Schutz vor E-Mail-Spoofing mit SPF, DKIM und DMARC für KMU-Kunden einrichten

E-Mail-Spoofing, bei dem Angreifer Absenderadressen fälschen, um Phishing- und Identitätsbetrug zu starten, zählt zu den größten Bedrohungen für kleine und mittlere Unternehmen (KMU). Solche Angriffe gelingen oft allein deshalb, weil grundlegende Einträge zur E-Mail-Authentifizierung fehlen oder falsch konfiguriert sind.

In diesem Leitfaden zeigen wir Ihnen, wie Sie einen wirksamen Schutz vor E-Mail-Spoofing mit SPF, DKIM und DMARC einrichten und damit den ein- und ausgehenden Mailverkehr Ihrer KMU-Kunden mit Windows-Umgebungen absichern.

Darum ist das Thema 2026 wichtiger denn je

Google, Yahoo und Microsoft weisen nicht authentifizierte Massen-E-Mails inzwischen aktiv zurück, statt sie nur als Spam zu markieren. Domains, die täglich mehr als 5.000 Nachrichten an Gmail-, Yahoo- oder Outlook.com-Adressen senden, brauchen SPF, DKIM und einen veröffentlichten DMARC-Eintrag. Andernfalls werden die Mails direkt abgewiesen.

Auch KMU, die deutlich unter dieser Schwelle liegen, sind indirekt betroffen. Marketing-Plattformen, Systeme für das Kundenbeziehungsmanagement und Helpdesk-Tools, die in ihrem Namen versenden, zählen zum Volumen des Absenders. Und eine gemeinsam genutzte Reputation auf nicht authentifizierter Infrastruktur führt dazu, dass die Mails aller Beteiligten gedrosselt werden. Kurz gesagt: Diese Einträge einzurichten ist die Grundvoraussetzung dafür, dass E-Mails überhaupt ankommen.

Die Protokolle im Überblick

Methoden, um Unternehmen vor E-Mail-Spoofing zu schützen

SPF, DKIM und DMARC sind das unverzichtbare Trio, das Absender authentifiziert und Domain-Spoofing unterbindet. Richtig konfiguriert verhindern sie, dass Angreifer sich als Ihr Unternehmen oder Ihre Partner ausgeben.

📌Anwendungsfall: Richten Sie diese Schutzmechanismen für Ihre geschäftliche E-Mail ein, um E-Mail-Spoofing zu verhindern, Phishing zu stoppen, Ihre Marke zu schützen und sicherzustellen, dass nur legitime E-Mails in Ihrem Postfach landen.

📌Voraussetzungen: Stellen Sie vor dem Start sicher, dass Sie Folgendes haben:

• Administrativen Zugriff auf das DNS Ihrer Domain
• Einen E-Mail-Dienst, der DKIM unterstützt
• Die Möglichkeit, DNS-TXT-Einträge hinzuzufügen oder zu aktualisieren
• Grundlegendes Verständnis von DNS-Einträgen
• Tools wie PowerShell, Mail-Testtools (z. B. MXToolbox) und die Eingabeaufforderung

Wir empfehlen Ihnen, vorab den Abschnitt ⚠️ Worauf Sie achten sollten zu lesen.

📌 Empfohlene Vorgehensweisen für die Bereitstellung:

So konfigurieren Sie den SPF-Eintrag im DNS

Die Konfiguration des Sender Policy Framework (SPF) ist Ihr erster entscheidender Schritt, um legitime E-Mail-Quellen zu deklarieren und Domain-Spoofing zu verhindern. SPF veröffentlicht im DNS eine Liste zulässiger Absender für Ihre Domain. Empfangende Server prüfen damit, ob eingehende Mails tatsächlich von Ihren freigegebenen Servern stammen.

📌 Anwendungsfall: Richten Sie SPF jetzt ein, wenn Ihre Domain überhaupt E-Mails versendet (über Microsoft 365, einen lokalen Server, eine Website oder Marketing-Tools). Jede Domain braucht SPF, um die grundlegende Legitimität des Absenders nachzuweisen und die Zustellbarkeit zu verbessern.

Schritt-für-Schritt-Anleitung:

1. Erfassen Sie Ihre autorisierten Absender. Ermitteln Sie jeden Dienst, der E-Mails als @ihredomain.com versendet, zum Beispiel:
   • Ihren E-Mail-Anbieter (z. B. Microsoft 365, Google Workspace)
   • Ihre Website bzw. Ihren Server (sofern Benachrichtigungen versendet werden)
   • Marketing-Tools (z. B. Mailchimp, Constant Contact)
   • Systeme für das Kundenbeziehungsmanagement (z. B. Salesforce, Hubspot)
   • Lokale Mailserver

💡 Tipp: Schauen Sie in der Dokumentation Ihres Anbieters nach dem erforderlichen SPF-Wert für include: . Microsoft 365 verwendet beispielsweise spf.protection.outlook.com.

