SPF DKIM DMARC einrichten: E-Mail-Sicherheit für KMU

Wenn jemand E-Mails im Namen deines Unternehmens verschickt, ohne je Zugriff auf dein Postfach gehabt zu haben, liegt das fast immer an drei fehlenden oder falsch gesetzten DNS-Einträgen. SPF, DKIM und DMARC sind die drei Mechanismen, die genau das verhindern: dass Kriminelle Rechnungen, Zahlungsaufforderungen oder Phishing-Nachrichten mit deiner Absenderadresse an deine Kunden schicken. Das Frustrierende daran: Der Schutz ist kostenlos, technisch überschaubar und trotzdem in erschreckend vielen österreichischen KMU entweder gar nicht oder halbherzig konfiguriert.

Dieser Beitrag erklärt, was SPF, DKIM und DMARC tun, in welcher Reihenfolge du vorgehst, und wo die typischen Stolperfallen liegen. Kein Marketing, sondern die Einträge, die du tatsächlich brauchst.

Warum deine Domain ohne Schutz jedem gehört

Das grundlegende Problem ist so alt wie E-Mail selbst: Die Absenderadresse in einer Nachricht kann jeder frei eintragen. Nichts im ursprünglichen Protokoll prüft, ob der Absender wirklich der ist, der er behauptet zu sein. Ein Angreifer kann also eine Mail von "buchhaltung@ihre-firma.at" verschicken, ohne jemals in dein System eingedrungen zu sein. Das nennt man Spoofing, und es ist die technische Grundlage für viele Phishing- und Betrugsmaschen, bei denen Kunden oder Mitarbeitende glauben, eine echte Nachricht von dir zu lesen.

SPF, DKIM und DMARC schließen diese Lücke gemeinsam. Keiner der drei reicht allein, und genau da liegt der häufigste Denkfehler.

SPF: Wer darf für dich senden

SPF (Sender Policy Framework) ist eine Liste. Du legst in einem DNS-Eintrag fest, welche Server berechtigt sind, E-Mails für deine Domain zu versenden. Empfangende Mailserver gleichen die tatsächliche Absender-IP mit dieser Liste ab.

Ein SPF-Eintrag ist ein TXT-Record und sieht typischerweise so aus:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all

Das include verweist auf die Server deines Mailanbieters. Das -all am Ende bedeutet: Alles, was nicht in der Liste steht, ist unerwünscht (Hard Fail). Solange du dir deiner Sache noch nicht sicher bist, verwenden viele zunächst ~all (Soft Fail), das verdächtige Mails markiert, aber nicht hart ablehnt.

Der klassische Fehler bei SPF ist die 10-Lookup-Grenze. Jedes include löst weitere DNS-Abfragen aus, und die Spezifikation erlaubt maximal zehn. Wer Google Workspace, einen Newsletter-Dienst, ein CRM und einen Rechnungsversand kombiniert, sprengt dieses Limit schneller als gedacht. Ist die Grenze überschritten, wird der gesamte SPF-Eintrag ungültig, und zwar oft, ohne dass es jemandem auffällt. Halte die Zahl der Includes bewusst niedrig und prüfe sie mit einem SPF-Checker.

DKIM: Eine Unterschrift, die keiner fälschen kann

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu. Dein Mailserver signiert mit einem privaten Schlüssel, der öffentliche Gegenpart liegt als DNS-Eintrag. Der empfangende Server prüft damit zwei Dinge: dass die Mail wirklich von deiner Domain autorisiert wurde und dass sie unterwegs nicht verändert wurde.

Anders als SPF überlebt DKIM auch Weiterleitungen, bei denen sich die sendende IP ändert. Das macht es zum robusteren der beiden Mechanismen. In der Praxis aktivierst du DKIM meist mit wenigen Klicks in der Administrationsoberfläche deines Anbieters (Google Workspace, Microsoft 365 und die meisten Hoster bieten das an), kopierst den generierten DNS-Eintrag und trägst ihn bei deinem Domain-Provider ein. Wichtig: Nach dem Einrichten muss die Signierung im Adminportal auch tatsächlich eingeschaltet werden, das wird gern übersehen.

DMARC: Der Chef, der die Regeln durchsetzt

SPF und DKIM prüfen jeweils nur einen Aspekt. DMARC (Domain-based Message Authentication, Reporting and Conformance) bringt beide zusammen und legt fest, was mit Nachrichten passieren soll, die durchfallen. Ohne DMARC entscheidet jeder empfangende Server selbst, und das Ergebnis ist unvorhersehbar.

