Modul 4 · 4.1
Deutsch
SPF, DKIM und DMARC: So verhindern Sie gefälschte E-Mails in Ihrem Namen
Modul 4: E-Mail, Website und Domain · Lesezeit: 9 Minuten
Lernziel: Nach dieser Lektion können Sie erklären, wie SPF, DKIM und DMARC gemeinsam Missbrauch Ihrer Domain verhindern, wo ihre Grenze liegt, und den Stand Ihrer eigenen Domain prüfen und beurteilen.
Kernbegriffe: Spoofing, SPF, DKIM, DMARC, Alignment, Richtlinie none / quarantine / reject, DMARC-Berichte, Null-MX, Lookalike-Domain
Warum dies ein Sicherheitsthema ist
In Modul 1 haben Sie gesehen, wie Rechnungsbetrug funktioniert: Ein Kunde erhält eine E-Mail "von" factuur@example.com mit einer neuen IBAN. Wenn Ihre Domain nicht geschützt ist, muss ein Betrüger dafür nichts hacken. E-Mail wurde in den achtziger Jahren erfunden, ohne Kontrolle des Absenders. Jeder Mailserver der Welt kann eine Nachricht mit Ihrer Adresse im Feld "Von:" versenden. Das nennt man Spoofing.
Das Opfer sind dann nicht Sie, sondern Ihr Kunde oder Lieferant. Trotzdem ist es Ihr Name, der beschädigt wird, und oft Ihr Telefon, das klingelt. Deshalb gehört der Schutz Ihrer Maildomain in einen Sicherheitskurs, und nicht nur zum Thema "dafür sorgen, dass E-Mails ankommen".
Drei DNS-Einträge sorgen gemeinsam dafür, dass Empfänger gefälschte E-Mails in Ihrem Namen erkennen und ablehnen können: SPF, DKIM und DMARC. In dieser Lektion lernen Sie, was sie gemeinsam bewirken, was sie nicht leisten und wie Sie Ihre eigene Domain beurteilen. Die technischen Details (der Aufbau jedes Eintrags, die Fallstricke bei der Einrichtung) stehen im DNS-Kurs, Lektionen 4.3, 4.4 und 4.5, und demnächst im Kurs E-Mail in Ordnung (in Entwicklung).
Drei Kontrollen, eine Frage
| Eintrag | Was er aussagt | Wo er steht | Was der Empfänger prüft |
|---|---|---|---|
| SPF | "Diese Server dürfen in meinem Namen E-Mails versenden." | TXT-Eintrag auf example.com, beginnt mit v=spf1 | Kommt die E-Mail von einem Server, der in der Liste steht? Geprüft wird die technische Envelope-Adresse (Return-Path), nicht die "Von:"-Adresse. |
| DKIM | "Echte E-Mails von mir tragen diese Signatur." | TXT- oder CNAME-Eintrag auf <selector>._domainkey.example.com | Stimmt die digitale Signatur, und wurde die E-Mail unterwegs nicht verändert? |
| DMARC | "Gehört die erfolgreiche Prüfung zu meiner Domain? Falls nicht, tue dies." | TXT-Eintrag auf _dmarc.example.com, beginnt mit v=DMARC1 | Besteht SPF oder DKIM für die Domain in der "Von:"-Adresse? Das nennt man Alignment. |
Die wichtigste Erkenntnis: SPF und DKIM allein reichen nicht aus. Ein Betrüger kann eine E-Mail senden, die SPF einwandfrei für seine eigene Domain besteht und einwandfrei von seiner eigenen Domain signiert ist, während im Feld "Von:" info@example.com steht. Erst DMARC stellt die Verbindung zur Adresse her, die Ihr Kunde sieht. Und erst DMARC sagt dem Empfänger, was er tun soll, wenn es nicht stimmt.
Ein Empfänger vermerkt das Ergebnis in den Headern der E-Mail. In Lektion 3.3 haben Sie gelernt, diese zu lesen. Eine gefälschte E-Mail in Ihrem Namen sieht beim Empfänger zum Beispiel so aus:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF und DKIM bestehen, aber für eine andere Domain. DMARC schlägt fehl, und weil die Richtlinie von example.com auf reject steht, lehnt der Empfänger die E-Mail ab.
