E-Mail-Authentifizierung für Unternehmen: SPF, DKIM und DMARC einfach erklärt
Wenn eine E-Mail scheinbar von Ihrer eigenen Firmenadresse an Ihre Kunden verschickt wird, ohne dass Sie sie tatsächlich gesendet haben – dann handelt es sich in der Regel um sogenanntes „Spoofing”: Betrüger geben sich als Ihr Unternehmen aus, um beispielsweise gefälschte Rechnungen zu verschicken oder Schadsoftware zu verbreiten. Für die Empfänger sieht eine solche Mail auf den ersten Blick völlig normal aus – schließlich stammt sie scheinbar von einer bekannten, vertrauenswürdigen Adresse.
Genau das lässt sich mit drei technischen Verfahren deutlich erschweren: SPF, DKIM und DMARC. In diesem Beitrag erkläre ich Ihnen verständlich, was sich hinter diesen drei Abkürzungen verbirgt, warum sie für Ihr Unternehmen wichtig sind – auch wenn Sie „nur” eine normale Website mit E-Mail-Postfächern betreiben – und wie die Einrichtung in der Praxis abläuft.
Warum das Thema auch kleine Unternehmen betrifft
Viele Unternehmer denken bei E-Mail-Sicherheit zunächst an den Schutz der eigenen Mitarbeiter vor Phishing-Mails, die von außen hereinkommen. Mindestens genauso wichtig ist aber die umgekehrte Richtung: Wird Ihre eigene Domain nicht ausreichend geschützt, können Kriminelle E-Mails versenden, die scheinbar von Ihnen stammen – etwa an Ihre Kunden, Lieferanten oder Geschäftspartner. Die Folgen reichen von einem beschädigten Ruf über verunsicherte Kunden bis hin zu echten finanziellen Schäden bei den Empfängern, für die im Zweifel auch Sie als vermeintlicher Absender in Erklärungsnot geraten können.
Zusätzlich hat das Thema noch einen ganz praktischen Nebeneffekt: Große E-Mail-Anbieter wie Google oder Microsoft prüfen inzwischen sehr genau, ob eine versendende Domain diese Schutzmechanismen korrekt eingerichtet hat. Fehlt das, landen Ihre ganz normalen Geschäfts-E-Mails zunehmend im Spam-Ordner Ihrer Kunden – ein Problem, das viele Unternehmen erst bemerken, wenn Kunden sich wundern, warum sie nie eine Antwort erhalten haben.
SPF: Wer darf im Namen Ihrer Domain E-Mails versenden?
SPF steht für „Sender Policy Framework”. Vereinfacht gesagt hinterlegen Sie damit eine Liste aller Server, die berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden – etwa Ihr eigener E-Mail-Anbieter, aber möglicherweise auch ein Newsletter-Tool oder ein CRM-System, das in Ihrem Namen Mails verschickt.
Technisch wird diese Information als sogenannter „TXT-Eintrag” im DNS Ihrer Domain hinterlegt – das ist eine Art öffentlich einsehbares Adressbuch, das im Hintergrund für jede Domain existiert. Empfangende E-Mail-Server prüfen bei eingehenden Nachrichten automatisch, ob der tatsächlich sendende Server auf dieser Liste steht. Ist das nicht der Fall, wird die Nachricht als verdächtig eingestuft – im besten Fall landet sie im Spam-Ordner, im schlechteren Fall wird die Absender-Domain generell als unzuverlässig eingestuft.
Praxis-Stolperfalle: Ein häufiger Fehler ist, dass beim Wechsel oder der Ergänzung eines neuen Tools (z. B. ein neues Newsletter-Programm) vergessen wird, den SPF-Eintrag entsprechend zu aktualisieren. Die Folge: Newsletter oder automatisierte Mails aus diesem Tool landen plötzlich im Spam.
DKIM: Eine digitale Unterschrift für Ihre E-Mails
DKIM steht für „DomainKeys Identified Mail” und funktioniert nach einem etwas anderen Prinzip als SPF. Beim Versand wird jede E-Mail mit einer Art digitaler Signatur versehen, die auf einem kryptografischen Schlüsselpaar basiert. Der empfangende E-Mail-Server kann anhand eines öffentlich hinterlegten Schlüssels (ebenfalls im DNS Ihrer Domain) prüfen, ob diese Signatur gültig ist – und damit sicherstellen, dass die E-Mail tatsächlich von einem autorisierten Server stammt und auf dem Transportweg nicht verändert wurde.
Vereinfacht lässt sich DKIM mit einem Siegel auf einem versiegelten Briefumschlag vergleichen: Ist das Siegel unversehrt, kann der Empfänger sicher sein, dass der Inhalt tatsächlich vom angegebenen Absender stammt und unterwegs nicht manipuliert wurde.
DMARC: Die Regel, was mit verdächtigen Mails passieren soll
SPF und DKIM prüfen jeweils für sich, ob eine E-Mail vertrauenswürdig erscheint. Was aber soll passieren, wenn eine Nachricht diese Prüfung nicht besteht? Genau das legt DMARC fest – „Domain-based Message Authentication, Reporting and Conformance”. Mit einem DMARC-Eintrag bestimmen Sie als Domain-Inhaber, wie ein empfangender Server mit E-Mails umgehen soll, die weder eine gültige SPF- noch DKIM-Prüfung bestehen:
- Keine Aktion (Monitoring): Die Mail wird trotzdem zugestellt, es wird lediglich ein Bericht erstellt
- Quarantäne: Die Mail wird typischerweise in den Spam-Ordner verschoben
- Ablehnung: Die Mail wird gar nicht erst zugestellt
Zusätzlich ermöglicht DMARC, dass Sie regelmäßige Berichte darüber erhalten, wer versucht, E-Mails im Namen Ihrer Domain zu versenden – ein nützliches Frühwarnsystem, um zu erkennen, ob Ihre Domain möglicherweise für Spoofing-Versuche missbraucht wird.
