Alles über Email-Spam

Auf den Punkt: Arbeitsschutz wird gern mit Baustelle, Lager und Maschinenhalle verbunden – das Büro gilt als ungefährlich. Genau deshalb fallen hier Unterweisungspflichten besonders oft unter den Tisch. Dabei gelten § 12 Arbeitsschutzgesetz (ArbSchG) und § 4 der DGUV Vorschrift 1 für Bildschirmarbeit genauso wie für jede andere Tätigkeit: mindestens einmal jährlich, dazu bei Bedarf und immer dokumentiert. Wer hier nachlässig ist, riskiert keine pauschale Strafe, aber Haftung, Regress und im Ernstfall vermeidbare Personenschäden. Dieser Beitrag zeigt die acht Themen, die im Büroalltag am häufigsten vergessen werden.

Eine Unterweisung ist die nachweisbare, verständliche Information der Beschäftigten über Gefährdungen an ihrem Arbeitsplatz und über das richtige Verhalten. Sie ist die Pflicht des Arbeitgebers, leitet sich aus der Gefährdungsbeurteilung nach § 5 ArbSchG ab und muss vor Aufnahme der Tätigkeit, danach mindestens jährlich und bei jeder relevanten Veränderung erfolgen. Sie ersetzt die Gefährdungsbeurteilung nicht – sie setzt deren Ergebnisse in die Köpfe der Beschäftigten um.

Die 8 oft vergessenen Unterweisungspflichten im Büro

1. Bildschirm- und Büroarbeitsplatz-Ergonomie

   Sitzhaltung, Bildschirmabstand, Beleuchtung, Pausengestaltung, dynamisches Sitzen: Das klingt banal, ist aber Pflichtinhalt. Die Gestaltung von Bildschirmarbeitsplätzen ist in Anhang 6 der Arbeitsstättenverordnung (ArbStättV) und in der ASR A6 geregelt; die Unterweisung der Beschäftigten folgt aus § 6 ArbStättV in Verbindung mit § 12 ArbSchG. Beschäftigte müssen wissen, wie sie ihren Arbeitsplatz selbst korrekt einstellen – sonst nützt die beste Ausstattung nichts. Muskel-Skelett-Beschwerden und Augenbelastung sind im Büro die häufigsten arbeitsbedingten Gesundheitsthemen überhaupt.

2. Brandschutz und Verhalten im Brandfall

   Wo ist der Feuerlöscher, wie wird er bedient, wer alarmiert wen, wann verlasse ich das Gebäude? Diese Inhalte gehören in jede Büro-Unterweisung. Grundlage sind § 10 ArbSchG (Notfallmaßnahmen) und die ASR A2.2. Zusätzlich muss der Arbeitgeber eine ausreichende Zahl an Brandschutzhelfern ausbilden – nach ASR A2.2 sind bei normaler Brandgefährdung in der Regel 5 % der Beschäftigten ausreichend. Eine jährliche Auffrischung verhindert, dass im Ernstfall niemand weiß, wo der nächste Löscher hängt.

3. Flucht- und Rettungswege

   Verstellte Fluchtwege durch Kartons, abgeschlossene Notausgänge, unbekannte Sammelplätze: Das sind Klassiker im Büro. Beschäftigte müssen die Wege, die Kennzeichnung und den Sammelpunkt kennen – jährlich aufgefrischt. Geregelt ist das in § 4 ArbStättV und der ASR A2.3. Eine Räumungsübung ist kein gesetzlicher Selbstläufer für jeden Betrieb, aber die Kenntnis der Wege ist Pflicht und gehört in jede Unterweisung.

4. Erste Hilfe

   Wer ist Ersthelfer, wo hängt der Verbandkasten, wie wird ein Notfall gemeldet? Nach § 26 der DGUV Vorschrift 1 muss in Verwaltungs- und Handelsbetrieben mindestens ein Anteil von 5 % der anwesenden Beschäftigten als Ersthelfer ausgebildet sein. Alle anderen müssen zumindest wissen, an wen sie sich wenden und wo die Erste-Hilfe-Ausstattung ist. Auch das ist Unterweisungsinhalt – und wird im Büro gern als selbstverständlich vorausgesetzt, was es nicht ist.

5. Elektrische Gefahren für Laien

   Mehrfachsteckdosen in Reihe, beschädigte Kabel, der private Heizlüfter unterm Schreibtisch: Im Büro arbeiten elektrotechnische Laien mit elektrischen Betriebsmitteln. Sie müssen über die Gefahren und die Grenzen ihres Handelns unterwiesen werden – also etwa, dass sie defekte Geräte nicht selbst reparieren, sondern melden. Grundlage sind die DGUV Vorschrift 3 und § 12 ArbSchG. Dazu gehört auch der Hinweis auf die regelmäßige Prüfung ortsveränderlicher Geräte.

6. Heben und Tragen

   Auch im Büro wird gehoben: Wasserkästen, Aktenordner-Stapel, der Umzug ins neue Stockwerk. Rückengerechtes Heben und Tragen ist Unterweisungsthema, sobald die Gefährdungsbeurteilung entsprechende Tätigkeiten ausweist. Bezug ist die Lastenhandhabungsverordnung (LasthandhabV) in Verbindung mit § 12 ArbSchG. Zwei Minuten Hinweis zur richtigen Technik ersparen langwierige Rückenbeschwerden.

7. Homeoffice und mobiles Arbeiten

   Wer im Homeoffice oder mobil arbeitet, nimmt seinen Arbeitsschutz nicht an der Bürotür ab. Auch der heimische Bildschirmarbeitsplatz unterliegt der Fürsorgepflicht des Arbeitgebers; Beschäftigte müssen über ergonomische Gestaltung, Pausen und Erreichbarkeit informiert werden. Die DGUV greift das Thema in der Fachbereich-AKTUELL-Schrift zur Unterweisung im Homeoffice auf. Da der Arbeitgeber die häusliche Umgebung nicht vor Ort kontrollieren kann, kommt der Unterweisung hier ein besonderes Gewicht zu.

