{"id":909322,"date":"2026-10-23T14:48:22","date_gmt":"2026-10-23T14:48:22","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/schutz-vor-e-mail-spoofing\/"},"modified":"2026-10-23T14:48:22","modified_gmt":"2026-10-23T14:48:22","slug":"schutz-vor-e-mail-spoofing","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/schutz-vor-e-mail-spoofing\/","title":{"rendered":"Schutz vor E-Mail-Spoofing mit SPF, DKIM und DMARC f\u00fcr KMU-Kunden einrichten"},"content":{"rendered":"\n<p>E-Mail-Spoofing, bei dem Angreifer Absenderadressen f\u00e4lschen, um Phishing- und Identit\u00e4tsbetrug zu starten, z\u00e4hlt zu den gr\u00f6\u00dften Bedrohungen f\u00fcr kleine und mittlere Unternehmen (KMU). Solche Angriffe gelingen oft allein deshalb, weil grundlegende Eintr\u00e4ge zur E-Mail-Authentifizierung fehlen oder falsch konfiguriert sind.<\/p>\n<p>In diesem Leitfaden zeigen wir Ihnen, wie Sie einen wirksamen <strong>Schutz vor E-Mail-Spoofing<\/strong> mit SPF, DKIM und DMARC einrichten und damit den ein- und ausgehenden Mailverkehr Ihrer KMU-Kunden mit Windows-Umgebungen absichern.<\/p>\n<h2>Darum ist das Thema 2026 wichtiger denn je<\/h2>\n<p>Google, Yahoo und Microsoft weisen nicht authentifizierte Massen-E-Mails inzwischen aktiv zur\u00fcck, statt sie nur als Spam zu markieren. Domains, die t\u00e4glich mehr als 5.000 Nachrichten an Gmail-, Yahoo- oder Outlook.com-Adressen senden, brauchen SPF, DKIM und einen ver\u00f6ffentlichten DMARC-Eintrag. Andernfalls werden die Mails direkt abgewiesen.<\/p>\n<p>Auch KMU, die deutlich unter dieser Schwelle liegen, sind indirekt betroffen. Marketing-Plattformen, Systeme f\u00fcr das Kundenbeziehungsmanagement und Helpdesk-Tools, die in ihrem Namen versenden, z\u00e4hlen zum Volumen des Absenders. Und eine gemeinsam genutzte Reputation auf nicht authentifizierter Infrastruktur f\u00fchrt dazu, dass die Mails aller Beteiligten gedrosselt werden. Kurz gesagt: Diese Eintr\u00e4ge einzurichten ist die Grundvoraussetzung daf\u00fcr, dass E-Mails \u00fcberhaupt ankommen.<\/p>\n<h3>Die Protokolle im \u00dcberblick<\/h3>\n<table>\n<tbody>\n<tr>\n<td><strong>Protokoll<\/strong><\/td>\n<td><strong>Funktion<\/strong><\/td>\n<td><strong>Ablageort<\/strong><\/td>\n<td><strong>Durch die Massenversand-Regeln 2026 vorgeschrieben?<\/strong><\/td>\n<\/tr>\n<tr>\n<td>SPF<\/td>\n<td>Autorisiert sendende IPs\/Server<\/td>\n<td>DNS-TXT-Eintrag<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>DKIM<\/td>\n<td>Signiert Nachrichten kryptografisch<\/td>\n<td>DNS-TXT-\/CNAME-Eintrag<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>DMARC<\/td>\n<td>Legt Durchsetzungsrichtlinie und Berichterstattung fest<\/td>\n<td>DNS-TXT-Eintrag<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>BIMI<\/td>\n<td>Zeigt ein verifiziertes Markenlogo an<\/td>\n<td>DNS-TXT-Eintrag + VMC<\/td>\n<td>Nein (optional)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Skripte bereitstellen und Endpunkte konfigurieren: mit NinjaOne Endpunkt-Sicherheit f\u00fcr besseren Schutz<\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/de\/free-demo\/\">Sehen Sie sich eine kostenlose Demo an und erfahren Sie mehr \u00fcber NinjaOne<\/a><\/p>\n<\/div>\n<h2>Methoden, um Unternehmen vor E-Mail-Spoofing zu sch\u00fctzen<\/h2>\n<p>SPF, DKIM und DMARC sind das unverzichtbare Trio, das Absender authentifiziert und Domain-Spoofing unterbindet. Richtig konfiguriert verhindern sie, dass Angreifer sich als Ihr Unternehmen oder Ihre Partner ausgeben.<\/p>\n<p>\ud83d\udccc<strong>Anwendungsfall: <\/strong>Richten Sie diese Schutzmechanismen f\u00fcr Ihre gesch\u00e4ftliche E-Mail ein, um <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/what-is-email-spoofing\/\">E-Mail-Spoofing<\/a> zu verhindern, Phishing zu stoppen, Ihre Marke zu sch\u00fctzen und sicherzustellen, dass nur legitime E-Mails in Ihrem Postfach landen.<\/p>\n<p>\ud83d\udccc<strong>Voraussetzungen: <\/strong>Stellen Sie vor dem Start sicher, dass Sie Folgendes haben:<\/p>\n<ul>\n<li>Administrativen Zugriff auf das DNS Ihrer Domain<\/li>\n<li>Einen E-Mail-Dienst, der DKIM unterst\u00fctzt<\/li>\n<li>Die M\u00f6glichkeit, DNS-TXT-Eintr\u00e4ge hinzuzuf\u00fcgen oder zu aktualisieren<\/li>\n<li>Grundlegendes Verst\u00e4ndnis von DNS-Eintr\u00e4gen<\/li>\n<li>Tools wie PowerShell, Mail-Testtools (z. B. MXToolbox) und die Eingabeaufforderung<\/li>\n<\/ul>\n<p>Wir empfehlen Ihnen, vorab den Abschnitt <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Worauf Sie achten sollten<\/em><\/a> zu lesen.