E-Mail-Adresse missbraucht: Jemand verschickt Mails mit eurer Firmenadresse

Vielleicht ruft ein Kunde an und fragt, warum er eine Mail von euch bekommen hat, die niemand bei euch geschrieben hat. Vielleicht liegen in deinem Postfach Dutzende Fehlermeldungen zu Mails, die ihr nie verschickt habt. In diesen Mails steht eure Adresse als Absender, geschrieben hat sie jemand anderes.

Meistens hat dabei niemand euer Postfach geknackt. Der Betrüger fälscht nur den Absender, auf Englisch heißt das „Spoofing“. Er tippt eure Adresse in das Absenderfeld, so wie man einen falschen Absender auf einen Briefumschlag schreibt. Das E-Mail-System prüft von sich aus nicht, ob das stimmt.

Gegen diese Fälschung helfen drei Einträge in den Einstellungen eurer Domain, also des Teils hinter dem @ in eurer Adresse. Sie heißen SPF, DKIM und DMARC. Mit ihnen erkennen Empfänger, ob eine Mail wirklich von euch kommt.

Die Einträge haben Grenzen, und wer sie zu schnell scharf stellt, verliert eigene Mails. Google, Yahoo und Microsoft verlangen sie inzwischen von vielen Absendern.

Die Einträge setzt in der Regel dein IT-Dienstleister. Du musst dafür kein IT-Mensch sein. Es genügt, wenn du weißt, was du ihm aufträgst.

Für wen dieser Artikel ist: Geschäftsführung, Marketing mit eigenem Newsletter, Buchhaltung mit Rechnungsversand per Mail und IT-Verantwortliche in Firmen, in deren Namen jemand Mails verschickt oder die ihre Absenderadresse vorbeugend vor Fälschung schützen wollen.

Woran erkennst du, dass jemand Mails mit eurer Adresse verschickt?

Fehlermeldungen zu Mails, die ihr nie geschrieben habt

Ein fremder Mailserver, also ein Rechner, der Mails verschickt und annimmt, meldet „Nachricht nicht zustellbar“ an eure Adresse zurück. Das passiert, wenn der Betrüger eure Adresse auch als Rückkehradresse einträgt. Microsoft erklärt, dass diese Rückkehradresse für Fehlermeldungen dient⁴.

Der Fachbegriff für solche fehlgeleiteten Fehlermeldungen heißt Backscatter, auf Deutsch Rückstreuung¹⁶. Auch der DMARC-Standard verwendet den Begriff für diese Fehlermeldungen an die Rückkehradresse².

Kunden, Lieferanten oder Mitarbeitende melden Mails mit eurem Absender

Sie fragen nach einer Rechnung, die sie nicht kennen, oder leiten dir eine Mail mit der Frage „Ist das von euch?“ weiter.

Die täglichen Berichte der Empfänger nennen fremde Absender (DMARC-Berichte)

Wer DMARC eingerichtet hat, bekommt in der Regel täglich Berichte von den Empfängern. Darin stehen die Adressen aller Server, die in eurem Namen Mails verschicken, und ob diese Mails den Test bestanden haben⁴.

Bei einem Kunden haben wir DMARC aufgebaut. Danach kamen die täglichen Auswertungen von Google, web.de und Microsoft an. Eine unbekannte Serveradresse mit vielen durchgefallenen Mails ist laut Microsoft ein Hinweis auf eine Spoofing- oder Phishing-Kampagne mit eurer Domain, also auf Betrugsmails, die Daten oder Geld abgreifen sollen⁴.

Wie Betroffene nach dem Missbrauch ihrer Adresse suchen

Die Suche nach dem Problem verläuft in kleinen Zahlen. „E mail adresse missbraucht“ suchen in Deutschland rund 20 Menschen im Monat, „jemand verschickt mails in meinem namen“ rund 10 (eigene Auswertung Google Keyword Planner, Vogler Marketing, Abruf 31.10.2026).

Die kleinen Zahlen zeigen vor allem, dass Betroffene ihr Problem selten in diesen Worten beschreiben. Der Fachbegriff „E-Mail-Spoofing“ kommt auf rund 880 Suchen im Monat¹⁸.

