SPF, DKIM, DMARC: Warum jeder in Ihrem Namen mailen kann
Ohne drei Einträge in Ihrer Domain kann jeder Absender der Welt Mails verschicken, die aussehen wie Ihre – inklusive gefälschter Rechnungen an Ihre Kunden. SPF, DKIM und DMARC in Alltagsdeutsch, mit Selbsttest und ehrlicher Einordnung.
Schauen Sie auf die Absenderzeile einer beliebigen E-Mail. Was dort steht, hat ungefähr so viel Beweiskraft wie der Absender auf einem Briefumschlag. Jeder kann draufschreiben, was er will.
Das gilt auch für Ihre Firmenadresse. Solange drei bestimmte Einträge in Ihrer Domain fehlen, kann jeder Mensch auf der Welt Mails verschicken, die aussehen, als kämen sie von info@ihrbetrieb.de. An Ihre Kunden. Mit Ihrer Signatur. Mit einer gefälschten Rechnung im Anhang.
Die Absicherung dagegen heißt SPF, DKIM und DMARC. Drei sperrige Kürzel, drei einfache Ideen. Und der Aufwand? Überschaubar. Meist ein Nachmittag, wenn man weiß, wo man hinfasst.
Das Szenario, das kleinen Betrieben wirklich passiert
Ein Malerbetrieb verschickt seine Rechnungen per Mail, so wie fast jeder Betrieb heute. Eines Tages erhält ein Stammkunde eine Nachricht, scheinbar von der vertrauten Adresse: »Unsere Bankverbindung hat sich geändert, bitte überweisen Sie den offenen Betrag auf folgendes Konto.« Der Kunde überweist. Das Geld ist weg. Und der Kunde ist überzeugt, der Malerbetrieb sei gehackt worden.
Das Perfide daran: Der Betrieb wurde gar nicht gehackt. Niemand ist in ein Postfach eingebrochen, niemand hat ein Passwort geknackt. Der Absender wurde schlicht gefälscht. Das Fachwort dafür ist Spoofing. Diese Fälschung kostet Kriminelle praktisch nichts, läuft automatisiert und trifft jede Domain, die sich nicht wehrt. Am Ende streiten zwei Geschädigte darüber, wer den Schaden trägt, und das Vertrauen ist auf beiden Seiten beschädigt.
Falls Sie gerade denken, Ihr Betrieb sei für so etwas zu klein: Diesen Reflex kenne ich gut, und an anderer Stelle habe ich ihn Stück für Stück zerlegt. Kurzfassung: Fälschen kostet nichts. Also wird wahllos gefälscht. Auch in Ihrem Namen.
Warum E-Mail das überhaupt mitmacht
E-Mail stammt technisch aus einer Zeit, in der sich die Beteiligten im Netz noch persönlich kannten. Eine Absenderprüfung war nie eingebaut. Das Protokoll glaubt, was man ihm sagt, und daran hat sich bis heute nichts geändert.
Die Reparatur wurde nachträglich erfunden: drei öffentliche Einträge im sogenannten DNS. Das ist, vereinfacht gesagt, das Telefonbuch des Internets, in dem Ihre Domain verzeichnet ist. Diese Einträge kann jeder empfangende Mailserver nachschlagen und damit prüfen: Kommt diese Mail wirklich von dem Absender, der draufsteht?
SPF, DKIM, DMARC: übersetzt in je einem Satz
SPF ist eine öffentliche Liste der Server, die in Ihrem Namen senden dürfen: die Gästeliste für den Türsteher des Empfängers.
DKIM ist ein digitales Siegel, das Ihr Mailserver auf jede ausgehende Mail drückt. Ist das Siegel gebrochen oder fehlt es, stimmt etwas nicht.
DMARC ist Ihre Ansage an alle Empfänger, was mit durchgefallenen Mails passieren soll: durchlassen, in den Spam sortieren oder abweisen. Und auf Wunsch bekommen Sie Berichte darüber, wer da gerade in Ihrem Namen zu senden versucht.
| Kürzel | Steht für | Im Alltag ist das |
|---|---|---|
| SPF | Sender Policy Framework | die Gästeliste: Nur diese Server dürfen für meine Domain senden. |
| DKIM | DomainKeys Identified Mail | das Siegel: Diese Mail stammt wirklich von mir und wurde unterwegs nicht verändert. |
| DMARC | Domain-based Message Authentication, Reporting and Conformance | die Hausordnung: So geht ihr mit Fälschungen um, und ihr meldet sie mir. |
Alle drei zusammen ergeben erst den vollen Schutz. SPF ohne DMARC ist eine Gästeliste, an die sich niemand halten muss. Erst DMARC macht aus der Prüfung eine Konsequenz.
