Jedes Unternehmen, das taeglich mit Kunden, Lieferanten oder Behoerden kommuniziert, hat ein Interesse daran, dass eigene Nachrichten ankommen und niemand die Absenderadresse missbraucht. Drei Verfahren regeln das: SPF, DKIM und DMARC. Sie sind nicht neu, doch erst seit E-Mail-Provider wie Google und Microsoft die Anforderungen verschaerft, wird die fehlende Absicherung fuer viele Firmen zum akuten Problem. Der Artikel sortiert die Technik nach Nutzen und Aufwand – und nennt die Stellen, an denen Selbststaendige haengenbleiben.
Warum Absicherung ploetzlich wichtig wird: Die veraenderte E-Mail-Landschaft
E-Mail gilt als ausgereizt, ist aber nach wie vor das wichtigste Kommunikationsmittel im Geschaeftsverkehr. Gleichzeitig ist sie das einfachste Einfallstor fuer Kriminelle: Die Absenderadresse laesst sich faelschen, ohne dass der Empfaenger es merkt. Phishing-Mails im Namen von Lieferanten, Zahlungsaufforderungen in gefaelscchter Chef-Optik, Spam-Kampagnen von gekaperten Accounts – alles basiert auf der mangelnden technischen Absicherung der meisten Domains.
Die grossen E-Mail-Dienste reagieren darauf mit strengeren Filtern. Wer seine Domain nicht absichert, landet zunehmend im Spam-Ordner oder erhaelt Warnhinweise beim Empfaenger. Das betrifft nicht nur Massenmailings, sondern auch die einzelne Angebotsmail an den Neukunden. Die technische Basis dagegen sind drei aufeinander aufbauende Verfahren, die in den Domain-Einstellungen hinterlegt werden.
SPF: Die erste Verteidigungslinie fuer Ihre Absenderdomain
SPF steht fuer eine Eintragung im Domain-Name-System, die festlegt: Diese Server duerfen E-Mails fuer meine Domain verschicken. Praktisch wird eine Liste erlaubter IP-Adressen oder Servernamen hinterlegt – etwa der Mailserver des Hosting-Providers, das Newsletter-Tool, das CRM-System.
Der Empfaenger-Server prueft bei eingehender Mail: Stimmt der sendende Server mit der SPF-Liste ueberein? Bei Nein kann die Mail abgelehnt oder als verdaechtig markiert werden.
SPF ist der Mindeststandard. Ohne ihn oeffnet man die Tuer fuer einfache Faelschungen, und die eigene Erreichbarkeit leidet. Allerdings hat SPF zwei gravierende Schwaechen: Es prueft nur den Umschlag, nicht den Inhalt. Und es versagt bei Weiterleitungen, wenn eine legitime E-Mail ueber einen Zwischenserver laeuft, der nicht in der SPF-Liste steht.
Die Einrichtung ist technisch unkompliziert: Ein TXT-Eintrag im Domain-DNS. Die Schwierigkeit liegt im Vollstaendigkeitserfordernis – jedes verschickende System muss erfasst sein, sonst blockiert man sich selbst.
DKIM: Die digitale Unterschrift, die Inhalt und Absender verknuepft
DKIM geht einen Schritt weiter. Der sendende Server signiert jede ausgehende E-Mail mit einem kryptografischen Schluessel. Der Empfaenger kann anhand eines oeffentlichen Schluessels, der ebenfalls im DNS hinterlegt ist, pruefen: Stammt die Signatur vom berechtigten Absender, und wurde die E-Mail unterwegs veraendert?
Anders als SPF haengt DKIM nicht an der Server-IP. Die Signatur uebersteht Weiterleitungen, und sie schliesst die Luecke, die SPF laesst: den Schutz des Nachrichteninhalts. Allerdings kann DKIM allein nicht verhindern, dass jemand eine unsignierte E-Mail im Namen der Domain verschickt. Es braucht also SPF als Ergaenzung, und es braucht einen Mechanismus, der beide Verfahren zusammenfuehrt.