Fehlermeldungen zu Mails, die ihr nie geschrieben habt, Rückfragen von Kunden und fremde Absender in den täglichen Berichten der Empfänger zeigen den Missbrauch an. Bei jedem dieser Anzeichen siehst du sofort nach.

Ist das Postfach gehackt, oder ist nur die Adresse gefälscht?

Von außen sehen beide Fälle gleich aus. Welche ersten Schritte du gehst, hängt davon ab, welcher Fall vorliegt.

Woran du ein gehacktes Postfach von einer gefälschten Adresse unterscheidest

Diese Gegenüberstellung haben wir aus der Funktionsweise der Standards abgeleitet. Keine Quelle nennt sie wörtlich. Sie folgt aber aus dem Prüfmodell.

SPF, DKIM und DMARC prüfen, ob eine Mail von einem Server kommt, den die Domain erlaubt, oder ob sie mit dem Schlüssel der Domain signiert ist⁴. Meldet sich ein Angreifer mit gestohlenen Zugangsdaten an eurem echten Postfach an, besteht diese Prüfung.

Wenn die Mail über euren eigenen Mailserver lief

Neben den beiden Fällen in der Tabelle beschreibt das BSI fehlerhaft eingestellte Mailserver. Sie nehmen jede beliebige Absenderadresse an, und über sie verschicken Fälscher Mails mit falschem Absender. Ein korrekt eingestellter Server versendet dagegen nur Mails aus einem bestimmten Adressbereich²¹.

Zeigt die Kopfzeile also euren eigenen Server, obwohl das Anmeldeprotokoll keine fremden Zugriffe zeigt, bittest du deinen IT-Dienstleister, auch die Einstellung des Mailservers zu prüfen. Das ist unsere Schlussfolgerung aus der Aussage des BSI.

Was dein IT-Dienstleister bei einem gehackten Postfach sofort tut

Bei Verdacht auf ein gehacktes Postfach ändert dein IT-Dienstleister sofort das Passwort und schaltet die Zwei-Faktor-Anmeldung ein. Wie Zugangsdaten überhaupt in fremde Hände geraten, erklärt der Artikel Passwörter eurer Leute sind im Netz.

Ob jemand euer Postfach gehackt oder nur eure Adresse gefälscht hat, zeigen der Ordner „Gesendet“, das Anmeldeprotokoll und die Kopfzeile der Mail. Gegen die gefälschte Adresse hilft ein Schutzeintrag in eurer Domain (DMARC). Bei einem gehackten Postfach helfen ein neues Passwort und die Zwei-Faktor-Anmeldung.

Wie kann jemand überhaupt in eurem Namen Mails verschicken?

Warum das E-Mail-System den Absender nicht prüft

Das E-Mail-System stammt aus einer Zeit, in der sich im Netz alle kannten. Laut Microsoft unternimmt das E-Mail-Protokoll SMTP, die gemeinsame Sprache, in der Mailserver einander Mails übergeben, von Haus aus keinen Versuch zu prüfen, ob der Absender der ist, der er zu sein behauptet⁴.

Das BSI schreibt in seiner Empfehlung für Unternehmen, die Manipulation von Absenderdaten sei eine „leider häufig erfolgreich genutzte Angriffsmethode“¹.

Welche zwei Absenderangaben eine Mail hat

Eine Mail hat zwei Absenderangaben, ähnlich wie ein Brief.

• Die Absenderzeile im Programm. Sie steht im Feld „Von“. Der Empfänger sieht sie in Outlook, Gmail oder auf dem Handy. Fachleute nennen sie die From-Adresse.
• Die Rückkehradresse im Umschlag. Sie steht nur im Hintergrund und dient für Fehlermeldungen. Fachleute nennen sie MAIL FROM.

Die beiden Angaben können verschieden sein. Microsoft zeigt das in einem Beispiel. Im Umschlag steht dubious@proseware.com, in der sichtbaren Absenderzeile steht security@woodgrovebank.com.

