Schutz vor E-Mail-Betrug

Was wir prüfen

Wir fragen die öffentlichen DNS-Einträge der Domain ab:

• MX: ob die Domain E-Mails empfängt und bei welchem Anbieter, etwa Microsoft 365, Google Workspace, Infomaniak oder Hostpoint.
• SPF: ob ein Eintrag festlegt, welche Server E-Mails im Namen der Domain versenden dürfen.
• DMARC: ob ein Eintrag festlegt, was mit gefälschten E-Mails geschehen soll, und wie streng er ist.
• DKIM: ob unter einem der gängigen Namen ein Schlüssel für digitale Signaturen hinterlegt ist.

Fehlt SPF oder DMARC, ist das ein schwerer Mangel. Steht DMARC auf p=none, gibt es eine Warnung. Finden wir kein DKIM, einen Hinweis, denn DKIM kann auch unter einem Namen liegen, den wir nicht kennen.

Warum das wichtig ist

E-Mail wurde ohne Absenderprüfung erfunden. Jeder kann eine E-Mail mit dem Absender buchhaltung@beispiel.ch verschicken, so einfach wie man einen beliebigen Absender auf einen Briefumschlag schreibt.

Betrüger nutzen das gezielt aus:

• Gefälschte Rechnungen mit geänderter IBAN gehen an die Kundschaft.
• Zahlungsaufforderungen «vom Chef» gehen an die Buchhaltung.
• Phishing-E-Mails im Namen der Firma beschädigen deren Ruf.

SPF, DKIM und DMARC geben dem empfangenden Mailserver die Mittel, solche Fälschungen zu erkennen und abzuweisen. Seit 2024 verlangen zudem Google und Yahoo von Massenversendern SPF, DKIM und DMARC. Ohne diese Einträge landen auch die echten E-Mails der Domain eher im Spam.

So behebst Du es

Die Einträge legst Du bei dem Anbieter an, der die DNS-Einträge der Domain verwaltet, meist beim Domain- oder Hosting-Anbieter.

1. SPF

Ein TXT-Eintrag auf der Domain. Den genauen Inhalt nennt der E-Mail-Anbieter. Beispiel für Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Nimm alle Dienste auf, die im Namen der Domain senden, etwa Newsletter-Tools oder Online-Shops. Es darf nur einen SPF-Eintrag pro Domain geben.

2. DKIM

Aktiviere DKIM in der Verwaltung des E-Mail-Anbieters. Er zeigt ein bis zwei Einträge, die im DNS hinterlegt werden.

3. DMARC

Ein TXT-Eintrag auf _dmarc.beispiel.ch. Beginne im Beobachtungsmodus:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.ch

Die Berichte an die angegebene Adresse zeigen, wer im Namen der Domain sendet. Wenn alle echten Absender SPF oder DKIM bestehen, verschärfst Du auf p=quarantine (in den Spam) und später auf p=reject (abweisen). Erst dann ist die Domain wirklich geschützt.

So prüfst Du es selbst

Öffne in einem Gmail-Konto eine E-Mail, die von der Domain stammt, und wähle im Menü «Original anzeigen». Oben stehen die Ergebnisse für SPF, DKIM und DMARC. Dienste wie mxtoolbox.com prüfen die Einträge einer Domain direkt.

Häufige Fragen

Können durch DMARC echte E-Mails verloren gehen?

Ja, wenn ein Dienst, der im Namen der Domain sendet, nicht im SPF-Eintrag steht, etwa ein Newsletter-Tool oder die Buchhaltungssoftware. Darum beginnt man mit «p=none», wertet die Berichte aus und verschärft erst danach.

Über die Domain werden keine E-Mails versendet. Braucht es trotzdem etwas?

Gerade dann lohnt es sich: Mit «v=spf1 -all» und einer DMARC-Regel «p=reject» ist festgehalten, dass von dieser Domain keine E-Mails kommen. Fälschungen werden so abgewiesen.

Was sind SPF, DKIM und DMARC in einem Satz?

SPF nennt die Server, die für die Domain senden dürfen. DKIM signiert jede E-Mail digital. DMARC sagt dem Empfänger, was mit E-Mails passieren soll, die beides nicht bestehen.