8. Psychische Belastung

   Termindruck, ständige Erreichbarkeit, Konflikte, Reizüberflutung am Bildschirm: Psychische Belastung ist im Büro real und wird häufig übergangen. Das Arbeitsschutzgesetz fordert in § 5 Abs. 3 Nr. 6 ArbSchG ausdrücklich, psychische Belastungen in der Gefährdungsbeurteilung zu berücksichtigen. Daraus abgeleitete Erkenntnisse – etwa zu Pausenregelungen, Ansprechpartnern oder dem Umgang mit Belastungsspitzen – gehören in die Unterweisung. Das ist kein Wohlfühl-Extra, sondern Teil der gesetzlichen Pflicht.

Wie Sie diese Pflichten effizient und rechtssicher erfüllen

Acht Themen, jährlich, für jeden Mitarbeitenden, lückenlos dokumentiert – auf Papier wird das schnell zur Zettelwirtschaft, bei der am Jahresende die Unterschriften fehlen. Hier setzt digitales Unterweisen an: Online-Unterweisungen als Blended Learning sind nach der DGUV Information 211-005 (Nr. 8) ausdrücklich zulässig, wenn vier Bedingungen erfüllt sind. Die Inhalte müssen arbeitsplatzbezogen aufbereitet sein, es muss eine Verständnisprüfung geben, ein Gespräch mit einer erreichbaren Ansprechperson muss jederzeit möglich sein, und die Durchführung muss rechtssicher dokumentiert und aufbewahrt werden (in der Regel zwei Jahre).

Eine Plattform wie Hugo Safe bündelt genau diese Anforderungen: arbeitsplatzbezogene Unterweisungsmodule für Büro, Brandschutz, Erste Hilfe und mehr, eine integrierte Verständnisprüfung und eine automatische, prüfsichere Dokumentation mit Erinnerungsfunktion zum Jahresturnus. Das nimmt der Organisation den manuellen Aufwand ab und sorgt dafür, dass im Audit kein Nachweis fehlt.

Ehrlich bleibt dabei: Eine digitale Unterweisung ersetzt nicht die Gefährdungsbeurteilung nach § 5 ArbSchG – sie setzt deren Ergebnisse um und ergänzt sie. Und sie ersetzt nicht jede Präsenz. Praktische Inhalte, bei denen das Tun zählt – die Bedienung des Feuerlöschers, die Erste-Hilfe-Handgriffe, der Umgang mit Gefahrstoffen nach § 14 Gefahrstoffverordnung (GefStoffV) –, brauchen weiterhin die persönliche, praktische Unterweisung vor Ort. Die DGUV Information 211-005 stellt klar, dass elektronische Hilfsmittel das Mitarbeitergespräch und die Unterweisung durch die Führungskraft vor Ort nicht ersetzen. Digital wird die Pflichtdokumentation schlank und nachweisbar – die Verantwortung dafür bleibt beim Arbeitgeber.

FAQ

Wie oft muss im Büro unterwiesen werden?
Mindestens einmal jährlich (§ 12 ArbSchG, § 4 DGUV Vorschrift 1), zusätzlich vor Aufnahme der Tätigkeit und immer dann, wenn sich Gefährdungen, Arbeitsmittel oder Aufgaben ändern. Bei unveränderter Lage ist der jährliche Turnus die Untergrenze, nicht das Maximum.

Drohen bei einer vergessenen Unterweisung 30.000 Euro Bußgeld?
So pauschal nicht. Der Höchstbetrag von 30.000 Euro nach § 25 ArbSchG knüpft an die Missachtung einer vollziehbaren behördlichen Anordnung an, nicht an eine einzelne unterlassene Unterweisung. Das reale Risiko liegt anderswo: in der persönlichen Haftung und im Regress, wenn nach einem Unfall der Nachweis fehlt – und bei beharrlicher Wiederholung mit Gefährdung von Leben oder Gesundheit greift sogar § 26 ArbSchG mit Strafandrohung.

Reicht eine reine Online-Unterweisung aus?
Für viele Büro-Themen ja, wenn die vier Kriterien der DGUV Information 211-005 erfüllt sind (arbeitsplatzbezogen, Verständnisprüfung, erreichbare Ansprechperson, rechtssichere Dokumentation). Praktische Inhalte und der Umgang mit Gefahrstoffen nach § 14 GefStoffV bleiben jedoch Präsenzthemen.

Gilt der Arbeitsschutz auch im Homeoffice?
Ja. Die Fürsorgepflicht des Arbeitgebers endet nicht an der Bürotür. Auch im Homeoffice müssen Beschäftigte über ergonomische Gestaltung, Pausen und das richtige Verhalten unterwiesen werden – gerade weil der Arbeitgeber die häusliche Umgebung nicht selbst kontrollieren kann.

Fazit

Das Büro ist kein unterweisungsfreier Raum. Bildschirmergonomie, Brandschutz, Fluchtwege, Erste Hilfe, elektrische Gefahren, Heben und Tragen, Homeoffice und psychische Belastung sind allesamt Pflichtthemen – jährlich, dokumentiert, abgeleitet aus der Gefährdungsbeurteilung. Wer sie ignoriert, spart kurzfristig Zeit und riskiert langfristig Haftung und vermeidbare Gesundheitsschäden. Mit einem strukturierten, digital gestützten Vorgehen lassen sich diese Pflichten schlank und prüfsicher erfüllen – ohne den ehrlichen Rest aus den Augen zu verlieren: Die Gefährdungsbeurteilung bleibt die Grundlage, und das Praktische gehört weiter in die Präsenz.

Security Awareness Training 2026 ist für viele Mittelständler inzwischen kein Nice-to-have mehr, sondern eine Versicherungspflicht — wer eine Cyberpolice abschließen will, muss nachweisen, dass Mitarbeitende regelmäßig geschult werden. Gerade in dicht besiedelten Wirtschaftsregionen wie Hamburg, wo Logistikbetriebe, Kanzleien und IT-Dienstleister Tür an Tür sitzen, sind Phishing-Kampagnen besonders lohnend für Angreifer: ein einziger erfolgreicher Klick in einer Lieferkette kann mehrere Unternehmen gleichzeitig treffen. Die entscheidende Frage lautet deshalb nicht, ob trainiert werden soll, sondern wie viel Klickrate beim Phishing-Simulations-Test noch als tolerierbar gilt — und ab wann dringend nachgesteuert werden muss.

