Die eigene E-Mail-Domain schützen: SPF, DKIM und DMARC

Beginnen Sie mit einer vollständigen Absenderliste

Wer darf E-Mails mit Ihrer Unternehmensdomain versenden? Beantworten Sie diese Frage gemeinsam mit Buchhaltung, Vertrieb und IT. Neben dem normalen Postfach gehören dazu möglicherweise Rechnungssoftware, Newsletterdienst, Kontaktformular, Ticketsystem und Scanner. Fragen Sie nach tatsächlich genutzten Diensten, nicht nur nach den offiziell bestellten Lizenzen.

Führen Sie pro Versandweg den Zweck, die sichtbare Absenderadresse, den Anbieter und einen fachlichen Ansprechpartner auf. Halten Sie auch fest, wer DNS-Einträge ändern darf und wo Änderungen dokumentiert werden. Diese Liste wird zum Arbeitsauftrag und später zur Grundlage für neue oder abgeschaltete Dienste.

Beziehen Sie weitere Firmendomains ein. Auch eine registrierte Domain, von der keine E-Mails ausgehen sollen, benötigt eine passende Konfiguration gegen Absendermissbrauch. Das NCSC empfiehlt, alle Unternehmensdomains zu berücksichtigen. [5]

Was SPF, DKIM und DMARC jeweils prüfen

SPF prüft, ob der sendende Server für die technische Versanddomain im SMTP-Umschlag autorisiert ist. Diese Domain kann von der für Empfänger sichtbaren Absenderdomain abweichen. Die erlaubten Server werden über DNS festgelegt.

DKIM verbindet eine Signaturdomain mit einer Nachricht. Der Empfänger prüft die kryptografische Signatur über einen öffentlichen DNS-Schlüssel. Sie erfasst ausgewählte Nachrichtenteile; sie verschlüsselt die E-Mail nicht und bestätigt nicht die Identität einer bestimmten Person.

DMARC besteht, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur Domain im sichtbaren From-Absender passt. Dieses Alignment verlangt im strengen Modus identische Domains, im gelockerten Modus dieselbe organisatorische Domain. Ein beliebiges SPF- oder DKIM-Erfolgsergebnis genügt nicht. [1] [2] [3]

Die Richtlinie bewusst wählen

p=none fordert keine besondere Behandlung bei DMARC-Fehlern. p=quarantine verlangt eine Behandlung als verdächtig, p=reject die Ablehnung. Die tatsächliche Behandlung bestimmt der empfangende Maildienst. Keine dieser Einstellungen garantiert die Zustellung legitimer Nachrichten.

Vereinbaren Sie mit der IT zunächst einen Beobachtungszeitraum und eine Auswertung der angeforderten Berichte. Wählen Sie ihn so, dass auch Monatsrechnungen und seltene Aussendungen vorkommen. Eine ruhige Woche allein wäre für diese Abläufe wenig aussagekräftig. Lassen Sie unbekannte Versandwege erklären, bevor daraus eine Freigabe oder eine Abschaltung folgt. [4]

Diese Nachweise sollte die IT liefern

Unsere vorgeschlagene Abnahmeliste verbindet die Konfiguration mit Ihrem Geschäftsalltag. Fordern Sie einen kurzen Ergebnisnachweis je Versandweg an. Ein Screenshot mit drei grünen Symbolen beantwortet noch nicht, ob gerade die Rechnungslösung oder das Kontaktformular richtig sendet.

• Ein gepflegtes Verzeichnis aller Versanddienste, Domains und fachlichen Ansprechpartner.
• Eine echte Testnachricht pro Versandweg mit dokumentiertem SPF-, DKIM- und DMARC-Ergebnis beim Empfänger.
• Die tatsächlich geprüften Domains und den Nachweis ihres Alignments, nicht nur das Wort „bestanden“.
• Eigene Tests für benötigte Weiterleitungen und Mailinglisten, einschließlich dokumentierter Probleme.
• Eine begründete Zielrichtlinie, einen Änderungstermin und einen konkreten Rückfallplan bei Zustellproblemen.
• Einen Zuständigen für Berichte, offene Fragen und die erneute Prüfung nach Anbieterwechseln.

Welche Angriffe trotzdem möglich bleiben

Eine ähnlich geschriebene fremde Domain kann ihre eigenen SPF-, DKIM- und DMARC-Prüfungen bestehen. Auch ein vertrauter Anzeigename beweist keine Identität. E-Mail-Authentifizierung macht den Inhalt einer Nachricht nicht vertrauenswürdig.

Ebenso verhindert DMARC keine Übernahme eines echten Postfachs. Ein Angreifer kann dann über einen legitimen Versandweg senden. Prüfen Sie deshalb ungewöhnliche Zahlungs- oder Kontowechselanweisungen über einen bereits bekannten, unabhängigen Kontaktweg. [6] [7]

Die Pflege gehört zum Auftrag

Benennen Sie einen Verantwortlichen, bevor das Projekt endet. Neue Marketingsoftware, ein neuer Webdienstleister oder eine abgelöste Buchhaltungslösung sollten eine Prüfung der Versandliste auslösen. Lassen Sie im Änderungsprotokoll festhalten, welcher Dienst hinzugekommen oder entfallen ist, was getestet wurde und welche Frage noch offenbleibt. So bleibt die Einrichtung nachvollziehbar, auch wenn Ansprechpartner wechseln.

Weiterlesen

• Externe Angriffsfläche: Domains und Dienste erfassen
• Eine Sicherheitsanalyse für kleine Betriebe vorbereiten
• DMARC 2026: Was Unternehmen am neuen Standard prüfen sollten
• Phishing: Domain, Postfach und Zahlung brauchen eigenen Schutz