E-Mail-Sicherheit für Unternehmen: SPF, DKIM und DMARC richtig einrichten

Eine E-Mail mit Ihrem Firmennamen im Absender zu verschicken, ist erschreckend einfach — das klassische E-Mail-Protokoll prüft nämlich nicht, ob der Absender echt ist. Betrüger nutzen das für Phishing im Namen bekannter Unternehmen. Drei aufeinander aufbauende Verfahren schließen diese Lücke: SPF, DKIM und DMARC. Richtig eingerichtet, sorgen sie dafür, dass niemand mehr ungestraft unter Ihrer Domain verschicken kann — und dass Ihre eigenen E-Mails zuverlässiger im Posteingang landen statt im Spam.

Das Problem: E-Mail ist von Haus aus fälschbar

Beim Versand einer E-Mail lässt sich die Absenderadresse frei eintragen — so, wie man auf einen Briefumschlag jeden beliebigen Absender schreiben kann. Der empfangende Server hat zunächst keine Möglichkeit zu prüfen, ob die Mail wirklich von Ihrer Domain stammt.

Kriminelle missbrauchen das, um in Ihrem Namen Rechnungen, Zahlungsaufforderungen oder Schadsoftware zu verschicken. Für die Empfänger sieht es aus, als käme die Nachricht von Ihnen — der Schaden für Ihren Ruf ist real, auch wenn Ihre eigenen Systeme gar nicht betroffen sind.

Die drei Schutzmechanismen im Überblick

SPF, DKIM und DMARC sind Einträge im DNS Ihrer Domain — also dort, wo auch hinterlegt ist, welcher Server Ihre Website ausliefert. Jedes der drei Verfahren übernimmt eine andere Aufgabe.

SPF: Wer darf für Ihre Domain senden?

SPF (Sender Policy Framework) ist eine Liste der Server, die berechtigt sind, E-Mails für Ihre Domain zu verschicken — zum Beispiel Ihr Postfach-Anbieter und Ihr Newsletter-Dienst. Der empfangende Server gleicht die sendende Adresse mit dieser Liste ab. Steht sie nicht darauf, ist die Mail verdächtig. SPF hat Grenzen: Wird eine Mail weitergeleitet, bricht die Prüfung oft, und es ist nur eine begrenzte Zahl an Nachschlage-Schritten erlaubt. Deshalb ist SPF allein nicht genug.

DKIM: Die fälschungssichere Signatur

DKIM (DomainKeys Identified Mail) versieht jede ausgehende Mail mit einer kryptografischen Signatur. Der passende öffentliche Schlüssel liegt im DNS. Der Empfänger prüft damit zweierlei: dass die Mail tatsächlich von Ihrer Domain signiert wurde und dass sie unterwegs nicht verändert wurde. Anders als SPF übersteht DKIM auch Weiterleitungen — die Signatur reist mit.

DMARC: Die Richtlinie, die alles zusammenführt

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM zu einer klaren Ansage: Was soll der Empfänger tun, wenn eine Mail die Prüfung nicht besteht? Die Optionen reichen von „nichts” (nur beobachten) über „in den Spam” bis „ganz abweisen”. Zusätzlich verlangt DMARC, dass die geprüfte Domain zur sichtbaren Absenderadresse passt — genau das stoppt die typische Fälschung.

Der oft übersehene Zusatznutzen: DMARC schickt Ihnen Berichte darüber, wer in Ihrem Namen sendet. So sehen Sie erstmals schwarz auf weiß, welche Dienste Ihre Domain nutzen — die legitimen wie die missbräuchlichen.

Warum alle drei zusammengehören

Einzeln haben die Verfahren Lücken: SPF scheitert an Weiterleitungen, DKIM sagt nichts darüber aus, was bei einem Fehlschlag passieren soll, und ohne DMARC bleibt beides zahnlos, weil kein Empfänger weiß, wie streng er sein soll. Erst im Zusammenspiel entsteht wirksamer Schutz — und der Nachweis, dass Ihre Domain sauber konfiguriert ist.

Das ist inzwischen auch geschäftskritisch: Große Anbieter wie Google und Yahoo verlangen seit 2024 von Massenversendern SPF, DKIM und DMARC. Ohne diese Einträge landen Mails schneller im Spam oder werden ganz abgelehnt.

Der Weg zur Einrichtung — ohne Zustellprobleme

Der häufigste Fehler ist, DMARC sofort auf „abweisen” zu stellen und damit auch eigene, legitime Mails auszusperren. Bewährt hat sich ein behutsames Vorgehen:

• Bestandsaufnahme: Zuerst alle Dienste erfassen, die in Ihrem Namen senden — Postfach, Newsletter, Buchhaltung, CRM, Shop. Jeder davon muss später sauber authentifiziert sein.
• SPF setzen: Einen SPF-Eintrag mit genau diesen Absendern anlegen — nicht mehr und nicht weniger.
• DKIM aktivieren: Beim Postfach-Anbieter und weiteren Sendediensten die Signatur einschalten und den Schlüssel im DNS hinterlegen.
• DMARC im Beobachtungsmodus starten: Zunächst mit der Richtlinie „nur beobachten” beginnen und die Berichte auswerten. So zeigt sich, ob alle legitimen Sender erkannt werden.
• Schrittweise verschärfen: Erst wenn die Berichte sauber sind, die Richtlinie auf „Spam” und schließlich „abweisen” hochstufen.

Dieses Vorgehen dauert ein paar Wochen — vor allem die Beobachtungsphase —, verhindert aber, dass wichtige E-Mails plötzlich nicht mehr ankommen.

Typische Fehler

• Zu viele Sender im SPF-Eintrag: Wird die erlaubte Zahl an Nachschlage-Schritten überschritten, gilt SPF als fehlerhaft.
• Vergessene Sendedienste: Ein Newsletter- oder Rechnungstool, das niemand auf dem Schirm hatte, fällt nach der Verschärfung plötzlich aus.
• DMARC dauerhaft auf „nur beobachten”: Wer nie verschärft, hat zwar Berichte, aber keinen echten Schutz.
• Einmal einrichten und vergessen: Neue Dienste kommen hinzu — die Einträge gehören gepflegt.

Fazit

SPF, DKIM und DMARC sind kein exotisches Expertenthema, sondern die Grundausstattung für jede Firmen-Domain — vergleichbar mit einem Schloss an der Haustür. Sie verhindern, dass Kriminelle in Ihrem Namen schreiben, schützen Ihren Ruf und sorgen zugleich dafür, dass Ihre eigenen E-Mails zuverlässig ankommen. Der Aufwand ist überschaubar, der Effekt groß — vorausgesetzt, die Einrichtung erfolgt schrittweise und wird gepflegt.

Lota Engineering richtet diese Absicherung für Unternehmen aus Düsseldorf und dem Rheinland ein — von der Bestandsaufnahme aller Sender über die DNS-Einträge bis zur Auswertung der DMARC-Berichte im laufenden Betrieb, als Teil der IT-Sicherheit und Managed Services. Wenn Ihre E-Mail über Microsoft 365 läuft, sind die passenden Signaturen schnell aktiviert. Wie Sie Ihr Team zusätzlich gegen gefälschte Mails wappnen, lesen Sie im Ratgeber Phishing-Schutz im Unternehmen. Für eine Prüfung Ihrer Domain erreichen Sie uns über das Kontaktformular.