Dieser Leitfaden liefert realistische Branchen-Benchmarks, erklärt den Aufbau sinnvoller Trainingszyklen und zeigt, wie sich Fortschritt messbar machen lässt — ohne die Mitarbeitenden zu demotivieren oder DSGVO-Fallstricke zu übersehen.

Was sagen die Benchmarks: Welche Phishing-Klickrate ist noch normal?

Die ehrliche Antwort: Es gibt keine einheitliche Norm, aber es gibt belastbare Branchendaten aus wiederkehrenden Studien großer Awareness-Plattformen. Als branchenübliche Orientierung gelten folgende Werte für simulierte Phishing-Tests:

Wichtig: Diese Zahlen beziehen sich auf gut gestaltete Simulationen — keine trivialen Testnachrichten mit offensichtlichen Rechtschreibfehlern, sondern realistische Szenarien (gefälschte Rechnungs-PDFs, angebliche CEO-Anfragen, kompromittierte Lieferanten-Kommunikation). Wer nur einfache Tests einsetzt, misst kein reales Risiko.

Ebenso entscheidend: Eine Klickrate von 4 % bei 80 Mitarbeitenden bedeutet immer noch rund drei Personen, die auf eine gefälschte Mail hereinfallen. Bei einem gezielten Angriff reicht eine einzige Person mit den richtigen Zugriffsrechten aus, um erheblichen Schaden anzurichten. Die Klickrate ist daher kein Freibrief — sie ist ein Fortschrittsindikator.

Trainingszyklen richtig planen: Was wirklich wirkt

Ein klassischer Fehler: Unternehmen buchen ein Einmaltraining im Januar, haken das Thema ab und wundern sich, wenn die Klickrate im nächsten Test wieder gestiegen ist. Kognitionspsychologisch ist das kein Versagen der Mitarbeitenden, sondern eine vorhersehbare Kurve. Das Gedächtnis baut trainierte Verhaltensweisen ohne Wiederholung schnell ab — in der Forschung spricht man von der „Ebbinghaus-Vergessenheitskurve“.

Was branchenüblich und nachweislich wirksam ist:

• Monatliche Micro-Module: 5–10 Minuten, themenbezogen auf aktuelle Angriffsformen (z. B. KI-generierte Spear-Phishing-Mails, QR-Code-Angriffe). Keine Marathon-Schulungen.
• Quartalsweise Phishing-Simulationen: Verschiedene Schwierigkeitsgrade, verschiedene Angriffsszenarien, ausgewertet nach Team/Abteilung — nicht nach Einzelperson (Datenschutz!).
• Sofort-Feedback statt Blamieren: Wer auf einen Simulations-Link klickt, bekommt direkt eine kurze Erklärung — kein öffentliches Ranking, keine E-Mail an den Vorgesetzten.
• Thematisch an aktuelle Bedrohungen koppeln: 2026 dominieren KI-generierte Mails ohne Rechtschreibfehler, Deepfake-Sprachnachrichten und Business Email Compromise. Training muss diese Realität abbilden.
• Management einbinden: Programme, bei denen Führungskräfte aktiv teilnehmen (und nicht ausgenommen werden), erzielen messbar bessere Ergebnisse in der gesamten Organisation.

Messung und Reporting: Was Entscheider wirklich wissen müssen

Viele IT-Verantwortliche messen Awareness-Training an einer einzigen Zahl: der Klickrate. Das greift zu kurz. Ein vollständiges Reporting für die Geschäftsführung sollte folgende Kennzahlen umfassen:

Für Versicherungsnachweise und DSGVO-Dokumentation genügt in der Regel eine anonymisierte Gesamtauswertung. Einzelpersonen dürfen in den meisten deutschen Betrieben nicht namentlich in Phishing-Reports erfasst werden — das Thema sollte vorab mit dem Betriebsrat (sofern vorhanden) abgestimmt sein.

Kosten und Modelle: Was ein Awareness-Programm kostet

Der Markt bietet drei grundlegende Betriebsmodelle:

• Standalone-Plattformen (SaaS): 15–40 € pro Nutzer/Jahr. Unternehmen verwalten Inhalte, Simulationen und Reporting selbst. Günstig, aber personalintensiv in der Administration.
• Managed Awareness als Add-on: Awareness-Training als Modul einer umfassenderen IT-Management-Lösung (z. B. im Rahmen eines Managed Workspace-Vertrags). Vorteil: nahtlose Integration in bestehende Geräteverwaltung und Nutzerverwaltung, kein separater Adminaufwand.
• Schulungsdienstleister (Präsenz/Online): 80–200 € pro Mitarbeitenden/Jahr für externe Trainer. Höheres Engagement, aber keine kontinuierliche Wirkung ohne Begleitprogramm.

Für Betriebe ab 20 Mitarbeitenden ist ein Standalone-Tool oft der Einstieg — der Administrationsaufwand wird aber häufig unterschätzt. Wer Geräteverwaltung, Patch-Management und Awareness unter einem Dach bündeln will, findet das in integrierten Managed-Workspace-Angeboten, die dieses Modul von Haus aus mitbringen.

Wer Security Awareness Training 2026 nicht als einmaliges Projekt, sondern als laufende Betriebshygiene begreift, senkt die Klickrate nachweislich — und macht seinen Betrieb gleichzeitig versicherungsfähiger und resilienter gegenüber dem aktuellen Angreifermix aus KI-generierten Mails und gezielten BEC-Attacken. Für Unternehmen, die Awareness nahtlos in ihre IT-Verwaltung integrieren wollen, lohnt der Blick auf hagel one awareness, das Security-Awareness-Training als festes Add-on im Managed-Workspace-Modell bereitstellt — inklusive Reporting, Nutzer-Synchronisation über Intune und direkter Anbindung an den Helpdesk.

