Ist die Domain gegen E-Mail-Fälschung geschützt?

Definiert welche Server berechtigt sind, E-Mails für eine Domain zu versenden. Ohne SPF kann jeder unter fremdem Namen mailen. Kryptographische Signatur beweist: Die E-Mail stammt wirklich vom eigenen Server und wurde unterwegs nicht verändert. Regelt was passiert wenn SPF oder DKIM fehlschlagen (ignorieren / in Spam / blockieren) und liefert Reports zu Fälschungsversuchen.

E-Mail ist das Einfallstor Nummer eins für Cyberkriminelle. Phishing, CEO-Fraud und Business Email Compromise (BEC) verursachen jährlich Schäden in Milliardenhöhe. Das perfide daran: Angreifer müssen keine Lücken in der IT finden — sie brauchen nur eine gefälschte E-Mail, die authentisch aussieht. Ohne sauber konfigurierte SPF-, DKIM- und DMARC-Records kann jeder auf der Welt E-Mails unter der betreffenden Domain versenden. Ein Angreifer schreibt im Namen der Geschäftsführung an die Buchhaltung: "Bitte überweisen Sie schnell 45.000 € auf folgendes Konto…" — und die Zahlung geht raus. Das ist kein theoretisches Szenario, sondern Alltag. Microsoft, Google und andere große Anbieter filtern inzwischen aggressiv: E-Mails ohne korrekte Authentifizierung landen oft direkt im Spam — auch wenn sie legitim sind. Das heißt: fehlerhafte SPF/DKIM/DMARC-Konfiguration schadet nicht nur der Sicherheit, sondern auch der Zustellbarkeit der eigenen E-Mails. Gleichzeitig wird es zunehmend zur Compliance-Anforderung: Die EU NIS2-Richtlinie und branchenspezifische Vorgaben (z.B. TISAX, ISO 27001) erwarten nachweisbare E-Mail-Authentifizierung als Standard.

Schritt 1 — Bestandsaufnahme: Welche Dienste versenden E-Mails im Namen des Unternehmens? Microsoft 365, Newsletter-Tools (Mailchimp, Brevo), CRM-Systeme, Ticket-Systeme, Hosting-Provider — alle müssen im SPF-Record hinterlegt sein. Schritt 2 — SPF aufsetzen: Alle legitimen Absender werden in einem einzelnen TXT-Record gesammelt. Achtung: SPF erlaubt maximal 10 DNS-Lookups — zu viele include-Statements brechen die Validierung. Den Abschluss bildet -all (Hard Fail) für maximalen Schutz. Schritt 3 — DKIM aktivieren: Bei Microsoft 365 über das Defender Portal, bei Google Workspace über die Admin-Konsole. Die Signatur-Schlüssel müssen per DNS (CNAME oder TXT) veröffentlicht werden. Wichtig: Beide Selektoren (selector1 und selector2 bei M365) müssen publiziert sein — sonst bricht die automatische Schlüsselrotation. Schritt 4 — DMARC einführen: Der Start erfolgt mit p=none und einem rua-Report-Empfänger. Nach 2-4 Wochen Monitoring folgt der Wechsel auf p=quarantine, später auf p=reject. Die Reports werden mit einem Tool wie Postmark oder Valimail geparst. Wenn das nach viel Arbeit klingt: Wir übernehmen das. In der Regel haben wir SPF, DKIM und DMARC bei einem mittelständischen Unternehmen innerhalb von 1-2 Tagen sauber aufgesetzt.

Kostenlos nutzbar. Entwickelt von arian IT Service. Wenn dieses Tool weitergeholfen hat – wir freuen uns über eine Bewertung.

Wer eine Domain auf E-Mail-Sicherheit prüfen möchte, begegnet drei Begriffen immer wieder: SPF, DKIM und DMARC. Diese drei DNS-basierten Standards sind heute der anerkannte Mindestschutz gegen E-Mail-Spoofing — also gegen gefälschte Absenderadressen, die aussehen als kämen sie von einer vertrauenswürdigen Domain.

Was passiert beim E-Mail-Sicherheits-Check genau?

Das Tool liest ausschließlich öffentliche DNS-Einträge der eingegebenen Domain aus — keine E-Mails, keine Postfächer, keine internen Systeme. SPF (Sender Policy Framework) legt fest, welche Server für eine Domain senden dürfen. DKIM (DomainKeys Identified Mail) versieht ausgehende Mails mit einer kryptografischen Signatur, die der Empfänger verifizieren kann. DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet beides und definiert, was mit Mails passiert, die keinen der beiden Tests bestehen — ablehnen, in Quarantäne stellen oder zustellen.

Wie lässt sich ein gefundenes Problem beheben?

SPF-Fehler entstehen meist, weil ein neuer Dienst — etwa ein Newsletter-Tool oder ein CRM — E-Mails im Firmennamen verschickt, aber nicht im SPF-Record eingetragen ist. DMARC fehlt häufig ganz, weil es kein Pflichtfeld ist, aber entscheidend dafür, ob Angreifer eine Domain für CEO-Fraud nutzen können. arian IT richtet diese DNS-Records für Unternehmen in Düsseldorf und Bonn im Rahmen des Managed-Service-Pakets arian Protect ein und überwacht sie dauerhaft — inklusive DMARC-Reporting, das zeigt, wer im Namen der eigenen Domain sendet.

Für Unternehmen, die Microsoft 365 einsetzen, empfiehlt sich zusätzlich arian CloudProtect: Der Dienst ergänzt das fehlende Backup von Microsoft 365 und bündelt Anti-Phishing, Dark-Web-Monitoring und Kontosperrung in einem Paket — ab 24,90 € pro User und Monat.