E-Mail-Sicherheit: SPF, DKIM und DMARC – Warum KMU jetzt handeln müssen
Aktualisiert am: 19.08.2026
SPF, DKIM und DMARC sind drei DNS-Einträge, die verhindern, dass Fremde E-Mails im Namen Ihrer Domain versenden. SPF autorisiert die Absenderserver, DKIM signiert jede Nachricht kryptografisch, DMARC legt die Regel für Verstöße fest. Dieser Beitrag zeigt die Einrichtung Schritt für Schritt, den empfohlenen Zeitplan und die häufigsten Konfigurationsfehler.
Warum E-Mail das Haupteinfallstor bleibt
Trotz Teams, Slack und anderen Kollaborationstools bleibt die E-Mail der wichtigste Kommunikationskanal im Geschäftsverkehr – und damit das Haupteinfallstor für Angreifer. Das BSI warnte im Juli 2026 vor einer neuen Welle KI-gestützter Phishing-Kampagnen, deren Nachrichten sprachlich kaum noch von echten Behörden- oder Bankmitteilungen zu unterscheiden sind.
Während große Konzerne dedizierte E-Mail-Security-Teams betreiben, verlässt sich der Mittelstand häufig auf den Spam-Filter des Providers. Das reicht gegen KI-generierte Angriffe nicht mehr aus. Die technische Absicherung der eigenen Domain ist die Grundlage, auf der alle weiteren Schutzmaßnahmen aufbauen.
Was sind SPF, DKIM und DMARC?
E-Mail wurde in den 1970er-Jahren ohne Authentifizierung entworfen. Jeder Mailserver kann behaupten, im Namen jeder beliebigen Domain zu senden. SPF, DKIM und DMARC schließen diese Lücke nachträglich – und zwar auf DNS-Ebene, also ohne Software-Installation auf Endgeräten.
| Protokoll | Funktion | Schutz gegen |
|---|---|---|
| SPF (Sender Policy Framework) | Definiert per DNS-Record, welche IP-Adressen für eine Domain E-Mails versenden dürfen | Absender-Fälschung (Envelope-From) |
| DKIM (DomainKeys Identified Mail) | Signiert jede ausgehende Mail kryptografisch. Der öffentliche Schlüssel liegt im DNS | Manipulation des Inhalts während der Übertragung |
| DMARC (Domain-based Message Authentication) | Verknüpft SPF und DKIM und legt fest, was mit nicht-authentifizierten Mails passiert | Domain-Spoofing, CEO-Fraud, Brand-Impersonation |
Zusammen bilden diese drei Protokolle ein mehrstufiges Sicherheitsnetz: SPF prüft den Absender-Server, DKIM die Integrität der Nachricht und DMARC kombiniert beides mit einer verbindlichen Richtlinie für den Umgang mit Verstößen.
Warum E-Mail-Authentifizierung gerade jetzt kritisch ist
KI macht Phishing nahezu perfekt
Die Zeiten offensichtlicher Phishing-Mails mit gebrochenem Deutsch sind vorbei. Moderne KI-Tools generieren E-Mails, die den Tonfall des vermeintlichen Absenders exakt imitieren – einschließlich regionaler Formulierungen, interner Fachbegriffe und korrekter Signaturblöcke. Laut BSI-Lagebericht werden täglich 280.000 neue Schadprogramm-Varianten registriert, ein erheblicher Teil davon wird über E-Mail verbreitet.
Ohne SPF, DKIM und DMARC kann ein Angreifer E-Mails senden, die technisch von Ihrer Domain stammen – für Empfänger und deren Mailserver nicht von echten Nachrichten zu unterscheiden. Deepfake-gestützte KI-Phishing-Angriffe werden dadurch noch glaubwürdiger.
Google, Yahoo und Microsoft verlangen DMARC
Seit 2024 verlangen Google und Yahoo für Massen-Versender eine gültige DMARC-Konfiguration. Microsoft hat im Mai 2025 nachgezogen. Unternehmen ohne DMARC riskieren, dass ihre legitimen E-Mails im Spam-Ordner landen oder komplett abgelehnt werden – ein direkter Geschäftsschaden.
Reales Szenario: CEO-Fraud ohne DMARC
Ein Angreifer sendet eine E-Mail im Namen des Geschäftsführers an die Buchhaltung: dringende Überweisung von 45.000 € an einen neuen Lieferanten. Die Mail kommt von der echten Firmen-Domain (ermöglicht durch fehlenden DMARC-Eintrag), enthält die korrekte Signatur und nutzt den typischen Schreibstil des GF – alles KI-generiert. Ohne DMARC mit Policy reject liefert der Mailserver des Empfängers die gefälschte Mail anstandslos aus.
