Kein SPF und kein DMARC — E-Mail-Fälschung ungeschützt

E-Mail hat von Haus aus keine Absenderprüfung: Jeder Server kann eine Mail mit eurer Adresse im Absender verschicken. SPF und DMARC sind die beiden DNS-Einträge, mit denen ihr den Empfängern sagt, welche Server für euch senden dürfen und was mit dem Rest passieren soll. Fehlen beide, hat ein Empfänger keine Möglichkeit, eine Fälschung von einer echten Mail zu unterscheiden.

Für ein junges Unternehmen ist das der Angriff mit dem besten Verhältnis von Aufwand zu Schaden: Eine Mail „von der Geschäftsführung“ an den Steuerberater, eine „Rechnung“ an einen Kunden — und der Absender seid nach außen ihr. Dazu kommt der Alltagseffekt: Große Anbieter stufen Mails von Domains ohne diese Einträge zunehmend als Spam ein.

Selbst nachprüfen: `dig TXT eure-domain.de +short` sollte eine Zeile mit `v=spf1` zeigen, `dig TXT _dmarc.eure-domain.de +short` eine mit `v=DMARC1`. Beides richtet der Mail-Anbieter (Google Workspace, Microsoft 365, IONOS …) in seiner Anleitung in wenigen Minuten ein.