Red Sifts umfassender Leitfaden zur E-Mail-Sicherheit
Letzte Aktualisierung: November 2025
Kurzfassung
Dieser umfassende Leitfaden behandelt E-Mail-Authentifizierungsprotokolle (SPF, DKIM, DMARC, MTA-STS), die für den Schutz von Domains vor Spoofing und Phishing im Jahr 2026 unerlässlich sind.
Die wichtigsten Erkenntnisse:
- E-Mail bleibt verwundbar: Täglich werden 3,4 Milliarden Phishing-E-Mails verschickt, E-Mail ist weiterhin der wichtigste Angriffsweg für Cyberkriminelle
- SPF und DKIM allein reichen nicht aus: Sie authentifizieren Absender, verhindern jedoch keine direkte Imitation der Domain
- DMARC ist jetzt verpflichtend: Von Google, Yahoo und Microsoft für Massensender (über 5.000 E-Mails/Tag) seit 2024–2025 vorgeschrieben, 2026 neuer Standard
- Umsetzungszeitplan: Red Sift OnDMARC unterstützt Organisationen dabei, innerhalb von 6–8 Wochen die Richtlinie „p=reject“ zu erreichen (branchenweit am schnellsten)
- Geschäftliche Vorteile: Stoppt Phishing, schützt den Markenruf, verbessert die Zustellbarkeit, ermöglicht BIMI, unterstützt Compliance (NIS2, DORA, PCI DSS, DSGVO)
- Technische Herausforderungen gelöst: Dynamisches SPF hebt das 10-Lookup-Limit auf, automatisierte Tools beschleunigen die Fehlersuche
- MTA-STS erhöht Transportsicherheit: Verschlüsselt E-Mails beim Transfer zwischen Mailservern
Fazit: E-Mail-Authentifizierung ist 2026 von optional zu verpflichtend geworden. Organisationen benötigen DMARC mit p=reject für vollständigen Schutz – moderne Plattformen ermöglichen eine schnelle und sichere Implementierung.
Was ist dieser E-Mail-Sicherheitsleitfaden & warum ist E-Mail-Sicherheit wichtig?
E-Mail ist ein unverzichtbares Kommunikationsmittel für Unternehmen auf der ganzen Welt. Sie ist so essenziell für den täglichen Betrieb von Organisationen aller Größen, dass viele sagen würden, sie sei genauso wichtig wie Strom oder Wasser.
Doch gerade aufgrund dieser Bedeutung ist E-Mail aus Sicht der Cybersicherheit so anfällig. Auch 2026 verfeinern Angreifer ihre Methoden weiter. Bei täglich 3,4 Milliarden versendeten Phishing-E-Mails zeigt sich: E-Mail-Systeme sind das Hauptziel von Cyberkriminellen, die Zugriff auf Ihr Unternehmen erlangen wollen. Es genügt schon, wenn nur ein einziger Mitarbeiter auf einen geschickt gestalteten Betrugsversuch hereinfällt, auf einen infizierten Link klickt oder einen schädlichen Anhang herunterlädt – und der gesamte Betrieb könnte zum Stillstand kommen.
Da es so wichtig ist, die eigene E-Mail zu sichern, haben wir diesen umfassenden Leitfaden entwickelt. Er soll sowohl Einsteigern als auch Einkäufern bei ihren Fragen zur E-Mail-Sicherheit helfen. In den folgenden Kapiteln finden Sie ausführliche Informationen zu:
- Wie Angreifer schwache Gateways, falsch konfigurierte DNS-Einträge und unüberwachte Domains ausnutzen
- Warum SPF, DKIM und DMARC am besten gemeinsam funktionieren und wie MTA-STS die Transportsicherheit stärkt
- Die Checkliste für Einkäufer: Reporting-Tiefe, Automatisierung, Richtliniendurchsetzung, ROI und Time-to-Value
Viel Spaß beim Lesen!