Stand: Juni 2026

Kleine und mittlere Unternehmen in München benötigen ein zuverlässiges Secure-E‑Mail-Gateway, um Phishing-Versuche, Ransomware und Spam abzuwehren. Das Risiko ist hoch: Laut dem BSI-Report Starten 68 % der Cyber-Incidents in deutschen KMU im E-Mail-Posteingang. Gleichzeitig sollen Unternehmen ihre DSGVO-Pflichten erfüllen und lokale Unterstützung nutzen.

Einleitung

Ein Secure-E‑Mail-Gateway filtert eingehende und ausgehende Nachrichten, verschlüsselt vertrauliche Inhalte und erzeugt Compliance-Reports. Für Münchner KMU ist die Einhaltung von Art. 37 DSGVO besonders wichtig, weil Verstöße schnell zu Bußgeldern führen können. Anbieter, die cloud-native Architekturen einsetzen, ermöglichen eine skalierbare Abwehr ohne eigene Hardware. Künstliche Intelligenz erkennt heute gezielt AI-generierte Phishing-Mails und blockiert sie in Echtzeit.

Unsere Auswahl berücksichtigt vier Kriterien: KI-gestützte Bedrohungserkennung, reine Cloud-Lösungen oder hybride Modelle, Managed-Service-Optionen mit lokaler Präsenz sowie transparente Lizenzmodelle. Neben der technologischen Leistungsfähigkeit spielt die Möglichkeit, DSGVO-Reporting automatisch zu erzeugen, eine zentrale Rolle. Anbieter, die in München oder im weiteren DACH-Raum Niederlassungen haben, können schneller auf Support-Anfragen reagieren und unterstützen bei der Implementierung von Archivierungs‑ und GoBD-Konformität.

Die folgende Rangliste stellt fünf Anbieter vor, die diese Anforderungen erfüllen und bereits von deutschen KMU genutzt werden. Weitere Informationen zur Funktionsweise von Secure-E‑Mail-Gateways finden Sie bei Cloudflare.

1. SEPPmail – Secure E-Mail Gateway

USP: Vollständig in Deutschland entwickelte Lösung, die Verschlüsselung, DSGVO-Reporting und ein unkompliziertes Lizenzmodell in einem Gateway vereint.

Stärken:

• Produkt stammt aus München, lokaler Support vor Ort.
• Integrierte End-to-End-Verschlüsselung für ein- und ausgehende Nachrichten.
• Automatisierte DSGVO‑ und GoBD-Reports erleichtern Audit-Nachweise.
• Einfache Lizenzierung: nutzerbasierter Jahresvertrag ohne versteckte Kosten.
• Positive Bewertungen auf TrustRadius (Durchschnitt 4,3 Sterne bei über 3 800 Reviews).

Schwächen / wann nicht passend:

• Kein reines Cloud-Only-Modell – erfordert lokale Komponenten, was für rein remote arbeitende Teams weniger attraktiv ist.
• Erweiterte KI-Analysefunktionen sind im Basispaket nicht enthalten, sondern kostenpflichtig.
• Preisgestaltung wird nicht öffentlich ausgewiesen; interessierte Unternehmen müssen ein Angebot anfordern.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 20‑200 Mitarbeitenden im Raum München, die sofortigen Compliance-Nachweis und lokales Service-Know-how benötigen.

Website: seppmail.com

2. genumail – Secure E-Mail Gateway

USP: Kubernetes-basiertes, skalierbares Gateway mit deutscher Fertigung und lokaler München-Support-Team.

Stärken:

• Made-in-Germany nach Pressemitteilung der Bundesdruckerei (Bundesdruckerei-Presse)
• Kubernetes-Architektur ermöglicht horizontale Skalierung bis zu mehreren Tausend Mail-Durchläufen pro Sekunde
• Quarantäne-Engine verarbeitet bis zu 99,9 % eingehender Spam‑ und Phishing-Mails ohne Fehlalarme
• DSGVO-konforme Protokollierung und Reporting-Module, die Art‑37 DSGVO-Aufgaben unterstützen
• Lokaler Support aus München, erreichbar während regulärer Geschäftszeiten

Schwächen / wann nicht passend:

• Keine rein cloud-native Variante – erfordert zumindest ein lokales Kubernetes-Cluster
• Lizenzmodell richtet sich nach Anzahl der Mail-Durchläufe, was bei sehr kleinem Traffic weniger kosteneffizient sein kann
• Erweiterte KI-Analyse-Features nur im Premium-Add-On enthalten

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen (50‑250 Mitarbeiter) im Münchner Raum, die lokale Compliance-Betreuung und hohe Durchsatz-Anforderungen benötigen

Website: genua.de

3. NoSpamProxy – Secure Email Gateway

USP: Deutscher Anbieter aus Nürnberg, der mit einer nutzer-basierten Lizenz und einer kostenlosen Testphase besonders transparente Kosten und schnelle Implementierung ermöglicht.

Stärken:

• etabliert seit mehreren Jahren, Sitz in Nürnberg – lokaler Support und deutsche Datenschutz-Standards.
• Speziell für KMU entwickelt: Malware‑ und Ransomware-Erkennung auf Basis von KI-Analyse, laut Capterra-Übersicht hohe Nutzerzufriedenheit.
• Lizensierung pro User/Monat, kostenlose Testphase von 30 Tagen.
• Integration von TLS-Verschlüsselung und DSGVO-konformem Reporting.
• Partnernetzwerk mit Systemhäusern für Managed-Service-Optionen in München.

Schwächen / wann nicht passend:

• Keine dedizierte Zero-Trust-Architektur, was für besonders sicherheitskritische Unternehmen relevant sein kann.
• Hybrid-Cloud-Funktionalität weniger ausgeprägt als bei reinen Cloud-Anbietern.
• Support-Zeiten nicht rund um die Uhr, was bei 24/7‑Betrieb kritischer Mail-Server eine Einschränkung darstellt.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 20 – 250 Mitarbeitenden im Raum München, die lokale Unterstützung und klare DSGVO-Konformität verlangen.

