E-Mail-Sicherheit
Domain-Check
Kann jemand E-Mails im Namen Ihrer Firma fälschen? Der Check liest die öffentlichen DNS-Einträge Ihrer Domain und zeigt, wie gut SPF, DKIM und DMARC Sie schützen und was noch fehlt.
Warum das wichtig ist
Viele Betrugsversuche beginnen mit einem gefälschten Absender: die angebliche Geschäftsführung, die eine dringende Überweisung braucht, oder der Lieferant mit neuer Kontonummer. CERT.at warnte im August 2026 vor einer Häufung solcher Fälle (Business Email Compromise) und empfiehlt, SPF, DKIM und DMARC einzuführen und DMARC für die eigenen Domains auf „reject“ zu stellen.
Auch die großen Postfachanbieter verlangen die Einträge. Google etwa erwartet seit Februar 2024 von allen Absendern SPF oder DKIM, ab 5.000 Mails am Tag an Gmail-Adressen SPF, DKIM und DMARC. Prüfbare Anforderungen an E-Mail-Diensteanbieter hat das deutsche BSI in der Technischen Richtlinie TR-03182 festgelegt.
- CERT.at: Häufung von Betrugsversuchen durch BEC (26. 8. 2026)
- Google: Richtlinien für E-Mail-Absender
- BSI TR-03182 E-Mail-Authentifizierung
Was die Einträge bedeuten
SPF: Wer senden darf
Ein TXT-Eintrag listet alle Server, die E-Mails für Ihre Domain versenden dürfen, etwa Ihr Mailsystem, das Newsletter-Tool und das Ticketsystem. Empfänger vergleichen den sendenden Server mit dieser Liste. Pro Domain darf es nur einen SPF-Eintrag geben, und er darf höchstens zehn weitere DNS-Abfragen auslösen.
DKIM: Die digitale Signatur
Ihr Mailsystem signiert jede ausgehende Mail. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem Selektor, zum Beispiel selector1._domainkey. Empfänger sehen daran, dass die Mail von Ihrem System stammt und unterwegs nicht verändert wurde. Empfohlen sind RSA-Schlüssel mit mindestens 2048 Bit.
DMARC: Was mit Fälschungen passiert
DMARC verbindet SPF und DKIM mit der Absenderadresse, die Empfänger sehen, und legt fest, was mit Mails geschieht, die durchfallen: nichts (none), Spam-Ordner (quarantine) oder ablehnen (reject). Über Berichte (rua) erfahren Sie, wer in Ihrem Namen sendet. Der aktuelle Standard ist RFC 9989 aus 2026, er löst RFC 7489 ab.
Domains ohne E-Mail
Auch Domains, über die Sie nie Mails verschicken, werden für Fälschungen genutzt. Das britische National Cyber Security Centre empfiehlt für sie vier Einträge: „v=spf1 -all“, „v=DMARC1; p=reject“, einen Null-MX und einen leeren DKIM-Schlüssel für alle Selektoren.
MTA-STS und TLS-RPT: Der Weg zu Ihnen
Mit MTA-STS verlangen Sie, dass sendende Server nur verschlüsselt und nur an Ihre echten Mailserver zustellen. TLS-RPT schickt Ihnen Berichte, wenn das scheitert. Beides ist optional.
CAA: Wer Zertifikate ausstellen darf
Ein CAA-Eintrag legt fest, welche Zertifizierungsstellen TLS-Zertifikate für Ihre Domain ausstellen dürfen. Das erschwert gefälschte Zertifikate für Ihre Website. Mit E-Mail hat CAA nichts zu tun, ist aber schnell eingerichtet.
Was der Check nicht prüft
- ob Ihre Mailserver selbst sicher eingerichtet sind, etwa TLS-Versionen und Zertifikate
- DNSSEC und DANE
- die Richtliniendatei von MTA-STS
- DKIM-Schlüssel unter Selektoren, die wir nicht kennen (geben Sie Ihren Selektor oben an)
- ob Ihre Domain oder Ihre Server auf Sperrlisten stehen
Einen umfassenden Test, auch der Mailserver, bietet zum Beispiel internet.nl.
Der Check ist eine Momentaufnahme der öffentlichen DNS-Einträge und ersetzt keine Sicherheitsprüfung. Geänderte Einträge sind erst überall sichtbar, wenn ihre Gültigkeit im Zwischenspeicher (TTL) abgelaufen ist.
Sie möchten Ihre Domain sauber absichern?
Bevor DMARC Fälschungen abweist, müssen alle echten Absender erfasst sein, vom Newsletter-Tool bis zur Buchhaltung. Wir gehen das mit Ihnen Schritt für Schritt durch.
Ihre Ansprechpartner: Christian, Tobias und Michael, die Gründer von AmberTech Solutions.