Was ist E-Mail-Spoofing?
Spoofing heißt, dass jemand E-Mails verschickt, die aussehen, als kämen sie von Ihrer Adresse, obwohl sie von einem fremden Server stammen.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Den Absender einer E-Mail kann man so leicht fälschen wie den Absender auf einem Briefumschlag. Das Verfahren, mit dem Mails verschickt werden, stammt aus einer Zeit, in der niemand mit Betrug rechnete, und prüft den Absender nicht. Ohne zusätzliche Schutzeinträge kann deshalb jeder eine Mail verschicken, die „buchhaltung@ihre-firma.de“ als Absender zeigt.
Warum das Ihren Betrieb betrifft
Typische Fälle sind eine gefälschte Rechnung an Ihre Kunden mit geänderter Bankverbindung, eine angebliche Anweisung der Geschäftsführung an die Buchhaltung („Bitte heute noch überweisen“) oder ein Anhang mit Schadsoftware, der wegen des bekannten Absenders geöffnet wird. Den Schaden haben oft Ihre Kunden. Das Vertrauen verlieren Sie.
Was dagegen hilft
Drei öffentliche Einträge zu Ihrer Domain arbeiten zusammen:
- SPF sagt, welche Server für Sie senden dürfen.
- DKIM unterschreibt jede Ihrer Mails digital.
- DMARC verbindet beides mit der sichtbaren Absenderadresse und weist Empfänger an, Fälschungen auszusortieren.
Erst wenn alle drei stehen und DMARC auf „Quarantäne“ oder „Ablehnen“ gestellt ist, können empfangende Server Fälschungen Ihrer Adresse erkennen und aussortieren.
Was diese Einträge nicht abdecken
Gegen ähnlich aussehende Domains, etwa „ihre-flrma.de“ mit l statt i, helfen Ihre eigenen Einträge nicht. Die Domain gehört dem Betrüger, und er kann sie selbst korrekt einrichten. Dasselbe gilt für einen gefälschten Anzeigenamen vor einer fremden Adresse. Hier hilft eine feste Regel im Betrieb: Neue Bankverbindungen und eilige Zahlungsanweisungen werden immer telefonisch unter einer bekannten Nummer bestätigt.
Wo der Absender gefälscht wird
Eine Mail trägt zwei Absender: den Umschlag-Absender aus MAIL FROM im SMTP-Dialog (beim Empfänger als Return-Path) und den Kopf-Absender im Header From:, den der Mailclient anzeigt. SMTP nach RFC 5321 prüft keinen von beiden.
- SPF prüft die Domain des Umschlag-Absenders gegen die sendende IP-Adresse.
- DKIM weist eine Signatur der Domain aus
d=nach, die mit demFrom:nichts zu tun haben muss. - DMARC verlangt, dass mindestens eine der beiden geprüften Domains zur Domain im
From:passt (Identifier Alignment). Erst damit ist der sichtbare Absender geschützt.
Varianten
| Variante | Beispiel | Wirksame Gegenmaßnahme |
|---|---|---|
| Exakte Domain | From: buchhaltung@ihre-firma.de | DMARC mit p=quarantine oder p=reject |
| Subdomain | From: rechnung@zahlung.ihre-firma.de | DMARC sp= für Subdomains, np= für nicht existierende Subdomains |
| Ähnliche Domain | ihre-flrma.de, ihre-firma.com | Keine eigene Einstellung, nur Überwachung neuer Registrierungen und Schulung |
| Anzeigename | "Peter Muster" <x@freemail.example> | Mailfilter, Kennzeichnung externer Absender im Client |
Das Tag np= ist mit RFC 9989 (Mai 2026) Teil des DMARC-Standards geworden.
Prüfen, ob die Domain gefälscht werden kann
dig +short TXT _dmarc.ihre-firma.de
Fehlt der Eintrag oder steht er auf p=none, sortieren Empfänger Fälschungen nicht nach Ihrer Richtlinie aus, sondern allenfalls nach eigenen Filtern. Die DMARC-Aggregatberichte (rua=) zeigen, welche Server in Ihrem Namen senden, auch solche, die Sie nicht kennen.