Das Protokoll lässt das zu, und der Empfänger sieht nur die zweite Angabe⁴. Diese Lücke nutzt der Betrüger, wenn er eure Adresse einträgt.

Wie das BSI die Absenderfälschung (Spoofing) einordnet

Das BSI ordnet das Vorgehen als Spoofing ein, übersetzt das Wort mit Manipulation und Verschleierung und rechnet es zum Social Engineering. Gemeint ist, dass die Täter mit dem Vertrauen oder der Angst von Menschen spielen.

Sie geben sich als Unternehmen, Behörde oder Einzelperson aus, um an Daten zu kommen oder einen weiteren Angriff vorzubereiten²¹.

Auch die Technische Richtlinie TR-03182 des BSI geht von dieser Lücke aus. Das ursprüngliche E-Mail-System sah keine Prüfung der Echtheit des Absenders vor, und Betrüger nutzen diese Lücke gezielt, um sich als vertrauenswürdige Person auszugeben¹⁹.

Warum du gefälschte Mails am Text kaum noch erkennst

Dem Empfänger hilft sein Auge dabei immer weniger. Das BSI schreibt im Lagebericht 2025 zu Phishing-Mails, gewohnte Erkennungsmerkmale wie schlechtes Deutsch genügten oft nicht mehr²⁰.

Laut BKA liefert KI fehlerfreie Texte in vielen Sprachen und imitiert Auftreten und Kommunikationsstil bekannter Unternehmen glaubhafter. Der Empfänger findet dadurch weniger Anhaltspunkte, an der Echtheit zu zweifeln²².

Das BSI stellt zugleich fest, dass Angriffe per E-Mail im Berichtszeitraum spürbar zurückgingen. Es nennt als möglichen Hintergrund die Verlagerung der Kommunikation auf Social Media und Messenger²⁰.

Wir lesen daraus, dass weniger Angriffe per Mail kommen und die einzelne Mail besser überzeugt. Wenn der Text die Fälschung nicht mehr verrät, muss die Technik den Absender prüfen.

Das E-Mail-System prüft den Absender nicht von sich aus, und am Text erkennst du Fälschungen immer seltener. Deshalb braucht deine Domain Einträge, mit denen Empfänger den Absender technisch prüfen.

Was bedeuten SPF, DKIM und DMARC, und wie erkennen Empfänger damit echte Absender?

SPF, DKIM und DMARC sind drei Einträge im DNS deiner Domain, die zusammenarbeiten. Microsoft betont, dass sie sich ergänzen und dass jede Lösung ohne alle drei nur einen schwächeren Schutz bietet⁴.

Quelle der Beschreibung ist die Microsoft-Dokumentation zur E-Mail-Authentifizierung⁴.

Was „passen“ bei DMARC bedeutet

Das Wort „passen“ heißt in der Fachsprache Ausrichtung, englisch Alignment. Die Domain, die SPF oder DKIM bestätigt, muss dieselbe sein wie die Domain in der sichtbaren Absenderzeile. Der DMARC-Standard verlangt ausdrücklich beides, den bestandenen Test und die Übereinstimmung der Domains².

Wie ein Empfänger eine Fälschung erkennt und dir meldet

1. Laut der Technischen Richtlinie TR-03182 des BSI fällt ein Server, der nicht im SPF-Eintrag der Absenderdomain steht, bei SPF durch.
2. Die DKIM-Prüfung scheitert auch dann, wenn der Fälscher eine eigene Signatur anhängt, denn im DNS der Absenderdomain fehlt der passende öffentliche Schlüssel.
3. Der Empfangsserver erkennt den Versuch, protokolliert ihn und meldet ihn in einem täglichen DMARC-Bericht an die Berichtsadresse der Absenderdomain.
4. Die Absenderdomain wertet den Bericht aus, erfährt vom Missbrauch und kann handeln¹⁹.

Die Richtlinie wendet sich an Anbieter von E-Mail-Diensten, und die Maßnahmen setzen laut BSI die Diensteanbieter um¹⁹. Deine Firma muss sie nicht einhalten. Als Maßstab taugt sie trotzdem.

