Glossar · IT-Sicherheit & Backup
Was sind SPF, DKIM, DMARC?
Kurz erklärt
SPF, DKIM, DMARC sind drei DNS-basierte Verfahren zur E-Mail-Authentifizierung. Gemeinsam weisen sie nach, dass eine E-Mail wirklich von Ihrer Domain stammt. Das schützt vor gefälschten Absendern und verbessert die Zustellbarkeit Ihrer Mails.
SPF, DKIM, DMARC sind drei Verfahren, mit denen Sie nachweisen, dass eine E-Mail wirklich von Ihrer Domain stammt. Sie werden als Einträge im DNS (dem Adressbuch des Internets) hinterlegt. Das schützt Ihre Kunden vor gefälschten Mails in Ihrem Namen und sorgt dafür, dass Ihre eigenen Mails zuverlässig ankommen.
SPF, DKIM, DMARC im Überblick
| Verfahren | Was es prüft | Wie |
|---|---|---|
| SPF (Sender Policy Framework) | Darf dieser Server für die Domain senden? | DNS-Eintrag mit der Liste erlaubter Absender-Server |
| DKIM (DomainKeys Identified Mail) | Ist die Mail unverändert und von der Domain signiert? | Digitale Signatur, öffentlicher Schlüssel im DNS |
| DMARC (Domain-based Message Authentication, Reporting and Conformance) | Was passiert, wenn die Prüfungen fehlschlagen? | Richtlinie im DNS (none, quarantine, reject) plus Berichte |
Alle drei Einträge pflegt in der Regel, wer Ihre Domain betreut, also Ihr Hoster oder IT-Dienstleister. Lizenzgebühren fallen dafür nicht an, wohl aber sorgfältige Pflege.
Wie arbeiten die drei Verfahren zusammen?
Kommt eine Mail an, fragt der empfangende Server im DNS Ihrer Domain nach. Er prüft, ob der sendende Server laut SPF erlaubt ist und ob die DKIM-Signatur passt.
DMARC verbindet beide Prüfungen mit der Absenderadresse, die der Empfänger sieht. Außerdem legt DMARC fest, was mit Mails passiert, die durchfallen: zustellen (none), in den Spam verschieben (quarantine) oder abweisen (reject).
Erst im Zusammenspiel von SPF, DKIM, DMARC entsteht ein wirksamer Schutz. Einzelne Einträge allein lassen Lücken, die Betrüger ausnutzen.
Warum SPF, DKIM, DMARC für Unternehmen wichtig sind
- Schutz vor Betrug: Ohne DMARC können Kriminelle E-Mails im Namen Ihrer Domain verschicken, etwa gefälschte Rechnungen mit geänderter Bankverbindung an Ihre Kunden.
- Zustellbarkeit: Google verlangt von allen Absendern an Gmail-Konten SPF oder DKIM. Wer täglich 5.000 oder mehr Mails an Gmail-Konten sendet, braucht zusätzlich DMARC und beide anderen Verfahren.
- Überblick: DMARC-Berichte zeigen, welche Dienste in Ihrem Namen senden, auch solche, die längst vergessen sind.
Das BSI hat mit der Technischen Richtlinie TR-03182 eigene Anforderungen an die E-Mail-Authentifizierung veröffentlicht. Sie richtet sich vor allem an Betreiber von E-Mail-Diensten, zeigt aber, welches Gewicht das Thema inzwischen hat.
Ein Beispiel: Ein Großhändler erfährt von Kunden, dass Rechnungen mit seinem Absender und einer fremden Kontonummer im Umlauf sind. Mit einer strengen DMARC-Richtlinie hätten große Postfachanbieter diese Mails abgewiesen.
So führen Sie SPF, DKIM, DMARC ein
- Bestandsaufnahme: Welche Systeme versenden Mails mit Ihrer Domain? Microsoft 365, Newsletter-Tool, Shop, CRM, Rechnungsprogramm.
- SPF anlegen: alle legitimen Absender aufnehmen. Die Zahl der DNS-Abfragen in einem SPF-Eintrag ist technisch begrenzt, deshalb nicht wahllos Dienste ergänzen.
- DKIM aktivieren: für jeden sendenden Dienst eigene Schlüssel einrichten.
- DMARC mit none starten: zunächst nur beobachten und Berichte auswerten.
- Schrittweise verschärfen: über quarantine zu reject, sobald alle legitimen Mails sauber authentifiziert sind. Microsoft empfiehlt ausdrücklich dieses stufenweise Vorgehen.
Planen Sie für die Beobachtungsphase einige Wochen ein. So sehen Sie auch Dienste, die nur selten Mails verschicken, etwa monatliche Rechnungsläufe.
Was bedeuten SPF, DKIM, DMARC für Ihr Unternehmen?
Für die Geschäftsführung geht es um Vertrauen und Erreichbarkeit. Kommen Angebote oder Rechnungen nicht an oder nutzen Betrüger Ihre Domain, leidet der Ruf Ihres Unternehmens.
- Nutzen: weniger gefälschte Mails in Ihrem Namen und eine bessere Zustellung eigener Mails.
- Kostenfaktoren: vor allem Arbeitszeit für Bestandsaufnahme, Einrichtung und Auswertung der Berichte, eventuell ein Dienst zur Berichtsauswertung.
- Risiko: Wird ein sendender Dienst vergessen, können bei strenger DMARC-Richtlinie legitime Mails abgewiesen werden.
- Typischer Fehler: DMARC bleibt dauerhaft auf none. Dann sehen Sie zwar Berichte, geschützt ist Ihre Domain aber nicht.
Gegen Phishing von fremden Domains hilft zusätzlich ein guter Spamfilter. Einrichtung und E-Mail-Schutz übernimmt auf Wunsch unsere Leistung rund um Hornetsecurity.
Häufige Fragen zu SPF, DKIM, DMARC
Schützt DMARC auch vor Phishing-Mails an meine Mitarbeitenden?
Nur vor Mails, die Ihre eigene Domain fälschen. Gegen Phishing von fremden Domains helfen E-Mail-Filter und geschulte Mitarbeitende.
Kann DMARC legitime Mails blockieren?
Ja, wenn ein sendender Dienst vergessen wurde. Deshalb beginnt man mit der Richtlinie none, wertet die Berichte aus und verschärft erst danach.
Brauche ich SPF, DKIM, DMARC auch als kleines Unternehmen?
Ja. Auch kleine Domains werden für gefälschte Rechnungen missbraucht, und große Postfachanbieter prüfen die Einträge routinemäßig. Der Aufwand ist überschaubar, wenn alle Absender bekannt sind.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema SPF, DKIM, DMARC
Leistung
Hornetsecurity für KMU — E-Mail-Sicherheit Made in Germany
Hornetsecurity 365 Total Protection ab 3,00 €/Lizenz zzgl. MwSt.: alle 4 Pläne im Vergleich, Archivierung, Sandbox ab Plan 2 und kostenlose Webinare.
Zur Leistung →Im Shop
Hornetsecurity Setup
E-Mail-Schutz scharf gestellt: MX-Umstellung im Parallelbetrieb, Spam-, Malware- und CEO-Fraud-Filter konfiguriert. 990 € netto einmalig, umgesetzt in 1 bis 3 Werktagen.
990,00 € – 1.490,00 €Preisspanne: 990,00 € bis 1.490,00 € zzgl. MwSt.
Zum Produkt →Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