<\/p>\n<p><strong>\ud83d\udccc <\/strong>Empfohlene Vorgehensweisen f\u00fcr die Bereitstellung:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\"><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Am besten f\u00fcr Einzelanwender:innen<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Am besten f\u00fcr gro\u00dfe Unternehmen<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-1\"><strong>So konfigurieren Sie den SPF-Eintrag im DNS<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-2\"><strong>So aktivieren Sie die DKIM-Signierung<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-3\"><strong>So ver\u00f6ffentlichen Sie eine DMARC-Richtlinie<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-4\"><strong>PowerShell f\u00fcr die Verwaltung von DKIM und DMARC in Microsoft 365 nutzen<\/strong><\/a><\/td>\n<td><\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-5\"><strong>E-Mail-Hardening per GPO und Registry (nur Windows-Clients)<\/strong><\/a><\/td>\n<td><\/td>\n<td>\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"how-to-1\">So konfigurieren Sie den SPF-Eintrag im DNS<\/h3>\n<p>Die Konfiguration des Sender Policy Framework (SPF) ist Ihr erster entscheidender Schritt, um legitime E-Mail-Quellen zu deklarieren und Domain-Spoofing zu verhindern. SPF ver\u00f6ffentlicht im DNS eine Liste zul\u00e4ssiger Absender f\u00fcr Ihre Domain. Empfangende Server pr\u00fcfen damit, ob eingehende Mails tats\u00e4chlich von Ihren freigegebenen Servern stammen.<\/p>\n<p>\ud83d\udccc <strong>Anwendungsfall: <\/strong>Richten Sie SPF jetzt ein, wenn Ihre Domain \u00fcberhaupt E-Mails versendet (\u00fcber Microsoft 365, einen lokalen Server, eine Website oder Marketing-Tools). Jede Domain braucht SPF, um die grundlegende Legitimit\u00e4t des Absenders nachzuweisen und die Zustellbarkeit zu verbessern.<\/p>\n<p><strong>Schritt-f\u00fcr-Schritt-Anleitung:<\/strong><\/p>\n<ol>\n<li>Erfassen Sie Ihre autorisierten Absender. Ermitteln Sie jeden Dienst, der E-Mails als <strong>@ihredomain.com<\/strong> versendet, zum Beispiel:\n<ul>\n<li>Ihren E-Mail-Anbieter (z. B. Microsoft 365, Google Workspace)<\/li>\n<li>Ihre Website bzw. Ihren Server (sofern Benachrichtigungen versendet werden)<\/li>\n<li>Marketing-Tools (z. B. Mailchimp, Constant Contact)<\/li>\n<li>Systeme f\u00fcr das Kundenbeziehungsmanagement (z. B. Salesforce, Hubspot)<\/li>\n<li>Lokale Mailserver<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Tipp:<\/strong> Schauen Sie in der Dokumentation Ihres Anbieters nach dem erforderlichen SPF-Wert f\u00fcr <strong>include<\/strong><em>: <\/em>. Microsoft 365 verwendet beispielsweise <strong>spf.protection.outlook.com<\/strong>.<\/p>\n<ol start=\"2\">\n<li>Erstellen Sie Ihren SPF-Eintrag:\n<ul>\n<li>Legen Sie einen <strong>TXT-Eintrag<\/strong> mit dieser Syntax an:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>v=spf1 [mechanisms] -all<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li> Beispiele:\n<ul>\n<li><strong>Nur Microsoft 365:<\/strong> <code>v=spf1 include:spf.protection.outlook.com -all<\/code><\/li>\n<li><strong>Microsoft 365 + Website-Server (IP 192.0.2.10):<\/strong> <code>v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all<\/code><\/li>\n<li><strong>Microsoft 365 + Salesforce:<\/strong> <code>v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all<\/code><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\">Beachten Sie: spf.protection.outlook.com ist eine von Microsoft verwaltete DNS-Domain, die den offiziellen SPF-Eintrag f\u00fcr die ausgehende E-Mail-Infrastruktur von Microsoft 365 ver\u00f6ffentlicht. Sie enth\u00e4lt die verbindliche Liste der Mailserver und IP-Bereiche, die Microsoft 365 nutzen darf, wenn E-Mails im Namen von Kundendomains versendet werden<\/p>\n<p style=\"padding-left: 40px;\">\u26a0\ufe0f <strong>Warnung:<\/strong> Beenden Sie die Syntax immer mit <strong><code>-all<\/code><\/strong>, um ein Hard Fail zu erzwingen. Damit werden nicht autorisierte Absender aktiv blockiert.<\/p>\n<ol start=\"3\">\n<li>Ver\u00f6ffentlichen Sie den DNS-Eintrag in diesen Schritten:\n<ul>\n<li>Melden Sie sich bei Ihrem DNS-Server an (z. B. GoDaddy, Cloudflare).