IT Security Blog

Die Bedeutung der Implementierung einer angemessenen DMARC-Richtlinie

Geschrieben von Kim Thomas Wang | 27.03.2026 10:46:25

Für den Geschäftserfolg ist es entscheidend, dass Ihre E-Mails den Posteingang und nicht den Spam-Ordner erreichen. Erfahren Sie, warum die Implementierung einer angemessenen DMARC-Richtlinie so wichtig ist.

Die versteckten Kosten von E-Mails, die im Spam landen: Warum SPF, DKIM und DMARC wichtig sind

Die E-Mail-Kommunikation ist das Rückgrat des modernen Geschäftslebens. Ob es um den Versand von Angeboten, Rechnungen oder wichtigen Updates geht, Unternehmen verlassen sich auf E-Mails, um eine reibungslose Zusammenarbeit zu gewährleisten. Ein frustrierendes Problem für viele Unternehmen ist jedoch, dass ihre E-Mails im Spam-Ordner des Empfängers landen. Dies führt zu verpassten Gelegenheiten, verzögerten Antworten und einer allgemeinen Ineffizienz der Abläufe. Stellen Sie sich ein Szenario vor, in dem ein Kunde einen dringenden Vertrag nie erhält oder ein Lieferant eine Bestellanfrage nicht sieht - diese Rückschläge können schwerwiegende finanzielle und rufschädigende Folgen haben.

Nicht alle E-Mails werden erfolgreich zugestellt, selbst wenn sie von einer legitimen Unternehmensdomäne gesendet werden. E-Mail-Dienstanbieter (ESPs) setzen strenge Filterrichtlinien ein, um Spam- und Phishing-Versuche zu verhindern, und stufen dabei oft unbeabsichtigt echte E-Mails als Spam ein. Aber warum passiert das? Die Antwort liegt in der ordnungsgemäßen Implementierung von E-Mail-Authentifizierungsprotokollen: SPF, DKIM und DMARC.

Was sind SPF und DKIM?

SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) sind zwei wichtige E-Mail-Authentifizierungsmechanismen, mit denen überprüft werden kann, ob eine E-Mail wirklich von einer autorisierten Quelle stammt, und die einen Schutz gegen E-Mail-Spoofing bieten.

  • SPF (Sender Policy Framework): SPF ist ein DNS-Eintrag, der angibt, welche E-Mail-Server E-Mails im Namen Ihrer Domäne versenden dürfen. Wenn eine E-Mail empfangen wird, überprüft der Mailserver des Empfängers, ob der sendende Server im SPF-Eintrag der Domäne aufgeführt ist. Ist dies nicht der Fall, wird die E-Mail möglicherweise als Spam markiert oder zurückgewiesen.
  • DKIM (DomainKeys Identified Mail): DKIM fügt den ausgehenden E-Mails eine digitale Signatur hinzu. Diese kryptografische Signatur stellt sicher, dass die E-Mail während der Übertragung nicht verändert wurde, und bestätigt, dass sie von einem autorisierten Absender gesendet wurde. Wenn der E-Mail-Anbieter eines Empfängers eine fehlende oder ungültige DKIM-Signatur feststellt, kann er die E-Mail als nicht vertrauenswürdig einstufen.

Überwachung und Durchsetzung der Authentifizierung mit DMARC

DMARC (Domain-based Message Authentication, Reporting & Conformance) baut auf SPF und DKIM auf und bietet einen Mechanismus, mit dem Domänenbesitzer E-Mail-Aktivitäten überwachen und Authentifizierungsrichtlinien durchsetzen können.

  • Was ist DMARC? DMARC ist eine DNS-basierte Richtlinie, die E-Mail-Servern vorschreibt, wie sie Nachrichten behandeln sollen, die SPF- oder DKIM-Prüfungen nicht bestehen. Sie ermöglicht es Domänenbesitzern, festzulegen, ob nicht authentifizierte E-Mails abgelehnt, in Quarantäne gestellt oder zugelassen werden sollen.

    Ein DMARC-Eintrag könnte zum Beispiel so aussehen:

    v=DMARC1; p=reject; rua=mailto:62b5046d62e3013@rep.dmarcanalyzer.com; ruf=mailto:62b5046d62e3013@for.dmarcanalyzer.com; adkim=s; aspf=s; fo=1;

    Hier ist eine Aufschlüsselung der einzelnen Teile dieses DMARC-Datensatzes:

    • v=DMARC1: Gibt die verwendete DMARC-Version an.
    • p=reject: Weist E-Mail-Server an, E-Mails zurückzuweisen, die sowohl SPF- als auch DKIM-Prüfungen nicht bestehen.
    • rua=mailto:62b5046d62e3013@rep.dmarcanalyzer.com: Dies ist die E-Mail-Adresse, an die aggregierte DMARC-Berichte gesendet werden. Diese Berichte liefern allgemeine Informationen über den Status der von Ihrer Domain gesendeten E-Mails.
    • ruf=mailto:62b5046d62e3013@for.dmarcanalyzer.com: Dies ist die E-Mail-Adresse, an die forensische DMARC-Berichte gesendet werden. Diese liefern detaillierte Informationen über einzelne Nachrichten, die DMARC-Prüfungen nicht bestanden haben.
    • adkim=s: Erzwingt einen strikten DKIM-Abgleich, d. h. die Domäne in der DKIM-Signatur muss genau mit der Domäne im "Von"-Header der E-Mail übereinstimmen.
    • aspf=s: Erzwingt eine strenge SPF-Ausrichtung, d. h. die Domäne in der SPF-Prüfung muss genau mit der Domäne in der "Von"-Headerzeile der E-Mail übereinstimmen.
    • fo=1: Fordert forensische Berichte an, wenn entweder SPF- oder DKIM-Prüfungen fehlschlagen, und liefert detailliertere Informationen über den Fehler.

