Warum DKIM, DMARC und SPF nutzen sollten

Eine gefälschte E-Mail im Namen der Geschäftsführung braucht keine kompromittierte Mailbox. Es reicht, wenn ein Angreifer Ihre Domain als Absender einträgt. Genau deshalb stellt sich für Unternehmen die Frage, warum sie DKIM, DMARC und SPF nutzen sollten. Diese drei Verfahren helfen dabei, den echten Versand Ihrer Domain von einer Fälschung zu unterscheiden.

Für ein Unternehmen mit 5 bis 100 Mitarbeitenden ist das keine technische Spielerei. Eine glaubwürdig aussehende Rechnung, eine geänderte Bankverbindung oder eine angebliche Microsoft-365-Anmeldung kann reichen, um Geld, Zugangsdaten oder Vertrauen zu verlieren. E-Mail-Authentifizierung reduziert dieses Risiko deutlich. Sie ersetzt aber weder aufmerksame Mitarbeitende noch weitere Sicherheitsmaßnahmen.

Was passiert ohne E-Mail-Authentifizierung?

Eine E-Mail-Adresse wirkt auf den ersten Blick eindeutig. Tatsächlich kann der sichtbare Absender technisch relativ leicht gefälscht werden. Ein Betrüger kann etwa eine Nachricht mit der Adresse buchhaltung@ihrunternehmen.at versenden, obwohl sie nicht über Ihre Systeme verschickt wurde.

Viele Empfänger sehen dann nur Ihren Firmennamen und Ihre Domain. Besonders kritisch wird es, wenn der Angriff an Lieferanten, Kunden oder die eigene Belegschaft gerichtet ist. Die Nachricht muss nicht perfekt sein. Sie muss nur in einem arbeitsreichen Moment plausibel genug wirken.

Ohne klare Regeln können empfangende Mailserver nicht zuverlässig beurteilen, ob der Versand berechtigt war. Manche liefern die Nachricht trotzdem zu, andere stufen sie als Spam ein. Damit entstehen zwei Probleme zugleich: Missbrauch Ihrer Domain wird leichter, und legitime Mails erreichen ihre Empfänger unter Umständen schlechter.

Warum DKIM, DMARC und SPF nutzen?

SPF, DKIM und DMARC erfüllen unterschiedliche Aufgaben. Erst im Zusammenspiel entsteht eine nachvollziehbare Schutzschicht für Ihre Absenderdomain.

SPF legt erlaubte Versandserver fest

SPF steht für Sender Policy Framework. Vereinfacht gesagt hinterlegen Sie im DNS Ihrer Domain, welche Systeme E-Mails in Ihrem Namen versenden dürfen. Das kann Microsoft 365 sein, aber auch ein Newsletter-Dienst, ein Ticketsystem, eine Buchhaltungssoftware oder ein Webshop.

Der empfangende Server prüft, ob die versendende Infrastruktur auf dieser Liste steht. Passt sie nicht dazu, ist das ein Warnsignal.

SPF allein ist jedoch keine vollständige Lösung. Bei Weiterleitungen kann die Prüfung scheitern, obwohl die Mail ursprünglich korrekt versendet wurde. Außerdem prüft SPF primär die technische Versandquelle. Der sichtbare Absender, den der Empfänger wahrnimmt, ist nicht in jedem Fall ausreichend abgesichert. Deshalb braucht es DKIM und DMARC zusätzlich.

DKIM versieht Nachrichten mit einer prüfbaren Signatur

DKIM steht für DomainKeys Identified Mail. Beim Versand erhält jede E-Mail eine digitale Signatur. Der empfangende Mailserver kann damit prüfen, ob die Nachricht tatsächlich von einem autorisierten System Ihrer Domain stammt und unterwegs nicht relevant verändert wurde.