<\/li>\n<li>Erstellen Sie einen neuen TXT-Eintrag.<\/li>\n<li>Setzen Sie das <strong>Feld Host<\/strong> auf @ (oder auf Ihren Root-Domainnamen).<\/li>\n<li>F\u00fcgen Sie Ihren SPF-Eintrag aus dem vorherigen Schritt in das <strong>Feld Wert\/Inhalt<\/strong> ein.<\/li>\n<li>Speichern Sie Ihre \u00c4nderungen.<\/li>\n<\/ul>\n<\/li>\n<li>\u00dcberpr\u00fcfen Sie das Ergebnis so:\n<ul>\n<li>\u00d6ffnen Sie die Eingabeaufforderung oder das Windows Terminal (<strong>Win + X<\/strong>).<\/li>\n<li>F\u00fchren Sie diesen Befehl aus:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Pr\u00fcfen Sie die Ausgabe auf Ihren SPF-Eintrag.<\/li>\n<li>Best\u00e4tigen Sie das Ergebnis mit dem <a href=\"https:\/\/mxtoolbox.com\/spf.aspx\" target=\"_blank\" rel=\"noopener\">SPF-Checker von MX-Toolbox<\/a>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Innerhalb von 24 bis 48 Stunden besteht legitime Mail aus Ihren Diensten die SPF-Pr\u00fcfung, w\u00e4hrend gef\u00e4lschte E-Mails bei der SPF-Authentifizierung durchfallen sollten. In den E-Mail-Headern sehen Sie die SPF-Ergebnisse mit <strong>pass\/fail<\/strong>.<\/p>\n<h3 id=\"how-to-2\">So aktivieren Sie die DKIM-Signierung<\/h3>\n<p>DomainKeys Identified Mail (DKIM) f\u00fcgt Ihren ausgehenden E-Mails eine eindeutige digitale Signatur hinzu. Diese Signatur erzeugt der sendende Mailserver mit einem privaten kryptografischen Schl\u00fcssel.<\/p>\n<p>Der zugeh\u00f6rige \u00f6ffentliche Schl\u00fcssel wird als DKIM-Eintrag im DNS ver\u00f6ffentlicht. Erh\u00e4lt ein Server die E-Mail, ruft er den \u00f6ffentlichen Schl\u00fcssel aus dem DNS ab und pr\u00fcft damit die Signatur.<\/p>\n<p>\ud83d\udccc <strong>Anwendungsfall: <\/strong>Aktivieren Sie DKIM sofort, wenn Sie gesch\u00e4ftliche E-Mails versenden, ob transaktional, werblich oder intern. DKIM ist Voraussetzung f\u00fcr die DMARC-Durchsetzung und verhindert, dass Angreifer Ihre Nachrichten manipulieren.<\/p>\n<p><strong>Schritt-f\u00fcr-Schritt-Anleitung:<\/strong><\/p>\n<p>1. Generieren Sie Ihre DKIM-Schl\u00fcssel. Beachten Sie dabei, dass Ihr E-Mail-Dienst die kryptografischen Schl\u00fcssel automatisiert erzeugt::<\/p>\n<ul>\n<li>Bei Cloud-Diensten: Hier ist nichts zu tun, da die Schl\u00fcssel beim Aktivieren von DKIM automatisiert erzeugt werden.\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Microsoft 365: Sie finden den Schl\u00fcssel im Microsoft Defender Portal &gt; <strong>E-Mail und Zusammenarbeit<\/strong> &gt; <strong>Richtlinien und Regeln<\/strong> &gt; <strong>Bedrohungsrichtlinien<\/strong> &gt; <strong>Einstellungen f\u00fcr die E-Mail-Authentifizierung<\/strong> &gt; <strong>DKIM<\/strong>. (Sie k\u00f6nnen die Navigation auch komplett \u00fcberspringen und den Direktlink nutzen: <a href=\"https:\/\/security.microsoft.com\/authentication?viewid=DKIM\" target=\"_blank\" rel=\"noopener\">https:\/\/security.microsoft.com\/authentication?viewid=DKIM<\/a>.)<\/li>\n<li>Google Workspace: Sie finden den Schl\u00fcssel unter <strong>Admin-Konsole &gt; Apps &gt; Gmail &gt; E-Mail authentifizieren<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Bei selbst gehosteten Servern: Nutzen Sie Tools wie OpenSSL oder den DKIM-Assistenten Ihres Mailservers.<\/li>\n<\/ul>\n<p>\ud83d\udca1 Tipp: Verwenden Sie 2048-Bit-Schl\u00fcssel, sofern Ihr Anbieter das zul\u00e4sst. 1024 Bit sind das technische Minimum, das die meisten Anbieter noch akzeptieren, doch 2048 Bit gelten inzwischen als empfohlener Standard, weil sie Schl\u00fcsselangriffen deutlich besser standhalten.<\/p>\n<p>2. Ver\u00f6ffentlichen Sie Ihre DNS-Eintr\u00e4ge:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Holen Sie den DKIM-Eintrag bei Ihrem E-Mail-Anbieter ein:\n<ul>\n<li>Microsoft 365: CNAME-Eintr\u00e4ge (siehe unten)<\/li>\n<li>Google Workspace: TXT-Eintrag<\/li>\n<li>Andere: TXT oder CNAME<\/li>\n<\/ul>\n<\/li>\n<li>Melden Sie sich bei Ihrem DNS-Anbieter an (z. B. Cloudflare, GoDaddy)<\/li>\n<li>F\u00fcgen Sie die folgenden Eintr\u00e4ge hinzu:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Dienst<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Eintragstyp<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Host\/Name<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Wert\/Inhalt<\/strong><\/td>\n<\/tr>\n<tr>\n<td rowspan=\"2\"><strong>Microsoft 365<\/strong><\/td>\n<td>CNAME<\/td>\n<td>selector1._domainkey<\/td>\n<td><code>selector1-[domain]-com._domainkey.