Inhaltsverzeichnis
Eine E-Mail hat zwei Absenderangaben. Die eine sieht der Empfänger, die andere sein Mailserver. Beide lassen sich frei eintragen — so wie man auf einen Briefumschlag jeden beliebigen Absender schreiben kann.
Genau das ist E-Mail-Spoofing: Der Absender wird gefälscht, ohne dass irgendetwas gehackt werden muss. Kein Zugriff auf euer Postfach, kein gestohlenes Passwort, keine Sicherheitslücke. Nur ein Server und die Bereitschaft, in ein Feld einen fremden Namen zu tippen.
Die kurze Antwort
Spoofing lässt sich nicht durch Spamfilter verhindern, sondern nur durch drei DNS-Einträge: SPF, DKIM und DMARC. Sie sagen dem empfangenden Server, welche Absender echt sind — und was er mit dem Rest tun soll.
Ohne diese Einträge nimmt der Empfänger jede Mail an, auf der euer Name steht. Der Spamfilter greift erst danach, und er entscheidet nach Inhalt, nicht nach Herkunft. Eine gut formulierte Rechnung sieht für ihn aus wie eine gut formulierte Rechnung.
Warum das nicht euer Problem ist — bis es eines wird
Der Schaden entsteht nicht bei euch. Er entsteht bei euren Kunden, und die kommen damit zu euch.
Drei Muster, die uns in Mandaten begegnet sind:
Die gefälschte Rechnung. Ein Kunde erhält eine Rechnung mit eurem Briefkopf, eurer Adresse, eurem Ansprechpartner — und einer fremden Bankverbindung. Er zahlt. Das Geld ist weg, und die Frage nach der Schuld kommt zu euch.
Die Zahlungsänderung. Kurz vor einer bekannten Zahlung kommt eine Mail: „Unsere Bankverbindung hat sich geändert." Sie kommt scheinbar von euch, sie bezieht sich auf einen echten Vorgang, und sie kommt zum richtigen Zeitpunkt — weil der Angreifer den Schriftverkehr mitgelesen hat oder ihn erraten kann.
CEO-Fraud. Eine Mail vom Geschäftsführer an die Buchhaltung: dringend, vertraulich, bitte sofort überweisen. Der Absender stimmt, der Ton stimmt, die Eile verhindert die Rückfrage. Das Bundeskriminalamt führt diese Masche seit Jahren als eigenen Deliktsbereich.
Bei allen dreien ist die technische Grundlage dieselbe: Der Absender ließ sich fälschen, weil niemand widersprochen hat.
Was die drei Einträge tun
| Eintrag | Was er festlegt | Was ohne ihn passiert |
|---|---|---|
| SPF | Welche Server für eure Domain senden dürfen | Jeder Server darf in eurem Namen senden |
| DKIM | Eine kryptografische Unterschrift auf jeder Mail | Änderungen unterwegs bleiben unerkannt |
| DMARC | Was der Empfänger bei einem Durchfall tun soll | SPF und DKIM bleiben folgenlos |
Die dritte Zeile ist die wichtige. SPF und DKIM stellen nur fest, dass etwas nicht stimmt. Erst DMARC sagt dem Empfänger, dass er die Mail ablehnen soll. Ohne DMARC wird sie zugestellt — mit Prüfvermerk im Kopf, den kein Mensch liest.
Ausführlich steht das in SPF, DKIM und DMARC: was die drei wirklich tun.
Der häufigste Irrtum: „Wir haben doch DMARC"
Haben viele. Meistens so:
v=DMARC1; p=none
p=none heißt: beobachten, nicht handeln. Gefälschte Mails werden
zugestellt wie vorher. Der Eintrag ist da, Prüfwerkzeuge zeigen ihn an, und
geschützt ist nichts.
Als erster Schritt ist das richtig — man braucht ein paar Wochen Berichte,
bevor man verschärft. Als Endzustand ist es das Sicherheitsgefühl ohne die
Sicherheit. Bei der Mehrheit der Domains, die wir prüfen, steht p=none
länger als ein Jahr.
Was ihr in zehn Sekunden feststellen könnt
Der kostenlose DMARC-Check liest eure öffentlichen DNS-Einträge und zeigt, ob eure Domain für Fälschungen offensteht: SPF samt der oft übersehenen Zehn-Lookup-Grenze, die DMARC-Richtlinie, die DKIM-Selektoren. Ohne Anmeldung, ohne E-Mail-Adresse.
Drei Ergebnisse sind möglich:
- Kein DMARC-Eintrag — eure Domain steht offen. Jeder kann in eurem Namen schreiben, und kein Empfänger wird ihn daran hindern.
p=none— es wird beobachtet. Der Schutz ist vorbereitet, aber nicht eingeschaltet.p=quarantineoderp=reject— es wirkt. Dann lohnt der Blick auf die Berichte: Kommt eure eigene Mail überall durch?
Was ihr davon habt, wenn es steht
Der offensichtliche Teil ist der Schutz. Der weniger offensichtliche ist die Zustellbarkeit:
Google und Microsoft verlangen seit 2024 von Versendern mit größeren Mengen SPF, DKIM und DMARC. Wer das nicht hat, landet häufiger im Spam-Ordner — auch mit völlig harmlosen Mails. Die Einträge, die Fälschungen verhindern, sind dieselben, die dafür sorgen, dass eure Rechnungen ankommen.
Wenn es jemand machen soll
Wir richten SPF, DKIM und DMARC schrittweise ein: erst vollständig
aufnehmen, was sendet, dann p=none mit Berichtsadresse, Berichte
auswerten, und erst danach verschärfen — bis p=reject sicher steht, ohne
dass unterwegs Mail verloren geht.
Der letzte Punkt ist der, an dem es sonst schiefgeht. Wer p=reject setzt,
bevor jedes sendende System erfasst ist, verliert echte Mail und merkt es an
den Rechnungen, die nicht ankommen.
Erstgespräch vereinbaren — 30 Minuten, kostenlos, mit einer ehrlichen Einschätzung, auch wenn die Antwort lautet: Bei euch reicht eine Stunde Handarbeit.
