Jeder Dienst, den das DNS (Domain Name System) einer Domain zulässt, kann E-Mails versenden, die als diese Domain die Authentifizierung bestehen. Viele Häuser kennen diese Absender nicht mehr vollständig. Thomas Kuechenthal (LEMARIT GmbH) beschreibt im dotmagazine des eco – Verband der Internetwirtschaft vom 28.10.2026 sechs Schritte von der Beobachtung bis zur Durchsetzung. Erstens: einen DMARC-Eintrag (Domain-based Message Authentication, Reporting and Conformance) mit der Richtlinie p=none und einer Berichtsadresse veröffentlichen und die Berichte zwei bis vier Wochen sammeln. Zweitens: jedem Absender eine verantwortliche Person oder ein Team zuordnen. Drittens: nicht beanspruchte Absender abschalten und veraltete Einträge entfernen. SPF (Sender Policy Framework) erlaubt höchstens zehn Terme mit DNS-Abfrage. Wird die Grenze überschritten, endet die SPF-Prüfung mit einem dauerhaften Fehler. Viertens: SPF oder DKIM (DomainKeys Identified Mail) so einrichten, dass jeder legitime Absender die Prüfung im Einklang mit der From-Domain besteht. Fünftens: die Richtlinie stufenweise von p=none über p=quarantine auf p=reject anheben und nach jeder Stufe die Berichte prüfen. Sechstens: die Prüfung des DNS in die Einrichtung und die Abschaltung jedes versendenden Dienstes aufnehmen und die Berichte monatlich auswerten. Die Quelle weist darauf hin, dass Authentifizierung keine Kontrolle ist: Ein vergessener, aber korrekt eingerichteter Dienst besteht jede Prüfung. Die Entscheidung, ob ein Absender noch berechtigt sein soll, bleibt bei der Organisation. Als Rahmen nennt der Beitrag, dass DMARC seit Mai 2026 in RFC 9989 beschrieben ist, das RFC 7489 ersetzt. Google verlangt SPF oder DKIM von allen Absendern an Gmail-Konten und SPF, DKIM und DMARC von Absendern mit mehr als 5.000 Nachrichten pro Tag. Das BSI hat die Technische Richtlinie TR-03182 zur E-Mail-Authentifizierung veröffentlicht. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank gelingt die Umsetzung, wenn Beschaffung und IT die Absenderliste gemeinsam führen.
Originalquelle: dotmagazine (eco – Verband der Internetwirtschaft) →