E-Mail-Sicherheit: SPF, DKIM und DMARC einfach erklärt

Das E-Mail-Protokoll stammt aus einer Zeit, in der man Absendern einfach vertraut hat. Bis heute kann grundsätzlich jeder eine Nachricht mit beliebiger Absenderadresse verschicken – auch mit Ihrer. Die Folgen kennt fast jedes Unternehmen: Kunden erhalten gefälschte Rechnungen im Namen Ihrer Firma, Mitarbeiter bekommen angebliche Anweisungen der Geschäftsführung, und die eigenen, völlig legitimen Mails landen beim Empfänger im Spam-Ordner.

Drei technische Standards schließen diese Lücke: SPF, DKIM und DMARC. Alle drei werden über Einträge im DNS Ihrer Domain umgesetzt, verursachen keine Lizenzkosten und gehören inzwischen zum Mindestmaß an E-Mail-Sicherheit. Große Anbieter wie Google, Microsoft oder Yahoo werten fehlende Authentifizierung inzwischen als deutliches Negativsignal – Mails ohne diese Absicherung rutschen eher in den Spam-Ordner oder werden ganz abgelehnt. Dieser Artikel erklärt, was die drei Mechanismen tun, wie Sie sie einrichten und wo ihre Grenzen liegen.

SPF: Wer darf für Ihre Domain senden?

Der Sender Policy Framework-Eintrag ist eine öffentliche Liste im DNS Ihrer Domain. Darin steht, welche Server E-Mails mit Ihrer Absenderadresse verschicken dürfen. Empfängt ein Server eine Mail mit Ihrer Domain als Absender, schaut er in dieser Liste nach: Stammt die Mail von einem der genannten Systeme, gilt sie als zulässig. Stammt sie von woanders, ist das ein Warnsignal.

Technisch ist SPF ein einziger TXT-Eintrag. Ein typisches Beispiel für ein Unternehmen, das Microsoft 365 nutzt, sieht so aus:

v=spf1 include:spf.protection.outlook.com -all

Das include verweist auf die Server des E-Mail-Anbieters, das -all am Ende bedeutet: Alles andere ist nicht autorisiert. Genau hier liegt die häufigste Fehlerquelle. In vielen Unternehmen verschickt nicht nur der zentrale Mailserver E-Mails, sondern auch das Newsletter-Tool, das CRM-System, das Bewerbungsportal, das Ticketsystem, die Website über das Kontaktformular oder der Multifunktionsdrucker mit Scan-to-Mail-Funktion. Jede dieser Quellen muss im SPF-Eintrag stehen, sonst werden deren Mails irgendwann abgelehnt.

Drei typische Fehler sollten Sie vermeiden: Erstens darf es pro Domain nur einen SPF-Eintrag geben – wer für jedes neue Tool einen weiteren anlegt, macht die Prüfung ungültig. Zweitens begrenzt der Standard die Zahl der DNS-Nachschlagungen pro Prüfung; wer viele Dienste per include einbindet, kann diese Grenze überschreiten, ohne es zu merken. Drittens ist die weiche Variante ~all zwar ein guter Zwischenschritt, auf Dauer aber nur eine halbe Absicherung.

DKIM: Die digitale Unterschrift Ihrer E-Mails

Während SPF den sendenden Server prüft, signiert DKIM (DomainKeys Identified Mail) die Nachricht selbst. Ihr E-Mail-System versieht ausgehende Mails mit einer kryptografischen Signatur, die mit einem privaten Schlüssel erzeugt wird. Der dazugehörige öffentliche Schlüssel steht wiederum als Eintrag im DNS Ihrer Domain. Der empfangende Server kann so zwei Dinge prüfen: dass die Mail tatsächlich von Ihrer Domain stammt und dass der Inhalt unterwegs nicht verändert wurde.