Der entscheidende Vorteil: Eine gültige DKIM-Signatur bleibt bei vielen Weiterleitungen erhalten. Das macht DKIM im Alltag besonders wertvoll. Für Microsoft 365 lässt sich die Signierung sauber einrichten, muss aber zu Ihrer Domain und der tatsächlichen Versandlandschaft passen.

Auch hier gilt: DKIM sagt zunächst, dass eine Mail signiert wurde. Es legt nicht allein fest, wie Empfänger mit fehlgeschlagenen Prüfungen umgehen sollen. Diese Aufgabe übernimmt DMARC.

DMARC verbindet die Prüfungen mit einer klaren Regel

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es prüft, ob SPF oder DKIM erfolgreich sind und ob die geprüfte Domain zum sichtbaren Absender passt. Diese Übereinstimmung wird Alignment genannt. Für die Praxis ist das entscheidend: Eine technisch gültige Signatur einer fremden Domain schützt Ihre Absenderadresse nicht.

DMARC legt außerdem fest, was bei einem Fehler passieren soll. Es gibt drei Stufen: beobachten, in Quarantäne verschieben oder ablehnen. Die Beobachtungsphase liefert Berichte über den tatsächlichen Mailversand. So erkennen Sie, welche Systeme Ihre Domain verwenden und ob jemand versucht, sie zu missbrauchen.

Erst wenn alle legitimen Versandwege bekannt und korrekt eingerichtet sind, sollte die Richtlinie schrittweise verschärft werden. Eine sofortige Ablehnung klingt konsequent, kann aber wichtige Geschäftsmails treffen, wenn beispielsweise ein externes Tool, ein Multifunktionsgerät oder ein Dienstleister vergessen wurde.

Der geschäftliche Nutzen ist konkreter als Technikbegriffe

Der offensichtlichste Nutzen ist Schutz vor Absenderfälschung. Wenn Ihre Domain nicht mehr einfach für betrügerische Nachrichten verwendet werden kann, schützen Sie Kunden, Lieferanten und Mitarbeitende. Das stärkt auch Ihre Glaubwürdigkeit, wenn im Zweifelsfall geprüft wird, ob eine Nachricht wirklich von Ihnen stammt.

Daneben kann eine saubere Authentifizierung die Zustellbarkeit verbessern. Große Mailanbieter bewerten zunehmend, ob Absender ihre Domain korrekt absichern. Wer regelmässig Angebote, Rechnungen, Serviceinformationen oder Einladungen verschickt, sollte verhindern, dass legitime Mails unnötig im Spamordner landen.

Für Geschäftsführung und Verantwortliche ist zudem die Nachvollziehbarkeit relevant. DMARC-Berichte zeigen, welche Systeme im Namen der Domain senden. Das deckt oft gewachsene Schatten-IT auf: einen alten Newsletter-Zugang, eine Website mit veralteter Versandfunktion oder einen Dienst, den niemand mehr aktiv betreut.

Das ist auch im Kontext von Sicherheits- und Compliance-Pflichten sinnvoll. Nicht jedes KMU fällt direkt unter NIS2 beziehungsweise das österreichische NISG 2024. Dennoch bleibt die Geschäftsführung für angemessene Schutzmaßnahmen verantwortlich. E-Mail-Authentifizierung ist kein formaler Freifahrtschein, aber eine gut begründbare Basiskontrolle gegen einen bekannten Angriffsweg.

Die häufigsten Stolpersteine bei SPF, DKIM und DMARC

Die Technik besteht aus DNS-Einträgen. Die eigentliche Arbeit liegt jedoch darin, den gesamten Versand zu erfassen. Viele Unternehmen denken zuerst an Outlook und Microsoft 365. In der Realität versenden häufig weitere Systeme E-Mails: Kontaktformulare auf der Website, Scanner, ERP-Systeme, Zeiterfassung, Newsletter-Plattformen oder externe Supportlösungen.