    Dieser Eintrag weist E-Mail-Server an, alle E-Mails zurückzuweisen, deren Authentifizierung fehlschlägt, um sicherzustellen, dass nur gültige, authentifizierte E-Mails zugestellt werden. Die Verwendung von aggregierten und forensischen Berichten ermöglicht es dem Domänenbesitzer, seine E-Mail-Authentifizierungsrichtlinien kontinuierlich zu überwachen und anzupassen.

  • Wie kann man SPF, DKIM und DMARC überwachen? Unternehmen können DMARC-Analysetools verwenden, um E-Mail-Authentifizierungsberichte zu überwachen, Fehlkonfigurationen zu erkennen und Korrekturmaßnahmen zu ergreifen. Ein hervorragendes Tool hierfür ist DMARCian, mit dem Unternehmen überprüfen können, ob ihre DMARC-, SPF- und DKIM-Einträge korrekt konfiguriert sind.



Überprüfen Sie Ihre Konfiguration noch heute!

Ein übersehener Faktor - DNS-Sicherheit

Während sich viele Unternehmen auf SPF, DKIM und DMARC konzentrieren, übersehen sie oft die DNS-Sicherheit, die bei der E-Mail-Authentifizierung eine entscheidende Rolle spielt. Diese Mechanismen beruhen auf der Genauigkeit von DNS-Einträgen. Wenn Angreifer jedoch DNS-Einträge durch Techniken wie DNS-Cache-Poisoning oder Spoofing manipulieren, können sie selbst die besten E-Mail-Sicherheitseinrichtungen untergraben.

An dieser Stelle kommt DNSSEC (Domain Name System Security Extensions) ins Spiel. Im Gegensatz zu SPF, DKIM und DMARC, die sich darauf konzentrieren, Absender zu verifizieren und gefälschte E-Mails zu verhindern, stellt DNSSEC sicher, dass die DNS-Einträge selbst nicht verändert wurden.

Mit DNSSEC-aktivierten Domänen können E-Mail-Server überprüfen, ob die von ihnen abgerufenen SPF-, DKIM- und DMARC-Datensätze legitim und unmanipuliert sind. Ohne DNSSEC besteht das Risiko, dass böswillige Akteure diese Einträge ändern, um Sicherheitsmechanismen zu umgehen oder E-Mails umzuleiten.

Überprüfen Sie Ihre DNSSEC-Konfiguration

Um sicherzustellen, dass die DNS-Sicherheit Ihrer Domain intakt ist, können Sie den DNSSEC Debugger von VeriSign Labs verwenden. Dieses Tool hilft bei der Diagnose potenzieller Fehlkonfigurationen und bestätigt, ob Ihre DNS-Datensätze ordnungsgemäß geschützt sind.

Die wichtigsten Vorteile der ordnungsgemäßen Konfiguration von SPF, DKIM, DMARC und DNSSEC

Durch die Implementierung dieser Authentifizierungsmechanismen und die Sicherung von DNS-Einträgen können Unternehmen:

Die Zustellbarkeit von E-Mails verbessern: Die Wahrscheinlichkeit, dass E-Mails als Spam markiert werden, ist geringer, so dass wichtige Nachrichten die vorgesehenen Empfänger erreichen.
Das Vertrauen in die Marke stärken: Ein ordnungsgemäß authentifiziertes E-Mail-System gibt Kunden und Partnern die Gewissheit, dass E-Mails von Ihrer Domain legitim sind.
Verhindern Sie E-Mail-Spoofing und Phishing-Angriffe: Ohne Authentifizierung können sich Cyberkriminelle als Ihre Domain ausgeben und betrügerische E-Mails an Mitarbeiter, Kunden oder Partner senden.
Gewinnen Sie Sichtbarkeit und Kontrolle: DMARC-Berichte geben Aufschluss darüber, wer E-Mails von Ihrer Domain sendet, und helfen dabei, bösartige Aktivitäten und nicht autorisierte E-Mail-Quellen zu erkennen.
Schützen Sie sich vor DNS-basierten Bedrohungen: DNSSEC hindert Angreifer daran, DNS-Einträge zu manipulieren, und stellt sicher, dass E-Mail-Authentifizierungsmechanismen korrekt funktionieren.

Fazit

E-Mail-Authentifizierung ist nicht mehr optional - sie ist eine Notwendigkeit. Wenn Ihre E-Mails in Spam landen oder die Empfänger nicht erreichen, ist es an der Zeit, Ihre SPF-, DKIM-, DMARC- und DNSSEC-Einstellungen zu überprüfen. Durch die Inanspruchnahme unserer Managed Services können Unternehmen ihre E-Mail-Sicherheit verbessern, eine zuverlässige Kommunikation gewährleisten und ihre Marke vor E-Mail-basierten Bedrohungen schützen.

Besuchen Sie unseren Cloudflare DMARC Managed Service für fachkundige DMARC-Konfiguration und -Verwaltung und unseren Cloudflare DNS Managed Service für umfassende DNS-Sicherheitslösungen.

Lassen Sie Ihr Unternehmen nicht durch E-Mail-Fehlkonfigurationen leiden - sichern Sie Ihre Domain noch heute!