DKIM wird nicht im DNS allein eingerichtet, sondern muss im E-Mail-System aktiviert werden. Bei Microsoft 365 oder Google Workspace geschieht das über die Verwaltungskonsole, die Ihnen die nötigen DNS-Einträge vorgibt. Auch Drittsysteme wie Newsletter- oder Support-Tools bieten meist eine DKIM-Signierung für Ihre eigene Domain an – allerdings müssen Sie das dort explizit einrichten. Solange das nicht geschehen ist, versenden diese Dienste Mails zwar mit Ihrer Absenderadresse, signieren aber mit ihrer eigenen Domain, was später bei DMARC zum Problem wird.

DMARC: Die Anweisung an den Empfänger

DMARC baut auf SPF und DKIM auf und beantwortet zwei Fragen. Erstens: Was soll ein empfangender Server tun, wenn eine Mail die Prüfung nicht besteht? Dafür gibt es drei Stufen: none (nichts unternehmen, nur beobachten), quarantine (in den Spam-Ordner verschieben) und reject (die Mail ganz ablehnen). Zweitens verlangt DMARC eine Übereinstimmung: Die Domain, die der Empfänger in der sichtbaren Absenderadresse sieht, muss zu der Domain passen, die SPF oder DKIM erfolgreich geprüft haben. Genau diese Übereinstimmung fehlt bei den klassischen Fälschungen, bei denen ein fremder Server Ihren Namen im Absender missbraucht.

Der zweite große Nutzen von DMARC sind die Berichte. Sie hinterlegen im Eintrag eine E-Mail-Adresse, an die empfangende Server regelmäßig Berichte schicken. Darin steht, welche Systeme weltweit Mails mit Ihrer Domain verschickt haben und ob diese die Prüfungen bestanden. So sehen Sie erstmals vollständig, wer alles in Ihrem Namen sendet – einschließlich der Systeme, die bei der Inventarisierung vergessen wurden, und einschließlich der fremden Server, die Ihre Domain missbrauchen.

So gehen Sie Schritt für Schritt vor

Beginnen Sie nicht mit den DNS-Einträgen, sondern mit einer Bestandsaufnahme. Fragen Sie in der Geschäftsführung, im Vertrieb, im Marketing und in der Buchhaltung: Welche Systeme verschicken E-Mails mit unserer Domain? Die Antwort ist fast immer länger als erwartet. Erst wenn diese Liste steht, bauen Sie den SPF-Eintrag so, dass alle genannten Quellen abgedeckt sind.

Danach aktivieren Sie DKIM im zentralen E-Mail-System und richten die Signierung bei jedem Drittdienst ein. Erst wenn beides steht, legen Sie den DMARC-Eintrag an – und zwar zunächst mit der Richtlinie none und einer Berichtsadresse. In dieser Beobachtungsphase ändert sich für niemanden etwas, Sie sammeln aber die Daten, die Sie brauchen. Werten Sie die Berichte über einige Wochen aus: Tauchen dort legitime Systeme auf, deren Mails die Prüfung nicht bestehen, korrigieren Sie deren Konfiguration. Erst wenn die Berichte sauber sind, stellen Sie die Richtlinie schrittweise auf quarantine und schließlich auf reject. Wer diesen Weg abkürzt und sofort auf reject stellt, riskiert, dass eigene Rechnungen oder Newsletter beim Empfänger nicht mehr ankommen.

Für die Prüfung der Einträge gibt es kostenlose Werkzeuge, etwa MXToolbox oder dmarcian, die Ihnen zeigen, ob SPF, DKIM und DMARC korrekt ausgespielt werden.

