Eine gefälschte E-Mail im Namen der Geschäftsführung kann für ein mittelständisches Unternehmen reichen, um Zahlungsdaten zu ändern, Zugangsdaten abzugreifen oder Vertrauen bei Kunden zu beschädigen. Dieser Leitfaden zur E-Mail-Authentifizierung erklärt, wie Sie Ihre eigene Domain davor schützen, für fremde Absender missbraucht zu werden – und warum eine saubere Einrichtung zugleich die Zustellbarkeit Ihrer legitimen E-Mails verbessert.
Warum E-Mail-Authentifizierung für Unternehmen Pflicht ist
E-Mail bleibt der wichtigste Kommunikationskanal im Geschäftsalltag. Angebote, Rechnungen, Termine, Passwort-Resets und Nachrichten aus Microsoft 365 oder Fachanwendungen laufen darüber. Genau deshalb ist die Absenderadresse ein beliebtes Angriffsziel: Kriminelle versenden Nachrichten mit Ihrer Domain im sichtbaren Absenderfeld und geben sich als Geschäftsführung, Buchhaltung oder Lieferant aus.
Ohne technische Prüfung kann ein empfangender Mailserver kaum erkennen, ob eine Nachricht tatsächlich von einem berechtigten System stammt. Moderne Schutzmechanismen prüfen daher nicht nur, was im Absender steht, sondern auch, welcher Server die E-Mail verschickt hat und ob der Inhalt unterwegs verändert wurde.
Für Ihr Unternehmen geht es um mehr als den Schutz vor Phishing. Große Mailanbieter bewerten die Authentifizierung inzwischen deutlich strenger. Fehlen die erforderlichen Einträge oder passen sie nicht zusammen, landen legitime Nachrichten eher im Spamordner oder werden abgewiesen. Das betrifft insbesondere Rechnungsversand, Bewerberkommunikation, Newsletter und automatisierte E-Mails aus Warenwirtschaft, Website oder Ticketsystem.
Die drei Bausteine der E-Mail-Authentifizierung
SPF, DKIM und DMARC arbeiten zusammen. Jeder Mechanismus beantwortet eine andere Frage. Erst im Zusammenspiel entsteht ein belastbarer Schutz.
SPF: Welche Server dürfen für Ihre Domain senden?
Ein SPF-Eintrag wird im DNS Ihrer Domain hinterlegt. Er legt fest, welche Mailserver und Dienste berechtigt sind, E-Mails mit Ihrer Domain als Absender zu versenden. Der empfangende Server vergleicht dann die technische Versandquelle mit dieser Freigabeliste.
Das klingt einfach, scheitert in der Praxis aber häufig an übersehenen Systemen. Neben Microsoft 365 oder dem eigenen Mailserver senden oft auch ein CRM-System, ein Newsletter-Dienst, eine Telefonanlage, ein Webshop, ein Kopierer oder eine Anwendung für Rechnungen E-Mails. Fehlt einer dieser Dienste im SPF-Eintrag, kann dessen Versand fehlschlagen.
Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Mehrere getrennte Einträge sind ein häufiger Konfigurationsfehler. Zudem ist die Zahl der DNS-Abfragen begrenzt. Werden zu viele externe Dienste eingebunden, muss der Eintrag sauber konsolidiert werden. Eine pauschale Freigabe aller Server ist keine Lösung, weil sie den Zweck von SPF aufhebt.
DKIM: Ist die Nachricht wirklich unverändert?
DKIM versieht ausgehende E-Mails mit einer digitalen Signatur. Der öffentliche Schlüssel wird im DNS veröffentlicht, der private Schlüssel bleibt beim sendenden System. Der Empfänger kann dadurch prüfen, ob die E-Mail von einem autorisierten System signiert wurde und ob relevante Inhalte seit dem Versand verändert wurden.
DKIM ist besonders wertvoll, weil es bei korrekt konfigurierter Weiterleitung häufig zuverlässiger funktioniert als SPF. Allerdings können Systeme, die E-Mails nachträglich verändern – etwa durch eingefügte Hinweise oder bestimmte Archivierungsprozesse – eine Signatur ungültig machen. Deshalb gehört DKIM nicht nur eingerichtet, sondern auch im realen Versandweg geprüft.
Achten Sie auf ausreichend lange Schlüssel, eine nachvollziehbare Benennung der Selektoren und einen geregelten Schlüsselwechsel. Bei Cloud-Diensten erfolgt ein Teil der Einrichtung automatisiert, die notwendigen DNS-Einträge müssen dennoch korrekt übernommen und kontrolliert werden.
DMARC: Was soll bei einem Fehler passieren?
DMARC verbindet SPF und DKIM mit einer klaren Regel. Sie legen fest, wie empfangende Server mit Nachrichten umgehen sollen, die die Prüfungen nicht bestehen. Entscheidend ist dabei die sogenannte Alignment-Prüfung: Die geprüfte Domain muss zur sichtbaren Absenderdomain passen. So reicht es nicht aus, irgendeine fremde Domain technisch korrekt zu verwenden.
DMARC kennt drei grundlegende Richtlinien: `none` sammelt zunächst nur Informationen, `quarantine` empfiehlt eine Behandlung als verdächtige Nachricht und `reject` weist nicht authentifizierte E-Mails ab. Für den Anfang ist `none` sinnvoll, aber nicht als Dauerzustand. Ohne weitergehende Richtlinie erhalten Angreifer keine spürbare Hürde.
