Wir haben gar keinen eigenen Mailserver – brauchen wir das trotzdem?

Ja. Die Einträge gehören zur Domain, nicht zum Server. Wer Microsoft 365 oder einen anderen Dienst nutzt, setzt SPF, DKIM und DMARC im DNS seiner Domain – und auch eine Domain, die gar keine Mails verschickt, sollte einen SPF- und DMARC-Eintrag haben, der jeden Versand ausschließt.

Was steht in den DMARC-Berichten?

Welche Server in einem Zeitraum Mails mit Ihrer Domain verschickt haben, wie viele, und ob sie SPF und DKIM bestanden haben. Die Berichte sind maschinenlesbar und kommen von den großen Mailanbietern täglich. Ausgewertet zeigen sie vergessene Dienste und Fälschungsversuche.

Wie lange dauert die Umstellung auf p=reject?

Das hängt davon ab, wie viele Dienste in Ihrem Namen senden. Bei einem überschaubaren Haus sind es einige Wochen Beobachtung, dann Quarantäne, dann Abweisung. Wichtig ist, nicht auf p=none stehen zu bleiben.

Hilft DMARC gegen Phishing an unsere Mitarbeitenden?

Gegen Nachrichten, die Ihre eigene Domain als Absender fälschen, ja – bei den Empfängern, die DMARC auswerten, also auch Ihrem eigenen Mailsystem. Gegen Nachrichten von fremden oder ähnlichen Domains nicht; dafür sind Filter, Kennzeichnung externer Mails und Schulung da.

SPF, DKIM, DMARC: Wie Sie verhindern, dass jemand Mails in Ihrem Namen verschickt

Den Absender einer E-Mail kann jeder frei eintragen. Ob er stimmt, prüft der Empfänger über drei Einträge im DNS Ihrer Domain: SPF, DKIM und DMARC. Fehlen sie oder stehen sie auf „nur beobachten“, kommen gefälschte Rechnungen und Anweisungen in Ihrem Namen bei Kunden und Kollegen an. Das BSI hat im Mai 2025 aufgeschrieben, woran die Einrichtung am häufigsten scheitert.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr

Netzwerkverkabelung in einem Rechenzentrum

14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland

E-Mail ist ein Protokoll aus einer Zeit, in der niemand an Fälschung dachte. Der Absender, den ein Empfänger sieht, ist eine Angabe wie der Absender auf einem Briefumschlag – frei wählbar. Damit sich trotzdem prüfen lässt, ob eine Nachricht wirklich von Ihrer Domain kommt, haben sich drei Verfahren durchgesetzt, die das BSI in seiner Empfehlung zur E-Mail-Sicherheit als weltweiten Standard beschreibt: SPF, DKIM und DMARC. Alle drei sind Einträge im DNS Ihrer Domain; keiner braucht neue Software.

Wichtig ist, was sie schützen: nicht Ihr Postfach vor fremden Mails, sondern Ihre Domain vor Missbrauch – also Ihre Kunden, Lieferanten und Ihre eigene Buchhaltung vor Nachrichten, die aussehen, als kämen sie von Ihnen. Gerade bei gefälschten Rechnungen und CEO-Fraud ist das der Unterschied zwischen einer Nachricht, die abgewiesen wird, und einer, die im Posteingang mit Ihrem Namen erscheint.

Drei Einträge, drei Aufgaben

Verfahren	Was es tut	Wo es steht	Fundstelle
SPF	Legt fest, welche Server Mails für Ihre Domain versenden dürfen	TXT-Eintrag der Domain, beginnt mit v=spf1	RFC 7208
DKIM	Signiert jede ausgehende Nachricht; der Empfänger prüft die Signatur mit einem öffentlichen Schlüssel	TXT-Eintrag unter <selector>._domainkey, beginnt mit v=DKIM1	RFC 6376
DMARC	Sagt dem Empfänger, was mit Nachrichten geschehen soll, die SPF und DKIM nicht bestehen – und schickt Ihnen Berichte	TXT-Eintrag unter _dmarc, beginnt mit v=DMARC1	RFC 7489

Die Reihenfolge, in der man DMARC scharf schaltet

Wer sofort auf Abweisung stellt, riskiert, dass echte Rechnungen aus dem Buchhaltungsprogramm oder Newsletter eines Dienstleisters abgewiesen werden. Deshalb in Stufen.