2. Erstellen Sie Ihren SPF-Eintrag:
   • Legen Sie einen TXT-Eintrag mit dieser Syntax an:

• • Beispiele:
    • Nur Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
    • Microsoft 365 + Website-Server (IP 192.0.2.10): v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all
    • Microsoft 365 + Salesforce: v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all

Beachten Sie: spf.protection.outlook.com ist eine von Microsoft verwaltete DNS-Domain, die den offiziellen SPF-Eintrag für die ausgehende E-Mail-Infrastruktur von Microsoft 365 veröffentlicht. Sie enthält die verbindliche Liste der Mailserver und IP-Bereiche, die Microsoft 365 nutzen darf, wenn E-Mails im Namen von Kundendomains versendet werden

⚠️ Warnung: Beenden Sie die Syntax immer mit -all, um ein Hard Fail zu erzwingen. Damit werden nicht autorisierte Absender aktiv blockiert.

3. Veröffentlichen Sie den DNS-Eintrag in diesen Schritten:
   • Melden Sie sich bei Ihrem DNS-Server an (z. B. GoDaddy, Cloudflare).
   • Erstellen Sie einen neuen TXT-Eintrag.
   • Setzen Sie das Feld Host auf @ (oder auf Ihren Root-Domainnamen).
   • Fügen Sie Ihren SPF-Eintrag aus dem vorherigen Schritt in das Feld Wert/Inhalt ein.
   • Speichern Sie Ihre Änderungen.
4. Überprüfen Sie das Ergebnis so:
   • Öffnen Sie die Eingabeaufforderung oder das Windows Terminal (Win + X).
   • Führen Sie diesen Befehl aus:

• • Prüfen Sie die Ausgabe auf Ihren SPF-Eintrag.
  • Bestätigen Sie das Ergebnis mit dem SPF-Checker von MX-Toolbox.

Innerhalb von 24 bis 48 Stunden besteht legitime Mail aus Ihren Diensten die SPF-Prüfung, während gefälschte E-Mails bei der SPF-Authentifizierung durchfallen sollten. In den E-Mail-Headern sehen Sie die SPF-Ergebnisse mit pass/fail.

So aktivieren Sie die DKIM-Signierung

DomainKeys Identified Mail (DKIM) fügt Ihren ausgehenden E-Mails eine eindeutige digitale Signatur hinzu. Diese Signatur erzeugt der sendende Mailserver mit einem privaten kryptografischen Schlüssel.

Der zugehörige öffentliche Schlüssel wird als DKIM-Eintrag im DNS veröffentlicht. Erhält ein Server die E-Mail, ruft er den öffentlichen Schlüssel aus dem DNS ab und prüft damit die Signatur.

📌 Anwendungsfall: Aktivieren Sie DKIM sofort, wenn Sie geschäftliche E-Mails versenden, ob transaktional, werblich oder intern. DKIM ist Voraussetzung für die DMARC-Durchsetzung und verhindert, dass Angreifer Ihre Nachrichten manipulieren.

Schritt-für-Schritt-Anleitung:

1. Generieren Sie Ihre DKIM-Schlüssel. Beachten Sie dabei, dass Ihr E-Mail-Dienst die kryptografischen Schlüssel automatisiert erzeugt::

• Bei Cloud-Diensten: Hier ist nichts zu tun, da die Schlüssel beim Aktivieren von DKIM automatisiert erzeugt werden.
  • • Microsoft 365: Sie finden den Schlüssel im Microsoft Defender Portal > E-Mail und Zusammenarbeit > Richtlinien und Regeln > Bedrohungsrichtlinien > Einstellungen für die E-Mail-Authentifizierung > DKIM. (Sie können die Navigation auch komplett überspringen und den Direktlink nutzen: https://security.microsoft.com/authentication?viewid=DKIM.)
    • Google Workspace: Sie finden den Schlüssel unter Admin-Konsole > Apps > Gmail > E-Mail authentifizieren.
• Bei selbst gehosteten Servern: Nutzen Sie Tools wie OpenSSL oder den DKIM-Assistenten Ihres Mailservers.

💡 Tipp: Verwenden Sie 2048-Bit-Schlüssel, sofern Ihr Anbieter das zulässt. 1024 Bit sind das technische Minimum, das die meisten Anbieter noch akzeptieren, doch 2048 Bit gelten inzwischen als empfohlener Standard, weil sie Schlüsselangriffen deutlich besser standhalten.

