8 Fakten über SPF, DKIM und DMARC, die jedes Unternehmen kennen sollte

Das Wichtigste im schnellen Überblick

SPF, DKIM und DMARC gehören heute zu den wichtigsten Sicherheitsstandards für den E-Mail-Verkehr. Sie helfen Unternehmen dabei, gefälschte Absenderadressen zu erkennen, Phishing-Angriffe zu erschweren und die Zustellbarkeit legitimer E-Mails zu verbessern. Ihr volles Potenzial entfalten die drei Verfahren jedoch erst im Zusammenspiel. Eine sorgfältige Konfiguration und regelmässige Überprüfung tragen dazu bei, Sicherheitsrisiken zu reduzieren und die eigene Unternehmensdomain zuverlässig zu schützen.

E-Mails sind nach wie vor eines der wichtigsten Kommunikationsmittel im Geschäftsalltag. Gleichzeitig zählen sie zu den häufigsten Einfallstoren für Cyberangriffe. Gefälschte Absenderadressen, Phishing-Kampagnen oder manipulierte Nachrichten gehören längst zum Alltag vieler Unternehmen.

Um sich vor solchen Bedrohungen zu schützen, haben sich internationale E-Mail-Standards etabliert. SPF, DKIM und DMARC bilden dabei das Fundament einer sicheren E-Mail-Kommunikation und unterstützen Unternehmen dabei, ihre Domain besser vor Missbrauch zu schützen.

1. SPF, DKIM und DMARC verfolgen ein gemeinsames Ziel

Alle drei Verfahren dienen dazu, die Echtheit einer E-Mail zu überprüfen. Sie verfolgen dabei unterschiedliche Ansätze, ergänzen sich jedoch gegenseitig. Während SPF kontrolliert, ob ein autorisierter Mailserver eine Nachricht versendet hat, bestätigt DKIM die Unverändertheit des Nachrichteninhalts mithilfe einer digitalen Signatur. DMARC verbindet beide Verfahren und legt fest, wie empfangende Mailserver mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen. Erst durch dieses Zusammenspiel entsteht ein wirkungsvoller Schutz gegen Identitätsmissbrauch und gefälschte Absender. Empfangende Mailserver erhalten dadurch deutlich mehr Informationen, um zwischen legitimen und potenziell betrügerischen Nachrichten zu unterscheiden.

Die drei Standards wurden entwickelt, um das Vertrauen in die E-Mail-Kommunikation zu stärken. Ohne entsprechende Authentifizierungsverfahren wäre es für Angreifer wesentlich einfacher, im Namen bekannter Unternehmen oder Organisationen E-Mails zu versenden. Das erhöht das Risiko von Phishing-Kampagnen und erschwert es Empfängern, echte von gefälschten Nachrichten zu unterscheiden. Durch die Kombination von SPF, DKIM und DMARC entsteht eine technische Grundlage, die den sicheren Austausch geschäftlicher E-Mails unterstützt und gleichzeitig die eigene Domain besser vor Missbrauch schützt.

E-Mail-Authentifizierung schützt die Unternehmensdomain

Cyberkriminelle nutzen häufig bekannte Unternehmensnamen, um Vertrauen zu schaffen. Wird eine Unternehmensdomain missbraucht, entstehen oft erhebliche Folgen. Neben möglichen Sicherheitsvorfällen leidet häufig auch die Reputation des Unternehmens. Gelangen gefälschte E-Mails im Namen einer Organisation an Kunden, Partner oder Mitarbeitende, kann das Vertrauen nachhaltig beeinträchtigt werden. Eine korrekt eingerichtete E-Mail-Authentifizierung erschwert das Fälschen der eigenen Domain erheblich. Gleichzeitig erkennen empfangende Mailserver schneller, ob eine Nachricht tatsächlich vom angegebenen Absender stammt. Verdächtige E-Mails lassen sich dadurch besser identifizieren und je nach DMARC-Richtlinie markieren, in den Spam-Ordner verschieben oder vollständig ablehnen.

Davon profitieren nicht nur die Empfänger. Auch Unternehmen selbst verbessern die Zuverlässigkeit ihrer geschäftlichen Kommunikation. Seriöse E-Mails erreichen ihre Zieladresse häufiger und das Risiko sinkt, dass legitime Nachrichten aufgrund fehlender Authentifizierungsinformationen als Spam eingestuft werden. Eine saubere Konfiguration von SPF, DKIM und DMARC trägt somit gleich doppelt zum Schutz bei. Einerseits wird der Missbrauch der eigenen Domain erschwert, andererseits steigt die Wahrscheinlichkeit, dass echte E-Mails zuverlässig zugestellt werden. Damit leisten die drei Standards einen wichtigen Beitrag zu einer sicheren und vertrauenswürdigen E-Mail-Kommunikation.

3. Die drei Standards erfüllen unterschiedliche Aufgaben

Obwohl SPF, DKIM und DMARC häufig gemeinsam genannt werden, übernimmt jedes Verfahren eine eigene Funktion.

