SPF, DKIM und DMARC: E-Mail-Fälschung verständlich erklärt

E-Mail wurde in einer Zeit erfunden, in der man einander noch vertraute. Der Absender einer Nachricht lässt sich deshalb frei eintragen — ungefähr so, wie du auf einen Briefumschlag jeden beliebigen Absender schreiben kannst. Damit trotzdem niemand ungestraft in deinem Namen schreibt, gibt es drei Bausteine.

SPF — wer darf für deine Domain senden?

SPF ist eine Liste. In einem DNS-Eintrag hinterlegst du, welche Server E-Mails für deine Domain verschicken dürfen. Empfangende Server schlagen dort nach: Kam die Mail von einem erlaubten Server? Wenn nicht, ist sie verdächtig.

DKIM — eine Unterschrift, die nicht kopiert werden kann

DKIM legt eine kryptografische Signatur über jede ausgehende Mail. Der öffentliche Schlüssel steht im DNS, der private nur auf deinem Mailserver. So kann der Empfänger prüfen, dass die Nachricht wirklich von dir stammt und unterwegs nicht verändert wurde.

DMARC — die Regel, die alles zusammenhält

SPF und DKIM sagen "passt" oder "passt nicht". DMARC sagt dem Empfänger, was er dann tun soll: nichts, in den Spam verschieben oder ganz ablehnen. Zusätzlich bekommst du Berichte, wer in deinem Namen sendet — auch die, die es nicht dürften.

Die Reihenfolge in der Praxis

1. SPF setzen und die eigenen Versandwege sauber eintragen.
2. DKIM aktivieren, damit jede Mail signiert ist.
3. DMARC zuerst im Beobachtungsmodus (p=none) starten, die Berichte auswerten, und erst dann schrittweise auf quarantine und reject verschärfen.

Wer alle drei sauber konfiguriert, macht es Betrügern praktisch unmöglich, glaubwürdig in seinem Namen zu schreiben — und sorgt nebenbei dafür, dass die eigenen echten Mails zuverlässiger ankommen.