[tenant].onmicrosoft.com<\/code><\/td>\n<\/tr>\n<tr>\n<td>CNAME<\/td>\n<td>selector2._domainkey<\/td>\n<td><code>selector2-[domain]-com._domainkey.[tenant].onmicrosoft.com<\/code><\/td>\n<\/tr>\n<tr>\n<td><strong>Google Workspace<\/strong><\/td>\n<td>TXT<\/td>\n<td>google._domainkey<\/td>\n<td><code>v=DKIM1; k=rsa; p=[long_public_key]<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 80px;\">\u26a0\ufe0f <strong>Wichtig:<\/strong> Ersetzen Sie <strong><code>[domain]<\/code><\/strong> durch Ihre Domain und <strong><code>[tenant]<\/code><\/strong> durch den Namen Ihres Microsoft 365-Tenants.<\/p>\n<p style=\"padding-left: 40px;\"><strong>Hinweis: <\/strong>Microsoft 365 nutzt zwei DKIM-Eintr\u00e4ge, damit DKIM-Schl\u00fcssel transparent rotiert werden k\u00f6nnen. So bleibt die E-Mail-Authentifizierung ununterbrochen bestehen und die Sicherheit insgesamt steigt<\/p>\n<p>3. \u00dcberpr\u00fcfen Sie die Einrichtung in diesen Schritten:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>\u00d6ffnen Sie die Eingabeaufforderung oder PowerShell im Windows Terminal (<strong>Win + X<\/strong>).<\/li>\n<li>F\u00fchren Sie in der Eingabeaufforderung folgenden Befehl aus:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt google._domainkey.yourdomain.com # Google TXT check<\/code><\/strong><br \/>\n<strong><code>nslookup -type=cname selector1._domainkey.yourdomain.com # M365 CNAME check<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Nutzen Sie in PowerShell dieses Skript:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig -Identity yourdomain.com | Format-List Enabled,Status<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Achten Sie auf <strong><code>Enabled: True<\/code><\/strong> und <code>Status: CNAMEValid<\/code>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>E-Mail-Test: Senden Sie eine E-Mail an check-auth@verifier.port25.com und pr\u00fcfen Sie die Header der Antwort.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Nach der Konfiguration sollten alle ausgehenden E-Mails innerhalb von 24 Stunden einen DKIM-Signature-Header enthalten. Empf\u00e4nger k\u00f6nnen Nachrichten mit Ihrem \u00f6ffentlichen DNS-Schl\u00fcssel validieren, und gef\u00e4lschte oder ver\u00e4nderte E-Mails fallen bei der DKIM-Pr\u00fcfung durch. Auch in den DMARC-Berichten sollte f\u00fcr legitime E-Mails <strong>dkim=pass<\/strong> erscheinen.<\/p>\n<h3 id=\"how-to-3\">So ver\u00f6ffentlichen Sie eine DMARC-Richtlinie<\/h3>\n<p>DMARC setzt die Richtlinie Ihrer Domain durch: Es teilt E-Mail-Anbietern mit, wie sie mit nicht verifizierten Nachrichten umgehen sollen, und liefert wichtige Berichte zu Spoofing-Versuchen. Es ist der letzte Baustein im Schutz vor E-Mail-Spoofing.<\/p>\n<p>\ud83d\udccc <strong>Anwendungsfall: <\/strong>Rollen Sie DMARC aus, sobald SPF und DKIM aktiv sind. F\u00fcr jede Domain ist das unverzichtbar, um Phishing zu blockieren, Einblick in den E-Mail-Verkehr zu gewinnen und den Schutz vor gef\u00e4lschten Absendern durchzusetzen.<\/p>\n<p><strong>Schritt-f\u00fcr-Schritt-Anleitung:<\/strong><\/p>\n<ol>\n<li>Stellen Sie sicher, dass SPF und DKIM (siehe Methode 1 und 2) aktiv sind und f\u00fcr alle E-Mail-Quellen bestanden werden. Das ist eine zwingende Voraussetzung f\u00fcr DMARC.<\/li>\n<li>Erstellen Sie Ihren DMARC-Eintrag in diesen Schritten:\n<ul>\n<li>Legen Sie im DNS Ihrer Domain einen TXT-Eintrag mit dieser Syntax an:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>v=DMARC1; p=&lt;policy&gt;; rua=mailto:dmarc@yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Dazu die Erl\u00e4uterung:\n<ul>\n<li><strong><code>p=<\/code><\/strong> (Richtlinie): Legt fest, was empfangende Server mit nicht authentifizierter Mail tun sollen. W\u00e4hlen Sie eine Option:\n<ul>\n<li><strong><code>p=none<\/code><\/strong>: Nur \u00fcberwachen (hier beginnen).<\/li>\n<li><strong><code>p=quarantine<\/code><\/strong>: Fehlgeschlagene Nachrichten in den Spam-Ordner verschieben.<\/li>\n<li><strong><code>p=reject<\/code><\/strong>: Fehlgeschlagene Nachrichten vollst\u00e4ndig blockieren.<\/li>\n<\/ul>\n<\/li>\n<li><strong><code>rua=<\/code><\/strong> (Berichterstattung): Sendet Ihnen t\u00e4gliche Sammelberichte. Sie sind unverzichtbar, um Spoofing zu erkennen und den legitimen Mailfluss zu korrigieren.