Was ist DMARC?

Kurz erklärt

DMARC ist ein E-Mail-Standard, der mithilfe von SPF und DKIM prüft, ob eine Nachricht wirklich von der angegebenen Absenderdomain stammt, und festlegt, wie mit Fälschungen umzugehen ist. Die Abkürzung steht für „Domain-based Message Authentication, Reporting and Conformance“. Für Sie als Unternehmen bedeutet das: Betrüger können nicht mehr so leicht E-Mails versenden, die exakt Ihre Absenderadresse tragen.

Wie funktionieren SPF, DKIM und DMARC?

Die drei Verfahren arbeiten zusammen und werden als Einträge im DNS Ihrer Domain hinterlegt, also in der Adressverwaltung, die meist Ihr Hoster oder Domainanbieter betreut.

SPF (Sender Policy Framework)

SPF ist eine Liste der Server, die im Namen Ihrer Domain E-Mails versenden dürfen, etwa Microsoft 365, Ihr Newsletter-Dienst oder Ihr Onlineshop. Der empfangende Server prüft, ob die Nachricht von einem dieser Server kommt.

DKIM (DomainKeys Identified Mail)

DKIM versieht jede ausgehende E-Mail mit einer digitalen Signatur. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS. So kann der Empfänger erkennen, ob die Nachricht unterwegs verändert wurde und ob sie tatsächlich von Ihrer Domain signiert ist.

DMARC

DMARC verknüpft beides mit der Absenderadresse, die Empfänger im Mailprogramm sehen. Zusätzlich legen Sie eine Richtlinie fest: „none“ (nur beobachten), „quarantine“ (verdächtige Mails in den Spam-Ordner) oder „reject“ (Fälschungen ablehnen). Außerdem können Sie Berichte anfordern, die zeigen, wer überall E-Mails unter Ihrem Namen verschickt.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Rechtsanwaltskanzlei hat zwar eine eigene Domain, aber nie SPF, DKIM oder DMARC eingerichtet. Betrüger verschicken E-Mails mit der exakten Absenderadresse der Kanzlei an Mandant:innen und bitten um Überweisung eines Kostenvorschusses auf ein neues Konto. Die Nachrichten landen im normalen Posteingang, weil die Empfangsserver keine Möglichkeit haben, die Fälschung zu erkennen. Gleichzeitig beschwert sich die Kanzlei, dass ihre echten Rechnungen bei manchen Empfängern im Spam landen. Beides hat dieselbe Ursache: Die Domain ist nicht authentifiziert.

Woran Sie erkennen, ob Ihre Domain geschützt ist

• Fragen Sie Ihren Hoster oder IT-Dienstleister nach den SPF-, DKIM- und DMARC-Einträgen Ihrer Domain.
• Kostenlose Online-Prüfwerkzeuge zeigen nach Eingabe der Domain an, ob die Einträge vorhanden und gültig sind.
• Steht bei DMARC dauerhaft „p=none“, wird zwar beobachtet, aber noch nichts blockiert.

So schützen Sie Ihr Unternehmen

1. Bestandsaufnahme: Listen Sie alle Dienste auf, die E-Mails mit Ihrer Domain versenden, inklusive Shop-System, Buchhaltung und Newsletter.
2. SPF einrichten: Alle legitimen Versender eintragen, nicht mehr als nötig.
3. DKIM aktivieren: In Microsoft 365 und Google Workspace ist das mit wenigen Schritten möglich, ebenso bei den meisten Newsletter-Diensten.
4. DMARC mit „none“ starten: Berichte einige Wochen auswerten und fehlende legitime Versender ergänzen.
5. Schrittweise verschärfen: Erst auf „quarantine“, dann auf „reject“ umstellen.

Ein Nebeneffekt: Große Postfachanbieter wie Google und Yahoo verlangen inzwischen von Absendern größerer Mailmengen eine gültige Authentifizierung. Eine saubere Konfiguration verbessert daher auch die Zustellbarkeit Ihrer eigenen E-Mails.

Was DMARC nicht leistet

DMARC schützt nur Ihre exakte Domain. Gegen verwechselbare Domains wie „kanzlei-mueller.co“ statt „kanzlei-mueller.at“ hilft es nicht, ebenso wenig gegen ein übernommenes echtes Postfach. Deshalb gehören aufmerksame Mitarbeitende, Zwei-Faktor-Authentifizierung und klare Zahlungsabläufe gegen CEO-Fraud und Phishing weiterhin dazu. Ein Blick in die NIS2-Anforderungen zeigt zudem, dass E-Mail-Sicherheit zu den grundlegenden Maßnahmen der Cyberhygiene zählt.