Die Einrichtung erfordert Schluesselgenerierung und regelmaessigen Austausch, da die privaten Schluessel auf den sendenden Servern liegen. Bei Wechsel des Newsletter-Anbieters oder des Hosting-Providers muss der DKIM-Eintrag angepasst werden.
DMARC: Der Regelwerk, das SPF und DKIM zusammenfuehrt
DMARC ist keine weitere Absicherungstechnik an sich, sondern eine Anweisung an die empfangenden Server, wie sie mit SPF- und DKIM-Ergebnissen umgehen sollen. Der Domain-Inhaber legt fest: Was passiert bei Fehlschlag? Nur protokollieren, in Quarantaene verschieben oder gleich ablehnen? Und wo sollen die Berichte ueber solche Vorkommnisse hingeschickt werden?
Hier liegt die Staerke und die Gefahr zugleich. DMARC ermoeglicht erst die volle Kontrolle ueber die Domain-Nutzung. Es schafft Transparenz darueber, wer ueberhaupt im eigenen Namen verschickt – oft entdeckt man vergessene Systeme oder tatsaechlichen Missbrauch. Gleichzeitig ist DMARC das Verfahren, das am leichtesten gegen den eigenen Betrieb wirkt. Eine zu strenge Policy ohne ausreichende Vorbereitung blockiert legitime E-Mails zuverlaessiger als gefaehrliche.
Die meisten Anleitungen praesentieren SPF, DKIM und DMARC als gleichwertiges Dreigestirn. In Wahrheit ist DMARC erst dann relevant, wenn jemand die Zeit investiert, die XML-Berichte auch auszuwerten und daraus Konsequenzen zu ziehen. Ein Unternehmen ohne dedizierte IT-Ressourcen riskiert bei hastiger DMARC-Einfuehrung, den eigenen E-Mail-Verkehr zu unterbrechen.
Die richtige Reihenfolge: Was zuerst, was kommt danach
Die Prioritaet ist eindeutig:
1. SPF als Erstes. Ohne diese Basis bleibt die Domain weitgehend ungeschuetzt. Die Einrichtung ist schnell, der Nutzen sofort spuerbar.
2. DKIM als Zweites. Sobald SPF laeuft, ergaenzt DKIM die Inhaltssicherheit. Die Kombination beider Verfahren deckt die wichtigsten Angriffsvektoren ab.
3. DMARC erst bei Bereitschaft zur Auswertung. Der Eintrag selbst ist schnell gesetzt. Sinnvoll wird er erst mit einer Policy, die ueber reine Beobachtung hinausgeht – und das erfordert regelmaessige Pruefung der Berichte, Anpassung bei neuen Versandsystemen, Reaktion auf entdeckten Missbrauch.
Wer nur SPF einrichtet und DMARC ignoriert, hat einen Teil des Schutzes: Die einfache Server-Faelschung wird erschwert, die eigene Erreichbarkeit steigt. Allerdings bleibt der Missbrauch der Domain durch gezielte Angriffe moeglich, und es gibt keine Transparenz darueber, ob und wie oft im eigenen Namen gefaked wurde. Fuer viele kleine Unternehmen ist das ein kalkulierbares Risiko – fuer Firmen mit sensiblen Kundendaten oder hoher Angriffsflaeche nicht.
Typische Fehler bei der Einrichtung und im Betrieb
Die haerteste Falle ist die SPF-Inkomplettheit. Jedes System, das im Namen der Domain verschickt, muss erfasst sein: Webhosting-Mail, Microsoft 365, Google Workspace, Newsletter-Tool, CRM-Automatisierung, Webshop-Transaktionsmails, Support-Systeme. Vergisst man eins, landen diese Mails im Spam oder werden abgelehnt.
Bei DKIM scheitert es oft am Schluessel-Management. Schluessel laufen ab, werden bei Provider-Wechseln nicht aktualisiert, oder es existieren mehrere widerspruechliche Eintraege. Die Folge: Empfaenger koennen die Signatur nicht verifizieren, was schlimmer ist als gar kein DKIM – denn es signalisiert einen Konfigurationsfehler.