<\/li>\n<\/ul>\n<\/li>\n<li>Optional gibt es n\u00fctzliche Tags zur Feinabstimmung:\n<ul>\n<li><strong><code>pct=5<\/code><\/strong>: Wendet Ihre Richtlinie nur auf 5 % der fehlgeschlagenen Mails an (erleichtert die Durchsetzung).<\/li>\n<li><strong><code>sp=quarantine<\/code><\/strong>: Legt eine abweichende Richtlinie f\u00fcr Ihre Subdomains fest.<\/li>\n<li><strong><code>adkim=r; aspf=r<\/code><\/strong>: Nutzt die \u201erelaxed\u201c-Ausrichtung (bei den meisten Setups \u00fcblich).<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\">\n<li>Ver\u00f6ffentlichen Sie den DNS-Eintrag wie folgt:\n<ul>\n<li>Melden Sie sich beim DNS-Anbieter an (z. B. Cloudflare, GoDaddy)<\/li>\n<li>Erstellen Sie einen TXT-Eintrag:\n<ul>\n<li><strong>Host:<\/strong> _dmarc<\/li>\n<li><strong>Wert:<\/strong> Ihre DMARC-Richtlinienzeichenfolge<\/li>\n<li><strong>TTL:<\/strong> 3600 (1 Stunde)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>\u00dcberpr\u00fcfen Sie Ihre \u00c4nderungen:\n<ul>\n<li>\u00d6ffnen Sie die <strong>Eingabeaufforderung<\/strong> oder das <strong>Windows Terminal (Win + X)<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt _dmarc.yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>F\u00fcr eine Online-Pr\u00fcfung nutzen Sie <strong>MXToolbox DMARC Lookup<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"5\">\n<li>\u00dcberwachen und versch\u00e4rfen Sie die Richtlinie:\n<ul>\n<li>Werten Sie die Berichte aus, die zwei Wochen lang an das <strong>rua<\/strong>&#8211;<strong>Postfach <\/strong>gesendet werden.<\/li>\n<li>Aktualisieren Sie SPF und DKIM konsequent f\u00fcr legitime Absender.<\/li>\n<li>Versch\u00e4rfen Sie die Richtlinie schrittweise: <strong>none &gt; quarantine &gt; reject<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Innerhalb von 72 Stunden nach der Konfiguration sollten Ihre <strong>t\u00e4glichen XML-Berichte<\/strong> legitime und betr\u00fcgerische Absender, SPF- und DKIM-Erfolgsquoten, geografische Bedrohungsschwerpunkte sowie die in Quarant\u00e4ne verschobenen oder abgewiesenen E-Mails ausweisen.<\/p>\n<h3 id=\"how-to-4\">PowerShell f\u00fcr die Verwaltung von DKIM und DMARC in Microsoft 365 nutzen<\/h3>\n<p>PowerShell vereinfacht die Verwaltung der E-Mail-Sicherheit in Microsoft 365 mit der Effizienz der Kommandozeile. Damit setzen Sie den Schutz vor E-Mail-Spoofing schneller um als \u00fcber grafische Oberfl\u00e4chen.<\/p>\n<p>\ud83d\udccc <strong>Anwendungsfall: <\/strong>Ideal f\u00fcr IT-Administrator:innen, die mehrere Domains betreuen, Bereitstellungen automatisieren oder SPF-, DKIM- und DMARC-Protokolle analysieren. Auch f\u00fcr die Durchsetzung von Richtlinien im gro\u00dfen Ma\u00dfstab ist PowerShell unverzichtbar.<\/p>\n<p><strong>Schritt-f\u00fcr-Schritt-Anleitung:<\/strong><\/p>\n<ol>\n<li>Verbinden Sie sich mit Exchange Online:\n<ul>\n<li>\u00d6ffnen Sie dazu <strong>PowerShell (als Administrator) <\/strong>und f\u00fchren Sie dieses Skript aus:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-ExchangeOnline -UserPrincipalName admin@yourdomain.com -ShowBanner:$false<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\">\n<li>Aktivieren Sie die DKIM-Signierung mit diesen Schritten:\n<ul>\n<li>F\u00fchren Sie dieses Skript aus:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Set-DkimSigningConfig -Identity yourdomain.com -Enabled $true<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>\u00dcberpr\u00fcfen Sie das Ergebnis mit diesem Skript:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig yourdomain.com | Select Name, Enabled, Status<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Hinweis: <\/strong>Achten Sie auf <strong>Enabled: True<\/strong> und <strong>Status: CNAMEValid<\/strong><\/p>\n<ol start=\"3\">\n<li>Rufen Sie SPF-, DKIM- und DMARC-Protokolle mit diesem Skript ab:<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MessageTrace -SenderAddress user@yourdomain.com -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) |<\/code><\/strong><br \/>\n<strong><code>Format-List Received, SenderAddress, RecipientAddress, Subject, *SPF*, *DKIM*, *DMARC*<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Die Ausgabe sollte die Authentifizierungsergebnisse f\u00fcr jede gesendete E-Mail anzeigen.