Ratgeber
Die meisten Phishing-Mails, die als „von der Geschäftsführung" oder „von der eigenen Bank" ankommen, fälschen schlicht die Absenderadresse. SPF, DKIM und DMARC sind die drei DNS-Einträge, die genau das verhindern — richtig gesetzt und aufeinander abgestimmt.
Beim Mail-Schutz geht es um zwei verschiedene Dinge. Eingehend: Was landet bei euren Mitarbeitern im Postfach? Dafür sind die Filter in Microsoft 365 zuständig. Ausgehend: Kann jemand Mails verschicken, die aussehen, als kämen sie von euch? Das verhindern SPF, DKIM und DMARC — und sie schützen damit nicht nur euch, sondern vor allem eure Kunden und Lieferanten vor Betrug in eurem Namen.
SPF listet die Server, die im Namen eurer Domain Mails verschicken dürfen. Ohne SPF — oder mit einem zu lasch konfigurierten Eintrag — kann praktisch jeder Server Mails senden, die vorgeben, von euch zu stammen. In den Eintrag gehören alle Dienste, die für euch versenden: Microsoft 365, aber auch Newsletter-Tool, Shop, Warenwirtschaft oder das Ticketsystem.
DKIM signiert ausgehende Mails digital. Empfangende Server können damit prüfen, ob eine Mail unterwegs verändert wurde und tatsächlich von einem autorisierten Server stammt. In Microsoft 365 ist DKIM für die eigene Domain nicht automatisch aktiv — es muss eingeschaltet und im DNS hinterlegt werden.
DMARC verknüpft SPF und DKIM und legt fest, was mit Mails passiert, die beide Prüfungen nicht bestehen: nur beobachten (none), in Quarantäne legen (quarantine) oder ablehnen (reject). Ohne DMARC bleiben SPF und DKIM reine Empfehlungen, an die sich nicht jeder empfangende Server hält. Zusätzlich liefert DMARC Berichte darüber, wer weltweit Mails mit eurer Absenderdomain verschickt.
Wer DMARC sofort auf „ablehnen" stellt, riskiert, dass eigene, legitime Mails nicht mehr ankommen — etwa Rechnungen aus der Warenwirtschaft. Bewährt hat sich:
+all oder ?all am Ende, der faktisch alles erlaubt.Exchange Online filtert Spam und Schadsoftware bereits in der Grundausstattung. Für den Geschäftsbetrieb reicht das oft nicht: Gezieltes Phishing, gefälschte Rechnungen und Links, die erst nach der Zustellung scharf geschaltet werden, rutschen durch. Ein vorgeschalteter Mail-Security-Dienst prüft eingehende Mails, bevor sie das Postfach erreichen. Wir setzen dafür auf Hornetsecurity.
Kein Filter fängt alles. Zwei Maßnahmen begrenzen den Schaden, wenn doch jemand klickt: Mehrfaktor-Anmeldung für alle Konten — ein abgegriffenes Passwort allein genügt dann nicht — und Mitarbeiter, die wissen, woran sie eine verdächtige Mail erkennen und an wen sie sie melden.
Alle drei Einträge werden auf DNS-Ebene bei eurer Domain gesetzt, nicht in Microsoft 365 selbst — gehören aber zur laufenden Verwaltung jeder Microsoft-365-Umgebung dazu. Den aktuellen Stand für eure eigene Domain zeigt der kostenlose Security-Check; was er sonst noch prüft, steht im Ratgeber Was prüft ein IT-Sicherheitscheck?
Häufige Fragen
Nein. SPF allein legt nur fest, wer senden darf — ohne DKIM und vor allem DMARC bleibt das eine Empfehlung, an die sich nicht jeder empfangende Server hält. Erst alle drei zusammen schließen die Lücke.
Über den kostenlosen Security-Check auf unserer Website — der zeigt SPF, DKIM, DMARC und weitere Einträge direkt im Klartext.
Häufig, weil SPF, DKIM oder DMARC fehlen oder ein versendendes System — etwa Newsletter-Tool oder Warenwirtschaft — nicht im SPF-Eintrag steht. Große Mailanbieter verlangen diese Einträge inzwischen ausdrücklich.
Besser nicht. Ohne vorherige Beobachtungsphase riskiert ihr, dass eigene legitime Mails abgelehnt werden. Erst beobachten, vergessene Absender nachziehen, dann schrittweise verschärfen.
Als Grundschutz ja, gegen gezieltes Phishing oft nicht. Wir schalten deshalb einen eigenen Mail-Security-Dienst von Hornetsecurity vor das Postfach.