Bei DMARC ist die aggressive Policy der klassische Fehler. Vom Beobachtungsmodus (`p=none`) direkt auf strikte Ablehnung (`p=reject`) zu springen, ohne die Berichte ausgewertet zu haben, blockiert mit hoher Wahrscheinlichkeit eigenen Versand. Auch das Vergessen von Subdomains ist verbreitet: DMARC auf der Hauptdomain gilt nicht automatisch fuer `mailing.unternehmen.de` oder aehnliche Versandwege.
Wie Sie pruefen, ob Ihre Domain bereits missbraucht wird
Ohne DMARC-Berichte ist der Missbrauch der eigenen Domain praktisch unsichtbar. Es gibt keine zentrale Stelle, die den Versand im Namen fremder Domains protokolliert. Hinweise koennen sein: Kunden melden merkwuerdige Mails, eigene Mails landen ploetzlich haeufiger im Spam, oder es tauchen Ruecklaeufer auf, die man nie verschickt hat.
Nach DMARC-Einfuehrung liefern die aggregierten Berichte (RUA) eine Uebersicht ueber Versandquellen und deren Authentifizierungsergebnisse. Die Auswertung erfordert jedoch Erfahrung mit XML-Daten oder den Einsatz eines Auswertungsdienstes. Fuer kleinere Unternehmen lohnt sich das erst, wenn der regelmaessige Versandumfang die manuelle Pruefung rechtfertigt.
Kosten und Aufwand: Was erwarten Sie von Ihrem IT-Dienstleister
SPF-Einrichtung durch einen erfahrenen Dienstleister: eine halbe bis volle Stunde, wenn alle Versandsysteme bekannt sind. DKIM hinzu: aehnlicher Zeitaufwand, plus Abstimmung mit den einzelnen Systemen. DMARC-Eintrag selbst: Minutensache. Die eigentliche Arbeit liegt in der Vorbereitung, der Auswertung und der laufenden Pflege.
Laufender Aufwand entsteht durch Systemwechsel, neue Versandtools, Provider-Umstellungen. Jede Aenderung muss in SPF und bei Bedarf DKIM nachgezogen werden. DMARC-Berichte muessen mindestens monatlich geprueft werden, bei aktiver Policy woechentlich oder taeglich.
Der IT-Dienstleister oder E-Mail-Provider muss DNS-Zugriff ermoeglichen und bei DKIM die Schluessel auf seinen Servern hinterlegen koennen. Nicht jeder Shared-Hosting-Anbieter bietet das. Bei Cloud-Loesungen wie Microsoft 365 oder Google Workspace ist die technische Infrastruktur vorhanden, die Aktivierung liegt aber beim Kunden.
Wann der Schutz unverzichtbar ist – und wann er warten kann
DMARC ist bei bestimmten Auftraggebern und Branchen laengst keine freiwillige Zusatzabsicherung mehr. Finanzdienstleister, Krankenhaeuser, Behoerden und zunehmend auch grosse Konzerne fordern bei Zulieferern und Partnern eine DMARC-Policy als Bedingung fuer den E-Mail-Verkehr. Das gilt besonders fuer Unternehmen, die Rechnungen, Vertraege oder personenbezogene Daten per E-Mail austauschen.
Fuer kleine Dienstleister mit geringer Angriffsflaeche und wenig sensiblen Daten ist SPF mit anschliessendem DKIM ein vertretbarer Zwischenstand. DMARC sollte auf dem Plan stehen, sobald die E-Mail-Kommunikation geschaeftskritisch wird oder die erste Anfrage eines grossen Kunden danach kommt.
Wer unsicher ist, ob die eigene Domain bereits ausreichend geschuetzt ist oder ob der aktuelle Konfigurationsstand den Anforderungen genügt, findet bei unseren Leistungen eine systematische Pruefung – oder kann direkt eine Anfrage stellen, um den Status mit einem Fachmann durchzugehen. Die Entscheidung, welcher Aufwand fuer das eigene Unternehmen angemessen ist, laesst sich nicht generell beantworten; sie haengt vom Versandvolumen, der Branche und der IT-Ressourcenlage ab.