Die zweite Variante nutzt keine fremde, sondern eine ähnliche Domain: Der Angreifer registriert eine Schreibweise, die sich nur durch einen Buchstaben unterscheidet, und reichert den Text mit Formulierungen aus öffentlichen LinkedIn-Beiträgen an. Deepfake-basierter CEO-Fraud verursachte 2025 allein in Baden-Württemberg Schäden von 212 Millionen Euro.
NIS2 und E-Mail-Security: Die rechtliche Pflicht
Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. § 30 BSIG fordert von betroffenen Unternehmen Risikomanagement-Maßnahmen in zehn Bereichen. Drei davon betreffen die E-Mail-Sicherheit direkt:
NIS2-Pflichten mit E-Mail-Bezug
§ 30 Abs. 2 Nr. 10 BSIG – Gesicherte Kommunikation: Unternehmen müssen Maßnahmen zur Absicherung der Kommunikationskanäle treffen. E-Mail ist der meistgenutzte Kanal – und ohne Authentifizierung der unsicherste.
§ 30 Abs. 2 Nr. 8 BSIG – Kryptografie: Der Einsatz von Verschlüsselung und digitalen Signaturen ist gefordert. DKIM ist eine kryptografische Signatur auf Protokollebene.
§ 30 Abs. 2 Nr. 9 BSIG – Zugangskontrolle: Unautorisierte Nutzung von Systemen muss verhindert werden. SPF und DMARC verhindern, dass Dritte Ihre Domain zum Versand missbrauchen.
Die persönliche Haftung der Geschäftsführung unter NIS2 macht das Thema zur Chefsache. Wer E-Mail-Authentifizierung nicht implementiert, lässt eine dokumentierte, behebbare Sicherheitslücke offen – ein schwer vertretbarer Zustand bei einer Prüfung durch das BSI.
Schritt für Schritt: SPF, DKIM und DMARC einrichten
Schritt 1: SPF-Record erstellen
Ein SPF-Record ist ein DNS-TXT-Eintrag, der festlegt, welche Server E-Mails für Ihre Domain senden dürfen. Alle anderen Server werden als nicht autorisiert markiert.
Verwenden Sie -all (Hard Fail) statt ~all (Soft Fail). Soft Fail ist nur für die Testphase gedacht und bietet keinen echten Schutz.
Schritt 2: DKIM aktivieren
DKIM signiert jede ausgehende E-Mail kryptografisch. Die Konfiguration hängt von Ihrem E-Mail-Provider ab:
| Provider | DKIM-Aktivierung |
|---|---|
| Microsoft 365 | Exchange Admin Center → Mail Flow → DKIM → Signing aktivieren → CNAME-Records setzen |
| Google Workspace | Admin Console → Apps → Gmail → Authenticate Email → TXT-Record setzen |
| IONOS / All-Inkl | DNS-Verwaltung → TXT-Record mit DKIM-Schlüssel vom Provider anlegen |
Wichtig: Verwenden Sie eine Schlüssellänge von mindestens 2048 Bit. 1024-Bit-Schlüssel gelten seit 2023 als nicht mehr ausreichend sicher.
Schritt 3: DMARC-Policy setzen
DMARC verbindet SPF und DKIM zu einer einheitlichen Richtlinie. Starten Sie im Monitor-Modus und verschärfen Sie schrittweise:
Der rua-Parameter legt fest, wohin die aggregierten DMARC-Reports gesendet werden. Diese Berichte zeigen Ihnen, welche Server E-Mails in Ihrem Namen versenden – einschließlich unautorisierter. Kostenlose Analyse-Tools wie DMARC Analyzer oder Postmark helfen bei der Auswertung.
| Policy | Verhalten | Empfehlung |
|---|---|---|
p=none |
Nur Monitoring – keine Mails werden blockiert | Einstiegsphase (max. 4 Wochen) |
p=quarantine |
Verdächtige Mails landen im Spam-Ordner | Übergangsphase |
p=reject |
Nicht-authentifizierte Mails werden abgelehnt | Ziel-Konfiguration |
Empfohlener Zeitplan für KMU
- Tag 1: SPF-Record prüfen oder erstellen. Alle legitimen Sender (Mailserver, Newsletter-Tool, CRM) erfassen.