Was sich 2026 am DMARC-Standard geändert hat

Der Standard selbst hat sich im Mai 2026 geändert. RFC 9989 ersetzt die bisherigen Dokumente RFC 7489 und RFC 9091². Ein RFC (Request for Comments) ist ein Regelwerk des Internets.

Der Vorgänger RFC 7489 war nur ein informatives Dokument. RFC 9989 steht dagegen auf dem offiziellen Standardisierungspfad der IETF, der Organisation, die die technischen Regeln des Internets festlegt². Für dich ändert sich im Alltag wenig. Die Grundidee bleibt gleich.

Eine Liste erlaubter Versandrechner (SPF) und eine digitale Unterschrift (DKIM) belegen, dass eine Mail echt ist. Die Regel für Fälschungen (DMARC) prüft, ob eines von beiden zur sichtbaren Absenderzeile passt.

Schützt DMARC vor gefälschten Absendern, und wo hört der Schutz auf?

DMARC hilft, wenn jemand eure exakte Domain in die sichtbare Absenderzeile schreibt und weder SPF noch DKIM zu eurer Domain passen. Dann kann der Empfänger die Mail abweisen. Ähnlich geschriebene Domains und gefälschte Anzeigenamen erfasst DMARC nicht.

Welche Fälschungen DMARC stoppt und welche nicht

Der RFC schreibt selbst, DMARC könne nur bestimmte Formen der Fälschung genau derselben Domain direkt bekämpfen. Er behandle ausdrücklich nicht die Verwendung optisch ähnlicher Domainnamen und nicht den Missbrauch des Anzeigenamens, also des Namens, den das Mailprogramm statt der Adresse zeigt².

Warum auch die strengste Stufe („reject“) nur eine Bitte an den Empfänger ist

Die DMARC-Richtlinie ist eine Bitte an den Empfänger. Mit jeder Stufe drückt der Domaininhaber laut RFC etwas anderes aus.

• Bei „none“ (nur beobachten, im Eintrag „p=none“) äußert der Domaininhaber nach dem RFC keinen Wunsch.
• Bei „quarantine“ (aussortieren) hält er die Mail für verdächtig.
• Bei „reject“ (abweisen) hält er die Nutzung des Domainnamens für ungültig².

Was der Empfänger daraus macht, entscheidet er selbst. Microsoft schreibt, dass Empfänger bei „reject“ die Mails typischerweise verwerfen, was aber vom Zielsystem abhängt⁴.

Der RFC verlangt von Empfängern sogar, eine Mail nicht allein wegen „reject“ abzuweisen. Sie sollen weitere Prüfungen einbeziehen, etwa das bisherige Versandmuster der Domain².

Warum ähnliche Domains jeden Test bestehen

Legt ein Betrüger eine ähnliche Domain mit gültigen Einträgen an, besteht sie jeden Test. Microsoft schreibt, Nachahmung könne die Prüfungen von SPF, DKIM und DMARC bestehen, wenn der Angreifer eine ähnliche Domain registriert und gültige DNS-Einträge für sie veröffentlicht⁴.

Das Schweizer Bundesamt für Cybersicherheit beschreibt für CEO-Betrug diese Masche mit minimalen Buchstabendrehern in der Domain¹⁵. Wie die Masche mit dem falschen Chef abläuft, steht im Artikel Der falsche Chef will eine Überweisung.

Mit DMARC weisen Empfänger Fälschungen ab, die exakt eure Domain als Absender tragen. Mails von ähnlich geschriebenen Domains und mit gefälschtem Anzeigenamen kommen weiter an, gegen sie brauchst du andere Maßnahmen.

Wie stellst du DMARC schrittweise um, ohne dass eigene Mails verloren gehen?

Beim Einrichten gefährden vor allem die eigenen Programme deine Mails. Stellst du sofort auf Abweisen („reject“) und hast ein Programm vergessen, das in eurem Namen Mails verschickt, verlierst du diese Mails.

