, von der Bestandsaufnahme bis zum vollständigen Schutz mit p=reject:
-
1
Alle Mailversandsysteme dokumentieren
Welche Dienste versenden E-Mails von Ihrer Domain? Neben dem Hauptpostfach häufig vergessen: CRM, Newsletter-Tool, Buchhaltungssoftware, Online-Shop, Bewerbungsportal. Solange nicht alle erfasst sind, lässt sich SPF nicht vollständig konfigurieren.
-
2
SPF-Eintrag erstellen oder korrigieren
Über Tools wie MXToolbox SPF Lookup prüfen, ob bereits ein Eintrag existiert. Fehlende Systeme ergänzen, Syntaxfehler beheben. Wichtig: Pro Domain darf nur ein SPF-Record existieren. Mehrere Einträge müssen zu einem einzigen zusammengefasst werden.
-
3
DKIM für alle Versanddienste aktivieren
DKIM ist in den meisten Diensten verfügbar, aber oft nicht standardmäßig aktiv. Schlüsselpaar erzeugen, öffentlichen Schlüssel im DNS eintragen, Aktivierung im Dienst bestätigen.
-
4
DMARC mit p=none einführen
Starten Sie im Beobachtungsmodus. Sie erhalten tägliche Berichte und sehen, welche Systeme SPF und DKIM bestehen und welche nicht, ohne Auswirkung auf die Zustellung.
-
5
Berichte auswerten, zwei bis vier Wochen lang
DMARC-Berichte kommen als XML. Spezialisierte Tools wie DMARC Analyzer oder Postmark werten sie lesbar auf. Fehlerquellen identifizieren, nachkonfigurieren, Status bestätigen.
-
6
Schrittweise auf quarantine, dann reject erhöhen
Nach erfolgreicher Beobachtungsphase folgt p=quarantine, danach p=reject. Das Monitoring sollte dauerhaft laufen, denn neue Versanddienste müssen jeweils nachgepflegt werden.
Besonders wichtig für Kanzleien, Praxen und KMU
DSGVO-Sorgfaltspflicht
Die Sicherheit der E-Mail-Kommunikation mit Mandanten und Patienten ist Teil des Stands der Technik und damit Pflicht nach DSGVO Art. 32.
CEO-Fraud-Prävention
Mit p=reject können Angreifer keine E-Mails mehr in Ihrem Namen versenden. Der häufigste Betrugsweg bei KMU wird damit unterbunden.
Zustellsicherheit erhöhen
Korrekte Authentifizierung verbessert Ihre Zustellraten, was besonders für Angebote, Rechnungen und die Mandantenkommunikation relevant ist.
Volle Transparenz über Ihren E-Mail-Versand
DMARC-Berichte zeigen vollständig, wer E-Mails von Ihrer Domain versendet. Ein Sicherheits-Audit, der automatisch entsteht.
E-Mail-Sicherheit ist kein IT-Luxus, sie ist geschäftliche Grundlage. Wer seine Domain nicht absichert, überlässt Kriminellen ein mächtiges Werkzeug gegen die eigenen Kunden und Partner. SPF, DKIM und DMARC korrekt einzurichten kostet einmal Zeit und schützt dauerhaft.
Thomas Groß, IT Made in Germany, Berlin
E-Mail-Sicherheit für Ihre Domain, professionell eingerichtet
IT Made in Germany richtet SPF, DKIM und DMARC für Sie ein, überwacht Ihre Berichte und sorgt für saubere Zustellraten. Für Kanzleien, Praxen und KMU in Berlin und bundesweit.
Häufige Fragen zu SPF, DKIM und DMARC
Was passiert, wenn ich keinen DMARC-Eintrag habe?
Ohne DMARC-Eintrag können Kriminelle E-Mails in Ihrem Namen versenden, ohne dass Empfänger die Fälschung erkennen. Außerdem erhalten Sie keinerlei Berichte über den Missbrauch Ihrer Domain.
Reicht SPF alleine für den Schutz aus?
Nein. SPF schützt nur den Versandserver, nicht den Inhalt. Ohne DKIM können E-Mails manipuliert werden. Ohne DMARC fehlt die Reaktionsregel: Fälschungen werden zwar erkannt, geblockt werden sie aber nicht.
Kann DMARC meine eigenen E-Mails blockieren?
Ja, wenn SPF oder DKIM für einzelne Dienste nicht konfiguriert sind. Deshalb gilt: immer mit p=none starten, Berichte auswerten und erst dann schrittweise auf quarantine und reject erhöhen.
Wie lange dauert die Einrichtung?
Die technische Einrichtung ist in wenigen Stunden erledigt. Die empfohlene Beobachtungsphase mit p=none dauert zwei bis vier Wochen, um alle Versandsysteme zu erfassen und Berichte auszuwerten.
Brauche ich DMARC auch als kleines Unternehmen?
Gerade kleine Unternehmen sind attraktive Ziele, weil sie oft keinen Schutz haben. CEO-Fraud und Rechnungsbetrug treffen KMU besonders hart, da Ressourcen zur Schadensbegrenzung fehlen.
Was sind DMARC-Berichte und was mache ich damit?
DMARC liefert täglich aggregierte XML-Berichte aller E-Mails, die von Ihrer Domain versendet wurden. Tools wie DMARC Analyzer oder Postmark werten diese lesbar auf und zeigen, wo Handlungsbedarf besteht.
Gilt DMARC auch für Subdomains?
Mit dem Parameter sp lässt sich eine gesonderte Richtlinie für Subdomains definieren. Ohne expliziten sp-Parameter gilt die Hauptregel der übergeordneten Domain automatisch auch für alle Subdomains.
Ist DMARC für Kanzleien DSGVO-relevant?
Indirekt ja. Die DSGVO verlangt technische Schutzmaßnahmen für personenbezogene Daten (Art. 32). DMARC ist Teil des Stands der Technik für sichere E-Mail-Kommunikation mit Mandanten und Patienten.