E-Mail-Spoofing mit SPF, DKIM und DMARC verhindern: Schritt für Schritt

Das E-Mail-Protokoll (SMTP) wurde ohne Überprüfung des Absenders entworfen. Standardmäßig kann jeder eine E-Mail versenden, die scheinbar von Ihrer Domain stammt (“From: buchhaltung@ihrefirma.de”). Das ist die Wurzel von Business-E-Mail-Compromise (BEC) und Markenimitation. SPF, DKIM und DMARC sind drei DNS-basierte Kontrollen, die diese Lücke schließen und heute faktisch Standard sind.

Was die drei Kontrollen leisten

• SPF (RFC 7208): Veröffentlicht in einem DNS-TXT-Eintrag die Liste der Server, die im Namen Ihrer Domain senden dürfen. Der Empfänger vergleicht die sendende IP mit dieser Liste.
• DKIM (RFC 6376): Fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu; der öffentliche Schlüssel wird im DNS veröffentlicht. Der Empfänger prüft, dass die Nachricht autorisiert und unverändert ist.
• DMARC (RFC 7489): Richtet die SPF- und DKIM-Ergebnisse an der Domain im From-Header aus (Alignment), legt eine Richtlinie für den Fehlerfall fest und sendet Ihnen Berichte.

Sie wirken zusammen: SPF und DKIM erzeugen Signale, DMARC macht daraus Richtlinie und Sichtbarkeit.

Schritt 1 — Absender-Inventar

Der häufigste Fehler ist, unvollständige Einträge zu veröffentlichen und die eigenen legitimen E-Mails in den Spam zu schicken. Listen Sie zuerst jede Quelle auf, die im Namen Ihrer Domain sendet: Unternehmens-E-Mail (Google Workspace, Microsoft 365), Marketing-Tools, Rechnungs-/CRM-Systeme, Anwendungs-E-Mails Ihrer Server.

Schritt 2 — SPF veröffentlichen

Fügen Sie autorisierte Absender zu Ihrem Root-TXT-Eintrag hinzu:

v=spf1 include:_spf.google.com include:anbieter.example -all

• include: bindet den SPF-Eintrag des Anbieters ein.
• Der abschließende Qualifier ist entscheidend: -all (Hardfail, “nicht Gelistetes ablehnen”) ist das sichere Ziel; ~all (Softfail) ein sicherer Einstieg.
• Hinweis: SPF hat ein Limit von 10 DNS-Lookups; zu viele includes machen den Eintrag ungültig.

Schritt 3 — DKIM aktivieren

Die DKIM-Signierung aktivieren Sie in der Konsole Ihres E-Mail-Anbieters. Die Konsole liefert einen Selector und einen öffentlichen Schlüssel, den Sie als selector._domainkey.ihredomain.de im DNS veröffentlichen; anschließend aktivieren Sie die Signierung.

Schritt 4 — DMARC im Überwachungsmodus starten

Direkt mit einer strengen Richtlinie zu starten, ist riskant. Beginnen Sie mit p=none, das nichts blockiert und nur Berichte sammelt. TXT-Eintrag auf der Subdomain _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de; fo=1

Die rua-Aggregatberichte zeigen, wer im Namen Ihrer Domain sendet — legitim und gefälscht.

Schritt 5 — Berichte lesen, dann verschärfen

Prüfen Sie die Berichte einige Wochen, stellen Sie sicher, dass alle legitimen Absender SPF/DKIM bestehen, und verschärfen Sie die Richtlinie schrittweise: p=quarantine → p=reject (das Ziel).

Häufige Fehler

• Alignment ignoriert: SPF/DKIM können technisch bestehen, aber wenn die geprüfte Domain nicht mit der From-Domain übereinstimmt, schlägt DMARC fehl.
• Mehrere SPF-Einträge: Eine Domain darf nur einen SPF-TXT-Eintrag haben.
• Bei p=none stehen bleiben: Der Überwachungsmodus ist ein Übergangsschritt; ein DMARC, das nie reject erreicht, stoppt Spoofing nicht wirklich.

Zusammenfassung

SPF autorisiert den Absender, DKIM schützt die Integrität, DMARC richtet beides aus und ergänzt Richtlinie und Sichtbarkeit. Die richtige Reihenfolge: Inventar → SPF → DKIM → DMARC (p=none) → Berichte lesen → quarantine → reject.

Quellen: RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC), dmarc.org.

Möchten Sie sehen, ob Ihre SPF/DKIM/DMARC-Einträge korrekt konfiguriert sind? Der External-Surface-Scan von CyberTestify prüft diese Einträge und häufige Fehlkonfigurationen.