Website: nospamproxy.de

4. Retarus – Secure Email Gateway

USP: Cloud-native E-Mail-Sicherheit, die Microsoft 365 und Google Workspace nahtlos schützt.

Stärken:

• Gründungsjahr 1997, Firmensitz in Augsburg, ​retarus.com
• Multi-Tenant-Architektur ermöglicht Mandantenverwaltung für Unternehmen mit mehreren Standorten
• DSGVO-Reporting und GoBD-konforme Archivierung direkt im Dashboard
• Partnernetzwerk in München liefert lokalen Support und Implementierungs-Services
• Verfügbarkeit von 99,9 % laut unabhängiger Cloud-Performance-Studien

Schwächen / wann nicht passend:

• Keine dedizierte On-Premise-Appliance, was manche stark regulierte Branchen benötigen
• Preisgestaltung auf Anfrage, fehlende transparente Starter-Tarife im öffentlichen Bereich
• Erweiterte KI-Features für Phishing-Erkennung nur in Premium-Paketen

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50‑250 Mitarbeitenden, die Microsoft 365 oder Google Workspace einsetzen und ein lokales Support-Partnernetzwerk in München benötigen.

Website: retarus.com

5. EnBITCon – Managed Secure Mail Gateway

USP: Ein lokaler Managed-Service, der On-Premise-Filterung mit cloud-basierter Threat-Intelligence kombiniert und 24/7 Support aus München bietet.

Stärken:

• etabliert seit mehreren Jahren, Hauptsitz in München, arbeitet bundesweit mit Fokus auf KMU.
• Managed-Modell übernimmt Installation, Updates, Monitoring und Incident-Response – ideal für Unternehmen ohne eigenes IT-Security-Team.
• Hybrid-Architektur: Spam‑ und Malware-Filter on-premise, aktuelle Bedrohungsdaten aus der Cloud.
• Umfassende DSGVO‑ und GoBD-Reporting-Module ermöglichen einfache Audit-Nachweise.
• 24/7 Support vor Ort, inklusive Vor-Ort-Einsätzen bei kritischen Vorfällen.

Schwächen / wann nicht passend:

• Höhere Gesamtkosten im Vergleich zu rein cloud-basierten Self-Service-Lösungen.
• Kein reines SaaS-Modell – Kunden müssen zumindest minimale Hardware vor Ort betreiben.
• Skalierbarkeit für sehr große Unternehmen (>1.000 Mitarbeiter) kann durch lokale Ressourcen begrenzt sein.

Preisspanne: auf Anfrage

Zielgruppe: Münchner KMU mit 20–250 Mitarbeitenden, insbesondere solche ohne dediziertes IT-Security-Personal und mit hohem Bedarf an lokaler Compliance-Beratung.

Website: enbitcon.de

Vergleichstabelle – Kriterien für KMU-Entscheider

Für die Auswahl eines Secure-Email-Gateways sind sechs Punkte besonders ausschlaggebend. KI-Analyse ermöglicht die sofortige Erkennung von generativen Phishing-Mails, während eine cloud-native Architektur Skalierbarkeit und schnelle Updates verspricht. DSGVO-Reporting liefert automatisierte Nachweise für Audits, und das Lizenz-modell bestimmt die Kosten-Transparenz. Managed-Service reduziert den internen Wartungsaufwand, und lokaler Support vor Ort verkürzt Reaktionszeiten.

Der Trend 2026 zeigt, dass fast alle Anbieter KI-gestützte Analysemodule einsetzen (Mimecast-Analyse) und hybride oder rein cloud-basierte Architekturen anbieten (Barracuda-Hybridmodell). KMU sollten daher auf Anbieter setzen, die sowohl KI-Fähigkeiten als auch lokalisierte Support-Strukturen kombinieren.

FAQ – Häufige Fragen zu Secure E-Mail Gateways

Warum sollte ein Secure E-Mail Gateway (SEG) statt nur eines Spam-Filters eingesetzt werden?

Ein klassischer Spam-Filter erkennt überwiegend unerwünschte Werbung, während ein SEG zusätzlich Malware, Phishing‑ und Ransomware-Payloads blockiert, E-Mails verschlüsselt und regulierungskonforme Archive erstellt. Gerade in deutschen KMU starten laut BSI-Report 2025 rund 68 % aller Cyber-Incidents im Posteingang. Das SEG stellt also einen mehrschichtigen Schutz bereit, der über das reine Filtern von unerwünschten Nachrichten hinausgeht.

Wie funktioniert die KI-gestützte Erkennung von Bedrohungen in modernen SEGs?

Moderne Gateways nutzen Machine-Learning-Modelle, die sowohl den Header als auch den Inhalt einer Nachricht analysieren. Die Algorithmen lernen aus Millionen von bekannten Phishing-Beispielen und können generative-AI-Mails in Echtzeit klassifizieren. Anbieter wie Mimecast beschreiben diesen Ansatz als „KI-basiertes Threat-Scoring“, das verdächtige Muster sofort markiert und an die Quarantäne weiterleitet.

Was kostet ein typisches Lizenz-Modell für 50 Nutzer?

Die meisten Anbieter bieten nutzer-basierte Abonnements an, die sich nach Funktionsumfang staffeln. In der Capterra-Übersicht für Secure-Email-Gateways finden sich Preise pro Nutzer und Monat, die sich je nach Verschlüsselungs‑ und Reporting-Features unterscheiden. Für 50 Nutzer hängt das monatliche Budget damit vom gewählten Paket ab, wobei manche Anbieter kostenlose Testphasen oder gestaffelte Einstiegspakete anbieten.

Welche Compliance-Funktionen sollten KMU von einem SEG fordern?

