E-Mail-Spoofing stoppen: Warum KMU jetzt SPF, DKIM und DMARC einrichten sollten

Stellen Sie sich vor, Ihre Kunden erhalten eine E-Mail, die scheinbar von Ihrer Firma stammt, mit korrektem Absendernamen und Ihrer Domain. Der Inhalt: eine gefälschte Rechnung oder die Aufforderung, eine Zahlung umzuleiten. Weder Sie noch Ihre IT-Abteilung haben diese Nachricht verschickt. Ermöglicht wird ein solcher Angriff durch fehlende E-Mail-Authentifizierung. Drei DNS-Protokolle, SPF, DKIM und DMARC, schließen diese Lücke. Viele KMU haben sie jedoch noch nicht vollständig eingerichtet.

Wie Angreifer Ihre Firmendomain für Phishing missbrauchen

Das E-Mail-Protokoll SMTP enthält von Haus aus keine Absenderprüfung. Jeder Mailserver kann technisch behaupten, im Namen einer beliebigen Domain zu schreiben. Angreifer nutzen das gezielt beim sogenannten Domain-Spoofing: Sie versenden E-Mails mit Ihrer Absenderadresse an Kunden, Lieferanten oder Mitarbeitende, und verbinden so einen Betrug direkt mit Ihrem Firmennamen.

Business Email Compromise (BEC), also Angriffe über gefälschte oder übernommene Unternehmens-E-Mails, zählt zu den finanziell folgenreichsten Cyberbedrohungen für KMU, weil sie auf Vertrauen statt auf Schadsoftware setzen und deshalb häufig lange unentdeckt bleiben. Besonders gefährdet sind Unternehmen, bei denen Prozesse wie Überweisungsfreigaben oder Lieferantenanfragen per E-Mail laufen. Wie stark kleinere Unternehmen insgesamt im Visier stehen, zeigt unsere Auswertung des BSI-Lageberichts 2025: Etwa 80 Prozent der angezeigten Ransomware-Angriffe richteten sich gegen KMU, und Phishing bleibt dabei ein Haupteinfallstor.

SPF, DKIM und DMARC: Drei Protokolle im Zusammenspiel

Die drei Standards bauen aufeinander auf:

SPF (Sender Policy Framework) legt per DNS-Eintrag fest, welche Mailserver berechtigt sind, E-Mails für Ihre Domain zu versenden. Empfangende Server prüfen diesen Eintrag und erkennen unautorisierte Absender. Für Microsoft 365 enthält der SPF-Record den Wert `include:spf.protection.outlook.com`.

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu. Der Empfängerserver überprüft sie anhand eines öffentlichen Schlüssels im DNS. Damit ist auch der Nachrichteninhalt geschützt: Wird eine Nachricht unterwegs verändert, bricht die Signatur.

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM mit einer verbindlichen Handlungsanweisung: Was soll der Empfangsserver tun, wenn eine Mail die Prüfungen nicht besteht? Die möglichen Policies sind `none` (nur beobachten), `quarantine` (Spam-Ordner) oder `reject` (ablehnen). Zusätzlich liefert DMARC tägliche Berichte darüber, wer im Namen Ihrer Domain mailt.

Warum SPF und DKIM allein nicht ausreichen

Ohne DMARC fehlt die verbindliche Policy. Selbst wenn SPF und DKIM korrekt konfiguriert sind, entscheidet der Empfangsserver nach eigenem Ermessen, was mit verdächtigen Nachrichten geschieht, und Angreifer können Ihre Absenderadresse weiterhin fälschen.

Laut dem EasyDMARC Adoption Report 2026 verfügen mittlerweile 52,1 % der analysierten Domains über einen DMARC-Eintrag. Enforcement-Level (quarantine oder reject) hat jedoch nur ein kleiner Teil dieser Domains erreicht, viele Einträge stehen noch auf `p=none` und schützen damit nicht aktiv vor Missbrauch.

Was bedeutet das für Microsoft-365-Nutzer?