Wenn Sie als E-Mail-Sicherheitsarchitekt oder Analyst eine technischere Anleitung suchen, besuchen Sie unseren Technischer Leitfaden zur E-Mail-Konfiguration. Dieses umfassende Handbuch behandelt SPF, DKIM, DMARC, MTA-STS und mehr und bietet Einblicke und praktische Tipps zur Verbesserung Ihrer E-Mail-Sicherheitslage.
Häufig gestellte Fragen: Leitfaden zur E-Mail-Sicherheit
Alle Maßnahmen zur E-Mail-Sicherheit (außer DMARC) sind wirkungslos, wenn eine bösartige E-Mail scheinbar von einer legitimen Domain stammt. Grund dafür ist ein Fehler im Simple Mail Transfer Protocol (SMTP). Im Oktober 2008 hat die Network Working Group dieses offiziell als 'grundsätzlich unsicher' eingestuft und festgestellt, dass jeder eine Domain imitieren und betrügerische E-Mails im Namen des Domaininhabers versenden kann.
Jeder mit sehr grundlegenden Programmierkenntnissen kann sich das nötige Wissen zur Imitation der E-Mail-Identität einer anderen Person durch eine schnelle Google-Suche aneignen. Das Ergebnis ist eine E-Mail, die legitim aussieht und keine typischen Phishing-Anzeichen aufweist. Bei 3,4 Milliarden Phishing-E-Mails täglich bleiben E-Mail-Systeme das Hauptziel von Cyberkriminellen.
SPF (Sender Policy Framework) prüft, ob eine E-Mail von einer durch den SPF-Eintrag der Absenderdomain autorisierten IP-Adresse versendet wurde. Dies geschieht über einen DNS-TXT-Eintrag mit der Liste der autorisierten Mailserver.
DKIM (DomainKeys Identified Mail) nutzt eine kryptografische Signatur, die über einen öffentlichen Schlüssel im DNS validiert wird, um zu bestätigen, dass der Inhalt der E-Mail nicht verändert wurde und von einer autorisierten Domain stammt. Beide sind essenziell für die E-Mail-Sicherheit, verhindern aber keine exakte Imitation.
Obwohl diese Protokolle dem Empfänger zeigen, von wem die E-Mail stammt, erhält der Empfänger keine Anweisung, wie er darauf reagieren soll. Große Postfachanbieter verlangen ab 2026 SPF und DKIM für den Versand von Massennachrichten.
DMARC steht für Domain-based Message Authentication, Reporting und Conformance. Es ist ein Protokoll für ausgehende E-Mail-Sicherheit, mit dem Domaininhaber empfangenden Postfächern mitteilen können, dass gefälschte E-Mails abgelehnt werden sollen. DMARC kombiniert die Ergebnisse von SPF und DKIM, um festzustellen, ob Ihre E-Mail legitim und autorisiert ist.
Die DMARC-Richtlinie (definiert durch den "p="-Tag im DNS-Eintrag) gibt daraufhin den empfangenden Servern vor, wie mit solchen E-Mails zu verfahren ist. DMARC verhindert exakte Domain-Imitation, indem es empfangenden Servern anweist, keine E-Mails zu akzeptieren, die nicht authentifiziert sind. 2026 ist DMARC für Organisationen, die Massen-E-Mails versenden, zum Standard geworden.
Die SPF-Spezifikation begrenzt DNS-Lookups auf 10. Überschreitet Ihr SPF-Eintrag diesen Wert, schlägt die SPF-Prüfung fehl. Zu den gezählten Mechanismen gehören: a, ptr, mx, include, redirect und exists. In der Praxis reichen 10 Lookups meist nicht aus, da viele Unternehmen mehrere E-Mail-Versandtools nutzen.
G Suite allein belegt 4 DNS-Lookups, dazu kommen beispielsweise 7 Lookups für Marketing mit HubSpot – und schon ist das Limit überschritten. Sobald Sie mehr als 10 SPF-Lookups haben, kommt es zu zufälligen Fehlern bei der E-Mail-Validierung. Daher setzen Unternehmen im Jahr 2026 auf dynamisches SPF-Management, anstatt zu versuchen, abgeflachte Einträge manuell zu pflegen.