- Vorab: Mail-Inventar erstellen – nicht nur der Hauptmailserver, sondern auch Newsletter-Tools, CRM- und Ticket-Systeme sowie Drucker mit Scan-to-Mail versenden im Namen Ihrer Domain.
- Tag 2: DKIM beim Provider aktivieren und DNS-Records setzen. Signatur mit Online-Tools verifizieren.
- Tag 3: DMARC im Monitor-Modus (
p=none) aktivieren. Report-Adresse einrichten. - Woche 2–4: DMARC-Reports auswerten. Alle legitimen Sender identifizieren und in SPF aufnehmen.
- Ab Woche 5: Policy auf
quarantine, dann aufrejectverschärfen.
Häufige Fehler bei der Konfiguration
| Fehler | Konsequenz | Lösung |
|---|---|---|
SPF mit ~all statt -all |
Gefälschte Mails werden nur markiert, nicht abgelehnt | Nach Testphase auf -all umstellen |
| Newsletter-Dienst nicht im SPF | Legitime Marketing-Mails landen im Spam | Alle Drittsender (Mailchimp, HubSpot, etc.) per include: ergänzen |
| DMARC ohne Reports | Keine Sichtbarkeit, ob Policy greift | rua=-Tag immer setzen und Reports regelmäßig auswerten |
| DKIM-Key zu kurz | 1024-Bit-Schlüssel können kompromittiert werden | Mindestens 2048 Bit verwenden |
| Mehr als 10 DNS-Lookups im SPF | SPF-Prüfung schlägt fehl, legitime Mails werden abgelehnt | SPF-Record zusammenfassen (Flattening) |
| DKIM-Schlüssel nie rotiert | Ein kompromittierter Schlüssel erlaubt dauerhafte Fälschungen | Schlüssel alle 6–12 Monate wechseln |
| Subdomains nicht geschützt | Angreifer nutzen billing.ihredomain.de für Spoofing |
Wildcard-DMARC für Subdomains oder sp=reject setzen |
So prüfen Sie Ihre aktuelle Konfiguration
Bevor Sie Änderungen vornehmen, sollten Sie den aktuellen Stand erfassen. Ein externer Schwachstellenscan zeigt neben offenen Ports und SSL-Problemen auch fehlende oder fehlerhafte DNS-Records für SPF, DKIM und DMARC. Ergänzend können Sie folgende kostenlose Tools nutzen:
| Tool | Prüft |
|---|---|
| MXToolbox | SPF, DKIM, DMARC, MX-Records, Blacklist-Status |
| mail-tester.com | Zustellbarkeit, Authentifizierung, Spam-Score |
| Google Admin Toolbox | DNS-Check für SPF, DKIM und MX |
| dmarcian.com/dmarc-inspector | DMARC-Record-Analyse und Vererbung auf Subdomains |
Weitergedacht: BIMI als nächster Schritt
Wer SPF, DKIM und DMARC (mit Policy reject) korrekt implementiert hat, kann BIMI (Brand Indicators for Message Identification) aktivieren. BIMI zeigt das Firmenlogo direkt im Posteingang des Empfängers an – ein sichtbares Vertrauenssignal, das die Öffnungsrate erhöht und gefälschte Mails optisch entlarvt. Die technische Voraussetzung ist ein VMC-Zertifikat (Verified Mark Certificate) und eine registrierte Marke.
Fazit: Drei DNS-Einträge, die Ihr Unternehmen schützen
SPF, DKIM und DMARC sind keine optionale Empfehlung – sie sind unter NIS2 Teil der geforderten Risikomanagement-Maßnahmen und bei Google, Yahoo und Microsoft Voraussetzung für zuverlässige Zustellung. Die Einrichtung erfordert kein Budget für neue Software, sondern lediglich korrekte DNS-Einträge und ein paar Stunden Konfigurationsarbeit. Angesichts der aktuellen Bedrohungslage – 82,6 % KI-generierte Phishing-Mails und 280.000 neue Schadprogramme täglich – gibt es keinen Grund, das Thema aufzuschieben.
TSMONDO unterstützt KMU bei der korrekten Konfiguration, der Auswertung von DMARC-Reports und der Integration in ein NIS2-konformes Informationssicherheits-Managementsystem.
E-Mail-Sicherheit Ihres Unternehmens prüfen
Wir prüfen Ihre SPF-, DKIM- und DMARC-Konfiguration, identifizieren fehlende oder fehlerhafte Einträge und richten die Authentifizierung NIS2-konform ein – inklusive DMARC-Monitoring und Report-Auswertung.