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"4\">\n<li>Rufen Sie mit diesem Skript detaillierte Traces (Microsoft Defender) auf.<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MessageTraceReport -MessageTraceId &lt;ID_from_previous_command&gt; |<\/code><\/strong><br \/>\n<strong><code>Select -ExpandProperty Events |<\/code><\/strong><br \/>\n<strong><code>Where { $_.Action -eq \"Deliver\" } |<\/code><\/strong><br \/>\n<strong><code>Format-List Connectors, *Authentication*<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Nach der Ausf\u00fchrung ist die DKIM-Signierung f\u00fcr ausgehende Mails sofort aktiv. Die Protokolle sollten SPF- und DKIM-Erfolgsquoten, den DMARC-Ausrichtungsstatus sowie verd\u00e4chtige Absender sichtbar machen.<\/p>\n<h3 id=\"how-to-5\">E-Mail-Hardening per GPO und Registry (nur Windows-Clients)<\/h3>\n<p>SPF, DKIM und DMARC sch\u00fctzen die Server. Zus\u00e4tzlich sorgt das Hardening von Windows-E-Mail-Clients f\u00fcr eine wichtige Schutzebene direkt bei den Benutzer:innen.<\/p>\n<p>\ud83d\udccc <strong>Anwendungsfall: <\/strong>Setzen Sie dies ein, wenn Besch\u00e4ftigte Outlook auf dom\u00e4nengebundenen Windows 11-PCs nutzen. F\u00fcr Finanz- und HR-Teams, die mit sensiblen Daten arbeiten, ist das unverzichtbar.<\/p>\n<p><strong>Schritt-f\u00fcr-Schritt-Anleitung:<\/strong><\/p>\n<h4>Methode A: Registry-\u00c4nderung (einzelner PC)<\/h4>\n<ol>\n<li>Dr\u00fccken Sie <strong>Win + R<\/strong> und geben Sie <strong>regedit<\/strong> ein, um den <strong>Registrierungs-Editor<\/strong> zu \u00f6ffnen. Stellen Sie sicher, dass Sie \u00fcber <strong>Administratorrechte<\/strong> verf\u00fcgen.<\/li>\n<li>Navigieren Sie zu folgendem Pfad oder f\u00fcgen Sie ihn in die Adressleiste ein: <strong>HKEY_CURRENT_USER\\Software\\Microsoft\\Office\\16.0\\Outlook\\Security <\/strong><\/li>\n<li>Erstellen Sie einen neuen <strong>DWORD-Wert (32-Bit)<\/strong>:\n<ul>\n<li>Benennen Sie ihn <strong>ShowSenderAsFrom<\/strong><\/li>\n<li>Setzen Sie die <strong>Wertdaten<\/strong> auf <strong>1<\/strong>.\n<ul>\n<li>Dadurch zeigt Outlook im Feld <strong>Von<\/strong> die Postfachadresse an, wenn E-Mails \u00fcber <strong>Senden als<\/strong> oder Berechtigungen f\u00fcr freigegebene Postf\u00e4cher versendet werden, statt \u201eim Auftrag von\u201c einzublenden.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>Methode B: Gruppenrichtlinie (dom\u00e4nenweit)<\/h4>\n<ol>\n<li>\u00d6ffnen Sie den Gruppenrichtlinienverwaltungs-Editor.<\/li>\n<li>Navigieren Sie zu <strong>Benutzerkonfiguration &gt; Administrative Vorlagen &gt; Microsoft Outlook 2016 &gt; Sicherheit <\/strong><\/li>\n<li>Aktivieren Sie zwei Richtlinien:\n<ul>\n<li><strong>Vor mehrdeutigen Absenderadressen warnen<\/strong><\/li>\n<li><strong>Absenderadresse immer in E-Mail-Headern anzeigen<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Erzwingen Sie die Einstellungen, indem Sie auf den Client-PCs <strong>gpupdate \/force<\/strong> ausf\u00fchren.<\/li>\n<\/ol>\n<p>Nach der Umsetzung warnt Microsoft Outlook bei verd\u00e4chtigen Abweichungen zwischen Absender und Antwortadresse, vollst\u00e4ndige Header sind ohne Plug-ins sichtbar, und die IT erh\u00e4lt \u00fcber die Ereignisanzeige Einblick in m\u00f6gliche Spoofing-Versuche. Das liefert zus\u00e4tzlich ein Signal, um gef\u00e4lschte, intern wirkende Nachrichten zu erkennen, die die Authentifizierung allein nicht stoppt (etwa ein kompromittiertes Partnerkonto mit g\u00fcltigem SPF und DKIM).<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Worauf Sie achten sollten<\/h2>\n<p>Dieser Abschnitt zeigt m\u00f6gliche Stolperfallen, die Sie beim Durcharbeiten dieses Leitfadens im Blick behalten sollten.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Risiken<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>M\u00f6gliche Folgen<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Gegenma\u00dfnahmen<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Harte SPF-Durchsetzung (-all) ohne vollst\u00e4ndige Absender\u00fcbersicht<\/td>\n<td>Legitime E-Mails werden blockiert (Rechnungen, Kundenkommunikation), Ausf\u00e4lle bei Marketing- und Kundenbeziehungsmanagement-Systemen<\/td>\n<td>Vor\u00fcbergehend auf <strong>~all<\/strong> wechseln und fehlende Dienste in den SPF-Eintrag aufnehmen.