Ein unvollständiger SPF-Eintrag kann dazu führen, dass berechtigte Mails fehlschlagen. Mehrere SPF-Einträge für dieselbe Domain sind ebenfalls ein klassischer Fehler. SPF muss in einem konsolidierten Eintrag gepflegt werden und darf eine technische Abfragengrenze nicht überschreiten. Das wird schnell unübersichtlich, wenn über Jahre neue Dienste dazugekommen sind.

Bei DKIM werden Schlüssel und passende DNS-Einträge benötigt. Werden Domains, Mandanten oder Versanddienstleister geändert, muss die Konfiguration kontrolliert werden. Bei DMARC ist der häufigste Fehler nicht die Syntax, sondern das Tempo: Eine harte Richtlinie ohne saubere Auswertung der Berichte kann den eigenen Versand stören.

Auch Subdomains verdienen Aufmerksamkeit. Wenn etwa newsletter.ihrefirma.at oder rechnung.ihrefirma.at verwendet wird, braucht es eine bewusst geplante Regelung. Andernfalls bleibt ein Teil der Absenderlandschaft ungeschützt oder wird falsch bewertet.

So gehen Unternehmen sinnvoll vor

Ein geordneter Ablauf verhindert, dass Sicherheit auf Kosten des Betriebs geht. In der Praxis bewähren sich vier Schritte:

• Zuerst alle Systeme erfassen, die E-Mails mit Ihrer Domain versenden. Dazu gehören auch selten genutzte Anwendungen und externe Anbieter.
• Danach SPF und DKIM für jeden legitimen Versandweg korrekt einrichten und testen.
• Anschließend DMARC zunächst im Beobachtungsmodus aktivieren und die eingehenden Berichte über mehrere Wochen auswerten.
• Erst wenn unbekannte Quellen geklärt und berechtigte Systeme bereinigt sind, die Richtlinie schrittweise auf Quarantäne und gegebenenfalls Ablehnung erhöhen.

Wie lange das dauert, hängt nicht von der Größe des Unternehmens allein ab. Ein kleines Unternehmen mit mehreren externen Plattformen kann mehr Abstimmung benötigen als ein größerer Betrieb mit einer klar verwalteten Microsoft-365-Umgebung. Entscheidend ist, keine legitime Versandquelle zu übersehen.

E-Mail-Sicherheit endet nicht bei DMARC

DKIM, DMARC und SPF schützen vor allem Ihre eigene Absenderdomain. Sie verhindern nicht, dass Mitarbeitende auf eine gefälschte Domain hereinfallen, die Ihrer nur ähnlich sieht. Sie stoppen auch keinen Angriff, wenn ein echtes Benutzerkonto übernommen wurde und der Angreifer über Microsoft 365 korrekt authentifizierte Mails verschickt.

Daher gehören weitere Maßnahmen dazu: Mehrfaktor-Authentifizierung, sichere Administratorrechte, sinnvolle Spam- und Phishing-Filter, regelmäßige Updates, geschützte Endgeräte und eine funktionierende Datensicherung. Ebenso wichtig ist ein klarer Prozess für Zahlungsänderungen und ungewöhnliche Anweisungen. Eine Mail allein sollte keine Bankverbindung ändern dürfen.

Mit der MailSchmiede unterstützt Cloudschmiede Unternehmen dabei, die vorhandene Versandlandschaft zu prüfen, SPF, DKIM und DMARC sauber einzurichten und die Regeln nachvollziehbar zu betreuen. Der Wert liegt nicht im DNS-Eintrag selbst, sondern darin, dass Ihre geschäftskritischen Mails weiterhin ankommen und Ihre Domain nicht zur Tarnung für Betrug dient.

Der beste Zeitpunkt für eine Prüfung ist nicht nach der ersten gefälschten Rechnung im Namen Ihres Unternehmens. Schauen Sie sich an, welche Systeme heute tatsächlich unter Ihrer Domain senden. Daraus lässt sich eine Regel ableiten, die Sicherheit erhöht, ohne Ihren Arbeitsalltag unnötig zu blockieren.