SPF, DKIM und DMARC: E-Mail-Authentifizierung erklärt

E-Mail ist über 40 Jahre alt und wurde nie für eine Welt voller Betrüger entworfen. Von Haus aus kann praktisch jeder eine Nachricht mit Ihrer Absenderadresse verschicken, ohne jemals Zugriff auf Ihr Postfach zu haben. Genau das nutzen Spam- und Phishing-Kampagnen aus.

Was ein gefälschter Absender anrichten kann:

Rechnungen und Mahnungen im Namen Ihres Unternehmens
Phishing-Mails an Ihre Kunden mit Ihrer Domain als Absender
CEO-Fraud, bei dem Mitarbeitende scheinbar Anweisungen der Geschäftsführung erhalten
Rufschaden, wenn Ihre Domain auf Spam-Listen landet
schlechtere Zustellung Ihrer echten Mails

Gegen diese Art von Missbrauch gibt es drei etablierte Bausteine: SPF, DKIM und DMARC. Sie ersetzen keine Endpoint-Sicherheit, sind aber die Grundhygiene für jede Domain, die E-Mails versendet.

SPF: Wer darf für meine Domain senden?

Das Sender Policy Framework, kurz SPF, ist ein Eintrag im DNS Ihrer Domain. Darin steht, welche Server überhaupt berechtigt sind, E-Mails für diese Domain zu verschicken.

Ein empfangender Mailserver prüft: Kam diese Nachricht von einem Server, der in der SPF-Liste steht? Wenn nicht, ist das ein Warnsignal.

Typische Einträge decken zum Beispiel den eigenen Mailanbieter, einen Newsletter-Dienst und ein CRM ab. Wichtig ist Vollständigkeit: Jeder legitime Versandweg muss enthalten sein, sonst landen echte Mails im Spam.

SPF hat aber eine Schwäche: Es prüft nur den technischen Versandweg, nicht die sichtbare Absenderadresse. Bei Weiterleitungen bricht SPF zudem oft. Deshalb ist SPF allein nicht genug.

DKIM: Eine digitale Unterschrift für jede Mail

DomainKeys Identified Mail, kurz DKIM, ergänzt SPF um eine kryptografische Signatur. Ihr Mailserver signiert ausgehende Nachrichten mit einem privaten Schlüssel. Der passende öffentliche Schlüssel liegt im DNS.

Der empfangende Server kann so zwei Dinge bestätigen:

Die Mail stammt tatsächlich von der angegebenen Domain.
Der Inhalt wurde unterwegs nicht verändert.

Der große Vorteil gegenüber SPF: DKIM übersteht viele Weiterleitungen, weil die Signatur an der Nachricht hängt und nicht am Versandweg.

DKIM allein sagt aber noch nicht, was passieren soll, wenn die Prüfung fehlschlägt. Genau diese Lücke schließt DMARC.

DMARC: Regeln und Sichtbarkeit

DMARC verbindet SPF und DKIM und beantwortet zwei Fragen, die vorher offen blieben:

Ausrichtung: Passt die sichtbare Absenderadresse zur geprüften Domain? Erst das verhindert echtes Spoofing.
Richtlinie: Was soll der Empfänger mit Mails tun, die durchfallen – nichts, in Quarantäne verschieben oder ablehnen?

Eine DMARC-Richtlinie kennt drei Stufen:

p=none – nur beobachten, nichts blockieren
p=quarantine – auffällige Mails in den Spam-Ordner
p=reject – auffällige Mails direkt abweisen

Fast noch wichtiger sind die DMARC-Reports. Empfänger schicken auf Wunsch aggregierte Berichte darüber, welche Server in Ihrem Namen gesendet haben. So sehen Sie erstmals, wer Ihre Domain wirklich nutzt – legitim und missbräuchlich.

Der sichere Weg zu p=reject

Der häufigste Fehler ist, sofort auf p=reject zu springen. Wer vorher nicht weiß, welche Dienste alle in seinem Namen senden, blockiert schnell eigene Rechnungen, Newsletter oder Ticketsysteme.

Bewährt hat sich ein stufenweises Vorgehen:

SPF und DKIM sauber für alle Versandwege einrichten.
DMARC mit p=none starten und Reports sammeln.
Reports auswerten, bis alle legitimen Absender bekannt und korrekt eingerichtet sind.
Auf p=quarantine wechseln, weiter beobachten.
Erst dann auf p=reject gehen.

Dieser Weg dauert je nach Umfeld einige Wochen. Er ist aber der Unterschied zwischen echtem Schutz und einem selbst verursachten Zustellungsproblem.

Was das für kleine Unternehmen bedeutet

Man hört oft: “Wir sind zu klein, um interessant zu sein.” Für Domain-Spoofing gilt das nicht. Angreifer automatisieren ihre Kampagnen und nehmen jede ungeschützte Domain mit. Gerade Handwerksbetriebe, Kanzleien und lokale Dienstleister werden gern für Rechnungsbetrug missbraucht, weil ihre Namen Vertrauen genießen.

Die gute Nachricht: SPF, DKIM und DMARC kosten in der Regel nichts außer der Einrichtung. Sie leben im DNS und bei Ihrem Mailanbieter, nicht in teurer Zusatzsoftware. Wichtig ist, dass die Konfiguration vollständig und wartbar bleibt – ein vergessener Dienst nach einem Anbieterwechsel reicht, um Mails zu verlieren.

Fazit

SPF, DKIM und DMARC gehören zusammen. SPF regelt den Versandweg, DKIM sichert die Nachricht kryptografisch ab, und DMARC verbindet beides mit klaren Regeln und wertvollen Reports.

Für jede Domain, die E-Mails versendet, sollten mindestens vorhanden sein:

ein vollständiger SPF-Eintrag über alle Versandwege
DKIM-Signaturen für ausgehende Mails
eine DMARC-Richtlinie, schrittweise von none bis reject

Wenn Sie wissen möchten, wie gut Ihre Domain heute gegen Missbrauch geschützt ist, prüfe ich das gerne für Sie.

E-Mail-Authentifizierung: SPF, DKIM und DMARC verständlich erklärt