<\/td>\n<\/tr>\n<tr>\n<td>Nicht rotierte DKIM-Schl\u00fcssel<\/td>\n<td>Kryptografische Kompromittierung erm\u00f6glicht das F\u00e4lschen von Absendern; Zustellfehler durch abgelaufene Schl\u00fcssel<\/td>\n<td>Sofort neue Schl\u00fcssel erzeugen und das DNS innerhalb des vierst\u00fcndigen Rotationsfensters aktualisieren.<\/td>\n<\/tr>\n<tr>\n<td>Aggressive DMARC-Richtlinie (p=reject) ohne \u00dcberwachung<\/td>\n<td>Gesch\u00e4ftskritische E-Mails werden stillschweigend abgewiesen (ohne Unzustellbarkeitsmeldung); St\u00f6rungen in der Lieferkette<\/td>\n<td>Auf <strong>p=none<\/strong> zur\u00fccksetzen und Berichte 2 bis 4 Wochen auswerten, bevor Sie erneut versch\u00e4rfen.<\/td>\n<\/tr>\n<tr>\n<td>Bearbeiten der Windows-Registry ohne Backup<\/td>\n<td>Outlook st\u00fcrzt ab; Client-Arbeitspl\u00e4tze k\u00f6nnen keine Mails mehr senden oder empfangen<\/td>\n<td>Registry aus dem Backup wiederherstellen und den <strong>DWORD-Wert ShowSenderAsFrom<\/strong> l\u00f6schen.<\/td>\n<\/tr>\n<tr>\n<td>Ung\u00fcltige E-Mail-Adresse f\u00fcr DMARC-Berichte (rua)<\/td>\n<td>Keinerlei Einblick in Spoofing-Angriffe; unentdeckte Phishing-Kampagnen<\/td>\n<td>E-Mail-Adresse im DNS korrigieren und pr\u00fcfen, ob das Postfach existiert.<\/td>\n<\/tr>\n<tr>\n<td>DNS-\u00c4nderungen ohne \u00dcberpr\u00fcfung<\/td>\n<td>E-Mails verschwinden 24 bis 72 Stunden spurlos; Schaden f\u00fcr die Domain-Reputation<\/td>\n<td>Zu den vorherigen DNS-Eintr\u00e4gen zur\u00fcckkehren und zur Vorabpr\u00fcfung <strong>nslookup\/MXToolbox<\/strong> verwenden.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Verd\u00e4chtige E-Mails \u00fcberwachen mit NinjaOne RMM<\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/de\/rmm\/kostenlose-testversion\/\">Testen Sie kostenlos, wie NinjaOne Ihre Endpunkt-\u00dcberwachung verbessert<\/a><\/p>\n<\/div>\n<h2>Tipps f\u00fcr die Einrichtung des Schutzes vor E-Mail-Spoofing<\/h2>\n<p>Mit diesen praktischen Tipps umgehen Sie die h\u00e4ufigsten Fallstricke beim Ausrollen eines Schutzes vor E-Mail-Spoofing und optimieren Ihr Setup f\u00fcr Sicherheit und Zustellbarkeit.<\/p>\n<h3>Warum schl\u00e4gt SPF nach 10 DNS-Lookups fehl?<\/h3>\n<p>SPF schl\u00e4gt fehl, sobald mehr als 10 DNS-Lookups anfallen, und legitime E-Mails werden zur\u00fcckgewiesen. Vermeiden Sie das, indem Sie <strong>includes:<\/strong> flachklopfen und verschachtelte <strong><code>include:<\/code><\/strong>-Anweisungen durch direkte <strong>ip4:\/ip6:<\/strong>-Listen ersetzen.<\/p>\n<p>Sie k\u00f6nnen auch SPF-Makros nutzen und die Anbieter zusammenfassen (<strong><code>include<\/code><\/strong><code>:%{i}._spf.example.com<\/code>). Testen Sie das gr\u00fcndlich mit diesem Skript:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>Resolve-DnsName -Type TXT yourdomain.com | Select-Object Strings # Windows 11<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Sollte ich mit p=reject oder p=none starten?<\/h3>\n<p>Beginnen Sie niemals mit <code>p=reject<\/code>. Damit riskieren Sie, g\u00fcltige E-Mails stillschweigend zu blockieren. Setzen Sie stattdessen 2 bis 4 Wochen lang <code>p=none<\/code> ein, um Berichte zu sammeln. Beheben Sie anschlie\u00dfend die SPF- und DKIM-L\u00fccken bei legitimen Absendern.<\/p>\n<p>Danach versch\u00e4rfen Sie schrittweise auf <strong><code>p=quarantine<\/code> (Spam) &gt; <code>p=reject<\/code> (Blockieren)<\/strong>. Denn eine schrittweise Durchsetzung verhindert St\u00f6rungen im Gesch\u00e4ftsbetrieb und holt gleichzeitig das Maximum aus dem Schutz vor gef\u00e4lschten Absendern heraus.<\/p>\n<h3>Wie oft sollte ich meine DKIM-Schl\u00fcssel rotieren?<\/h3>\n<p>Undokumentierte Schl\u00fcsselwechsel bringen den Mailfluss zum Erliegen. F\u00fcr eine wasserdichte Verwaltung halten Sie die Selektoren (z. B. selector1, google) in einem Passworttresor fest, rotieren die Schl\u00fcssel alle 6 Monate \u00fcber die Admin-Konsole Ihres E-Mail-Dienstes und pr\u00fcfen den Stand viertelj\u00e4hrlich mit diesem Befehl:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig | Format-List Domain, SelectorCNAME # Microsoft 365<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Lieber ein gehostetes DMARC-Tool statt manueller DNS-Verwaltung?