DMARC erklärt: Was es tut, was es kostet und warum es bei Ihnen wahrscheinlich auf „none“ steht

Inhalt in Kürze

• DMARC ist die Anweisung, was mit gefälschten Mails in Ihrem Namen passieren soll. Ohne sie sind SPF und DKIM weitgehend zahnlos.
• „p=none” schützt nicht. Es sammelt nur Berichte. 47 % der Hamburger Betriebe mit DMARC stehen genau dort.
• Der Eintrag ist eine Zeile. Die Arbeit steckt in der Bestandsaufnahme davor.
• Drei Stufen, sechs Wochen — dann steht der Schutz, ohne dass die eigene Post ausfällt.

Der Klassiker im Mittelstand: Ein Kunde bekommt eine Mail, die aussieht, als käme sie von Ihrer Buchhaltung. Gleiche Absenderadresse, gleiche Signatur, gleicher Ton. Nur die Bankverbindung in der Rechnung ist eine andere.

Der Kunde zahlt. Das Geld ist weg, der Ärger bleibt bei Ihnen — und die unangenehmste Frage kommt hinterher: Warum konnte jemand einfach in Ihrem Namen mailen?

Was DMARC tut

Um das zu verstehen, braucht es drei Bausteine. Sie klingen komplizierter, als sie sind.

1. SPF ist die Liste der Server, die in Ihrem Namen senden dürfen. Steht im DNS. Ein empfangender Mailserver kann damit prüfen: Kam die Mail von einem erlaubten Absender?
2. DKIM ist eine Unterschrift unter jeder Mail. Damit fällt auf, wenn jemand den Inhalt unterwegs verändert hat.
3. DMARC ist die Anweisung, was bei einem Fehlschlag passieren soll — und die Verbindung zwischen der geprüften und der sichtbaren Absenderadresse.

Der dritte Punkt ist der entscheidende und der am wenigsten bekannte. Ohne DMARC prüft der Empfänger zwar SPF, hat aber keine Anweisung, was er mit einem Fehlschlag tun soll. Und im Zweifel stellt jeder Mailserver lieber zu, als eine womöglich echte Nachricht wegzuwerfen. Genau diese Anweisung ist der Kern des Verfahrens; nachzulesen im Standard selbst, RFC 7489, und in der Empfehlung des BSI zum sicheren E-Mail-Transport (TR-03108).

Die drei Stufen — und warum die meisten auf der ersten stehen bleiben

Ein DMARC-Eintrag trägt eine Richtlinie. Es gibt drei:

In unserer Erhebung über 939 Hamburger Betriebe standen 47 Prozent aller DMARC-Einträge auf „none”. Der Eintrag existiert, taucht im Audit als erledigt auf — und weist keine einzige Fälschung ab.

Das ist kein Schlamperei-Problem. „none” ist als Zwischenschritt genau richtig: Man sieht vier Wochen lang in den Berichten, welche Systeme im eigenen Namen versenden, bevor man scharf schaltet. Nur wird aus dem Zwischenschritt oft der Endzustand. Microsoft beschreibt denselben Weg — erst beobachten, dann quarantine, dann reject — in seiner Anleitung zur DMARC-Einrichtung für Microsoft 365.

Warum das Scharfschalten Respekt verdient

Wer DMARC direkt auf „reject” stellt, ohne die Vorarbeit, blockiert seine eigene Post. Die Liste der versendenden Systeme ist in fast jedem Betrieb länger als gedacht:

• Der Mailserver selbst — Microsoft 365, Google Workspace oder ein eigener.
• Die Warenwirtschaft, die Rechnungen und Lieferscheine verschickt.
• Das Newsletter-Werkzeug — oft von der Marketing-Seite eingerichtet, ohne die IT zu fragen.
• Das Bewerberportal, das Eingangsbestätigungen sendet.
• Das Ticketsystem und die Terminbestätigung aus dem CRM.
• Der Steuerberater, wenn er Lohnabrechnungen in Ihrem Namen versendet.

Jedes davon muss im SPF-Eintrag stehen oder mit DKIM signieren. Fehlt eines, fällt es beim Scharfschalten aus — und zwar still, weil die Mail beim Empfänger abgewiesen wird und niemand im Haus etwas merkt.

Der Ablauf, der funktioniert

Sechs Wochen, drei Termine à einer Stunde. So machen wir das bei Kunden.

1. Woche 1 — Bestandsaufnahme und „none". Alle versendenden Systeme auflisten, SPF ergänzen, DMARC mit p=none und einer Berichtsadresse setzen. Ab jetzt laufen Daten ein.
2. Woche 4 — Berichte auswerten. Welche Absender tauchen auf, die Sie nicht kennen? Meist sind zwei bis drei dabei, die man vergessen hatte. Ergänzen, weitere zwei Wochen beobachten.
3. Woche 6 — scharf schalten. Auf p=quarantine mit pct=100. Nach zwei ruhigen Wochen auf p=reject. Fertig.

Wichtig dabei: sp= nicht vergessen. Ohne diese Angabe erben Unterdomänen die Richtlinie zwar meistens — aber wer sp=none setzt, hat eine offene Flanke, die kaum jemand prüft. Genau das haben wir in unserer eigenen Domain gefunden, als wir für diesen Artikel nachgesehen haben.

Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Was DMARC nicht kann

Zwei Missverständnisse, die regelmäßig aufkommen.

DMARC schützt nicht davor, dass Sie Phishing bekommen. Es schützt davor, dass andere Phishing in Ihrem Namen verschicken. Das eine ist eine Frage von Spam-Filter und Schulung, das andere eine Frage von drei DNS-Einträgen.

DMARC hilft nicht gegen ähnlich aussehende Domains. Wenn jemand hage1-it.de registriert — mit einer Eins statt einem L — greift DMARC nicht, weil das eine andere Domain ist. Dagegen hilft nur Aufmerksamkeit und im Zweifel eine Markenüberwachung.

Prüfen Sie, wo Sie stehen

Der Zustand Ihrer eigenen Domain ist in zehn Sekunden geprüft — ohne Anmeldung, ohne E-Mail-Adresse: Der Selbsttest im Hamburger IT-Sicherheits-Index zeigt SPF, DMARC, MTA-STS, DNSSEC und die Sicherheits-Kopfzeilen Ihrer Website auf einen Blick.

Kommt dort „DMARC auf none” heraus, sind Sie in großer Gesellschaft — und eine halbe Stunde von der Lösung entfernt, sobald die Bestandsaufnahme steht.

Ihr nächster Schritt

Setzen Sie diese Woche einen DMARC-Eintrag mit p=none und einer Berichtsadresse. Das blockiert nichts, kostet zehn Minuten und ist die Voraussetzung für alles Weitere. In vier Wochen wissen Sie, wer in Ihrem Namen versendet — und dann geht der Rest schnell.

Wenn Sie das nicht selbst machen wollen: Wir übernehmen das für Hamburger Betriebe als Teil der Betreuung unter Cybersecurity. Weiterführend passt der Beitrag E-Mail-Sicherheit im Unternehmen.