Die meisten Unternehmen können eine einfache Frage zu ihrer E-Mail noch immer nicht beantworten

Gemeinsam verfasst von Red Sift und Bespin Labs (Patronum).

Hier ist eine Frage, die jede IT-Führungskraft souverän beantworten können sollte: Wenn jemand jetzt sofort Ihre Domain fälschen und eine Phishing-E-Mail an Ihre Kunden senden würde, würde diese blockiert werden?

Die meisten können diese Frage nicht mit Sicherheit beantworten. Und die Daten bestätigen das. Die Analyse von über 73 Millionen Domains durch Red Sift ergab, dass nur 14,9 % überhaupt eine grundlegende DMARC-Richtlinie implementiert haben. Nur 2,5 % setzen die strengste Schutzstufe, p=reject, durch. Das bedeutet, dass rund 84 % der Domains überhaupt keinen sichtbaren DMARC-Eintrag haben.

Das sind keine obskuren technischen Lücken. Es sind offene Türen.

E-Mail-Authentifizierung ist nichts Neues. SPF (Sender Policy Framework) gibt es bereits seit 2006. DKIM (DomainKeys Identified Mail) kam im selben Jahr hinzu. DMARC (Domain-based Message Authentication, Reporting and Conformance) wurde 2012 veröffentlicht. Zusammen bilden sie eine mehrschichtige Verteidigung, die empfangenden Mailservern mitteilt, wie sie überprüfen können, ob eine E-Mail tatsächlich von dem stammt, für den sie sich ausgibt.

SPF legt fest, welche IP-Adressen berechtigt sind, im Namen einer Domain E-Mails zu versenden. DKIM versieht jede Nachricht mit einer kryptografischen Signatur, sodass Empfänger überprüfen können, ob sie nicht manipuliert wurde. DMARC verbindet beides und teilt Empfängern mit, was zu tun ist, wenn eine Nachricht diese Prüfungen nicht besteht, und wohin entsprechende Berichte gesendet werden sollen.

Die Konzepte sind nicht kompliziert. Aber die Umsetzung? Genau dort stockt es.

Die meisten Organisationen haben Dutzende von Diensten, die in ihrem Namen E-Mails versenden: Marketingplattformen, CRM-Tools, HR-Systeme, Support-Desks, Abrechnungsanbieter. Jeder davon muss in Ihrer SPF- und DKIM-Konfiguration berücksichtigt werden. Vergessen Sie einen, beginnen legitime E-Mails, die Authentifizierung zu verfehlen. Lässt man sich davon verunsichern, bleibt die DMARC-Richtlinie auf unbestimmte Zeit bei p=none (nur Überwachung).

Genau das passiert gerade in großem Maßstab. Untersuchungen zeigen, dass über 508.000 Domains bei p=none verharren, was bedeutet, dass sie zwar Daten darüber sammeln, wer ihre Domain nutzt, aber nichts unternehmen, um nicht autorisierte Absender zu stoppen. Sie haben den ersten Schritt gemacht und sind dann stehen geblieben.

Der Druck kommt gerade aus mehreren Richtungen gleichzeitig, und er verdichtet sich schnell.

Die Postfach-Anbieter haben das Thema als Erste vorangetrieben. Google und Yahoo führten Anfang 2024 DMARC-Anforderungen für Massenversender ein. Microsoft folgte 2025. Wenn Sie mehr als 5.000 E-Mails pro Tag an einen dieser Anbieter senden, benötigen Sie einen DMARC-Eintrag. Das ist keine Option mehr. Es ist Grundvoraussetzung für die Zustellbarkeit.

Dann zogen die Regulierungsbehörden nach. PCI DSS 4.0.1 schreibt nun DMARC mit einer Richtlinie von p=quarantine oder p=reject für jede Organisation vor, die Kartenzahlungen verarbeitet. Nichteinhaltung kann zu Strafen von 5.000 bis 100.000 US-Dollar pro Monat führen. Für Unternehmen aus den Bereichen Finanzen, Einzelhandel und E-Commerce ist E-Mail-Authentifizierung von einem „netten Sicherheitsextra“ zu einer „regulatorischen Anforderung“ geworden.