DMARC-Berichte zeigen, welche Systeme im Namen Ihrer Domain senden und ob die Prüfungen bestehen. Diese Berichte sind technisch und können umfangreich sein. Ihr eigentlicher Nutzen liegt darin, unbekannte Versandquellen aufzudecken, fehlerhafte Konfigurationen vor einer Verschärfung zu finden und Missbrauch früh zu erkennen.
Leitfaden zur E-Mail-Authentifizierung: So gehen Sie vor
Die sichere Reihenfolge ist wichtiger als ein schneller DMARC-Eintrag mit strenger Ablehnung. Wer zu früh auf `reject` stellt, kann eigene legitime Nachrichten blockieren. Gerade in Unternehmen mit gewachsenen Anwendungen ist eine Bestandsaufnahme der entscheidende erste Schritt.
Ermitteln Sie zunächst alle Domains und Subdomains, die für E-Mails verwendet werden. Prüfen Sie nicht nur die Hauptdomain, sondern auch Versanddomains für Newsletter, Portale oder Anwendungen. Erfassen Sie anschließend sämtliche Systeme und Dienstleister, die Nachrichten senden. Dazu gehören auch Geräte und Lösungen, die selten genutzt werden, etwa ein Alarmserver oder die Telefonanlage.
Danach richten Sie SPF und DKIM für jeden berechtigten Versandweg ein. Testen Sie den Versand an unterschiedliche Empfänger, beispielsweise externe Kundenadressen und große Mailanbieter. Prüfen Sie dabei die Nachrichtenkopfzeilen. Dort lässt sich nachvollziehen, ob SPF und DKIM bestanden haben und welche Domain jeweils geprüft wurde.
Im nächsten Schritt veröffentlichen Sie einen DMARC-Eintrag mit einer Monitoring-Richtlinie. Werten Sie die Berichte über mehrere Wochen aus. Dieser Zeitraum sollte typische Geschäftsabläufe abdecken: Monatsabrechnungen, Kampagnen, Bewerbungsphasen oder saisonale Mailings. Taucht ein unbekannter Absender auf, klären Sie zuerst, ob es sich um einen vergessenen Dienst oder um Missbrauch handelt.
Wenn alle legitimen Versandquellen sauber authentifiziert sind, erhöhen Sie die Richtlinie schrittweise. Viele Unternehmen beginnen mit einer Quarantäne für einen Teil der Nachrichten und gehen erst nach stabiler Beobachtung zu `reject` über. Wie schnell dieser Weg sinnvoll ist, hängt von der Anzahl der Versanddienste und der Qualität Ihrer Dokumentation ab.
Typische Fehler, die Zustellung und Schutz gefährden
Der verbreitetste Fehler ist ein SPF-Eintrag, der nur Microsoft 365 berücksichtigt, obwohl weitere Anwendungen im Einsatz sind. Ebenso kritisch sind doppelte SPF-Einträge, abgelaufene DKIM-Schlüssel oder DNS-Änderungen nach einem Dienstleisterwechsel.
Auch DMARC wird oft missverstanden. Ein Bericht bedeutet nicht automatisch, dass ein Angriff stattgefunden hat. Er kann auf eine legitime, aber falsch konfigurierte Anwendung hinweisen. Umgekehrt ist eine Richtlinie `none` keine aktive Abwehr. Sie liefert Transparenz, schützt Ihre Domain aber noch nicht wirksam vor einer missbräuchlichen Nutzung.
Besondere Aufmerksamkeit brauchen Weiterleitungen. Eine E-Mail, die von einem externen Server weitergeleitet wird, kann bei SPF scheitern, weil sich die Versand-IP ändert. DKIM und eine korrekt konfigurierte DMARC-Strategie helfen, solche Fälle besser einzuordnen. Auch Subdomains sollten bewusst geregelt werden. Andernfalls können sie ungewollt zu einer Lücke in der Absenderpolitik werden.
Betrieb, Kontrolle und klare Zuständigkeiten
E-Mail-Authentifizierung ist keine einmalige DNS-Aufgabe. Neue Software, ein Wechsel des Newsletter-Dienstes oder die Einführung eines Ticketsystems können die Konfiguration beeinflussen. Deshalb sollte jede Änderung am E-Mail-Versand Teil eines geregelten IT-Prozesses sein.
Dokumentieren Sie, welche Systeme unter welcher Domain senden dürfen, wer DNS-Änderungen freigibt und wer DMARC-Berichte bewertet. Für kleinere und mittlere Unternehmen ist es meist sinnvoll, diese Verantwortung klar bei einem internen IT-Verantwortlichen oder einem festen externen Ansprechpartner zu bündeln. So gehen Änderungen nicht verloren, und im Störungsfall ist schnell nachvollziehbar, was angepasst wurde.
Ergänzend bleibt der Schutz der Postfächer selbst unverzichtbar: Mehrfaktor-Authentifizierung, sichere Kennwörter, aktuelle Endgeräte und klare Prozesse für Zahlungsfreigaben gehören dazu. SPF, DKIM und DMARC verhindern nicht jeden Betrugsversuch. Sie erschweren aber gezielt den Missbrauch Ihrer eigenen Domain und geben Empfängern ein verlässlicheres Signal.
Wenn Ihre Domain für Kunden, Lieferanten und Mitarbeitende steht, sollte sie technisch genauso sorgfältig geschützt sein wie Ihre übrige IT-Infrastruktur. Eine sauber gepflegte E-Mail-Authentifizierung schafft Vertrauen im laufenden Geschäft – und verhindert, dass ein vermeintlich vertrauter Absender zum Einfallstor wird.