Alle Absender erfassenWelche Dienste verschicken Mails mit Ihrer Domain? Das eigene Mailsystem, aber auch Rechnungssoftware, Shop, Newsletter-Dienst, Ticketsystem, Telefonanlage, Scanner. Jeder davon muss in SPF stehen oder mit DKIM signieren.
SPF und DKIM einrichtenSPF mit allen erlaubten Diensten und einem Abschluss, der fremde Server ausschließt. DKIM im eigenen Mailsystem einschalten – bei Microsoft 365 im Defender-Portal – und bei jedem Dienstleister, der es anbietet.
DMARC auf Beobachten (p=none) mit BerichtenEine Richtlinie, die nichts abweist, aber Berichte an eine Adresse schickt. Die Berichte zeigen über einige Wochen, welche Server in Ihrem Namen senden – erlaubte und fremde.
Quarantäne (p=quarantine)Wenn alle echten Absender sauber durchkommen, Nachrichten, die durchfallen, in den Spam-Ordner der Empfänger lenken lassen. Weiter die Berichte lesen.
Abweisen (p=reject)Gefälschte Nachrichten werden vom Empfänger nicht mehr angenommen. Das ist das Ziel. Die Berichte bleiben eingeschaltet, weil jeder neue Dienst sonst still abgewiesen wird.

Häufige Fehler – nach der Empfehlung des BSI

Das BSI hat in seiner Empfehlung BSI-CS 155 vom Mai 2025 die Konfigurationsfehler beschrieben, die in der Praxis am häufigsten auftreten. Einige davon:

Einträge in AnführungszeichenDer DNS-Eintrag muss unmittelbar mit v=spf1, v=DKIM1 oder v=DMARC1 beginnen. Manche DNS-Verwaltungen setzen Anführungszeichen dazu, die dann Teil des Eintrags werden – und der Eintrag wird nicht erkannt.
Mehrere SPF-EinträgeEine Domain darf nur einen SPF-Eintrag haben. Wer für jeden Dienst einen eigenen anlegt, macht alle ungültig.
DMARC dauerhaft auf p=noneBeobachten ist ein Zwischenschritt. Eine Richtlinie, die nie scharf geschaltet wird, schützt niemanden – sie liefert nur Berichte über Fälschungen, die trotzdem zugestellt werden.
Vergessene DiensteDie Rechnungssoftware oder der Shop verschickt mit Ihrer Domain, steht aber nicht in SPF. Spätestens bei p=reject landen echte Rechnungen nicht mehr beim Kunden.

Und der Transportweg?

SPF, DKIM und DMARC sichern den Absender. Den Weg der Nachricht zwischen den Mailservern sichern andere Verfahren: Verschlüsselung per TLS und Verfahren, die verhindern, dass diese Verschlüsselung unterwegs abgeschaltet wird – DANE mit DNSSEC oder MTA-STS. Das BSI beschreibt die Anforderungen in der Technischen Richtlinie TR-03108 und gibt in seiner Empfehlung Beispiele für Microsoft Exchange Online und Google Workspace. Für ein mittelständisches Haus sind die drei Absenderverfahren der erste Schritt, der Transportweg der zweite.

Prüfen und weiter

Häufige Fragen

Wir haben gar keinen eigenen Mailserver – brauchen wir das trotzdem?: Ja. Die Einträge gehören zur Domain, nicht zum Server. Wer Microsoft 365 oder einen anderen Dienst nutzt, setzt SPF, DKIM und DMARC im DNS seiner Domain – und auch eine Domain, die gar keine Mails verschickt, sollte einen SPF- und DMARC-Eintrag haben, der jeden Versand ausschließt.
Was steht in den DMARC-Berichten?: Welche Server in einem Zeitraum Mails mit Ihrer Domain verschickt haben, wie viele, und ob sie SPF und DKIM bestanden haben. Die Berichte sind maschinenlesbar und kommen von den großen Mailanbietern täglich. Ausgewertet zeigen sie vergessene Dienste und Fälschungsversuche.
Wie lange dauert die Umstellung auf p=reject?: Das hängt davon ab, wie viele Dienste in Ihrem Namen senden. Bei einem überschaubaren Haus sind es einige Wochen Beobachtung, dann Quarantäne, dann Abweisung. Wichtig ist, nicht auf p=none stehen zu bleiben.
Hilft DMARC gegen Phishing an unsere Mitarbeitenden?: Gegen Nachrichten, die Ihre eigene Domain als Absender fälschen, ja – bei den Empfängern, die DMARC auswerten, also auch Ihrem eigenen Mailsystem. Gegen Nachrichten von fremden oder ähnlichen Domains nicht; dafür sind Filter, Kennzeichnung externer Mails und Schulung da.