2. Veröffentlichen Sie Ihre DNS-Einträge:

• • Holen Sie den DKIM-Eintrag bei Ihrem E-Mail-Anbieter ein:
    • Microsoft 365: CNAME-Einträge (siehe unten)
    • Google Workspace: TXT-Eintrag
    • Andere: TXT oder CNAME
  • Melden Sie sich bei Ihrem DNS-Anbieter an (z. B. Cloudflare, GoDaddy)
  • Fügen Sie die folgenden Einträge hinzu:

⚠️ Wichtig: Ersetzen Sie [domain] durch Ihre Domain und [tenant] durch den Namen Ihres Microsoft 365-Tenants.

Hinweis: Microsoft 365 nutzt zwei DKIM-Einträge, damit DKIM-Schlüssel transparent rotiert werden können. So bleibt die E-Mail-Authentifizierung ununterbrochen bestehen und die Sicherheit insgesamt steigt

3. Überprüfen Sie die Einrichtung in diesen Schritten:

• • Öffnen Sie die Eingabeaufforderung oder PowerShell im Windows Terminal (Win + X).
  • Führen Sie in der Eingabeaufforderung folgenden Befehl aus:

• • Nutzen Sie in PowerShell dieses Skript:

• • • Achten Sie auf Enabled: True und Status: CNAMEValid.

• • E-Mail-Test: Senden Sie eine E-Mail an [email protected] und prüfen Sie die Header der Antwort.

Nach der Konfiguration sollten alle ausgehenden E-Mails innerhalb von 24 Stunden einen DKIM-Signature-Header enthalten. Empfänger können Nachrichten mit Ihrem öffentlichen DNS-Schlüssel validieren, und gefälschte oder veränderte E-Mails fallen bei der DKIM-Prüfung durch. Auch in den DMARC-Berichten sollte für legitime E-Mails dkim=pass erscheinen.

So veröffentlichen Sie eine DMARC-Richtlinie

DMARC setzt die Richtlinie Ihrer Domain durch: Es teilt E-Mail-Anbietern mit, wie sie mit nicht verifizierten Nachrichten umgehen sollen, und liefert wichtige Berichte zu Spoofing-Versuchen. Es ist der letzte Baustein im Schutz vor E-Mail-Spoofing.

📌 Anwendungsfall: Rollen Sie DMARC aus, sobald SPF und DKIM aktiv sind. Für jede Domain ist das unverzichtbar, um Phishing zu blockieren, Einblick in den E-Mail-Verkehr zu gewinnen und den Schutz vor gefälschten Absendern durchzusetzen.

Schritt-für-Schritt-Anleitung:

1. Stellen Sie sicher, dass SPF und DKIM (siehe Methode 1 und 2) aktiv sind und für alle E-Mail-Quellen bestanden werden. Das ist eine zwingende Voraussetzung für DMARC.
2. Erstellen Sie Ihren DMARC-Eintrag in diesen Schritten:
   • Legen Sie im DNS Ihrer Domain einen TXT-Eintrag mit dieser Syntax an:

• • Dazu die Erläuterung:
    • p= (Richtlinie): Legt fest, was empfangende Server mit nicht authentifizierter Mail tun sollen. Wählen Sie eine Option:
      • p=none: Nur überwachen (hier beginnen).
      • p=quarantine: Fehlgeschlagene Nachrichten in den Spam-Ordner verschieben.
      • p=reject: Fehlgeschlagene Nachrichten vollständig blockieren.
    • rua= (Berichterstattung): Sendet Ihnen tägliche Sammelberichte. Sie sind unverzichtbar, um Spoofing zu erkennen und den legitimen Mailfluss zu korrigieren.
  • Optional gibt es nützliche Tags zur Feinabstimmung:
    • pct=5: Wendet Ihre Richtlinie nur auf 5 % der fehlgeschlagenen Mails an (erleichtert die Durchsetzung).
    • sp=quarantine: Legt eine abweichende Richtlinie für Ihre Subdomains fest.
    • adkim=r; aspf=r: Nutzt die „relaxed“-Ausrichtung (bei den meisten Setups üblich).

3. Veröffentlichen Sie den DNS-Eintrag wie folgt:
   • Melden Sie sich beim DNS-Anbieter an (z. B. Cloudflare, GoDaddy)
   • Erstellen Sie einen TXT-Eintrag:
     • Host: _dmarc
     • Wert: Ihre DMARC-Richtlinienzeichenfolge
     • TTL: 3600 (1 Stunde)
4. Überprüfen Sie Ihre Änderungen:
   • Öffnen Sie die Eingabeaufforderung oder das Windows Terminal (Win + X).