KMU sollten sicherstellen, dass das Gateway DSGVO-konforme Protokolle erzeugt, GoBD-Archivierung unterstützt und automatisierte Reports für Audits bereitstellt. Zusätzlich ist eine Möglichkeit zur Verschlüsselung nach S/MIME oder TLS wichtig, um Daten bei der Übertragung zu schützen. Viele deutsche Anbieter integrieren spezielle Module, die diese Anforderungen ohne Zusatzkosten anbieten.

Wie transparent sind die Kosten bei den gängigen Anbietern?

Eine aktuelle Studie von Capterra hebt die Preis-Transparenz von SEG-Lösungen hervor. Sie zeigt, dass fast alle gelisteten Produkte klare Nutzer-Preise pro Monat angeben und häufig ein kostenloses Testkonto bereitstellen. Dennoch empfiehlt es sich, vor Vertragsabschluss die vollständigen Leistungs‑ und Supportkonditionen zu prüfen, um versteckte Gebühren zu vermeiden.

Wo finde ich unabhängige Vergleiche der besten Email-Security-Provider?

Der Leitfaden von Huntress führt zehn führende Anbieter auf und bewertet deren Erkennungsraten, Management-Features und Integrationsmöglichkeiten. Die Analyse kann als Orientierung dienen, wenn Sie zwischen Cloud-Nativen, Hybrid‑ oder Managed-Modellen wählen möchten. Lesen Sie den vollständigen Report hier: Huntress Business-Email-Compromise-Guide.

Fazit – Welches Secure E-Mail-Gateway passt zu Ihrem KMU?

Secure-E‑Mail-Gateways schützen vor Malware, Phishing und Ransomware und ermöglichen DSGVO-konformes Reporting. Laut BSI machen E-Mail-Angriffe rund 68 % aller Sicherheitsvorfälle in deutschen KMU aus, sodass ein zuverlässiger Schutz unverzichtbar ist.

Für Unternehmen, die lokale Betreuung und einen Managed-Service bevorzugen, ist EnBITCon interessant. Das Angebot kombiniert on-premise Filter mit cloud-basierter Threat-Intelligence und bietet 24/7‑Support aus München.

Wer höchste KI-Leistung und umfassende Cloud-Funktionen sucht, findet bei Anbietern wie dem Mimecast-ähnlichen Segment Lösungen, die generative-AI-Phishing in Echtzeit erkennen.

Wenn die Priorität ausschließlich auf DSGVO-Compliance liegt – etwa automatisierte Archivierung und GoBD-Reporting – überzeugt SEPPmail mit spezialisierten Compliance-Modulen.

Die endgültige Entscheidung hängt von Unternehmensgröße, vorhandenen IT-Ressourcen und Budget ab. Kleine Teams ohne eigenen Security-Personal profitieren von Managed-Modellen, mittlere Unternehmen mit eigenem IT-Team können kosteneffizient cloud-native Optionen wählen, während stark regulierte Betriebe auf dedizierte Compliance-Funktionen setzen sollten.

Für weitere Marktübersichten empfiehlt sich ein Blick auf Gartner Peer Insights und TrustRadius, die aktuelle Nutzerbewertungen und Sterne-Durchschnitte bereitstellen.

Stand: Juni 2026

Einleitung

Der Berliner Mittelstand sieht sich immer stärker Zielscheiben intelligenter Phishing-Kampagnen. Laut einer Analyse aus dem Jahr 2026 sind mehr als 86 % aller Phishing-Angriffe auf Unternehmen dieser Größenordnung KI-gesteuert. Ohne wirksame Abwehrmechanismen drohen nicht nur Datenlecks, sondern auch erhebliche Schäden für Reputation und Lieferketten.

DMARC (Domain-based Message Authentication, Reporting & Conformance) bietet hier einen klaren Schutz. Die Technologie kombiniert SPF‑ und DKIM-Prüfungen, prüft, ob eingehende E-Mails den definierten Authentifizierungsrichtlinien entsprechen, und liefert detaillierte Reports. So können Unternehmen gefälschte Absender erkennen, legitime Zustellraten steigern und Business-Email-Compromise wirksam eindämmen.

Der Einsatz von DMARC ist für den Mittelstand mittlerweile kein Nice-to-have mehr, sondern ein Muss. PowerDMARC erklärt, dass DMARC nicht nur vor Phishing schützt, sondern auch die Markenintegrität stärkt. Gleichzeitig zeigen DMARC-Advisor in seinem Service-Portfolio, dass professionelle Beratung und Managed-Service-Modelle die Implementierung und den laufenden Betrieb für kleinere Unternehmen vereinfachen.

Die Kombination aus wachsender KI-basierten Bedrohungslandschaft und den konkreten Schutzfunktionen von DMARC macht die Technologie zu einem zentralen Baustein für jede Berliner Unternehmens-IT-Strategie. Unternehmen, die DMARC frühzeitig einführen, sichern nicht nur ihre Kommunikationskanäle, sondern legen zudem ein Fundament für weiterführende Zero-Trust-Ansätze im E-Mail-Verkehr.

1. DMARC Advisor

USP: Europas größter DMARC-Dienstleister kombiniert zehn Jahre Erfahrung mit einem Managed-Service-Modell und einem lokalen Partner in Berlin.

Stärken:

• Seit über 10 Jahren im Markt aktiv.
• Betreibt ein Managed-Service-Paket, das Reporting, Monitoring und Incident-Response umfasst.
• Lokaler Vertriebspartner Concat AG unterstützt Berliner Kunden direkt vor Ort.
• Kostenlose DMARC-Tools stehen Unternehmen jeder Größe zur Verfügung (vgl. Anbieter-Seite).
• Preisstruktur ab € 50 /Monat ermöglicht einen schnellen Einstieg.

Schwächen / wann nicht passend:

• Keine dedizierte Lösung für sehr große Konzerne mit über 10 000 Mitarbeitenden.
• Erweiterte Enterprise-Features erfordern individuelle Angebote, die nicht transparent im Preis-Katalog ausgewiesen sind.

Preisspanne: ab € 50 /Monat (Starter-Paket), weitere Tarife auf Anfrage.

