E-Mail-Sicherheitscheck: Was SPF, DKIM und DMARC über Ihre Domain verraten und was Sie danach prüfen sollten

Ausprobiert im Oktober 2026

Ein Spamfilter schaut auf das, was hereinkommt. Ob gerade jemand unter Ihrer Domain Angebote an Ihre Kunden verschickt, sieht er nicht. Dagegen helfen ein paar DNS-Einträge mit sperrigen Namen, allen voran SPF, DKIM und DMARC. Wie gut sie bei Ihnen gesetzt sind, lässt sich in einer Minute prüfen, ohne Konto und ohne Kosten.

Wir haben zehn Gratis-Werkzeuge ausprobiert, die bei der Mail ansetzen, von der Absenderdomain bis zur Frage, was nach einer gelungenen Phishing-Mail zu tun ist. Sieben stammen von frag.hugo und hagel IT, drei von Behörden und unabhängigen Betreibern. Wer nicht wegen Spam hier ist, sondern wegen der DSGVO, findet frag.hugos Liste für Datenschutzfragen ohne Mailbezug.

Die Absenderdomain von außen prüfen

1. Kann jemand mit Ihrer Domain als Absender mailen?

Ein Kunde leitet Ihnen eine Mail weiter, die angeblich aus Ihrem Vertrieb stammt. Darin ein Angebot und ein Link auf eine Download-Seite. Im Vertrieb kennt niemand die Nachricht, im Absender steht trotzdem Ihre Domain.

Ob das so leicht war, zeigt der E-Mail-Sicherheitscheck von frag.hugo. Eingeben müssen Sie nur die Domain. Der Check fragt zehn Einträge im DNS ab und sucht die DKIM-Signatur unter 20 üblichen Namen, bei Microsoft 365 heißen sie selector1 und selector2. Jeder Prüfpunkt bekommt eine Ampel. Im besten Fall lautet das Urteil „Gut abgesichert“, im schlechtesten „Offen für Missbrauch“. Fehlt ein Eintrag, zeigt der Check gleich den Text, den Ihr Domainverwalter eintragen muss. Die geprüfte Domain wird laut Seite weder gespeichert noch protokolliert.

Am nützlichsten fanden wir den Rat zu DMARC. Starten Sie mit p=none und einer Adresse für Berichte, lesen Sie vier bis sechs Wochen mit und verschärfen Sie erst dann. Wer gleich auf Abweisen stellt, riskiert, dass Mails aus Diensten, die niemand auf dem Zettel hatte, nicht mehr ankommen. Wie es danach bis zur strengsten Stufe weitergeht, beschreibt hagel IT in einer Anleitung, wie man DMARC schrittweise auf reject bringt.

Ob die Postfächer selbst dicht sind, sieht er nicht. Das ist Sache von Punkt 3. Selektoren mit eigenem Namen außerhalb der 20 findet er ebenfalls nicht. Ein rotes DKIM kann deshalb auch nur heißen, dass Ihr Anbieter einen ungewöhnlichen Namen benutzt.

Die zehn Prüfpunkte des E-Mail-Sicherheitschecks und was der jeweilige DNS-Eintrag regelt

Prüfpunkt	Was der Eintrag regelt
MX	welche Server Mails für Ihre Domain annehmen
SPF	welche Server im Namen Ihrer Domain senden dürfen
DKIM	die Signatur, an der Empfänger erkennen, dass eine Mail von Ihnen stammt und unterwegs nicht verändert wurde
DMARC	was Empfänger mit Mails tun sollen, die SPF und DKIM nicht bestehen, und wohin sie Berichte schicken
DNSSEC	ob die DNS-Antworten selbst signiert und damit schwer zu fälschen sind
MTA-STS	ob andere Mailserver Ihnen nur verschlüsselt zustellen dürfen
TLS-RPT	wohin Berichte über gescheiterte verschlüsselte Zustellungen gehen
BIMI	ob Ihr Logo im Posteingang erscheinen kann, was eine strenge DMARC-Regel voraussetzt
CAA	welche Stellen Zertifikate für Ihre Domain ausstellen dürfen
Platzhalter für Unterdomains	ob auch jede frei erfundene Unterdomain eine Antwort bekommt

2. Transport zwischen den Mailservern: internet.nl

Ihr Mailanbieter wirbt damit, dass Nachrichten zwischen den Servern verschlüsselt übertragen werden. Nachprüfen lässt sich das bei internet.nl, dem Prüfportal der niederländischen Regierung. Der Mailtest schaut neben DMARC auch auf STARTTLS und DANE, also darauf, ob ein fremder Server die Verbindung zu Ihnen verschlüsseln kann und ob er dem Zertifikat trauen darf. Fällt der Test grün aus, ist der Transport in Ordnung. Wer alles ein Kennwort für die Postfächer hat, steht nicht darin.

