E-Mail-Sicherheit und
Authentifizierung
Geschäftliche Nachrichten kommen aus dem Postfach, Newsletter aus einem Versanddienst und Formularmeldungen von Ihrer Website. Alle verwenden möglicherweise dieselbe Absenderdomain, technisch aber unterschiedliche Wege. Damit empfangende Mailserver diese Nachrichten einordnen können, müssen SPF, DKIM und DMARC zusammenpassen. Runar-Data prüft Ihre vorhandene Konfiguration und unterstützt bei einer abgestimmten Einrichtung. So erhalten Sie eine nachvollziehbare Grundlage für den Versand unter Ihrer Domain und können unerlaubte Nutzung besser eingrenzen.
Zuerst klären wir, wer für Ihre Domain sendet
Am Anfang steht eine Versandinventur: Welche Postfachanbieter, Newsletterdienste, CRM-Systeme, Shops und Formulardienste versenden Nachrichten? Welche Domains und Subdomains verwenden sie? Auch selten genutzte Benachrichtigungen und Weiterleitungen gehören in die Abstimmung. Ein vergessener Dienst kann sonst nach einer strengeren Einstellung Probleme bekommen.
Zuerst klären wir, wer für Ihre Domain sendet
Wir erfassen die vereinbarten Versandwege, prüfen vorhandene DNS-Einträge und klären die Zuständigkeiten. DNS ist das Verzeichnis, in dem unter anderem die Regeln Ihrer Domain veröffentlicht werden. Änderungen dort und Einstellungen beim Versandprovider müssen zusammenpassen. Wer sie freigibt und umsetzt, wird vorab festgelegt. Unsere Arbeitsweise erklärt, wie wir Änderungen abgestimmt umsetzen.
Versandwege von Website und externen Diensten erfassen
Postfach, Formular, Newsletter oder CRM können unterschiedliche Versandwege nutzen. Der Beitrag zeigt, welche Angaben eine Inventur braucht und wie Testnachrichten und neue Dienste darin berücksichtigt werden.
Drei Verfahren mit unterschiedlichen Aufgaben
SPF legt fest, welche sendenden Server eine Domain für den technischen Absender verwenden dürfen. Dieser technische Absender ist nicht zwingend die Adresse, die Leser im Von-Feld sehen. Wir prüfen, ob die tatsächlich verwendeten Versanddienste berücksichtigt sind und die Einträge technisch zusammenpassen.
Drei Verfahren mit unterschiedlichen Aufgaben
DKIM ergänzt Nachrichten um eine digitale Signatur. Der empfangende Server kann damit prüfen, ob die signierten Teile seit der Signatur verändert wurden und welche Domain die Signatur verantwortet. Dazu müssen der Versanddienst und der öffentliche Schlüssel im DNS passend eingerichtet sein.
DMARC stellt die Verbindung zur sichtbaren Absenderdomain her. Dafür muss eine erfolgreiche SPF- oder DKIM-Prüfung zusätzlich zur sichtbaren Domain passen; dieser Abgleich heißt Alignment. Über eine Richtlinie, die Policy, äußert der Domaininhaber, wie Empfänger mit fehlgeschlagener Prüfung umgehen sollen: zunächst beobachten, als verdächtig behandeln oder ablehnen. Die konkrete Behandlung entscheidet der empfangende Dienst.
SPF, DKIM und DMARC verständlich einordnen
Welche Domain prüft SPF, was signiert DKIM und worauf bezieht sich DMARC? Der Artikel verbindet diese Unterschiede mit legitimen Versandwegen und grenzt Absenderprüfung von Transport und Logoanzeige ab.
Schrittweise einführen und praktisch kontrollieren
Nach der Bestandsaufnahme stimmen wir die Änderungen und einen Rückweg bei Problemen ab. Eine Beobachtungsphase hilft, legitime Versandquellen zu erkennen, bevor eine strengere DMARC-Richtlinie eingesetzt wird. Wann der nächste Schritt sinnvoll ist, richtet sich nach den Befunden und den bestätigten Versandwegen.
Schrittweise einführen und praktisch kontrollieren
Für jeden vereinbarten Versandweg kontrollieren wir Testnachrichten mit unkritischen Testinhalten und die gemeldeten Authentifizierungsergebnisse. Verfügbare DMARC-Berichte ergänzen diese Stichproben. Empfänger, Zugriff und Aufbewahrung solcher Berichte werden vorher geklärt. Sie erhalten eine Dokumentation der geprüften Dienste, Änderungen, Ergebnisse und offenen Punkte. Für Website-Nachrichten lässt sich der Formularversand gesondert prüfen.
Technische Zweitprüfung
Wurde eine gemeldete Schwachstelle tatsächlich behoben? Die Zweitprüfung vergleicht ausgewählte Änderungen mit dem Ausgangsbefund und hält fest, was behoben, offen oder nicht vergleichbar ist.
Was diese Einrichtung leistet und wo ihre Grenzen liegen
E-Mail-Authentifizierung unterstützt die Prüfung einer verwendeten Domain. Sie garantiert weder die Zustellung im Posteingang noch Schutz vor jeder Phishing-Nachricht. Inhalte, Absenderreputation und Empfängerregeln beeinflussen die Zustellung ebenfalls. Ein kompromittiertes Konto oder eine ähnlich geschriebene fremde Domain bleiben eigene Risiken. Authentifizierung verschlüsselt auch keine Nachrichten; Vertraulichkeit ist eine gesonderte Aufgabe.
