Ratgeber · 3 Min. Lesezeit
SPF, DKIM und DMARC: So schützen Unternehmen ihre E-Mail-Domain
Von Siegfried Graf, IT-Service 38 · Stand: Oktober 2026
Kurz gesagt
SPF erlaubt Mailservern, für Ihre Domain zu senden; DKIM sichert die Herkunft einer Nachricht kryptografisch ab; DMARC bewertet die Ergebnisse und steuert den Umgang mit verdächtigen E-Mails. Wer die Regeln schrittweise richtig konfiguriert, erschwert Domain-Spoofing und vermeidet unnötige Zustellprobleme.
Warum gefälschte Absender ein Problem sind
Wenn eine E-Mail scheinbar von der eigenen Geschäftsführung stammt, vertrauen Mitarbeitende ihr häufig schneller. Angreifer nutzen diese Erwartung, um gefälschte Rechnungen, Login-Links oder Zahlungsanweisungen zu verschicken. Technische Absenderprüfungen helfen den empfangenden Mailservern dabei, echte und unberechtigte Nachrichten besser zu unterscheiden. Sie sind aber nur ein Teil der E-Mail-Sicherheit: Auch ein echtes Konto kann kompromittiert werden, und nicht jeder Angriff lässt sich allein über die Absenderdomain erkennen.
SPF: Welche Systeme dürfen für Ihre Domain versenden?
Über einen SPF-Eintrag im DNS lässt sich beschreiben, welche Mailserver berechtigt sind, Nachrichten im Namen einer Domain zu verschicken. Das kann Microsoft 365, ein externer E-Mail-Sicherheitsdienst oder ein anderer erlaubter Versanddienst sein. Ein häufiger Fehler besteht darin, nur den Haupt-Mailserver zu berücksichtigen, obwohl zusätzlich eine Buchhaltungssoftware, ein CRM oder ein Newsletter-Werkzeug E-Mails versendet. Wer solche Systeme übersieht, riskiert Zustellprobleme. Deshalb gehört eine Liste aller legitimen Absenderdienste an den Anfang der Einrichtung.
DKIM: Eine technische Signatur für ausgehende E-Mails
DKIM fügt einer E-Mail eine kryptografische Signatur hinzu, die empfangende Systeme anhand eines öffentlichen DNS-Schlüssels prüfen können. Das hilft zu erkennen, ob bestimmte signierte Inhalte unterwegs verändert wurden und welcher Domain die Signatur zugeordnet ist. Die Signatur ersetzt keine Ende-zu-Ende-Verschlüsselung und beweist auch nicht, dass der Inhalt einer Nachricht wahr ist. Sie ist vielmehr ein technischer Baustein zur Bewertung der Absenderauthentizität.
DMARC: Regeln und Berichte statt Blindflug
DMARC baut auf SPF und DKIM auf. Es definiert, wie empfangende Systeme mit Nachrichten umgehen sollen, die die entsprechenden Authentifizierungs- und Domainabgleich-Prüfungen nicht bestehen. Außerdem können Berichte über solche Nachrichten erzeugt werden. Unternehmen beginnen häufig mit einer beobachtenden Richtlinie, um legitime Absenderdienste zu identifizieren. Danach lassen sich Regeln schrittweise verschärfen, wenn sicher ist, dass echte Geschäftspost nicht versehentlich blockiert wird.
Legitime Buchhaltung, CRM und Newsletter berücksichtigen; Ergebnisse beobachten, bevor Regeln verschärft werden.
Warum die strengste Einstellung nicht der beste erste Schritt ist
Eine zu früh verschärfte DMARC-Richtlinie kann dazu führen, dass Rechnungen aus der Buchhaltungssoftware, automatische Terminnachrichten oder Newsletter beim Empfänger nicht mehr ankommen. Das eigentliche Ziel ist nicht ein besonders strenger TXT-Eintrag, sondern ein verlässlicher Mailfluss mit möglichst wenig Missbrauch. Deshalb müssen zuerst alle Sender erfasst, korrekt authentifiziert und die Ergebnisse beobachtet werden. Erst dann sollte entschieden werden, welche Richtlinie zum Betrieb passt.
Welche Systeme müssen berücksichtigt werden?
Neben Microsoft 365 können unter anderem CRM-Systeme, Webformulare, Newsletterdienste, Buchhaltungslösungen, Drucker mit Scan-to-Mail und externe Support-Systeme Nachrichten über dieselbe Domain versenden. Manche dieser Dienste nutzen eigene Rücksendeadressen oder Signaturdomains. Bei der Planung lohnt sich daher ein genauer Blick in DNS-Einstellungen, Mailprotokolle und den tatsächlichen Versand. Änderungen dürfen bestehende Mail- oder Sicherheitsdienste nicht versehentlich außer Betrieb setzen.
So führt IT-Service 38 den Domain-Schutz ein
Zunächst erfassen wir die vorhandenen Postfächer, Mailserver und externen Versanddienste. Anschließend prüfen wir SPF- und DKIM-Einstellungen und betrachten vorhandene DMARC-Berichte. Falls Anpassungen nötig sind, stimmen wir sie mit Ihnen ab und kontrollieren den Mailfluss nach jeder Änderung. Ziel ist, missbräuchliche Absender zu erschweren und zugleich die Erreichbarkeit Ihrer legitimen Geschäftspost zu erhalten. Die technische Betreuung erfolgt für Unternehmen aus Gifhorn, Wolfsburg und Braunschweig.
Häufige Fragen
- Verhindert DMARC jeden Betrugsversuch?
- Nein. Es erschwert bestimmte Formen der Absenderfälschung, kann aber kompromittierte echte Postfächer oder ähnlich aussehende fremde Domains nicht vollständig verhindern.
- Muss ich meine E-Mail-Domain wechseln?
- Normalerweise nicht. Die technische Authentifizierung wird über die bestehende Domain konfiguriert.
- Ist SPF allein ausreichend?
- Für eine robuste Konfiguration sollten SPF, DKIM und DMARC im Zusammenspiel betrachtet werden.
- Kann ich die Einträge selbst verändern?
- Grundsätzlich ja. Gerade bei mehreren Versanddiensten ist eine vorherige Prüfung wichtig, um keinen legitimen Mailverkehr zu blockieren.
Sie benötigen Unterstützung bei Ihrer IT?
Schildern Sie uns Ihr Anliegen – wir besprechen die nächsten Schritte.