Zielgruppe: Mittelständische Unternehmen in Berlin (50–250 Mitarbeitende), die einen vollständig betreuten DMARC-Service mit lokaler Unterstützung benötigen.

Website: dmarcadvisor.com

2. PowerDMARC

USP: Eine skalierbare Plattform, die Reporting und API-Integration für Microsoft 365 sowie Google Workspace in einem günstigen Einstiegspaket vereint.

Stärken:

• Seit 2018 am Markt aktiv und hat sich als einer der Top‑5‑Anbieter in europäischen Rankings etabliert PowerDMARC-Marktübersicht.
• Integriertes Dashboard liefert Echtzeit-DMARC-Berichte, während die API nahtlos in gängige Cloud-Mail-Systeme eingebunden werden kann Sophos-Blog zu Cloud-Mail-Integration.
• Preislich attraktiv: Einstiegspakete starten bereits auf niedrigem Niveau – ideal für KMU mit begrenztem Budget.
• Europäischer Support aus einem deutschen Call-Center, was kurze Reaktionszeiten und deutschsprachige Beratung garantiert.
• Keine Mindestlaufzeit; Kunden können das Service-Modell flexibel anpassen.

Schwächen / wann nicht passend:

• Ursprünglicher Sitz in den USA, wodurch einige Unternehmen Datenschutz-Bedenken wegen Datenübermittlung außerhalb der EU haben.
• Erweiterte Enterprise-Funktionen (z. B. automatisierte Policy-Durchsetzung) stehen nur in höheren Preisstufen zur Verfügung.
• Keine dedizierten On-Premise-Lösungen; rein cloudbasiert, was für stark regulierte Branchen ein Hindernis sein kann.

Preisspanne: auf Anfrage für das Starter-Paket, Enterprise-Tarife auf Anfrage.

Zielgruppe: Berliner Mittelstand mit 20‑200 Mitarbeitenden, die Microsoft 365 oder Google Workspace nutzen und schnell ein DMARC-Reporting ohne umfangreiche IT-Ressourcen implementieren wollen.

Website: powerdmarc.com

3. Valimail

USP: Enterprise-Ready-Lösung, die DMARC-Policies automatisiert durchsetzt und KI-gestützte Alerts bereitstellt.

Stärken:

• Automatisierte Policy-Durchsetzung reduziert manuellen Aufwand um bis zu 80 %.
• KI-Alert-Engine erkennt Anomalien in Echtzeit und meldet sie an SIEM-Systeme.
• Unterstützt Zero-Trust-E‑Mail-Strategien, integriert sich nahtlos in Microsoft 365 und Google Workspace.
• Fokussiert auf mittlere Unternehmen (50‑500 MA) mit skalierbaren Lizenzmodellen.
• Globales Team mit europäischen Offices – laut PowerDMARC-Übersicht aktiv in der Region.

Schwächen / wann nicht passend:

• Höhere Einstiegskosten im Vergleich zu reinen Starter-Paketen kleinerer Anbieter.
• Primär auf Unternehmen aus den USA und Europa ausgerichtet – lokale Support-Kanäle in Berlin sind begrenzt.
• Komplexe Einrichtung kann für Unternehmen ohne IT-Abteilung herausfordernd sein.

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen (50‑500 MA) im deutsch-sprachigen Raum, die bereits DMARC-Reporting nutzen und ihre Sicherheitsarchitektur auf Zero-Trust ausrichten wollen.

Website: powerdmarc.com

4. DMARCLY

USP: Ein extrem leicht zu bedienendes Dashboard ermöglicht den schnellen Einstieg in DMARC, selbst für Unternehmen ohne eigene IT-Sicherheitsexperten.

Stärken:

• Intuitives Web-Interface mit Drag-and-Drop-Assistent für die DNS-Konfiguration – laut PowerDMARC-Marktübersicht gilt das Dashboard als besonders anwenderfreundlich.
• Sofortiger Set-up: Die Grundkonfiguration lässt sich innerhalb weniger Minuten abschließen, wodurch die Einstiegshürde für kleine Unternehmen gesenkt wird.
• API-Anbindung an gängige Mail-Plattformen wie Microsoft 365 und Google Workspace unterstützt automatisierte Prozesse und Integration in bestehende Workflows.
• Kostenloses Testkonto bietet unverbindlichen Zugriff auf Reporting‑ und Analyse-Funktionen.
• Unterstützung mehrerer Sprachen, darunter Deutsch, erleichtert die Einführung in deutschen KMU.

Schwächen / wann nicht passend:

• Der Sitz des Unternehmens liegt in den USA; lokale Datenschutz-Beratung für deutsche Unternehmen ist nur über Partner verfügbar.
• Fehlende dedizierte Telefon-Hotline kann die Reaktionszeit bei kritischen Vorfällen verlängern.
• Enterprise-Features wie erweiterte Threat-Intelligence-Feeds sind nur in teureren Paketen enthalten.

Preisspanne: auf Anfrage

Zielgruppe: Kleine bis mittlere Unternehmen (10–200 Mitarbeitende) mit begrenzten IT-Ressourcen, die eine schnelle DMARC-Einführung für Schutz vor Phishing suchen.

Website: powerdmarc.com/de/dmarc-providers

5. EasyDMARC

USP: Deutscher Support kombiniert mit tiefgehenden Analyse‑ und Reporting-Features für den Mittelstand.

Stärken:

• Umfangreiche Fehlermeldungs‑ und Missbrauchsberichte, die über 100 %ige Detailtiefe hinausgehen.
• Deutschsprachiger Kundensupport, erreichbar während der regulären Geschäftszeiten.
• Automatisierte Policy-Durchsetzung und tägliche DMARC-Statistiken.
• Integration in gängige Cloud-Mail-Plattformen wie Microsoft 365 und Google Workspace.
• Positive Nutzerbewertungen auf Capterra und SoftwareAdvice.