Und während all das geschah, hat KI die Erstellung von Phishing-Nachrichten drastisch verbilligt. Was früher einen erfahrenen Angreifer 16 Stunden manueller Arbeit kostete, kann heute in etwa 5 Minuten generiert werden. Die E-Mails lesen sich besser, sind persönlicher gestaltet und schwerer zu erkennen. Das Volumen steigt. Und die Angreifer geben sich dabei als Ihre Domain aus.

Bei Bespin Labs arbeiten wir täglich mit Organisationen an der Verwaltung von Google Workspace über Patronum. Wir sehen die operative Seite der E-Mail-Nutzung: Benutzerbereitstellung, E-Mail-Signaturen, Zugriffskontrollen, Offboarding-Workflows.

Immer wieder beobachten wir dieselbe Lücke. Organisationen investieren stark in die Verwaltung ihrer E-Mail-Infrastruktur, vernachlässigen aber die Authentifizierungsebene, die sie schützt. Sie haben detaillierte Richtlinien dafür, was passiert, wenn ein Mitarbeiter das Unternehmen verlässt, automatisiertes Signaturmanagement für Tausende von Nutzern und granulare Kontrolle über die Dateifreigabe. Fragt man jedoch nach ihrer DMARC-Richtlinie, wird das Gespräch deutlich unklarer.

Diese Lücke resultiert daraus, wie Verantwortlichkeiten aufgeteilt sind. E-Mail-Authentifizierung fällt oft zwischen IT-Betrieb, Sicherheit und Marketing. Kein einziges Team ist eindeutig zuständig. Und da sie in DNS-Einträgen und nicht in einem sichtbaren Dashboard existiert, gerät leicht in Vergessenheit, dass sie überhaupt vorhanden ist – oder eben nicht.

E-Mail-Authentifizierung muss kein sechsmonatiges Projekt sein. Sie erfordert jedoch gezielte Aufmerksamkeit.

Der Ausgangspunkt ist Transparenz. Bevor Sie etwas ändern, müssen Sie Ihren aktuellen Status verstehen.

1. Welche DMARC-, SPF- und DKIM-Einträge existieren für Ihre Domain?
2. Sind sie korrekt konfiguriert?
3. Sind sie aufeinander abgestimmt?

Ein kostenloses Tool wie Red Sift Investigate kann Ihre Domain in unter 30 Sekunden in Echtzeit prüfen und Ihnen genau sagen, wo Sie stehen.

Dann folgt die Absender-Kartierung, der Schritt, den die meisten überspringen und der später die meisten Probleme verursacht. Jeder Dienst, der in Ihrem Namen E-Mails versendet, muss identifiziert und authentifiziert werden. Ihre Marketing-Automatisierungsplattform, Ihr Ticketsystem, Ihre Rechnungssoftware und was auch immer Ihre Teams im Laufe der Jahre sonst noch angebunden haben. DMARC-Aggregatberichte (rua) sind hierbei hilfreich. Sie zeigen Ihnen, wer als Ihre Domain versendet, sowohl legitim als auch nicht.

Sobald Sie dieses Bild haben, können Sie von der Überwachung zur Durchsetzung übergehen. Einen DMARC-Eintrag mit p=none zu veröffentlichen, ist ein Anfang. Aber er schützt eigentlich nichts. Das Ziel ist es, p=quarantine zu erreichen (verdächtige E-Mails landen im Spam) und dann p=reject (nicht autorisierte E-Mails werden vollständig blockiert). Das erfordert Zuversicht, die daher kommt, dass Sie Ihre Absender zunächst ordnungsgemäß kartieren und Authentifizierungsprobleme beheben.

Was dabei oft vergessen wird, ist die Wartung. E-Mail-Authentifizierung ist kein „einmal einrichten und vergessen“. Neue Dienste kommen hinzu, DNS-Einträge ändern sich, Konfigurationen von Drittanbietern driften auseinander. Organisationen, die dies als lebendigen Bestandteil ihrer Sicherheitslage behandeln und nicht als einmaligen Compliance-Haken, sind diejenigen, die geschützt bleiben.