• • Für eine Online-Prüfung nutzen Sie MXToolbox DMARC Lookup

5. Überwachen und verschärfen Sie die Richtlinie:
   • Werten Sie die Berichte aus, die zwei Wochen lang an das rua–Postfach gesendet werden.
   • Aktualisieren Sie SPF und DKIM konsequent für legitime Absender.
   • Verschärfen Sie die Richtlinie schrittweise: none > quarantine > reject.

Innerhalb von 72 Stunden nach der Konfiguration sollten Ihre täglichen XML-Berichte legitime und betrügerische Absender, SPF- und DKIM-Erfolgsquoten, geografische Bedrohungsschwerpunkte sowie die in Quarantäne verschobenen oder abgewiesenen E-Mails ausweisen.

PowerShell für die Verwaltung von DKIM und DMARC in Microsoft 365 nutzen

PowerShell vereinfacht die Verwaltung der E-Mail-Sicherheit in Microsoft 365 mit der Effizienz der Kommandozeile. Damit setzen Sie den Schutz vor E-Mail-Spoofing schneller um als über grafische Oberflächen.

📌 Anwendungsfall: Ideal für IT-Administrator:innen, die mehrere Domains betreuen, Bereitstellungen automatisieren oder SPF-, DKIM- und DMARC-Protokolle analysieren. Auch für die Durchsetzung von Richtlinien im großen Maßstab ist PowerShell unverzichtbar.

Schritt-für-Schritt-Anleitung:

1. Verbinden Sie sich mit Exchange Online:
   • Öffnen Sie dazu PowerShell (als Administrator) und führen Sie dieses Skript aus:

2. Aktivieren Sie die DKIM-Signierung mit diesen Schritten:
   • Führen Sie dieses Skript aus:

• • Überprüfen Sie das Ergebnis mit diesem Skript:

💡 Hinweis: Achten Sie auf Enabled: True und Status: CNAMEValid

3. Rufen Sie SPF-, DKIM- und DMARC-Protokolle mit diesem Skript ab:

• • Die Ausgabe sollte die Authentifizierungsergebnisse für jede gesendete E-Mail anzeigen.

4. Rufen Sie mit diesem Skript detaillierte Traces (Microsoft Defender) auf.

Nach der Ausführung ist die DKIM-Signierung für ausgehende Mails sofort aktiv. Die Protokolle sollten SPF- und DKIM-Erfolgsquoten, den DMARC-Ausrichtungsstatus sowie verdächtige Absender sichtbar machen.

E-Mail-Hardening per GPO und Registry (nur Windows-Clients)

SPF, DKIM und DMARC schützen die Server. Zusätzlich sorgt das Hardening von Windows-E-Mail-Clients für eine wichtige Schutzebene direkt bei den Benutzer:innen.

📌 Anwendungsfall: Setzen Sie dies ein, wenn Beschäftigte Outlook auf domänengebundenen Windows 11-PCs nutzen. Für Finanz- und HR-Teams, die mit sensiblen Daten arbeiten, ist das unverzichtbar.

Schritt-für-Schritt-Anleitung:

Methode A: Registry-Änderung (einzelner PC)

1. Drücken Sie Win + R und geben Sie regedit ein, um den Registrierungs-Editor zu öffnen. Stellen Sie sicher, dass Sie über Administratorrechte verfügen.
2. Navigieren Sie zu folgendem Pfad oder fügen Sie ihn in die Adressleiste ein: HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Security
3. Erstellen Sie einen neuen DWORD-Wert (32-Bit):
   • Benennen Sie ihn ShowSenderAsFrom
   • Setzen Sie die Wertdaten auf 1.
     • Dadurch zeigt Outlook im Feld Von die Postfachadresse an, wenn E-Mails über Senden als oder Berechtigungen für freigegebene Postfächer versendet werden, statt „im Auftrag von“ einzublenden.

Methode B: Gruppenrichtlinie (domänenweit)

1. Öffnen Sie den Gruppenrichtlinienverwaltungs-Editor.
2. Navigieren Sie zu Benutzerkonfiguration > Administrative Vorlagen > Microsoft Outlook 2016 > Sicherheit
3. Aktivieren Sie zwei Richtlinien:
   • Vor mehrdeutigen Absenderadressen warnen
   • Absenderadresse immer in E-Mail-Headern anzeigen
4. Erzwingen Sie die Einstellungen, indem Sie auf den Client-PCs gpupdate /force ausführen.