Die drei Richtlinien-Stufen von DMARC
| Richtlinie | Was Empfänger mit nicht bestandenen E-Mails tun | Was es Ihnen bringt |
|---|---|---|
p=none | Nichts, die E-Mail wird ganz normal zugestellt. | Berichte (wenn Sie rua= eintragen) und Einblick, wer in Ihrem Namen mailt. Noch kein Schutz. |
p=quarantine | In den Spamordner. | Gefälschte E-Mails fallen weniger auf, bestehen aber noch. |
p=reject | Ablehnen. | Der beste Schutz gegen Missbrauch Ihrer Domain. |
Viele Unternehmen bleiben jahrelang bei p=none. Das ist verständlich, denn es ist sicher für Ihre eigene E-Mail, aber es ist kein Endpunkt. Mit p=none haben Sie eine Alarmanlage, die anschlägt, aber die Tür nicht verschließt.
Die richtige Reihenfolge
Eine zu strenge Richtlinie bei einer Domain, bei der nicht alle Absender bekannt sind, lässt Ihre eigenen Rechnungen oder Newsletter verschwinden. Eine zu lasche Richtlinie lässt Betrüger gewähren. Die Reihenfolge, die für fast jeden funktioniert:
- Erstellen Sie eine Liste von allem, was in Ihrem Namen mailt. Ihr E-Mail-Anbieter, aber auch Ihre Website (Kontaktformular, Webshop), Ihr Buchhaltungsprogramm, Ihr Newsletter-Dienst, Ihr Terminsystem. Das vergessen die meisten Menschen am häufigsten.
- Bringen Sie SPF in Ordnung: genau ein Eintrag, alle Absender darin, endend auf
~all(sicherer Standard) oder-all(wenn Sie sicher wissen, dass die Liste stimmt). Niemals+all. - Aktivieren Sie DKIM für jeden Dienst, der das unterstützt, mit genau den Einträgen, die der Dienst angibt.
- Beginnen Sie DMARC mit
p=noneund einer Berichtsadresse (rua=mailto:dmarc@example.com). Schauen Sie sich einige Wochen lang in den Berichten an, welche Dienste bestehen und welche nicht. - Gehen Sie zu
p=quarantineund danach zup=reject, wenn Sie keine eigene E-Mail mehr fehlschlagen sehen.
Eine Domain, die niemals mailt (ein Markenname, den Sie nur reserviert haben, eine alte Domain) können Sie sofort streng absichern. Betrüger suchen gezielt nach solchen Domains, weil niemand sie im Blick hat:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Der Null-MX (0 .) sagt "hier kommt keine E-Mail an", -all sagt "niemand darf in dieser Domain mailen", und p=reject fordert Empfänger auf, alles abzulehnen.
Was es nicht verhindert
SPF, DKIM und DMARC schützen genau Ihren Domainnamen. Sie sind kein Phishing-Filter. Drei Dinge verhindern sie nicht:
- Lookalike-Domains. Ein Betrüger registriert
examp1e.exampleoderexample-facturen.exampleund richtet dort selbst sauber SPF, DKIM und DMARC ein. Diese E-Mail besteht überall. Nur das genaue Lesen der Domain (Lektion 3.2) hilft, sowie gegebenenfalls das Registrieren der naheliegendsten Varianten Ihres eigenen Namens. - Nur der Anzeigename. Eine E-Mail von
bakkerij.example.factuur@gratismail.examplemit dem Anzeigenamen "Bakkerij Example" hat mit Ihrer Domain nichts zu tun. DMARC prüft die Adresse, nicht den Namen. - Ein gehacktes Postfach. Meldet sich ein Angreifer bei
info@example.coman, versendet er E-Mails über Ihren echten Server. Diese E-Mail besteht SPF, DKIM und DMARC, denn technisch ist sie echt. Davor schützen starke Passwörter und Zwei-Faktor-Authentifizierung (Modul 2).
SPF, DKIM und DMARC beweisen, dass eine E-Mail von der Domain stammt. Sie beweisen nicht, dass der Domain zu vertrauen ist, und auch nicht, dass der Absender ist, wer er vorgibt zu sein.
Was es Ihnen und Ihren Kunden bringt
- Schutz Ihrer Kunden. Mit
p=rejectwerden gefälschte Rechnungen in Ihrem exakten Namen bei den großen E-Mail-Anbietern abgelehnt, bevor Ihr Kunde sie sieht. - Bessere Zustellung. Seit Februar 2024 verlangen Gmail und Yahoo von Absendern, die mehr als etwa 5.000 E-Mails pro Tag versenden, SPF, DKIM und DMARC (mindestens
p=none); Microsoft stellt diese Anforderung seit Mai 2025 für Outlook.com und Hotmail. Auch bei kleinen Absendern landet E-Mail mit guter Authentifizierung seltener im Spam. - Einblick in Missbrauch. Die DMARC-Berichte zeigen, wenn jemand versucht, Ihre Domain zu nutzen. Verwenden Sie dafür eine separate Adresse; Sie erhalten schnell mehrere Berichte pro Tag.