Technisch gesehen können Sie all das selbst erledigen. Die Protokolle sind offene Standards. Die Einträge liegen im DNS. Die Berichte sind XML-Dateien, und durch Patronum haben unsere Kunden eine stärkere Transparenz gewonnen.

Aber die Realität bleibt, dass den meisten Organisationen das interne Fachwissen oder die Kapazitäten fehlen, um DMARC in einem komplexen E-Mail-Ökosystem effektiv zu verwalten. Das ist keine Kritik. Es ist die Anerkennung, dass das Auswerten von XML-Aggregatberichten, die Fehlerbehebung bei der SPF-Ausrichtung über 40 Drittanbieter-Versender hinweg und die sichere Eskalation der Richtlinienstufen, ohne die legitime E-Mail-Zustellung zu unterbrechen, tatsächlich schwierig ist.

Ein spezialisierter DMARC-Anbieter nimmt Ihnen diese Komplexität ab. Der richtige Partner verschafft Ihnen klare Transparenz über Ihre E-Mail-Authentifizierungslage, automatisiert die Erkennung und Klassifizierung Ihrer Absender und führt Sie in einem Tempo durch die Richtlinien-Eskalation, das Ihr Geschäft nicht stört. Er überwacht außerdem aufkommende Bedrohungen wie Subdomain-Übernahmen und verwaiste DNS-Einträge, die Angreifer ausnutzen, um DMARC vollständig zu umgehen.

Worauf Sie achten sollten: ein Anbieter, der Sie zur Durchsetzung führt, nicht einer, der zufrieden damit ist, Sie auf unbestimmte Zeit bei p=none und dem bloßen Sammeln von Berichten zu belassen. Der Sinn von DMARC ist es, unbefugte Nutzung Ihrer Domain zu blockieren. Wenn Ihr Anbieter Sie nicht aktiv in diese Richtung bewegt, macht er seinen Job nicht.

E-Mail-Authentifizierung erfordert weder eine Budgetfreigabe noch ein Gespräch auf Vorstandsebene, um damit zu beginnen. Sie beginnt mit einer einfachen Frage: Ist meine Domain geschützt?

Wenn Sie die Antwort nicht kennen, finden Sie es heraus. Red Sift Investigate ist ein kostenloses Tool, das eine dynamische Echtzeitanalyse Ihrer DMARC-, SPF-, DKIM-, BIMI-, MTA-STS- und TLS-Konfiguration durchführt. Senden Sie eine Test-E-Mail, und Sie erhalten in unter einer Minute ein klares Bild vom Zustand der E-Mail-Sicherheit Ihrer Domain. Keine Anmeldung erforderlich.

Die Protokolle sind kostenlos. Die Tools zur Überprüfung Ihrer Domain sind kostenlos. Die einzigen Kosten entstehen dadurch, es nicht zu tun.

Die Absicherung Ihrer Domain mit DMARC ist der erste Schritt zum Schutz des Rufs Ihrer Marke, aber echte Sicherheit hört nicht am Gateway auf. Während Red Sift dafür sorgt, dass Ihre E-Mail-Identität absolut sicher ist, bietet Patronum die operative Ebene, die für eine wirklich sichere und konforme Google-Workspace-Umgebung erforderlich ist.

Vom automatisierten On- und Offboarding bis hin zu erweiterter Governance für Dateifreigaben und konsistenten E-Mail-Signaturen schließt Patronum die Lücken, die Angreifer ausnutzen, sobald sie sich innerhalb Ihres Ökosystems befinden.

Schauen Sie sich Patronum an, um zu sehen, wie es Ihre Google-Workspace-Sicherheit weiter unterstützen, Ihre Angriffsfläche verringern und Ihre Organisation der sich entwickelnden Bedrohungslandschaft voraus halten kann.

Für bestehende Patronum-Kunden stehen wir bereit, Ihnen beim Übergang Ihrer Sicherheit und Transparenz zu helfen, um volle Compliance und Kontrolle aufrechtzuerhalten. Sprechen Sie noch heute mit unserem Team, um zu erfahren, wie Red Sift und Patronum Ihnen helfen können.