Das Postfach und die Menschen davor

3. Lässt Ihr Microsoft 365 Weiterleitungen nach außen zu?

Eine Kollegin aus der Buchhaltung hat ihr Kennwort auf einer gefälschten Microsoft-Anmeldeseite eingetippt. Das Kennwort ist inzwischen geändert. Offen ist, ob Ihr Mandant automatische Weiterleitungen nach außen überhaupt zulässt und ob alte Zugänge noch ohne zweiten Faktor funktionieren.

Beides gehört zu den zwölf Prüfungen im quelloffenen PowerShell-Skript, das Microsoft-365-Mandanten auf Lücken prüft. Es sucht auch nach veralteten Anmeldeverfahren, bei denen ein bloßes Kennwort reicht, und schaut nach, ob Anmeldungen und Postfachzugriffe protokolliert werden. Gerade die Weiterleitung und die beiden Protokolle prüft das Skript nur, wenn die IT vorher noch das Exchange-Modul installiert hat. Ändern kann das Skript im Mandanten nichts, es fordert ausschließlich Leserechte an.

Das Skript prüft Einstellungen, keine Ereignisse. Ob der Angreifer Mails gelesen oder Regeln angelegt hat, steht in den Protokollen, und die wertet jemand von Hand aus. Ohne PowerShell 7 und ein Konto mit Leserechten im Mandanten läuft nichts.

4. Meldekultur nach dem Klick: der Phishing-Selbsttest

Nach dem Vorfall aus Punkt 3 fragen Sie sich, warum die Kollegin erst am nächsten Morgen Bescheid gesagt hat.

Der Selbsttest von frag.hugo zur Anfälligkeit für Phishing stellt dazu zwölf Fragen in rund vier Minuten. Sie reichen vom Meldeweg und von Übungen über Anrufbetrug bis zur Mitbestimmung und zur Frage, ob Sie Schulungen nachweisen können. Als wichtigste Frage bezeichnet die Seite die zweite, nämlich was mit jemandem passiert, der hereingefallen ist. Wer Ärger befürchtet, meldet spät. Das Ergebnis ist ein Punktwert mit vier konkreten nächsten Schritten. Test-Mails verschickt niemand, und Ihre Domain müssen Sie für nichts freigeben.

Er bewertet, was Sie über Ihre Organisation angeben, nicht, wie einzelne Leute tatsächlich klicken.

5. Steht die Bewerbungsadresse in einem Datenleck?

Auf die Bewerbungsadresse kommt seit ein paar Wochen spürbar mehr Spam als im Frühjahr, teils mit dem richtigen Namen der Personalleiterin in der Anrede.

Geben Sie die Adresse bei Have I Been Pwned ein, der Datenbank, die veröffentlichte Lecks mit knapp 17,8 Milliarden Konten zusammenführt (Stand Oktober 2026). Taucht die Adresse auf, wissen Sie, woher die Absender den Namen der Personalleiterin haben könnten. Taucht sie nicht auf, ist damit nichts entwarnt.

Warum der Spam gerade jetzt zunimmt, erklärt auch ein Treffer nicht.

6. Freemail-Anbieter der Aushilfen: der BSI-Checker

Aushilfen bekommen ihre Lohnabrechnung an private Adressen bei großen Freemail-Anbietern. Ob deren Anbieter den Transport absichert, prüft der E-Mail-Checker des Bundesamts für Sicherheit in der Informationstechnik, gemessen an der Technischen Richtlinie TR-03108 „Sicherer E-Mail-Transport“ in den Versionen 1 und 2. Gebaut ist er für Verbraucher, die ihren Anbieter prüfen wollen. Für die Firmendomain nehmen Sie die Werkzeuge aus Punkt 1 und 2.

Wenn aus einer Mail ein Vorfall wird

7. Kommt Erpressung bei Firmen wie Ihrer überhaupt vor?

In der Budgetrunde fragt der Controller, ob Erpressung bei Firmen wie Ihrer überhaupt vorkommt. Mit Zahlen aus Deutschland argumentiert es sich leichter als mit Weltstatistiken.

