Legitime Absender vollständig erfassen

Bevor Domainregeln verschärft werden, müssen sämtliche berechtigten Versandsysteme bekannt sein. Dazu können Microsoft 365, Newsletter, Shop, CRM und Rechnungssoftware gehören. Unvollständige Bestandsaufnahmen führen sonst dazu, dass legitime Nachrichten nach einer gut gemeinten Sicherheitsänderung abgewiesen oder als verdächtig behandelt werden.

SPF und DKIM stellen unterschiedliche technische Nachweise für den Versand bereit. DMARC verknüpft passende Nachweise mit der sichtbaren Absenderdomain und einer veröffentlichten Richtlinie. Die Einführung sollte anhand tatsächlicher Versandwege und ausgewerteter Rückmeldungen erfolgen, bevor eine strengere Behandlung aktiviert wird.

Konten und Arbeitsabläufe ebenfalls schützen

Ein korrekt authentifiziertes Schreiben kann trotzdem aus einem übernommenen echten Postfach stammen. Deshalb gehören starke Anmeldung, überprüfte Weiterleitungsregeln und begrenzte delegierte Rechte zum Schutzkonzept. Auch Apps mit Postfachzugriff und vergessene Zugänge ehemaliger Beschäftigter müssen berücksichtigt werden.

Für sensible Vorgänge werden unabhängige Bestätigungswege festgelegt. Eine neue Bankverbindung wird beispielsweise über einen bereits bekannten Kontakt geprüft, nicht über die Telefonnummer in derselben verdächtigen Nachricht. Technische Filter unterstützen solche Abläufe, können die geschäftliche Plausibilitätsprüfung aber nicht vollständig übernehmen.

Zustellung und Schutzwirkung gemeinsam testen

Die Abnahme umfasst Testnachrichten der tatsächlich verwendeten Systeme sowie die korrekte technische Bewertung beim Empfänger. Auch Weiterleitungen und externe Dienstleister verdienen Aufmerksamkeit. Änderungen werden dokumentiert, damit spätere neue Versanddienste nicht unbemerkt gegen die vorhandenen Regeln arbeiten.

Für einen E-Mail-Check nennen Sie Domains, Postfachanbieter und zusätzliche Versandsysteme. Daraus entsteht ein nachvollziehbarer Massnahmenplan mit klarer Reihenfolge. Bei konkretem Verdacht auf ein übernommenes Konto sollte zuerst ein Vorfallprozess starten; reine Domainkonfiguration behebt diesen Zustand nicht.

Ihre Checkliste für den nächsten Schritt

  • Alle legitimen Maildienste einschliesslich Shop und Rechnungssoftware aufnehmen.
  • Domainauthentifizierung schrittweise anhand tatsächlicher Versandberichte abstimmen.
  • Sensible Zahlungsänderungen über einen unabhängigen bekannten Kontakt bestätigen.

Häufige Fragen

Verhindert DMARC jede Phishing-Mail?

Nein. Ähnliche fremde Domains, manipulierte Inhalte und übernommene echte Postfächer bleiben mögliche Wege. Weitere Kontrollen und klare Arbeitsabläufe sind nötig.

Kann eine strenge Regel die eigene Zustellung beeinträchtigen?

Ja, wenn legitime Absender nicht korrekt eingebunden sind. Deshalb werden Versandwege vor einer Verschärfung erfasst und getestet.

Quellen & weiterführende Informationen

NCSC: E-Mail-Sicherheit und Anti-Spoofing ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.