Was diese Einrichtung leistet und wo ihre Grenzen liegen
Neue Versanddienste und Anbieterwechsel können Anpassungen erfordern. Wenn Sie Ihre Versandwege weiter betreuen lassen möchten, klären wir Umfang und Zuständigkeit dafür. Sie möchten zuerst Ihre aktuelle Einrichtung einordnen? E-Mail-Authentifizierung besprechen: Nennen Sie im Erstkontakt Ihre Domain und die bekannten Versanddienste. Passwörter oder private Schlüssel werden dafür nicht benötigt.
SPF, DKIM und DMARC verständlich einordnen
Welche Domain prüft SPF, was signiert DKIM und worauf bezieht sich DMARC? Der Artikel verbindet diese Unterschiede mit legitimen Versandwegen und grenzt Absenderprüfung von Transport und Logoanzeige ab.
Transportverschlüsselung mit TLS und STARTTLS
TLS schützt unterstützte Übertragungsstrecken, etwa zwischen Mailservern. STARTTLS kann eine SMTP-Verbindung auf TLS umstellen. Welche Verbindungen wie abgesichert werden, hängt von den beteiligten Diensten ab. Das ist keine Ende-zu-Ende-Verschlüsselung des Inhalts und keine Authentifizierung der sichtbaren Absenderdomain. Die verfügbaren Einstellungen und Zertifikate werden mit dem Provider abgestimmt.
HTTPS, TLS und Security-Header: Was schützt was?
Ein HTTPS-Schloss schützt nicht die gesamte Website. Der Beitrag erklärt den Wirkungsbereich von TLS, CSP und HSTS sowie die Frage, weshalb strengere Regeln einen Funktionstest brauchen.
MTA-STS, TLS-RPT und optional DANE
MTA-STS beschreibt Anforderungen für unterstützende sendende Mailserver beim Empfang für eine Domain: TLS und ein vertrauenswürdiges Serverzertifikat werden anhand der Richtlinie geprüft. Die Voraussetzungen, Veröffentlichung und ein sicherer Einführungsweg müssen zur Mailumgebung passen. TLS-RPT ergänzt Berichte über Transportverbindungen und mögliche Fehler; das Reporting verschlüsselt selbst keine Nachrichten. Empfänger, Zugriff, Datenumfang und Aufbewahrung werden vereinbart.
MTA-STS, TLS-RPT und optional DANE
DANE für SMTP nutzt TLSA-Einträge und setzt DNSSEC sowie passende DNS- und Mailprovider-Unterstützung voraus. Ob es angeboten und betrieben werden kann, wird einschließlich Zertifikatswechseln konkret geprüft. Keine dieser Maßnahmen garantiert die Zustellung oder wird ohne Freigabe auf Ihre Domain angewendet.
Server und Hosting härten
Zugänge, Laufzeiten, Dienste, Rechte und Zertifikate werden mit den Möglichkeiten Ihres Hostings abgeglichen. Bei Managed Hosting bleibt sichtbar, welche Einstellungen der Anbieter verwaltet.
BIMI als optionale Marken- und Logoanzeige
BIMI kann bei teilnehmenden Postfachanbietern eine Logoanzeige ergänzen. Voraussetzungen sind insbesondere eine passende durchsetzende DMARC-Richtlinie und ein geeignetes Logo. Je nach Empfängeranbieter werden VMC- oder CMC-Zertifikate verlangt; Rechte und mögliche Fremdkosten sind vorab zu klären. Ob das Logo erscheint, entscheidet der Empfängeranbieter. Eine Anzeige- oder Zustellgarantie folgt daraus nicht. BIMI ersetzt weder Absenderprüfung noch Verschlüsselung.
SPF, DKIM und DMARC verständlich einordnen
Welche Domain prüft SPF, was signiert DKIM und worauf bezieht sich DMARC? Der Artikel verbindet diese Unterschiede mit legitimen Versandwegen und grenzt Absenderprüfung von Transport und Logoanzeige ab.
Berichte und neue Versanddienste
DMARC-Berichte können als vereinbartes Modul ausgewertet werden. Neue Versanddienste werden vor einer Regelverschärfung in die Versandinventur und Testauswahl aufgenommen. Umfang, unterstützte Provider und die laufende Auswertung werden im Angebot bestätigt. Der Ratgeber zu Versandwegen hilft bei der Vorbereitung.
Versandwege von Website und externen Diensten erfassen
Postfach, Formular, Newsletter oder CRM können unterschiedliche Versandwege nutzen. Der Beitrag zeigt, welche Angaben eine Inventur braucht und wie Testnachrichten und neue Dienste darin berücksichtigt werden.
Absenderprüfung und Mailtransport
Erfassen Sie legitime Versandwege und stimmen Sie SPF, DKIM und DMARC darauf ab. TLS, MTA-STS und Berichte sowie optional DANE oder BIMI werden nach Provider-Unterstützung und Zweck getrennt betrachtet.
Anliegen besprechen
Nennen Sie Ihre Domain, Postfachanbieter und bekannte Versanddienste. Für die Ersteinschätzung werden keine Passwörter, privaten Schlüssel oder echten Nachrichten benötigt.
Bitte keine Zugangsdaten oder vertraulichen Dateien im Erstkontakt. Einen geschützten Austausch stimmen wir bei Bedarf gesondert ab.Kontakt aufnehmen