Quellen und Nachweise

BSI-CS 155: Upgrade für die E-Mail-Sicherheit – Handlungsempfehlungen für moderne E-Mail-Infrastrukturen in Unternehmen (Version 1.00 vom 05.05.2025) · Bundesamt für Sicherheit in der Informationstechnik / Allianz für Cyber-Sicherheitamtlich
BSI TR-03108 Sicherer E-Mail-Transport · Bundesamt für Sicherheit in der Informationstechnikamtlich
RFC 7208 – Sender Policy Framework (SPF) · Internet Engineering Task Force (IETF)
RFC 6376 – DomainKeys Identified Mail (DKIM) Signatures · Internet Engineering Task Force (IETF)
RFC 7489 – Domain-based Message Authentication, Reporting, and Conformance (DMARC) · Internet Engineering Task Force (IETF)

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Das gehört dazu

Phishing erkennenRechtschreibfehler und seltsame Anreden waren jahrelang das Erkennungszeichen. Heute schreiben Angreifer fehlerfrei, kennen Namen und Anlässe und tarnen Links hinter QR-Codes. Was bleibt, sind fünf Merkmale, die mit dem Inhalt der Nachricht zu tun haben, nicht mit ihrer Form – und zwei Prüfungen, die jeder in zehn Sekunden machen kann.Ansehen →

CEO-FraudKeine Schadsoftware, kein Link, kein Anhang – nur eine glaubwürdige Nachricht im Namen der Geschäftsführung oder eines Lieferanten, die eine eilige Zahlung oder eine neue Bankverbindung verlangt. CEO-Fraud und Rechnungsbetrug gehen an jedem technischen Schutz vorbei. Sie brechen an einer einzigen Regel im Zahlungsablauf, die nichts kostet.Ansehen →

Ransomware-AblaufDie Verschlüsselung ist das Ende eines Angriffs, nicht sein Anfang. Davor liegen Tage oder Wochen, in denen sich jemand im Netz bewegt, Rechte sammelt, Sicherungen sucht und Daten abzieht. Wer die Phasen kennt, weiß, wo ein Angriff sichtbar wird – und dass die beste Gelegenheit, ihn zu stoppen, lange vor dem Erpresserschreiben liegt.Ansehen →

Die ersten 24 StundenEin Bildschirm mit Erpresserschreiben, ein Postfach, das Mails verschickt, die niemand geschrieben hat, Server, die nicht mehr starten. In den ersten Stunden nach einem Angriff entscheiden wenige Handgriffe darüber, wie groß der Schaden wird – und einige gut gemeinte machen ihn größer. Diese Seite ist die Reihenfolge, die wir im Ernstfall abarbeiten, mit den Fristen, die ab der Kenntnis laufen.Ansehen →

Awareness-SchulungDer jährliche Pflichtfilm über Phishing schützt vor dem Angriff des Vorjahres. Was Mitarbeitende tatsächlich vor Fehlklicks bewahrt, sind kurze Einheiten mit Nachrichten aus dem eigenen Posteingang, eine Meldetaste und eine Geschäftsführung, die einen gemeldeten Fehler lobt. Für Einrichtungen unter NIS2 ist Schulung außerdem Pflicht – auch für die Geschäftsleitung selbst.Ansehen →

MeldepflichtenNach einem Angriff laufen mehrere Uhren gleichzeitig, und sie beginnen alle mit der Kenntnis: 72 Stunden für die Datenschutzaufsicht, 24 Stunden für die NIS2-Erstmeldung, die Fristen der Cyberversicherung und die Pflichten aus Kundenverträgen. Diese Seite sortiert, welche Meldung für wen gilt, was hinein muss und wer im Haus sie vorbereitet.Ansehen →

CyberversicherungEine Cyberversicherung zahlt nicht für jedes Haus. Die Musterbedingungen des Gesamtverbands der Versicherungswirtschaft nennen Obliegenheiten, die vor dem Schaden erfüllt sein müssen – individuelle Zugänge, Schutz gegen Schadsoftware, zeitnahe Updates, eine mindestens wöchentliche Sicherung, die niemand vom Netz aus löschen kann. Wer sie nicht erfüllt, riskiert im Schadenfall Kürzung oder Ablehnung. Diese Seite übersetzt sie in Technik und Nachweise.Ansehen →

Phishing & RansomwareFast jeder Angriff auf ein mittelständisches Haus beginnt nicht mit Technik, sondern mit einer Nachricht: einer E-Mail, die nach dem Paketdienst aussieht, einem Anruf, der nach dem Geschäftsführer klingt, einem QR-Code auf einem Brief. Was danach kommt – gestohlene Zugangsdaten, gefälschte Überweisungen, verschlüsselte Server – folgt einem Muster. Diese Seiten beschreiben das Muster, die Stellen, an denen es sich brechen lässt, und was in den ersten Stunden zu tun ist, wenn es nicht gelungen ist.Ansehen →

Absenderschutz, eingerichtet und ausgewertet

Wir erfassen alle Dienste, die in Ihrem Namen senden, setzen SPF, DKIM und DMARC, werten die Berichte aus und stellen die Richtlinie schrittweise auf Abweisung um – ohne dass dabei eine echte Rechnung im Spam landet.

Störung sofort melden