Diese sehen wie folgt aus:

• SPF definiert, welche Mailserver berechtigt sind, E-Mails im Namen einer Domain zu versenden.
• DKIM versieht ausgehende Nachrichten mit einer digitalen Signatur und schützt ihre Integrität.
• DMARC überprüft die Ergebnisse beider Verfahren und legt fest, wie nicht autorisierte Nachrichten behandelt werden.

Diese klare Aufgabenverteilung macht deutlich, weshalb keines der Verfahren die beiden anderen vollständig ersetzen kann.

4. Einzelne Verfahren reichen heute meist nicht mehr aus

Viele Unternehmen beginnen zunächst mit einem SPF-Eintrag. Das stellt zwar einen wichtigen ersten Schritt dar, bietet allein jedoch keinen umfassenden Schutz. Cyberkriminelle entwickeln ihre Angriffsmethoden kontinuierlich weiter und nutzen gezielt Schwachstellen aus, die bei einer unvollständigen E-Mail-Authentifizierung bestehen bleiben. Auch DKIM entfaltet seine Stärken erst im Zusammenspiel mit den übrigen Verfahren. Die digitale Signatur bestätigt zwar die Integrität einer Nachricht, trifft jedoch keine Aussage darüber, wie ein empfangender Mailserver mit einer fehlgeschlagenen Prüfung umgehen soll. Genau an dieser Stelle ergänzt DMARC die beiden Verfahren und definiert klare Richtlinien für den Umgang mit verdächtigen E-Mails.

Erst das Zusammenspiel aller drei Standards schafft eine durchgängige Sicherheitskette. SPF prüft die Versandberechtigung eines Mailservers, DKIM bestätigt die Unverändertheit der Nachricht und DMARC verbindet beide Ergebnisse zu einer verbindlichen Entscheidung. Dadurch erhalten empfangende Systeme eine deutlich bessere Grundlage, um legitime Nachrichten von gefälschten E-Mails zu unterscheiden. Unternehmen profitieren dabei nicht nur von einem höheren Sicherheitsniveau. Auch die Zustellbarkeit seriöser E-Mails verbessert sich, wenn Authentifizierungsverfahren vollständig und korrekt eingerichtet sind. Aus diesem Grund gelten SPF, DKIM und DMARC heute als fester Bestandteil einer modernen E-Mail-Sicherheitsstrategie und sollten immer gemeinsam betrachtet werden.

5. Fehler bei der Konfiguration sind häufiger als gedacht

Die Einführung von SPF, DKIM und DMARC ist grundsätzlich gut dokumentiert. Trotzdem treten in der Praxis immer wieder ähnliche Fehler auf.

Dazu gehören unter anderem:

• Mehrere SPF-Einträge für dieselbe Domain.
• Veraltete oder unvollständige SPF-Konfigurationen.
• Fehlerhafte DKIM-Schlüssel.
• Eine zu früh aktivierte DMARC-Policy mit strengen Richtlinien.
• Nicht ausgewertete DMARC-Reports.

Bereits kleine Konfigurationsfehler können dazu führen, dass legitime E-Mails abgewiesen oder im Spam-Ordner abgelegt werden. Deshalb empfiehlt sich eine sorgfältige Planung und schrittweise Einführung.

6. DMARC-Reports liefern wertvolle Einblicke

ermöglichen Unternehmen einen detaillierten Einblick in den E-Mail-Verkehr ihrer Domain und schaffen Transparenz über die Ergebnisse der Authentifizierungsprüfungen. Die Berichte zeigen unter anderem, welche Mailserver Nachrichten im Namen der eigenen Domain versenden und ob diese SPF- und DKIM-Prüfungen erfolgreich bestehen. Dadurch lassen sich legitime Versandquellen von potenziell unerwünschten oder unbekannten Systemen unterscheiden.

Besonders während der Einführung von DMARC liefern diese Informationen eine wertvolle Entscheidungsgrundlage. Unternehmen erkennen frühzeitig Fehlkonfigurationen, nicht autorisierte Versanddienste oder veraltete Systeme, die bislang unbemerkt E-Mails versendet haben. Auf diese Weise lassen sich Probleme beheben, bevor strengere DMARC-Richtlinien aktiviert werden.

Viele Organisationen starten deshalb zunächst mit einer sogenannten Monitoring-Richtlinie. In dieser Phase werden die Reports ausgewertet, ohne dass verdächtige Nachrichten automatisch zurückgewiesen werden. Erst wenn alle legitimen Versandquellen korrekt eingerichtet sind und die Berichte keine Auffälligkeiten mehr zeigen, wird die Richtlinie schrittweise verschärft. DMARC-Reports unterstützen damit nicht nur die technische Einrichtung, sondern auch die langfristige Pflege der E-Mail-Authentifizierung. Veränderungen in der IT-Landschaft oder neue Versanddienste werden schneller sichtbar und können frühzeitig in die bestehende Konfiguration integriert werden. Dadurch bleibt der Schutz der Unternehmensdomain dauerhaft auf einem hohen Niveau.

