Niemand mailt mehr in deinem Namen. Außer dir.
Gefälschte Rechnungen mit deinem Absender, echte Mails im Spam-Ordner: Beides hat dieselbe Ursache und dieselbe Lösung. Wir richten SPF, DKIM und DMARC richtig ein, lesen die Berichte und stellen schrittweise scharf, bis Fälschungen abgewiesen werden und deine Post ankommt.
Der DMARC-Check läuft ohne Anmeldung und zeigt das Ergebnis in zehn Sekunden.
- p=rejectals Ziel, in Stufen
- 0 verloreneMails durch Beobachtungsphase
Was am Ende steht
Der Weg dorthin läuft über Wochen von Berichten, nicht über einen mutigen DNS-Eintrag am Freitagnachmittag.
Warum das Thema auf den Tisch gehört.
Absender fälschen kostet nichts und dauert eine Minute
Eine E-Mail mit deinem Firmennamen als Absender kann jeder Server der Welt verschicken, ganz ohne Einbruch und ohne gestohlenes Passwort. Der Schaden entsteht bei deinen Kunden: eine Rechnung mit fremder Bankverbindung, eine angebliche Kontoänderung, eine dringende Zahlungsanweisung vom Chef.
Verhindern lässt sich das nur mit drei DNS-Einträgen: SPF sagt, wer senden darf, DKIM unterschreibt jede Mail, DMARC sagt dem Empfänger, dass er Fälschungen ablehnen soll. Die meisten Domains haben höchstens zwei davon, und DMARC steht fast immer auf p=none, dem Modus, der nur beobachtet und nichts verhindert.
Derselbe Handgriff entscheidet, ob deine Mails ankommen
Google und Microsoft verlangen von Versendern seit 2024 SPF, DKIM und DMARC. Wer das nicht sauber hat, landet häufiger im Spam-Ordner, auch mit völlig legitimen Rechnungen und Angeboten. Absenderschutz und Zustellbarkeit sind technisch dieselbe Baustelle.
Die Gefahr steckt in der Abkürzung: Wer DMARC sofort scharf stellt, ohne die Berichte zu lesen, verliert echte Mails an vergessene Systeme wie den Newsletter-Dienst, den Drucker oder die Buchhaltung. Genau deshalb ist die Beobachtungsphase bei uns fester Bestandteil und keine Option.
Vier Bausteine,
eine Reihenfolge.
Die Technik ist überschaubar, die Reihenfolge entscheidet. Wer sie abkürzt, verliert echte Mails. Wer sie einhält, merkt von der Umstellung nichts, außer dass Fälschungen aufhören.
Bestandsaufnahme
Was steht heute in deinem DNS, und wer sendet wirklich in deinem Namen? Der kostenlose DMARC-Check liefert den ersten Blick, die Aggregatberichte danach die Wahrheit.
- Kostenloser DMARC-Check
- SPF-Lookups gezählt
- Alle Versandwege erfasst
Einrichtung
SPF vollständig und unter der Zehn-Lookup-Grenze, DKIM auf jedem sendenden System, DMARC mit Berichtsadresse. In der Reihenfolge, die keine Mail kostet.
- SPF unter 10 Lookups
- DKIM je Versandsystem
- DMARC mit Berichten
Berichte & Verschärfung
Wir lesen die Berichte, finden die vergessenen Systeme und heben die Richtlinie erst dann an: von p=none über p=quarantine bis p=reject.
- Aggregatberichte ausgewertet
- Vergessene Absender gefunden
- Schrittweise bis p=reject
Transportweg als Kür
Wenn die Pflicht steht: MTA-STS erzwingt verschlüsselte Zustellung zu dir, TLS-RPT meldet, wenn sie scheitert. Sinnvoll, sobald SPF, DKIM und DMARC sauber laufen.
- MTA-STS mit Regeldatei
- TLS-RPT-Berichte
- Erst testing, dann enforce
Von p=none
zu p=reject.
Acht bis zwölf Wochen, in denen die Berichte die Entscheidungen treffen. Jede Stufe wird erst gesetzt, wenn die vorherige über Wochen sauber läuft.
Prüfen & einrichten
DMARC-Check, dann die Grundeinrichtung: SPF vervollständigt und unter der Lookup-Grenze, DKIM je System, DMARC mit p=none und Berichtsadresse.
Berichte auswerten
Zwei bis vier Wochen Aggregatberichte, über einen vollen Rechnungslauf: Welche Systeme senden, welche fallen durch, welche hatte niemand auf dem Zettel?
Ausrichtung reparieren
Newsletter- und Versanddienste so umgestellt, dass SPF oder DKIM zur sichtbaren Absenderadresse passen. Der häufigste Grund, warum Berichte scheitern.
Schrittweise verschärfen
Erst p=quarantine, nach weiteren sauberen Wochen p=reject. Ab dann werden Fälschungen abgewiesen, statt zugestellt.
Im Blick behalten
Neue Dienste, neue Selektoren, auslaufende Schlüssel: In der Wartung lesen wir die Berichte turnusmäßig mit, weil sich sonst niemand mehr erinnert.
