DMARC, SPF & DKIM: E-Mail-Authentifizierung, die Ihre Domain schützt

DMARC ist der Standard, mit dem Sie verhindern, dass Kriminelle E-Mails im Namen Ihrer Domain versenden. Für kleine und mittlere Unternehmen ist E-Mail-Authentifizierung längst keine Kür mehr, sondern Pflicht: Ohne die korrekte Kombination aus SPF, DKIM und DMARC riskieren Sie, dass Ihre Domain für Phishing missbraucht wird und dass legitime Nachrichten im Spam-Ordner Ihrer Empfänger landen. In diesem Ratgeber erklären wir, was die drei Verfahren jeweils leisten, wie Sie sie schrittweise einführen und welche Fehler Sie vermeiden sollten.

Warum E-Mail-Authentifizierung heute unverzichtbar ist

Das klassische E-Mail-Protokoll SMTP wurde ohne eingebaute Absenderprüfung entwickelt. Jeder kann grundsätzlich eine Nachricht verschicken, die vorgibt, von ihrer-firma.de zu stammen. Angreifer nutzen das für zwei Zwecke: Sie versenden Phishing- und CEO-Fraud-Mails im Namen Ihrer Geschäftsführung, und sie belasten den Ruf Ihrer Domain durch Massenversand von Spam. Beides trifft KMU besonders hart, weil ein glaubwürdig gefälschter Absender das Vertrauen von Kunden und Mitarbeitern direkt ausnutzt.

Hinzu kommt die Zustellbarkeit. Große Anbieter wie Google und Microsoft verlangen von Versendern zunehmend eine saubere Authentifizierung, damit Nachrichten überhaupt im Posteingang ankommen. Wer SPF, DKIM und DMARC nicht korrekt eingerichtet hat, riskiert Zustellprobleme bei genau den Empfängern, die für das Geschäft am wichtigsten sind.

SPF, DKIM und DMARC im Überblick

Die drei Verfahren ergänzen sich und werden über DNS-Einträge Ihrer Domain gesteuert. Erst im Zusammenspiel entfalten sie ihre volle Schutzwirkung.

SPF: Wer darf für meine Domain senden?

SPF (Sender Policy Framework) ist ein DNS-Eintrag, der festlegt, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Der empfangende Server prüft, ob die sendende IP-Adresse in dieser Liste steht. So verhindern Sie, dass beliebige fremde Server als Ihre Domain auftreten. Wichtig: SPF bezieht sich auf die technische Absenderadresse im Envelope, nicht auf die im Postfach sichtbare Absenderzeile.

DKIM: Wurde die Nachricht unterwegs verändert?

DKIM (DomainKeys Identified Mail) versieht jede ausgehende Nachricht mit einer kryptografischen Signatur. Der öffentliche Schlüssel liegt im DNS, der private Schlüssel bleibt beim Mailserver. Der Empfänger kann so prüfen, ob die E-Mail tatsächlich von Ihrer Domain autorisiert wurde und ob wesentliche Teile unterwegs unverändert geblieben sind.

DMARC: Was tun, wenn die Prüfung fehlschlägt?

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist die Klammer über SPF und DKIM. Es legt fest, wie Empfänger mit Nachrichten umgehen sollen, die die Prüfung nicht bestehen, und es stellt sicher, dass die sichtbare Absenderadresse zur authentifizierten Domain passt (sogenanntes Alignment). Zusätzlich liefert DMARC Reports, die Ihnen zeigen, wer im Namen Ihrer Domain versendet, legitim wie unrechtmäßig.

Schrittweise Einführung ohne Zustellrisiko

Der häufigste Fehler ist, DMARC sofort auf die schärfste Stufe zu stellen und damit versehentlich eigene, legitime Mails zu blockieren. Bewährt hat sich ein dreistufiges Vorgehen, das Sie beobachten und kontrolliert verschärfen können.

• Vorbereitung: Zuerst SPF und DKIM für alle Systeme einrichten, die in Ihrem Namen versenden, also Mailserver, Microsoft 365, Newsletter-Tools, ERP oder Ticketsysteme.
• Stufe 1 – Monitoring (p=none): DMARC im Beobachtungsmodus. Es wird noch nichts blockiert, aber Sie erhalten Reports und erkennen, welche Quellen wirklich für Sie senden.
• Stufe 2 – Quarantäne (p=quarantine): Nicht authentifizierte Nachrichten landen im Spam-Ordner. Sinnvoll, sobald alle legitimen Quellen sauber authentifiziert sind.
• Stufe 3 – Zurückweisung (p=reject): Nicht authentifizierte Nachrichten werden abgewiesen. Das ist das Ziel und bietet den stärksten Schutz gegen Spoofing.

Planen Sie zwischen den Stufen genügend Zeit ein, um die Reports auszuwerten. Gerade in der Monitoring-Phase tauchen oft vergessene Versanddienste auf, die noch nachträglich in SPF und DKIM aufgenommen werden müssen.

Typische Fehler in der Praxis

• SPF mit zu vielen DNS-Abfragen: Der Standard erlaubt maximal zehn Nachschlagevorgänge. Wer zu viele Dienste einbindet, überschreitet dieses Limit, und SPF schlägt fehl.
• Vergessene Versandquellen: Newsletter-, CRM- oder Rechnungssysteme werden oft übersehen und dann fälschlich blockiert.
• Fehlendes Alignment: SPF oder DKIM bestehen zwar, passen aber nicht zur sichtbaren Absenderdomain, sodass DMARC dennoch fehlschlägt.
• Direkter Sprung auf p=reject: Ohne vorherige Monitoring-Phase blockieren Sie mit hoher Wahrscheinlichkeit eigene, legitime E-Mails.
• Reports werden nicht ausgewertet: Ohne regelmäßige Auswertung bleibt DMARC ein leeres Versprechen.

E-Mail-Authentifizierung ist ein Baustein einer umfassenderen Strategie. Ergänzend sinnvoll sind technische Maßnahmen zur E-Mail-Sicherheit sowie die Sensibilisierung Ihrer Belegschaft, etwa durch Security-Awareness und Phishing-Simulationen. Nutzen Sie Microsoft 365, sollten die passenden Einstellungen zudem in der Microsoft 365 Administration sauber hinterlegt sein.

Häufige Fragen

Reicht SPF allein aus?

Nein. SPF prüft nur, ob ein Server senden darf, erkennt aber weder Manipulationen noch die sichtbare Absenderadresse. Erst SPF, DKIM und DMARC zusammen bieten wirksamen Schutz vor Spoofing und verbessern die Zustellbarkeit nachhaltig.

Kann DMARC eigene E-Mails blockieren?

Ja, wenn Sie ohne Monitoring-Phase direkt auf eine strenge Policy wechseln und nicht alle legitimen Versandquellen erfasst sind. Genau deshalb beginnt man mit p=none, wertet die Reports aus und verschärft erst danach schrittweise auf quarantine und reject.

Wie lange dauert die Einführung?

Das hängt von der Zahl Ihrer Versanddienste ab. Die technische Einrichtung ist schnell erledigt, die Monitoring-Phase sollte jedoch mehrere Wochen laufen, damit alle legitimen Quellen zuverlässig erkannt und sauber authentifiziert werden.

Sie möchten SPF, DKIM und DMARC ohne Zustellrisiko einführen und dabei einen festen Ansprechpartner an Ihrer Seite haben? Als inhabergeführtes IT-Systemhaus aus Köln unterstützt Sie netzorange gern – nehmen Sie Kontakt auf.