Das tägliche Ransomware-Lagebild für Deutschland von frag.hugo listet, welche deutschen Firmen Erpressergruppen auf ihren Veröffentlichungsseiten nennen. Bei unserem Besuch im Oktober 2026 führte SafePay mit 63 Fällen in zwölf Monaten, mehr als die beiden nächsten Gruppen zusammen. Darunter stehen die Meldefristen, für alle Unternehmen gilt die Meldung einer Datenpanne an die Datenschutzaufsicht binnen 72 Stunden.

Wie die Täter hineingekommen sind, steht nirgends. Ob es eine Mail war, bleibt offen.

8. Meldungen bei der Aufsicht in Zahlen

Eine Mail mit Bewerbungsunterlagen ging an den falschen Empfänger. Die Datenschutzbeauftragte meldet das als Panne und hört vom Chef, die Behörde werde damit ohnehin nichts anfangen.

Ob die Behörde etwas unternimmt, sagt der Vergleich der Zahlen der Landesdatenschutzbehörden zu gemeldeten Pannen nicht. Er zeigt aber, dass eine Meldung Routine ist: 17 Behörden kamen zusammen auf 31.849 gemeldete Datenpannen (Stand Oktober 2026). In 16 von 18 Berichten ist der Beschäftigtendatenschutz ein eigener Schwerpunkt, Bewerbungsunterlagen gehören dazu.

Was aus einer einzelnen Meldung wird, steht in keinem Bericht. Die Zahlen sagen, wie viel eingeht, nicht, was daraus folgt.

9. Was hat fehlende Datensicherheit anderswo gekostet?

Der Mail-Check aus Punkt 1 stand bei Ihnen auf Rot. Bevor das Thema auf die lange Bank rutscht, wollen Sie wissen, ob mangelnde Sicherheit schon einmal Geld gekostet hat.

Die Bußgeld-Datenbank von frag.hugo zeigt, was Datenpannen in Deutschland bisher gekostet haben, und lässt sich nach Verstoß filtern. Für Datensicherheit stehen dort 14 deutsche Fälle (Stand Oktober 2026). Das ist eine schmale Grundlage, der Median von 46.000 € ist ein Anhaltspunkt, keine Prognose. Die Filter laufen im Browser, es wird nichts übertragen.

Anonym veröffentlichte Fälle recherchiert die Sammlung nicht nach, und was sich nicht belegen ließ, fehlt bewusst.

10. Neue Dienstleister beim Newsletter-Versand

Ihr Newsletter geht über Mailchimp raus. Im Vertrag steht, dass Sie neuen Unterauftragsverarbeitern widersprechen dürfen. Das nützt nur, wenn Sie rechtzeitig erfahren, dass einer dazukommt.

Der Subprozessor-Monitor von frag.hugo ist eine Frühwarnung, wenn Cloud-Dienste neue Dienstleister einbinden, und Mailchimp gehört zu den beobachteten Anbietern. In den 90 Tagen vor unserem Besuch im Oktober 2026 meldete er 13 Änderungen. Er meldet Ihnen solche Änderungen per RSS-Feed ohne Adressangabe oder als Mail, und zwar nur, wenn sich wirklich etwas getan hat.

Er beobachtet 17 große Anbieter (Stand Oktober 2026), und zwar nur solche mit öffentlicher Liste. Läuft Ihr Newsletter über einen kleineren Versanddienst, müssen Sie dessen Liste weiter selbst im Blick behalten.

In welcher Reihenfolge wir vorgehen würden

1. Noch heute die Domain, über die Ihre Angebote und Rechnungen laufen, in den Mail-Check geben und fehlende Einträge anlegen, DMARC zunächst mit p=none und Berichtsadresse.
2. In derselben Woche den Mailtest von internet.nl laufen lassen und der IT den Härtungs-Check für Microsoft 365 auf den Tisch legen.
3. In den vier bis sechs Wochen, in denen die DMARC-Berichte eintreffen, den Phishing-Selbsttest selbst ausfüllen, am besten mit der Person, die Meldungen entgegennimmt.
4. Danach DMARC verschärfen und den Mail-Check ein zweites Mal laufen lassen. Erst dann wissen Sie, ob die Fälschung aus Punkt 1 heute noch durchginge.
5. Ist schon etwas passiert, zählt zuerst die 72-Stunden-Frist – das Lagebild und die Bußgeld-Datenbank helfen erst danach beim Einordnen.