Landen deine Mails im Spam-Ordner?
Dann prüf zuerst die Domain statt der Formulierungen. Der DMARC-Check zeigt in zehn Sekunden, ob deine Absenderauthentifizierung der Grund ist.
Vom kostenlosen Check
bis zur scharfen Richtlinie.
Preise netto und indikativ. Mehr Domains oder Versandsysteme kalkulieren wir nach kurzem Blick auf den DMARC-Check.
Check & Fahrplan
0 €Werkzeug + 30 Minuten
Der DMARC-Check zeigt in zehn Sekunden, wo deine Domain steht. Im Erstgespräch machen wir daraus einen Fahrplan.
- DMARC-Check ohne Anmeldung
- SPF, DKIM, DMARC, MTA-STS geprüft
- 30 Minuten Einordnung
- Ehrliche Empfehlung, auch wenn sie „selbst machen“ lautet
Grundschutz
ab 690 €einmalig, netto
SPF, DKIM und DMARC sauber eingerichtet für eine Domain mit bis zu drei sendenden Systemen.
- SPF vollständig, unter 10 Lookups
- DKIM auf jedem Versandsystem
- DMARC mit Berichtsadresse
- Testmails über echte Empfangssysteme
- Doku aller Einträge
Bis p=reject
ab 990 ۟ber 8 bis 12 Wochen
Die komplette Strecke: Einrichtung, Berichtsauswertung, Ausrichtung der Versanddienste und die Verschärfung in Stufen.
- Alles aus dem Grundschutz
- Aggregatberichte über die volle Strecke
- Vergessene Systeme identifiziert
- p=quarantine und p=reject gesetzt
- Abschlussbericht mit Nachweis
Bei laufender Wartung ist die turnusmäßige Berichtsauswertung enthalten.
E-Mail-Sicherheit: häufige Fragen.
Wir haben doch DMARC. Reicht das nicht?
Kommt darauf an, was drinsteht. Bei den meisten Domains steht p=none, der reine Beobachtungsmodus: Der Eintrag existiert, Prüfwerkzeuge zeigen grün, aber gefälschte Mails werden weiterhin zugestellt. Schutz beginnt erst mit p=quarantine, richtig wirksam ist p=reject. Was bei dir steht, zeigt der kostenlose DMARC-Check in zehn Sekunden.
Können bei der Umstellung echte Mails verloren gehen?
Nur, wenn man die Reihenfolge abkürzt. Deshalb verschärfen wir erst, wenn die Aggregatberichte über Wochen zeigen, dass jedes eigene System die Prüfung besteht, inklusive Newsletter, Buchhaltung und dem Drucker, an den keiner denkt. Bei p=quarantine landet ein Fehler im Spam-Ordner und ist auffindbar, erst bei p=reject wäre er weg. Genau darum gibt es die Zwischenstufe.
Wie lange dauert die komplette Umstellung?
Die Einrichtung selbst ist an einem Tag erledigt. Danach entscheiden die Berichte: zwei bis vier Wochen Beobachtung, mindestens ein voller Monatslauf mit Rechnungen und Newslettern, dann die Stufen. Realistisch sind acht bis zwölf Wochen bis p=reject. Schneller geht es nur auf Kosten echter Mails.
Unser Newsletter läuft über einen Dienstleister. Ist das ein Problem?
Das ist der häufigste Stolperstein, Stichwort Ausrichtung: SPF und DKIM bestehen dann oft für die Domain des Dienstleisters, während deine Kunden deine Adresse sehen, und DMARC fällt trotzdem durch. Die Lösung ist bei jedem größeren Anbieter vorgesehen: eigene Absenderdomain verifizieren, eigener DKIM-Schlüssel. Wir richten das mit ein.
Brauchen wir auch MTA-STS und TLS-RPT?
Erst danach. Beide sichern den Transportweg eingehender Mail ab und sind Kür, kein Muss. Solange DMARC auf p=none steht, holt dieselbe Arbeitszeit an anderer Stelle deutlich mehr Sicherheit heraus. Wenn die Pflicht steht, richten wir die Kür gern ein, mit testing vor enforce.
Arbeitet ihr mit Microsoft 365 und IONOS?
Ja, und zwar täglich: Unsere eigene Mailumgebung läuft auf genau dieser Kombination. Die Einrichtung funktioniert aber bei jedem Anbieter, die Einträge liegen im DNS deiner Domain, nicht beim Postfachanbieter.
Zum Vertiefen im Tech-Blog: SPF, DKIM und DMARC erklärt, DMARC-Berichte auswerten, die Zehn-Lookup-Grenze, MTA-STS und TLS-RPT und E-Mail-Spoofing.
Zehn Sekunden Check,
dann weißt du, wo du stehst.
Prüf deine Domain im kostenlosen DMARC-Check. Wenn dabei etwas herauskommt, besprechen wir in 30 Minuten, was davon du selbst erledigen kannst und wo wir helfen.
Kein Verkaufsgespräch, nur eine ehrliche Einschätzung.