Woran Sie erkennen, dass etwas schiefläuft

Einige Warnsignale sollten Sie ernst nehmen: Kunden oder Lieferanten melden Mails mit Ihrer Absenderadresse, die Sie nie geschrieben haben. Ihre eigenen Mails landen gehäuft im Spam-Ordner der Empfänger. Nach der Anbindung eines neuen Tools kommen dessen Mails nicht mehr an – ein Hinweis auf einen fehlenden oder fehlerhaften SPF-Eintrag. Und wenn Sie nach der Einrichtung plötzlich zwei SPF-Einträge im DNS finden, hat jemand einen zweiten angelegt, statt den bestehenden zu erweitern. Die DMARC-Berichte schließlich zeigen Ihnen schwarz auf weiß, wenn fremde Server Ihre Domain missbrauchen – oder wenn ein internes System falsch konfiguriert ist.

Wer ist zuständig – und was Sie Anbieter fragen sollten

In Unternehmen mit zehn bis hundert Mitarbeitern gibt es selten ein eigenes Security-Team. Die Umsetzung liegt daher meist beim IT-Verantwortlichen oder einem externen IT-Dienstleister. Entscheidend ist der Zugang zum DNS der Domain, der häufig beim Hoster oder Registrar liegt und in manchen Firmen niemandem mehr bekannt ist – klären Sie das zuerst. Die Geschäftsführung sollte das Ergebnis zumindest kennen, denn es geht um die Reputation der Firma und um Schutz vor Betrug im Namen des Unternehmens.

Bei jedem neuen Softwaresystem, das E-Mails verschickt, sollten drei Fragen zur Routine werden: Unterstützt das System DKIM-Signierung für unsere eigene Domain? Welche Server müssen wir in unseren SPF-Eintrag aufnehmen? Und gibt es eine Anleitung für DMARC-konformen Versand? Seriöse Anbieter beantworten alle drei Fragen mit Dokumentation. Wer darauf keine Antwort hat, wird Ihnen bei der nächsten Verschärfung Ihrer DMARC-Richtlinie Probleme machen.

Was die drei Mechanismen nicht leisten

So wichtig SPF, DKIM und DMARC sind – sie sind kein Rundumschutz. Sie verhindern nicht, dass ein Angreifer eine ähnlich aussehende Domain registriert und damit täuschend echte Mails verschickt. Sie schützen auch nicht, wenn ein echtes Postfach Ihres Unternehmens gekapert wurde, denn Mails aus einem kompromittierten Konto sind korrekt signiert. Und sie ersetzen weder Virenschutz noch die Prüfung von Anhängen und Links. Auch technisch gibt es Grenzen: Bei Weiterleitungen und Mailinglisten kann die SPF-Prüfung scheitern, obwohl alles richtig eingerichtet ist.

Und wo lohnt sich der Aufwand nicht? Eine aufwendige Auswertung der DMARC-Berichte mit externen Analysediensten ist für eine Domain mit wenigen Versendern und ohne Drittsysteme überdimensioniert – dort genügt ein gelegentlicher Blick in die Berichte. Umgekehrt lohnt es sich nicht, DMARC ganz wegzulassen, nur weil die Domain klein ist: Gerade weniger bekannte Firmendomains werden für gefälschte Rechnungen gern missbraucht, weil niemand hinschaut. Die sinnvolle Untergrenze ist immer dieselbe – ein sauberer SPF-Eintrag, aktiviertes DKIM und DMARC mindestens im Beobachtungsmodus. Das kostet einen halben Tag Arbeit und schließt die größte Lücke.

Fazit

SPF legt fest, wer für Ihre Domain senden darf, DKIM unterschreibt Ihre Mails fälschungssicher, und DMARC sagt den Empfängern, wie sie mit Verdachtsfällen umgehen sollen – und berichtet Ihnen, was mit Ihrer Domain geschieht. Richtig umgesetzt, schützen die drei Einträge Ihre Kunden vor Fälschungen, Ihre Mitarbeiter vor Angriffen im Namen der Geschäftsführung und Ihre eigene Post davor, im Spam-Ordner zu verschwinden. Der Aufwand ist überschaubar, die Wirkung dauerhaft – vorausgesetzt, Sie gehen schrittweise vor und nehmen jede neue Software ab sofort in die Prüfliste auf.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.