Nach der Umsetzung warnt Microsoft Outlook bei verdächtigen Abweichungen zwischen Absender und Antwortadresse, vollständige Header sind ohne Plug-ins sichtbar, und die IT erhält über die Ereignisanzeige Einblick in mögliche Spoofing-Versuche. Das liefert zusätzlich ein Signal, um gefälschte, intern wirkende Nachrichten zu erkennen, die die Authentifizierung allein nicht stoppt (etwa ein kompromittiertes Partnerkonto mit gültigem SPF und DKIM).

⚠️ Worauf Sie achten sollten

Dieser Abschnitt zeigt mögliche Stolperfallen, die Sie beim Durcharbeiten dieses Leitfadens im Blick behalten sollten.

Tipps für die Einrichtung des Schutzes vor E-Mail-Spoofing

Mit diesen praktischen Tipps umgehen Sie die häufigsten Fallstricke beim Ausrollen eines Schutzes vor E-Mail-Spoofing und optimieren Ihr Setup für Sicherheit und Zustellbarkeit.

Warum schlägt SPF nach 10 DNS-Lookups fehl?

SPF schlägt fehl, sobald mehr als 10 DNS-Lookups anfallen, und legitime E-Mails werden zurückgewiesen. Vermeiden Sie das, indem Sie includes: flachklopfen und verschachtelte include:-Anweisungen durch direkte ip4:/ip6:-Listen ersetzen.

Sie können auch SPF-Makros nutzen und die Anbieter zusammenfassen (include:%{i}._spf.example.com). Testen Sie das gründlich mit diesem Skript:

Sollte ich mit p=reject oder p=none starten?

Beginnen Sie niemals mit p=reject. Damit riskieren Sie, gültige E-Mails stillschweigend zu blockieren. Setzen Sie stattdessen 2 bis 4 Wochen lang p=none ein, um Berichte zu sammeln. Beheben Sie anschließend die SPF- und DKIM-Lücken bei legitimen Absendern.

Danach verschärfen Sie schrittweise auf p=quarantine (Spam) > p=reject (Blockieren). Denn eine schrittweise Durchsetzung verhindert Störungen im Geschäftsbetrieb und holt gleichzeitig das Maximum aus dem Schutz vor gefälschten Absendern heraus.

Wie oft sollte ich meine DKIM-Schlüssel rotieren?

Undokumentierte Schlüsselwechsel bringen den Mailfluss zum Erliegen. Für eine wasserdichte Verwaltung halten Sie die Selektoren (z. B. selector1, google) in einem Passworttresor fest, rotieren die Schlüssel alle 6 Monate über die Admin-Konsole Ihres E-Mail-Dienstes und prüfen den Stand vierteljährlich mit diesem Befehl:

Lieber ein gehostetes DMARC-Tool statt manueller DNS-Verwaltung?

Wenn Ihnen die manuelle Verwaltung über DNS und PowerShell über den Kopf wächst, greifen Sie zu MSP-tauglichen Plattformen wie PowerDMARC, Proofpoint oder Valimail. Diese konfigurieren SPF, DKIM und DMARC weitgehend automatisiert, bereiten Berichte verständlich auf und melden Spoofing-Angriffe in Echtzeit. Ideal für Teams ohne dedizierte Mail-Administrator:innen oder Überwachung rund um die Uhr.

Schutz vor E-Mail-Spoofing: Phishing stoppen, bevor es beginnt

Die Konfiguration von SPF, DKIM und DMARC ist Ihre erste Verteidigungslinie gegen Phishing, Rechnungsbetrug und Markenmissbrauch zulasten von KMU. Mit diesen Protokollen verankern Sie Vertrauen in Ihre Domain, blockieren gefälschte E-Mails bereits auf Serverebene und gewinnen wichtige Einblicke in Angriffsmuster.

Starten Sie mit -all bei SPF, ergänzen Sie die kryptografische Signierung durch DKIM und lassen Sie dann die DMARC-Berichte die schrittweise Verschärfung Ihrer Richtlinie steuern. Denken Sie daran: Eine einzige übersehene gefälschte „CEO-Anfrage“ kann einen Kunden in den Ruin treiben.

Verwandte Themen

• E-Mail-Spoofing-Angriffe verstehen und verhindern
• Was ist Spoofing?
• Beispiele für Phishing-E-Mails: So erkennen Sie eine Phishing-Mail
• Was ist Business E-Mail Compromise (BEC)?
• 10 Best Practices für die Sicherheit von E-Mail-Servern, die Sie kennen sollten