7. Veränderungen in der IT erfordert regelmässige Kontrolle

Die E-Mail-Infrastruktur eines Unternehmens bleibt selten über Jahre unverändert. Neue Cloud-Dienste, Newsletter-Systeme, CRM-Lösungen oder externe Dienstleister versenden häufig ebenfalls E-Mails über die Unternehmensdomain. Jede dieser Änderungen kann Auswirkungen auf bestehende SPF-, DKIM- oder DMARC-Einstellungen haben. Werden neue Versandsysteme nicht berücksichtigt, kann dies zu Zustellproblemen führen. Eine regelmässige Überprüfung der Konfiguration hilft dabei, die Authentifizierung aktuell zu halten und neue Risiken frühzeitig zu erkennen.

8. Sichere E-Mail-Kommunikation ist ein kontinuierlicher Prozess

Die Einführung von SPF, DKIM und DMARC bildet einen wichtigen Meilenstein für die Sicherheit der geschäftlichen E-Mail-Kommunikation. Mit der einmaligen Einrichtung ist die Arbeit jedoch nicht abgeschlossen. Die IT-Landschaft entwickelt sich kontinuierlich weiter und damit verändern sich auch die Anforderungen an die E-Mail-Authentifizierung. Neue Cloud-Dienste, Newsletter-Plattformen, CRM-Systeme oder externe Dienstleister versenden häufig E-Mails im Namen einer Unternehmensdomain. Werden diese Änderungen nicht in die bestehende Konfiguration übernommen, können Authentifizierungsprüfungen fehlschlagen oder legitime Nachrichten nicht mehr zuverlässig zugestellt werden.

Ebenso verändern sich die Methoden von Cyberkriminellen ständig. Unternehmen sollten ihre Schutzmassnahmen deshalb regelmässig überprüfen und an neue Gegebenheiten anpassen. Dazu gehören unter anderem die Kontrolle von SPF-, DKIM- und DMARC-Einträgen, die Auswertung von DMARC-Reports sowie die Überprüfung neuer Versandquellen.

Eine regelmässige Wartung bietet mehrere Vorteile:

• Änderungen an der E-Mail-Infrastruktur werden frühzeitig erkannt.
• Fehlkonfigurationen lassen sich schneller beheben.
• Die Zustellbarkeit legitimer E-Mails bleibt erhalten.
• Die Unternehmensdomain ist dauerhaft besser vor Missbrauch geschützt.

Unternehmen, die ihre E-Mail-Authentifizierung kontinuierlich überwachen und weiterentwickeln, schaffen eine stabile Grundlage für eine sichere digitale Kommunikation. Gleichzeitig stärken sie das Vertrauen von Kunden, Partnern und Mitarbeitenden in die Echtheit ihrer E-Mails und reduzieren langfristig das Risiko erfolgreicher Phishing-Angriffe.

Unsere FAQs zu SPF, DKIM und DMARC

Noch Fragen? Wir haben die Antworten!

Was ist der Unterschied zwischen SPF, DKIM und DMARC?

SPF überprüft den sendenden Mailserver, DKIM bestätigt die Integrität einer Nachricht und DMARC legt fest, wie Empfänger mit E-Mails umgehen sollen, die diese Prüfungen nicht bestehen. Gemeinsam bilden sie die Grundlage einer sicheren E-Mail-Authentifizierung.

Reicht SPF alleine für den Schutz einer Unternehmensdomain aus?

Nein. SPF verbessert zwar die Sicherheit, bietet allein jedoch keinen vollständigen Schutz. Erst das Zusammenspiel mit DKIM und DMARC sorgt für eine wirksame Authentifizierung und reduziert das Risiko von Domain-Missbrauch deutlich.

Warum schlagen DMARC-Prüfungen manchmal fehl?

Häufige Ursachen sind fehlerhafte SPF-Einträge, falsch konfigurierte DKIM-Signaturen oder neue Versandsysteme, die noch nicht berücksichtigt wurden. Auch Änderungen an der E-Mail-Infrastruktur können Auswirkungen auf die Authentifizierung haben.

Wie oft sollten SPF-, DKIM- und DMARC-Einstellungen überprüft werden?

Eine Überprüfung empfiehlt sich immer dann, wenn neue E-Mail-Dienste eingeführt oder bestehende Systeme angepasst werden. Zusätzlich helfen regelmässige Kontrollen dabei, Fehlkonfigurationen frühzeitig zu erkennen.

Sind SPF, DKIM und DMARC auch für kleinere Unternehmen sinnvoll?

Ja. Unabhängig von der Unternehmensgrösse profitieren Organisationen davon, ihre Domain vor Missbrauch zu schützen und die Zustellbarkeit legitimer E-Mails zu verbessern. Gerade kleinere Unternehmen können Ziel von Phishing-Angriffen werden und stärken mit einer sauberen Konfiguration ihre E-Mail-Sicherheit.