Ein DMARC-Eintrag ist ebenfalls ein TXT-Record, unter _dmarc.ihre-firma.at:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.at

Das entscheidende Feld ist p (Policy). Es kennt drei Stufen, und die richtige Reihenfolge ist der Kern der ganzen Übung.

Der Weg von p=none zu p=reject

Spring niemals direkt auf die schärfste Stufe. Wer sofort p=reject setzt, ohne zu wissen, welche legitimen Dienste in seinem Namen versenden, blockiert unter Umständen die eigenen Rechnungen, Newsletter oder Terminbestätigungen. Der bewährte Weg verläuft in drei Etappen:

1. p=none: Überwachungsmodus. Nichts wird abgelehnt, aber du erhältst Reports darüber, wer in deinem Namen sendet. Diese Phase dient ausschließlich dazu, deine eigene Versandlandschaft kennenzulernen.
2. p=quarantine: Nicht authentifizierte Mails landen im Spam-Ordner statt im Posteingang. Diesen Schritt gehst du erst, wenn die Reports sauber aussehen und alle legitimen Absender korrekt durch SPF oder DKIM abgedeckt sind.
3. p=reject: Nicht authentifizierte Mails werden komplett abgewiesen. Das ist das eigentliche Ziel, denn erst hier ist Spoofing deiner Domain wirksam unterbunden.

Rechne für den gesamten Weg mit einigen Wochen, nicht mit einem Nachmittag. Die Zeit steckt nicht in der Konfiguration, sondern im geduldigen Auswerten der Reports.

DMARC-Reports lesen, ohne den Verstand zu verlieren

Sobald rua gesetzt ist, bekommst du aggregierte Reports von den großen Mailprovidern, meist als tägliche XML-Dateien. Roh sind die kaum lesbar: verschachtelte Tags, IP-Adressen, Zählerstände. Für den Einstieg reicht ein kostenloser oder günstiger DMARC-Report-Dienst, der die XML-Dateien einsammelt und grafisch aufbereitet.

Worauf du achtest: Tauchen in den Reports IP-Adressen oder Dienste auf, die durchfallen, aber trotzdem legitim sind? Das ist der häufigste Fund. Der vergessene Newsletter-Dienst, das Buchhaltungstool, das automatisch Rechnungen verschickt, das alte Ticketsystem. Jeder dieser Dienste muss entweder in deinen SPF-Eintrag aufgenommen oder mit eigenem DKIM ausgestattet werden, bevor du die Policy verschärfst. Erst wenn nur noch echte Absender sauber authentifiziert durchlaufen und der Rest offensichtlich Spoofing ist, ist der Sprung auf die nächste Stufe gefahrlos.

Die Fehler, die wir in der Praxis am häufigsten sehen

Ein paar Muster tauchen bei fast jeder Analyse wieder auf:

• Zu viele SPF-Lookups: Der Eintrag ist über die 10-Lookup-Grenze gewachsen und dadurch stillschweigend ungültig.
• Vergessene Versanddienste: Marketing verschickt über ein Tool, von dem die IT nichts weiß, und dessen Mails fallen nach der Verschärfung reihenweise durch.
• DMARC bleibt ewig auf p=none: Der Eintrag existiert, wird aber nie verschärft. Damit hast du zwar Reports, aber keinen tatsächlichen Schutz vor Spoofing.
• DKIM eingerichtet, aber nicht aktiviert: Der DNS-Eintrag liegt, die Signierung im Adminportal ist aber nie eingeschaltet worden.
• Nur eine Subdomain geschützt: Angreifer weichen gern auf ungenutzte Subdomains aus. Eine sp-Policy im DMARC-Eintrag deckt auch die ab.

Warum sich der Aufwand rechnet

Der finanzielle und rechtliche Aufwand für diese drei Einträge liegt nahe null, der Schutz ist aber substanziell. Du verhinderst, dass deine Domain für Betrug an deinen eigenen Kunden missbraucht wird, und verbesserst nebenbei deine Zustellraten, weil sauber authentifizierte Absender seltener im Spam landen. Für Unternehmen, die im Rahmen von NIS2 oder auf Wunsch größerer Geschäftspartner Sicherheitsnachweise erbringen müssen, ist eine korrekte E-Mail-Authentifizierung ohnehin eine der ersten Fragen, die auf den Tisch kommt.

Wenn du wissen willst, wie deine Domain heute dasteht, lässt sich das in wenigen Minuten prüfen. Mehr zu unserer Arbeit im Bereich /security findest du auf der Übersichtsseite. Und falls du den Weg von p=none zu p=reject nicht allein gehen möchtest: Vereinbare ein kostenloses Erstgespräch über /kontakt, dann sehen wir uns deine aktuellen Einträge gemeinsam an.