Eine Rechnung von Ihrer eigenen Domain — die Sie nie geschrieben haben

Das Szenario ist erschreckend alltäglich: Ein Kunde von Ihnen bekommt eine E-Mail. Absender: Ihre Firma, Ihre Domain, Ihre Signatur. Inhalt: „Unsere Bankverbindung hat sich geändert, bitte überweisen Sie den offenen Betrag auf folgendes Konto." Der Kunde überweist. Das Geld ist weg. Und Sie erfahren davon erst, wenn er sich über die Mahnung wundert.

Der bittere Punkt: Für diese Masche muss niemand Ihr Postfach hacken. Der Angreifer schreibt einfach eine E-Mail und trägt als Absender Ihre Adresse ein — so wie man auf einen Briefumschlag jeden beliebigen Absender schreiben kann. Ob die Fälschung durchgeht, entscheidet die Technik Ihrer Domain.

SPF, DKIM und DMARC, verständlich erklärt

Hinter den kryptischen Kürzeln stecken einfache Ideen.

SPF ist die Gästeliste: Ein Eintrag an Ihrer Domain legt fest, welche Server überhaupt in Ihrem Namen senden dürfen. Kommt eine Mail von einem fremden Server, fällt sie auf.

DKIM ist das Siegel: Jede ausgehende Mail wird kryptografisch signiert. Der Empfänger kann prüfen, ob sie wirklich von Ihrem System kommt und unterwegs nicht verändert wurde.

DMARC ist die Anweisung: Sie sagt den empfangenden Mailservern, was mit Mails passieren soll, die die Prüfung nicht bestehen — ablehnen, in Quarantäne, oder nur berichten. Und sie liefert Ihnen Berichte, wer da draußen versucht, in Ihrem Namen zu senden.

Richtig wirken sie erst zusammen. Eine Domain ohne diese Einträge ist für Betrüger eine offene Einladung — und wird nebenbei von den großen Mail-Anbietern zunehmend schlechter zugestellt: Wer die Standards nicht setzt, landet schneller im Spam-Ordner seiner eigenen Kunden.

Warum das oft fehlt

Weil es niemandem auffällt, solange nichts passiert. Die Einträge kosten kein Geld, aber sie erfordern, dass jemand sie korrekt setzt und pflegt — über alle Systeme hinweg, die in Ihrem Namen senden: Mailserver, Newsletter-Dienst, Rechnungssoftware, Website-Formulare. Ein einziger vergessener Dienst, und entweder klafft ein Loch oder Ihre eigenen Mails werden abgewiesen.

Genau deshalb gehört E-Mail-Sicherheit bei uns fest zu Managed WEB: Wir setzen die Einträge, prüfen sie laufend und werten die DMARC-Berichte aus. Sie merken davon nichts — außer, dass Ihre Rechnungen ankommen und gefälschte nicht.

Selbsttest in einer Minute

Fragen Sie Ihren jetzigen Dienstleister: Ist SPF gesetzt? Ist DKIM aktiv? Steht DMARC auf einer durchsetzenden Richtlinie? Wenn die Antwort dreimal ein klares „Ja, und zwar so …“ ist: prima. Wenn Schweigen folgt, wissen Sie, worüber Sie mit ihm reden sollten.