Der Nebeneffekt, der bares Geld wert ist
Dieselben drei Einträge entscheiden längst auch darüber, ob Ihre echten Mails ankommen. Google und Yahoo haben ihre Regeln für Absender 2024 deutlich verschärft: Wer ohne saubere Authentifizierung sendet, landet schneller im Spam oder wird gar nicht erst angenommen. Microsoft zieht bei Outlook nach. Die Richtung ist eindeutig: Unsignierte Mail wird zur Mail zweiter Klasse.
Für Sie heißt das konkret: Das Angebot, das Sie gestern an einen Interessenten geschickt haben, liegt womöglich in dessen Spam-Ordner. Der Interessent ruft nicht an und sagt Bescheid. Er beauftragt den Wettbewerber, dessen Mail angekommen ist. SPF, DKIM und DMARC sind darum kein Sicherheitszubehör, sondern eine Zustellbedingung. Wer Rechnungen, Angebote oder Terminbestätigungen per Mail verschickt, kann sich stille Nichtzustellung nicht leisten.
Selbsttest: In fünf Minuten wissen, wo Sie stehen
Dafür brauchen Sie kein Technikstudium, nur ein Gmail-Postfach als Testempfänger. Gmail zeigt nämlich in den Kopfzeilen jeder Mail an, welche Prüfungen sie bestanden hat.
- Senden Sie eine Mail von Ihrer Firmenadresse an ein privates Gmail-Postfach. Ein kostenloses Konto reicht für den Test.
- Öffnen Sie die Mail in Gmail im Browser, klicken Sie auf die drei Punkte rechts oben und wählen Sie »Original anzeigen«.
- Oben erscheint eine kleine Übersicht mit den Zeilen SPF, DKIM und DMARC. Steht dort dreimal »PASS«, ist Ihre Domain grundlegend geschützt.
- Steht dort »FAIL« oder fehlt eine der Zeilen komplett, fehlt mindestens einer der drei Einträge. Dann ist Ihre Domain fälschbar.
Sie möchten sich das nicht antun? Müssen Sie nicht. Ich prüfe Ihre Domain im kostenlosen Erstgespräch. Das dauert wenige Minuten, und Sie brauchen dafür nichts zu installieren.
Wo der Schutz aufhört und wann Sie ihn nicht brauchen
SPF, DKIM und DMARC schützen exakt Ihre Domain, nicht deren Verwechslungen. Eine Mail von ihrbetrieb-service.de oder von einer Adresse mit vertauschten Buchstaben bleibt weiterhin möglich. Gegen solche Tricks hilft kein DNS-Eintrag, sondern nur Aufmerksamkeit beim Empfänger.
Und wann brauchen Sie das alles nicht? Wenn Sie keine eigene Domain haben, gibt es schlicht nichts einzutragen. Dann sendet Ihr Freemail-Anbieter unter seinem Namen und pflegt seine eigenen Einträge. Außerdem setzen viele deutsche Mail-Hoster SPF und DKIM beim Einrichten inzwischen automatisch. Erst testen, dann handeln. Wer Ihnen ein »E-Mail-Security-Paket« im Monatsabo verkaufen will, bevor überhaupt jemand nachgesehen hat, verkauft Ihnen Nebel.
Eine Warnung gehört ebenfalls zur Ehrlichkeit: DMARC lässt sich scharf stellen, sodass Fälschungen hart abgewiesen werden. Wer das an Tag eins tut, riskiert, dass auch legitime Mails verschwinden, etwa vom Newsletter-Tool oder von der Buchhaltungssoftware, die in Ihrem Namen sendet. Der saubere Weg geht schrittweise: erst beobachten, Berichte lesen, dann verschärfen.
Einmal einrichten. Und dann?
Die gute Nachricht: Die drei Einträge sind kein Abo und keine Software, sondern ein Stück Konfiguration. Einmal sauber gesetzt, laufen sie. Anfassen muss man sie nur, wenn sich etwas ändert: neuer Mail-Anbieter, neues Newsletter-Tool, ein neues Programm, das in Ihrem Namen mailt. Bei meinen Betreuungskunden gehört genau diese Pflege dazu, die laufende IT-Betreuung gibt es ab 149 Euro im Monat. Wer die Einträge lieber einmalig einrichten lassen will, kann das genauso haben.
Zwischen Ihrer Domain und der nächsten gefälschten Rechnung in Ihrem Namen stehen genau drei Einträge. Gesetzt oder nicht, dazwischen gibt es nichts. Im kostenlosen Erstgespräch schlage ich Ihre Domain nach und sage Ihnen, ob SPF, DKIM und DMARC greifen oder ob heute noch jeder in Ihrem Namen mailen kann.