Seit dem 5. Mai 2025 verlangt Microsoft laut Microsoft TechCommunity für alle Versender, die täglich mehr als 5.000 E-Mails an Outlook.com-, Hotmail.com- oder Live.com-Adressen schicken, eine gültige SPF-, DKIM- und DMARC-Konfiguration. Nicht konforme Nachrichten werden zunächst in den Junk-Ordner geleitet, später abgelehnt. Google und Yahoo hatten vergleichbare Anforderungen bereits seit Februar 2024 eingeführt.

Auch KMU ohne Massen-Mailings sollten die Einrichtung nicht versäumen: Kriminelle suchen gezielt nach Domains ohne DMARC-Schutz, um diese für Phishing-Kampagnen zu missbrauchen.

Einrichtung in Microsoft 365: Die drei Schritte

1. SPF: TXT-Eintrag bei Ihrem DNS-Anbieter mit dem Wert `v=spf1 include:spf.protection.outlook.com ~all`. Nutzen Sie weitere Versanddienste (z. B. ein Newsletter-Tool), ergänzen Sie diese mit zusätzlichen `include:`-Einträgen. 2. DKIM: Im Microsoft-365-Security-Portal unter *E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen* aktivieren. Microsoft erstellt zwei CNAME-Einträge, die Sie im DNS hinterlegen. 3. DMARC: TXT-Eintrag `_dmarc.ihredomain.de` mit dem Startwert `v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de`. Nach einer Beobachtungsphase (Auswertung der täglichen Reports) stellen Sie die Policy schrittweise auf `p=quarantine` und schließlich auf `p=reject` um.

Die Einrichtung selbst verursacht keine zusätzlichen Lizenzkosten. Wer die XML-Berichte komfortabel auswerten möchte, nutzt optional Drittanbieter-Dashboards, die für kleine Unternehmen ab rund 100 Euro pro Jahr erhältlich sind.

Häufige Fragen

Gilt die Pflicht zur E-Mail-Authentifizierung nur für Massenversender?

Microsofts Anforderungen seit Mai 2025 betreffen formal Versender ab 5.000 Mails täglich an Microsoft-Verbraucherpostfächer. Die Gefahr durch Domain-Spoofing besteht jedoch unabhängig vom Sendevolumen. Jedes Unternehmen ohne DMARC-Policy ermöglicht potenziell, dass Angreifer im Namen seiner Domain phishing-E-Mails an Kunden und Partner verschicken.

Reicht ein SPF-Eintrag, wenn wir nur Exchange Online nutzen?

Nein. SPF prüft nur den sendenden Server, nicht den sichtbaren Absender im E-Mail-Header. Ohne DKIM kann der Nachrichteninhalt unbemerkt verändert werden; ohne DMARC fehlt die Policy, die Missbrauch zuverlässig blockiert. Erst alle drei Protokolle zusammen schließen die Lücke vollständig.

Woher weiß ich, ob meine Domain bereits korrekt konfiguriert ist?

Freie Online-Tools wie MXToolbox (mxtoolbox.com) prüfen SPF-, DKIM- und DMARC-Einträge innerhalb von Sekunden. Sie geben dort Ihre Domain ein und erhalten sofort eine Übersicht, welche Einträge fehlen oder fehlerhaft konfiguriert sind.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH prüft im Rahmen ihrer Managed Services die E-Mail-Authentifizierungskonfiguration Ihrer Microsoft-365-Umgebung und richtet SPF, DKIM und DMARC korrekt ein, inklusive der Auswertung der DMARC-Reports und der schrittweisen Umstellung auf eine aktive Ablehnungs-Policy. Ergänzend beraten wir Sie zu weiteren Schutzmaßnahmen wie MFA, Anti-Phishing-Richtlinien und sicheren Postfachkonfigurationen. Vereinbaren Sie ein unverbindliches Erstgespräch, um den Ist-Stand Ihrer E-Mail-Sicherheit zu analysieren.

Quellen

• Microsoft TechCommunity: Outlook's New Requirements for High-Volume Senders (Mai 2025)
• EasyDMARC Adoption & Enforcement Report 2026