<\/h3>\n<p>Wenn Ihnen die manuelle Verwaltung \u00fcber DNS und PowerShell \u00fcber den Kopf w\u00e4chst, greifen Sie zu MSP-tauglichen Plattformen wie PowerDMARC, Proofpoint oder Valimail. Diese konfigurieren SPF, DKIM und DMARC weitgehend automatisiert, bereiten Berichte verst\u00e4ndlich auf und melden Spoofing-Angriffe in Echtzeit. Ideal f\u00fcr Teams ohne dedizierte Mail-Administrator:innen oder \u00dcberwachung rund um die Uhr.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-Start-Guide<\/h2><p>Um Route Flapping zu erkennen und zu beheben, sind in der Regel folgende Schritte n\u00f6tig:<\/p>\n<p>1. <b>\u00dcberwachungstools<\/b>: Nutzen Sie das <a href=\"https:\/\/www.ninjaone.com\/de\/endpoint-management\/netzwerkverwaltung\/\">Netzwerkmanagementsystem (NMS) von NinjaOne<\/a>, um <a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-simple-network-management-protocol-snmp\/\">SNMP<\/a>-Metriken wie Schnittstellenstatus, \u00c4nderungen an der Routing-Tabelle und Protokoll-Uptime zu \u00fcberwachen.<\/p>\n<p>2. <b>Alarmierungen<\/b>: Richten Sie Alarmierungen f\u00fcr schnell wechselnde Schnittstellenzust\u00e4nde oder instabile Routing-Protokolle ein.<\/p>\n<p>3. <b>Log-Analyse<\/b>: Pr\u00fcfen Sie die Ger\u00e4teprotokolle auf Muster, die auf instabile Routen hindeuten.<\/p>\n<p>4. <b>Netzwerkdiagnose<\/b>: Verwenden Sie Tools wie <code>traceroute<\/code>, <code>ping<\/code> oder herstellerspezifische Diagnosefunktionen der betroffenen Ger\u00e4te.<\/p>\n<p>5. <b>Konfigurationspr\u00fcfung<\/b>: Suchen Sie nach falsch konfigurierten Routing-Richtlinien, redundanten Pfaden oder instabilen Peering-Beziehungen.<\/p>\n<\/div>\n<h2>Schutz vor E-Mail-Spoofing: Phishing stoppen, bevor es beginnt<\/h2>\n<p>Die Konfiguration von SPF, DKIM und DMARC ist Ihre erste Verteidigungslinie gegen Phishing, Rechnungsbetrug und Markenmissbrauch zulasten von KMU. Mit diesen Protokollen verankern Sie Vertrauen in Ihre Domain, blockieren gef\u00e4lschte E-Mails bereits auf Serverebene und gewinnen wichtige Einblicke in Angriffsmuster.<\/p>\n<p>Starten Sie mit <strong><code>-all<\/code><\/strong> bei SPF, erg\u00e4nzen Sie die kryptografische Signierung durch DKIM und lassen Sie dann die DMARC-Berichte die schrittweise Versch\u00e4rfung Ihrer Richtlinie steuern. Denken Sie daran: Eine einzige \u00fcbersehene gef\u00e4lschte \u201eCEO-Anfrage\u201c kann einen Kunden in den Ruin treiben.<\/p>\n<p><strong>Verwandte Themen<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/e-mail-spoofing-attacken-verstehen-und-verhindern\/\">E-Mail-Spoofing-Angriffe verstehen und verhindern<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/it-hub\/endpoint-security\/was-ist-spoofing\/\">Was ist Spoofing?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/top-phishing-koeder\/\">Beispiele f\u00fcr Phishing-E-Mails: So erkennen Sie eine Phishing-Mail<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/business-email-compromise-bec-2\/\">Was ist Business E-Mail Compromise (BEC)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/best-practices-e-mail-server-sicherheit\/\">10 Best Practices f\u00fcr die Sicherheit von E-Mail-Servern, die Sie kennen sollten<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>E-Mail-Spoofing, bei dem Angreifer Absenderadressen f\u00e4lschen, um Phishing- und Identit\u00e4tsbetrug zu starten, z\u00e4hlt zu den gr\u00f6\u00dften Bedrohungen f\u00fcr kleine und mittlere Unternehmen (KMU). Solche Angriffe gelingen oft allein deshalb, weil grundlegende Eintr\u00e4ge zur E-Mail-Authentifizierung fehlen oder falsch konfiguriert sind. In diesem Leitfaden zeigen wir Ihnen, wie Sie einen wirksamen Schutz vor E-Mail-Spoofing mit SPF, DKIM [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742331,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4373],"tags":[],"class_list":["post-909322","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-msp-wachstum"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/909322","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=909322"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/909322\/revisions"}],"predecessor-version":[{"id":909323,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/909322\/revisions\/909323"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/742331"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=909322"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=909322"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=909322"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}