SPF, DKIM und DMARC: E-Mail-Authentifizierung verständlich erklärt

Im Kern ist E-Mail ein altes Protokoll. Ursprünglich konnte jeder Server jede beliebige Absenderadresse eintragen. Genau das nutzen Angreifer für Spoofing: Sie verschicken Mails, die scheinbar von Ihrer Bank, Ihrem Lieferanten oder Ihrer eigenen Geschäftsführung kommen. SPF, DKIM und DMARC schließen diese Lücke für die eigene Domain.

SPF: Wer darf für Ihre Domain senden?

Das Sender Policy Framework (SPF) ist eine Liste erlaubter Absender. Sie steht als TXT-Eintrag im DNS Ihrer Domain. Der empfangende Server prüft, ob die Mail von einem Server auf dieser Liste kommt.

beispiel.de.  TXT  "v=spf1 mx include:_spf.mailanbieter.example -all"

• mx erlaubt die Mailserver Ihrer Domain.
• include: übernimmt die Liste eines Dienstleisters, etwa eines Newsletter-Tools.
• -all sagt: Alle anderen Server sind nicht erlaubt. ~all wäre die weichere Variante.

Grenzen: SPF prüft nur die technische Absenderadresse im Umschlag der Mail, nicht den Absender, den Nutzer sehen. Bei Weiterleitungen schlägt SPF oft fehl. Und ein SPF-Eintrag darf höchstens zehn DNS-Abfragen auslösen. Wer viele Dienste einbindet, stößt schnell an diese Grenze.

DKIM: Die digitale Signatur jeder Mail

DomainKeys Identified Mail (DKIM) versieht jede ausgehende Mail mit einer digitalen Signatur. Ihr Mailserver signiert mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS.

s1._domainkey.beispiel.de.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Der Empfänger holt den Schlüssel und prüft die Signatur. Passt sie, wurden die signierten Teile unterwegs nicht verändert: der Inhalt und die Kopfzeilen, die der Absender in die Signatur aufgenommen hat, etwa Absender, Betreff und Datum. Außerdem stammt die Mail von einem Server, der den Schlüssel der signierenden Domain kennt. Der Teil vor ._domainkey heißt Selektor. So können Sie mehrere Schlüssel parallel betreiben, etwa für verschiedene Dienste.

Grenzen: DKIM allein sagt nichts darüber, ob die signierende Domain zum sichtbaren Absender passt. Und eine echt signierte Mail kann von Angreifern unverändert erneut verschickt werden. Das nennt sich DKIM-Replay.

DMARC: Die Regel, die alles verbindet

Domain-based Message Authentication, Reporting and Conformance (DMARC) baut auf SPF und DKIM auf. Es verlangt, dass mindestens eine der beiden Prüfungen besteht und zur Domain im sichtbaren Absender passt. Diese Übereinstimmung heißt Alignment.

_dmarc.beispiel.de.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.de"

Mit der Policy p= legen Sie fest, was mit Mails passiert, die durchfallen:

• p=none: nur beobachten, nichts blockieren.
• p=quarantine: Mails in den Spam-Ordner oder die Quarantäne verschieben.
• p=reject: Mails ablehnen.

Mit rua= bekommen Sie täglich Sammelberichte der Empfänger. Darin sehen Sie, welche Server in Ihrem Namen senden und ob sie die Prüfung bestehen.

So spielen die drei zusammen

1. Eine Mail von rechnung@beispiel.de kommt beim Empfänger an.
2. Der Server prüft per SPF, ob der sendende Server erlaubt ist.
3. Er prüft per DKIM die Signatur.
4. DMARC prüft, ob mindestens eine der beiden Prüfungen besteht und zu beispiel.de passt.
5. Fällt die Mail durch, wendet der Empfänger Ihre DMARC-Policy an und meldet das Ergebnis in seinem Bericht.

DMARC Schritt für Schritt einführen

1. Absender sammeln: Listen Sie alle Systeme auf, die Mails mit Ihrer Domain verschicken: Mailserver, Newsletter, CRM, Ticketsystem, Rechnungsversand.
2. SPF und DKIM einrichten: Tragen Sie alle Dienste in SPF ein und aktivieren Sie DKIM überall, wo es möglich ist.
3. DMARC mit p=none starten: Werten Sie die Berichte einige Wochen lang aus.
4. Lücken schließen: Bringen Sie legitime Absender zum Bestehen, die noch durchfallen.
5. Verschärfen: Wechseln Sie zu p=quarantine und danach zu p=reject.
6. Subdomains und ungenutzte Domains absichern: Domains, die nie Mails senden, bekommen v=spf1 -all und p=reject.

Warum das Thema 2026 Pflicht ist

Große Mailanbieter wie Google, Yahoo und Microsoft verlangen von Absendern mit vielen Mails inzwischen SPF, DKIM und einen DMARC-Eintrag. Fehlt er, landen Mails im Spam oder werden abgelehnt. Das BSI beschreibt die Verfahren in seiner Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung. Wer unter NIS2 fällt, muss Sicherheitsmaßnahmen nach dem Stand der Technik umsetzen. Eine abgesicherte Mail-Domain gehört in der Regel dazu.

Was SPF, DKIM und DMARC nicht leisten

Mit einer strengen DMARC-Policy schützen die drei Verfahren Ihre exakte Domain vor Fälschung. Abgewiesen werden Fälschungen aber erst ab p=quarantine oder p=reject, und nur bei Empfängern, die DMARC auswerten. Gegen andere Tricks helfen sie nicht:

• Domains, die Ihrer zum Verwechseln ähneln, etwa mit vertauschten oder fremden Buchstaben.
• Gefälschte Anzeigenamen wie „Geschäftsführung“ mit einer Freemail-Adresse dahinter.
• Mails von echten, aber gehackten Konten. Sie bestehen alle Prüfungen.

Hier setzt ein Secure Email Gateway an. Das SecTepe Mail Security Gateway erkennt zum Beispiel Lookalike-Domains, gefälschte Anzeigenamen und DKIM-Replay. Seine Verhaltensanalyse schlägt an, wenn bei einem bekannten Absender plötzlich die DMARC-Prüfung durchfällt.

Fazit

SPF sagt, wer senden darf. DKIM zeigt, dass die signierten Teile der Mail unverändert sind und von der signierenden Domain stammen. DMARC verbindet beides mit dem sichtbaren Absender und legt fest, was mit Fälschungen passiert. Richten Sie alle drei ein, starten Sie DMARC im Beobachtungsmodus und verschärfen Sie die Policy schrittweise bis p=reject.