DMARC wurde im Mai 2026 als RFC 9989 überarbeitet, der RFC 7489 ersetzt. Bestehende Einträge mit v=DMARC1 funktionieren weiterhin ganz normal.
In der Praxis: So sieht es aus
Sie können den Stand jeder Domain prüfen, ohne etwas zu installieren. Unabhängig geht das mit dem Mailtest von internet.nl. Auch der öffentliche E-Mail-Check und die Domain-Gesundheitsprüfung von WebOké zeigen SPF, DMARC und MX mit einem grünen, orangefarbenen oder roten Punkt. Haben Sie Ihre Domain bei WebOké, finden Sie dieselbe Prüfung als Kachel auf der Domainseite in Mein WebOké, mit einer Schaltfläche, um einen fehlenden DMARC-Eintrag mit p=none hinzuzufügen. Bei anderen Anbietern funktioniert es vergleichbar: Suchen Sie nach "E-Mail-Authentifizierung" oder nach den DNS-Einstellungen Ihrer Domain.
Achten Sie bei jedem Tool darauf, was "grün" bedeutet. Manche Tools zeigen bereits bei p=none Grün an, weil der Eintrag gültig ist. Sicherheitstechnisch ist p=none Orange: Der Eintrag ist in Ordnung, der Schutz noch nicht.
Zusammenfassung
- Ohne Schutz kann jeder E-Mails mit Ihrer Adresse im Feld "Von:" versenden (Spoofing).
- SPF sagt, welche Server mailen dürfen, DKIM setzt eine Signatur, DMARC prüft, ob eines von beiden für die Domain besteht, die Ihr Kunde sieht, und sagt, was passieren soll, wenn das nicht der Fall ist.
- Reihenfolge: Absender erfassen, SPF, DKIM, DMARC
p=nonemit Berichten, dannquarantineundreject. Domains, die nicht mailen, sofort absichern. - Sie schützen nicht vor Lookalike-Domains, irreführenden Anzeigenamen oder einem gehackten Postfach.
p=noneist ein Anfang, kein Schutz.
Quiz
Aufgabe
Aufgabe A4.1: Den E-Mail-Schutz Ihrer Domain beurteilen. Geben Sie Ihren eigenen Domainnamen ein (haben Sie keinen, verwenden Sie sidn.nl). Das Programm fragt MX, SPF und DMARC ab und zeigt pro Bestandteil Grün, Orange oder Rot mit Erklärung. Tragen Sie anschließend ein, welche DMARC-Richtlinie eingestellt ist und was Ihr nächster Schritt wäre.
Aufgabe D4.1: Wer mailt im Namen Ihrer Domain? Erstellen Sie eine Liste aller Dienste, die E-Mails mit einer Adresse Ihrer Domain versenden: E-Mail-Anbieter, Website, Webshop, Buchhaltung, Newsletter, Terminsystem. Haken Sie pro Dienst ab, ob er in Ihrem SPF steht und ob er DKIM mit Ihrer eigenen Domain nutzt. Schreiben Sie auf, welche DMARC-Richtlinie Sie in drei Monaten erreichen möchten, und was dafür noch zu tun ist.
Aufgabe D4.1: Wer mailt im Namen Ihrer Domain?
So gehen Sie vor: (1) Schreiben Sie alle Dienste auf, die Mails mit einer Adresse Ihrer Domain versenden: Mailanbieter, Website und Kontaktformular, Webshop, Buchhaltung und Rechnungen, Newsletter, Termin- oder Reservierungssystem, CRM, Drucker oder Scanner, der mailt. (2) Suchen Sie pro Dienst in den Einstellungen oder der Anleitung, wie er SPF und DKIM für Ihre Domain regelt. (3) Senden Sie von jedem Dienst eine Testmail an sich selbst und betrachten Sie im Quelltext der Nachricht die Zeile Authentication-Results (Lektion 3.3). (4) Notieren Sie pro Dienst: spf=, dkim= mit header.d=, dmarc=.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.
- DNS-Kurs, Lektionen 4.3 (SPF), 4.4 (DKIM) und 4.5 (DMARC): https://www.weboke.de/dns-cursus
- Was ist DMARC? Erklärung in einfacher Sprache
- Wie funktioniert der SPF-Eintrag in der DNS?
- DMARC-Eintrag in DirectAdmin erstellen
- DirectAdmin Anleitung 5.7: SPF einrichten und ergänzen
- DirectAdmin Anleitung 5.8: DKIM aktivieren und überprüfen
- DirectAdmin Anleitung 5.9: DMARC einrichten
- Öffentlicher E-Mail-Check: https://www.weboke.de/e-mail-check
- Internet.nl, Mailtest (unabhängig): https://internet.nl