Wichtig für die Praxis: DMARC sollte nicht von heute auf morgen auf die strengste Einstellung (“Ablehnung”) gesetzt werden, ohne vorher zu prüfen, ob alle legitimen Versandwege (z. B. auch ein Newsletter-Tool) korrekt über SPF und DKIM abgesichert sind. Sonst kann es passieren, dass plötzlich auch die eigenen, gewollten E-Mails nicht mehr zugestellt werden. Ein schrittweises Vorgehen – erst beobachten, dann schrittweise verschärfen – hat sich in der Praxis bewährt.
Wie die drei Verfahren zusammenspielen
Man kann sich die drei Bausteine wie ein aufeinander aufbauendes Sicherheitssystem vorstellen:
- SPF legt fest, welche Server überhaupt senden dürfen
- DKIM stellt sicher, dass eine Nachricht tatsächlich unverändert von einem autorisierten Absender stammt
- DMARC definiert, was passieren soll, wenn eine Nachricht diese Prüfungen nicht besteht – und liefert Ihnen zusätzlich Berichte darüber
Erst das Zusammenspiel aller drei Verfahren bietet einen wirksamen Schutz. Viele Unternehmen haben zwar einen SPF-Eintrag eingerichtet (oft automatisch durch den Hosting- oder E-Mail-Anbieter vorgegeben), DKIM und insbesondere DMARC fehlen jedoch häufig komplett oder sind nur unvollständig konfiguriert.
Wie läuft die Einrichtung in der Praxis ab?
Die eigentliche Einrichtung erfolgt über sogenannte DNS-Einträge bei Ihrem Domain- oder Hosting-Anbieter. Grob läuft das in folgenden Schritten ab:
- Bestandsaufnahme: Welche Systeme versenden aktuell überhaupt E-Mails in Ihrem Namen? Dazu zählen der reguläre Mailserver, aber auch Newsletter-Tools, CRM-Systeme oder automatisierte Benachrichtigungen aus Ihrer Website (z. B. Formularbestätigungen).
- SPF-Eintrag erstellen oder anpassen: Alle ermittelten, berechtigten Versandquellen werden in einem einzigen SPF-Eintrag zusammengefasst.
- DKIM aktivieren: Für jeden relevanten Versanddienst wird ein eigenes Schlüsselpaar erzeugt und der öffentliche Teil im DNS hinterlegt.
- DMARC-Eintrag einrichten: Zunächst im Beobachtungsmodus, um zu prüfen, ob alle legitimen Mails korrekt erkannt werden, bevor die Einstellung schrittweise verschärft wird.
- Regelmäßige Kontrolle: DMARC-Berichte werden in gewissen Abständen ausgewertet, um neue, nicht autorisierte Versandversuche zu erkennen und die Konfiguration bei Bedarf anzupassen.
Dieser Prozess erfordert etwas Erfahrung, da fehlerhafte Einträge im schlimmsten Fall dazu führen können, dass eigene, gewollte E-Mails plötzlich nicht mehr ankommen. Eine sorgfältige, schrittweise Umsetzung ist hier wichtiger als eine schnelle „Alles auf einmal”-Lösung.
Was Sie selbst im Blick behalten können
- Führen Sie eine einfache Liste, welche externen Tools in Ihrem Namen E-Mails versenden (Newsletter, Buchungssystem, CRM) – diese Liste hilft bei jeder zukünftigen Anpassung der SPF- und DKIM-Konfiguration
- Achten Sie darauf, uns rechtzeitig zu informieren, wenn Sie ein neues Tool einführen, das E-Mails in Ihrem Namen versendet
- Bei Unsicherheit, ob Ihre eigenen Mails gut zugestellt werden: Ein Testversand an ein bekanntes, unabhängiges Postfach gibt oft schon einen ersten Hinweis, ob Nachrichten im Spam landen
Was ich für Sie übernehmen kann
- Vollständige Bestandsaufnahme aller E-Mail-Versandquellen Ihres Unternehmens
- Einrichtung und laufende Pflege von SPF- und DKIM-Einträgen für Ihre Domain
- Schrittweise, sorgfältige Einführung von DMARC inklusive Auswertung der Berichte
- Laufende Anpassung bei neuen Tools oder Änderungen an Ihrer E-Mail-Infrastruktur
Fazit
SPF, DKIM und DMARC klingen zunächst nach technischem Kleingedrucktem – tatsächlich handelt es sich aber um einen wirksamen und mittlerweile weitgehend etablierten Schutzmechanismus, der sowohl Ihre eigene Zustellbarkeit verbessert als auch verhindert, dass Kriminelle Ihre gute Reputation für ihre Zwecke missbrauchen. Einmal sorgfältig eingerichtet, läuft der Schutz zuverlässig im Hintergrund – ohne dass Sie sich im Alltag weiter darum kümmern müssen.