Mail Transfer Agent Strict Transport Security (MTA-STS) ist ein Standard, der die Verschlüsselung von E-Mails beim Versand zwischen zwei Mailservern ermöglicht. Er legt fest, dass E-Mails nur über eine mit Transport Layer Security (TLS) verschlüsselte Verbindung gesendet werden dürfen, was eine Abfangbarkeit durch Cyberkriminelle verhindert. SMTP allein bietet keine Sicherheit und ist daher anfällig für Man-in-the-Middle-Angriffe, bei denen Kommunikation abgefangen und ggf. verändert wird.
Darüber hinaus ist Verschlüsselung in SMTP optional, sodass E-Mails im Klartext übertragen werden können. Ohne MTA-STS kann ein Angreifer die Kommunikation abfangen und erzwingen, dass die Nachricht im Klartext übertragen wird. 2026 ist MTA-STS eine Standard-Sicherheitsmaßnahme für Organisationen mit sensibler Kommunikation.
Durch die Implementierung von DMARC profitieren Sie von der Blockierung von Phishing-Versuchen, die scheinbar von Ihrer Domain ausgehen, stärkerem Kundenvertrauen, reduziertem Cyberrisiko und der Einhaltung der Anforderungen für Massenaussendungen von Google, Yahoo und Microsoft.
DMARC stärkt zudem die Einhaltung von PCI DSS 4.0 und erhöht die allgemeine organisatorische Widerstandsfähigkeit gegen sich wandelnde Cyberbedrohungen. Ist die Policy auf p=reject (Durchsetzung) gesetzt, blockiert DMARC Lieferantenbetrug, Kontoübernahmen und E-Mail-Spoofing, indem es verhindert, dass Dritte Ihre Domain für Phishing-E-Mails und Business Email Compromise (BEC) nutzen. Laut dem Data Breach Investigations Report von Verizon 2025 machen BEC-Angriffe mehr als 17–22% aller Social-Engineering-Vorfälle aus.
Red Sift OnDMARC beschleunigt die DMARC-Umsetzung mit automatisierter Sendersuche, konkreten Lösungsvorschlägen, Anomalie-Erkennung und rollenbasiertem Zugriff für globale Teams. Im Jahr 2026 ermöglichen führende Plattformen es Unternehmen, p=reject-Durchsetzung innerhalb von 6–8 Wochen statt der früher üblichen sechs Monate zu erreichen.
Einer der am häufigsten genannten Vorteile von OnDMARC ist die durchschnittliche Zeit von 6–8 Wochen bis zur vollen Durchsetzung. Die leistungsstarke Automatisierung der Plattform analysiert kontinuierlich sämtliche Vorgänge auf Ihrer Domain und zeigt Hinweise und Empfehlungen für notwendige Änderungen an. Bereits 24 Stunden nach Hinzufügen Ihres individuellen DMARC-Eintrags zu DNS beginnt OnDMARC, DMARC-Berichte zu analysieren und übersichtlich in Dashboards anzuzeigen.
Große E-Mail-Anbieter wie Microsoft, Google und Yahoo verlangen ab 2024–2025 DMARC für Versender von Massennachrichten (Organisationen, die mehr als 5.000 E-Mails pro Tag versenden), und diese Anforderungen sind 2026 zum Standard geworden.
Neben den Vorgaben der Postfachanbieter setzen auch einzelne Branchen und Behördenregulierungen zunehmend auf DMARC. US-Bundesbehörden müssen DMARC verwenden, ebenso wie durch DORA regulierte Zahlungsdienstleister. Darüber hinaus stärkt die DMARC-Implementierung die Einhaltung von Vorschriften wie PCI DSS 4.0, DSGVO und NIS2. Für Cybersecurity-, E-Mail-Sicherheits- und IT-Teams ist es entscheidend, die E-Mail-Sicherheit der eigenen Organisation internationalen Best Practices und Anforderungen anzupassen.