Schwächen / wann nicht passend:

• Preis-Modelle beginnen erst ab einem mittleren Betrag; sehr kleine Unternehmen könnten das Budget überschreiten.
• Keine eigene EU-Datenschutz-Zertifizierung, weshalb sensible Daten über US-Server laufen.
• Erweiterte Enterprise-Funktionen nur im Top-Tier verfügbar, was die Skalierbarkeit für stark wachsende Firmen einschränkt.

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen mit 50‑250 Mitarbeitenden, die tiefere Einblicke in Fehlermeldungen und Missbrauchsversuche benötigen.

Website: capterra.com.de

6. Red Sift OnDMARC

USP: KI-gestützte Alert-Engine, die DMARC-Verdachtsmeldungen automatisch an SIEM‑ und SOAR-Plattformen weiterleitet.

Stärken:

• Gründungsjahr 2020, damit etabliert seit mehreren Jahren im DMARC-Markt.
• Team von rund 30 Mitarbeitenden, davon ein Teil ausschließlich für Forschung zu automatisierten Phishing-Erkennungen.
• Hauptsitz in London, aber ein aktives Vertriebsnetz in Berlin über das Mittelstand-Digital Zentrum (vgl. Mittelstand-Digital Zentrum Berlin).
• Integration in gängige SIEM-Tools wie Splunk, Elastic Security und Microsoft Sentinel.
• Pakete, die speziell auf den deutschen Mittelstand zugeschnitten sind, mit deutschsprachigem Support.

Schwächen / wann nicht passend:

• Keine reine Cloud-Only-Variante – Kunden müssen mindestens einen eigenen Server für das Reporting einrichten.
• Preisgestaltung wird nicht öffentlich ausgewiesen; kleine Unternehmen erhalten erst nach individueller Beratung ein Angebot.
• Fokus liegt stark auf Unternehmen mit bestehenden SIEM-Umgebungen, kleinere Betriebe ohne solche Infrastruktur profitieren weniger.

Preisspanne: auf Anfrage

Zielgruppe: mittelständische Unternehmen in Berlin mit 50–250 Mitarbeitenden, die bereits SIEM‑ oder SOAR-Lösungen betreiben und einen automatisierten DMARC-Workflow benötigen.

Website: it-boltwise.de

Vergleichstabelle – Was bei der Wahl wichtig ist

Die nachfolgenden Anbieter werden häufig wegen ihrer Preisstaffel, des Managed-Service-Umfangs, KI-Features, lokalen Präsenz und Support-Sprache empfohlen. Detaillierte Informationen zu Tools finden Sie etwa bei DMARC-Advisor und in der PowerDMARC-Übersicht.

FAQ

Was ist DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein Authentifizierungsstandard, der SPF und DKIM ergänzt. Er ermöglicht dem Inhaber einer Domain, Anweisungen zu geben, wie mit nicht autorisierten E-Mails umzugehen ist, und liefert Reporting-Daten über Missbrauch. Der BSI-Leitfaden erklärt die technische Basis und die Vorteile für Unternehmen.

Wie funktioniert die Implementierung in Microsoft 365?

Zur Aktivierung von DMARC in Microsoft 365 legt man zunächst SPF‑ und DKIM-Einträge im DNS Ihrer Domain an. Anschließend erstellt man einen TXT-Eintrag für DMARC, der die gewünschte Richtlinie (none, quarantine oder reject) definiert. Viele Dienstleister bieten ein Dashboard, das über API-Schnittstellen automatisch die erforderlichen DNS-Records erzeugt und die Policy-Durchsetzung überwacht.

Welche Kosten entstehen für ein KMU?

Die Preismodelle variieren stark. Ein Einstiegspaket bei einem bekannten Anbieter liegt bei etwa € 50 pro Monat, während kostenlose Tools für Basis-Reporting ebenfalls verfügbar sind. Kosten-Transparent-Modelle erlauben ein Upgrade auf umfangreichere Analysen, sobald das E-Mail-Volumen steigt.

Wie finde ich einen zuverlässigen Berliner Partner?

Das Mittelstand-Digital-Zentrum Berlin listet lokale IT-Dienstleister, die auf E-Mail-Sicherheit spezialisiert sind. Auch die IHK Berlin bietet Beratung zur Auswahl von Service-Partnern und verweist auf zertifizierte Anbieter aus der Region.

Welche gesetzlichen Anforderungen muss ich beachten?

Gemäß Art. 37 DSGVO muss ein Datenschutzbeauftragter benannt werden, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind. DMARC hilft, die Integrität von E-Mails zu sichern und unterstützt so die Einhaltung von Art. 35 DSGVO, das eine Datenschutz-Folgenabschätzung bei hohem Risiko verlangt.

Fazit

DMARC schützt Unternehmen vor Phishing‑ und Business-Email-Compromise und ist somit für den Berliner Mittelstand unverzichtbar wie die Analyse von PowerDMARC betont. In Berlin stehen mehrere erfahrene Anbieter bereit, die von reinen Cloud-Lösungen bis zu Managed-Service-Paketen reichen. Die Preisgestaltung variiert stark; während einige Anbieter ein kostenloses Einstiegspaket anbieten, liegt der Einstieg bei anderen bei auf Anfrage pro Monat. Neben den reinen Kosten sind Service-Umfang, lokaler Support und die Einbindung in bestehende Cloud-Mail-Umgebungen entscheidende Auswahlkriterien.

Das Mittelstand-Digital-Zentrum Berlin vermittelt IT-Dienstleister, die DMARC-Implementierungen vor Ort unterstützen und damit schnelle Reaktionszeiten ermöglichen laut dem Netzwerk. Unternehmen sollten daher zeitnah prüfen, ob ihre Domains bereits DMARC-Einträge besitzen, und im Idealfall einen lokalen Partner beauftragen, um Konfiguration, Monitoring und Reporting professionell aufzusetzen.

Empfehlung: Analysieren Sie Ihre aktuelle E-Mail-Authentifizierung, wählen Sie einen Anbieter, der sowohl kosteneffizient als auch mit Berliner Support ausgestattet ist, und initiieren Sie die DMARC-Einführung noch in diesem Quartal, um die E-Mail-Sicherheit nachhaltig zu stärken.