E-Mail-Authentifizierung: SPF, DKIM und DMARC

Warum sich E-Mail-Absender fälschen lassen

Beim klassischen E-Mail-Versand kann im Prinzip jeder als Absenderadresse eintragen, was er will. Ohne technische Gegenmaßnahmen sieht eine gefälschte Mail von „geschaeftsfuehrung@firma.de" täuschend echt aus, obwohl sie von einem Angreifer stammt.

Was du dir merken solltest

• Eine echt aussehende Absenderadresse ist kein Sicherheitsbeweis. Sie lässt sich fälschen.
• Firmen mit sauber eingerichteter E-Mail-Sicherheit machen genau solche Fälschungen deutlich schwerer.

Weiterführend: E-Mail-Spoofing (Wikipedia)

Warum das auch für Ihre eigene Domain zählt

Nutzen Sie eine eigene Domain für Ihre Geschäfts-E-Mails, kann jemand diese Domain für Betrugsmails missbrauchen, etwa gefälschte Rechnungen an Ihre Kunden. Ihre Kunden vertrauen dann einer Mail, die scheinbar von Ihnen kommt.

Ihr Einstieg

• Fragen Sie Ihren Hosting- oder E-Mail-Anbieter, ob SPF, DKIM und DMARC für Ihre Domain bereits eingerichtet sind.
• Viele Anbieter bieten dafür fertige Assistenten an, die Sie durch die Einrichtung führen.
• Ein kostenloser Online-Check zeigt Ihnen in wenigen Sekunden, wie Ihre Domain aktuell dasteht.

Weiterführend: Phishing erkennen und richtig melden

Drei Bausteine, die zusammenwirken

SPF, DKIM und DMARC sind drei DNS-Einträge, die zusammen verhindern, dass Ihre Domain für gefälschte E-Mails missbraucht wird. Jeder Baustein deckt einen anderen Teil des Problems ab, und erst im Zusammenspiel entsteht ein wirksamer Schutz.

SPF: Wer darf für Sie versenden

Der SPF-Eintrag listet, welche Server im Namen Ihrer Domain E-Mails versenden dürfen. Empfangende Mailserver können damit prüfen, ob eine eingehende Mail tatsächlich von einem berechtigten Server stammt.

DKIM: Eine digitale Signatur pro Mail

DKIM signiert jede ausgehende Mail kryptografisch. Empfangende Server prüfen die Signatur und erkennen, ob eine Mail auf dem Weg verändert wurde oder tatsächlich von Ihrem System stammt.

DMARC: Die verbindliche Regel

DMARC legt fest, was mit E-Mails passieren soll, die SPF oder DKIM nicht bestehen: nichts tun, in den Spam-Ordner verschieben oder komplett ablehnen. Zusätzlich erhalten Sie Berichte darüber, wer in Ihrem Namen E-Mails versendet, auch Angreifer.

So führen Sie DMARC sicher ein

1. Mit „p=none" starten: Diese Einstellung sammelt nur Berichte, ohne eine einzige Mail zu blockieren. So sehen Sie zunächst, welche Systeme in Ihrem Namen versenden.
2. Berichte auswerten: Prüfen Sie, ob legitime Dienste wie Newsletter-Tools oder CRM-Systeme mit erfasst sind, bevor Sie strenger werden.
3. Schrittweise verschärfen: Erst auf „p=quarantine" wechseln, dann auf „p=reject", sobald Sie sicher sind, dass keine legitime Mail mehr betroffen ist.
4. Weiterleitungen und Mailinglisten testen: Diese brechen DMARC-Prüfungen besonders häufig, ein Grund für die meisten Fehlkonfigurationen.

Weiterführend: Phishing-Angriffe abwehren (BSI) · DMARC (Wikipedia)