E-Mail-Prüfung: Spoofing verhindern, Fälschungen erkennen
CAVRIX sorgt dafür, dass niemand in Deinem Namen mailt, und macht eingehende Fälschungen sichtbar. Schrittweise umgesetzt, ohne dass legitime Mails auf der Strecke bleiben.
Der Absender ist das am leichtesten zu fälschende Feld einer E-Mail, und genau daran hängen die teuersten Entscheidungen im Tagesgeschäft.
Der Mensch bleibt der wichtigste Faktor. Der Verizon DBIR 2026 sieht das menschliche Element in 62 Prozent aller Breaches, Phishing in 16 Prozent und Pretexting in 6 Prozent der Fälle.
Ohne durchgesetzte DMARC-Policy kann jeder im Namen Deiner Domain mailen. Kunden, Lieferanten und Bewerber bekommen Post, die technisch von Dir zu kommen scheint.
Eingehend ist die Lage umgekehrt: Lookalike- und Typosquatting-Domains sowie kompromittierte Lieferantenpostfächer bestehen jede technische Prüfung, weil sie formal korrekt sind.
Ausgehend absichern
- SPF, DKIM und DMARC sauber aufsetzen und alle legitimen Versandquellen erfassen
- Policy schrittweise von p=none über p=quarantine auf p=reject hochziehen
- SPF-Limit von 10 DNS-Lookups einhalten und Alignment von Envelope- und Header-Absender prüfen
Überwachen und ausbauen
- Auswertung der DMARC-Reports, damit Du siehst, wer in Deinem Namen sendet
- MTA-STS zur Absicherung der Transportverschlüsselung
- BIMI als optionaler Schritt, sobald die Policy auf Durchsetzung steht
Eingehend erkennen
- Erkennung von Lookalike- und Typosquatting-Domains im Umfeld Deiner Marke und Deiner Lieferanten
- Sichtbare Kennzeichnung externer Absender direkt im Postfach
- Erkennung kompromittierter Lieferantenpostfächer anhand von Verhaltens- und Kontextsignalen
Missbrauch Deiner Domain wird von den empfangenden Systemen abgewiesen
DMARC-Reports zeigen jede Versandquelle, auch die aus Fachabteilungen
Externe Absender und Lookalike-Domains sind im Postfach sofort erkennbar
Verifikation
Schützt DMARC uns vollständig vor Spoofing?
Nein. DMARC verhindert den Missbrauch Deiner eigenen Domain, aber nicht den Versand über täuschend ähnliche Domains. Wer eine Domain mit vertauschten Buchstaben registriert, kann darauf selbst korrektes SPF und DKIM einrichten. Deshalb gehören Domain-Monitoring und die Kennzeichnung externer Absender dazu.
Können wir nicht direkt auf p=reject gehen?
Davon raten wir ab. Eine zu früh scharf gestellte Policy blockiert legitime Mails aus Drittsystemen, etwa aus Newsletter-Tools, Bewerbermanagement, ERP oder Ticketsystemen. Die Reihenfolge ist entscheidend: erst p=none mit Reportauswertung, dann p=quarantine, dann p=reject.
Warum ist das SPF-Limit von 10 DNS-Lookups so wichtig?
Wird das Limit überschritten, wertet die Gegenstelle die SPF-Prüfung als permanenten Fehler, und die Absicherung fällt still aus. Das passiert schnell, wenn über Jahre Dienstleister in den Record aufgenommen wurden. Wir bereinigen den Record und halten ihn dauerhaft unter dem Limit.
Sind wir gesetzlich verpflichtet, das umzusetzen?
Nein, eine ausdrückliche gesetzliche Pflicht zu DMARC gibt es nicht. Relevant sind die Anforderungen an Lieferkettensicherheit und Zugriffskontrolle in § 30 Abs. 2 Nr. 4 und Nr. 9 BSIG, die Controls A.5.7 und A.5.17 der ISO 27001:2022 sowie § 130 OWiG zur Aufsichtspflicht mit Bußgeldern bis 1 Mio. Euro. Unabhängig davon stufen große Mailanbieter Absender ohne saubere Authentifizierung zunehmend herab.
Wie lange dauert die Umstellung?
Das hängt vor allem davon ab, wie viele Systeme in Deinem Namen versenden. Wir erfassen zuerst alle Versandquellen, richten die Authentifizierung ein und beobachten die Reports, bevor wir die Policy verschärfen. Jeder Schritt ist umkehrbar. Fragen an info@cavrix.de.
Finde heraus, wer heute in Deinem Namen mailt
Wir prüfen Deine Domain, zeigen Dir die offenen Versandwege und planen den Weg zu p=reject so, dass nichts Legitimes verloren geht.