Microsoft empfiehlt in seiner Anleitung zu DMARC deshalb ein schrittweises Vorgehen. Ziel ist die Stufe „reject“ für alle Domains und Subdomains, also auch für Unteradressen deiner Domain. Auf dem Weg dorthin testest du, damit kein Empfänger gute Mails aus Versehen abweist⁴.

Die vier Stufen der DMARC-Umstellung

Wie lange dauert jede DMARC-Stufe?

Wie lange jede Stufe dauert, hängt von deinen Berichten ab. Es gibt keine feste Zahl für alle.

• Microsoft schreibt nur, dass du nach ausreichender Beobachtungszeit weitergehst und langsam und methodisch vorgehen sollst⁴.
• Der RFC nennt für Domains, deren Nutzer an Mailinglisten schreiben könnten, mindestens einen Monat „p=none“, danach „p=quarantine“ für einen ebenso langen Zeitraum. Erst dann vergleichst du die Ergebnisse².

Nimm den RFC-Wert als Untergrenze für Domains mit normalen Mitarbeiter-Postfächern.

Kann die DMARC-Richtlinie zuerst nur für einen Teil der Mails gelten?

Microsoft beschreibt weiter das Feld „pct“, mit dem man die Richtlinie zunächst nur auf 10, 25 oder 50 Prozent der durchfallenden Mails anwendet. RFC 9989 streicht dieses Feld und ersetzt es durch ein „t“ für den Testmodus²⁴. Frage deinen Dienstleister, welche Variante dein DNS-Anbieter unterstützt.

Ist Abweisen („reject“) für jede Domain das richtige Ziel?

Microsoft, der RFC und das BSI beantworten diese Frage unterschiedlich.

• Microsoft nennt „reject“ als Ziel für alle Domains und Subdomains⁴.
• Der RFC sieht das vorsichtiger. In Abschnitt 7.4 rät er Domains, deren Nutzer an Mailinglisten schreiben könnten, von „reject“ ab. Sein Anhang C.6 hält fest, dass Domains für allgemeinen Mailverkehr kein „reject“ veröffentlichen sollen. Mailinglisten, Weiterleitungen und Rollen-Adressen können Mails nämlich so verändern, dass der Test fehlschlägt².
• Das BSI setzt wie Microsoft auf „reject“. Es erwartet von Betreibern eines E-Mail-Dienstes „quarantine“ oder „reject“, weil nur diese beiden Stufen die Empfänger schützen, und nennt „reject“ als langfristiges Ziel¹⁹.

Die Quellen widersprechen sich hier also. Der RFC räumt allerdings selbst ein, dass die Programme für Mailinglisten inzwischen alle einen Umweg für dieses Problem eingebaut haben. Er nennt diese Umwege aber „alles andere als ideal“².

Wer „reject“ veröffentlicht, darf sich nach dem RFC nicht allein auf SPF verlassen und muss alle Mails mit DKIM signieren. Entscheide anhand deiner Berichte, ob „quarantine“ oder „reject“ der Endpunkt für Domains mit normalen Mitarbeiter-Postfächern ist.

Was gilt für Domains, von denen nie Mails ausgehen?

Hast du Domains registriert, von denen nie jemand Mails verschicken soll, stellst du sie sofort auf „reject“. Microsoft nennt das ausdrücklich für ungenutzte Domains und hält Berichtsadressen dort für verzichtbar⁴.

Das BSI verlangt von Betreibern eines E-Mail-Dienstes für solche Domains einen Null-MX-Eintrag. Mit ihm kündigt die Domain an, dass sie keine Mails annimmt²⁴. Dazu kommen ein SPF-Eintrag, der niemandem das Senden erlaubt und alle anderen durchfallen lässt, und DMARC mit „reject“ samt Berichtsadresse¹⁹.

Microsoft hält die Berichtsadresse also für verzichtbar, das BSI verlangt sie. Wir empfehlen, die Berichtsadresse auch bei ungenutzten Domains zu setzen, weil du nur so erfährst, ob jemand die Domain missbraucht.

Wohin gehen die DMARC-Berichte, und wer wertet sie aus?

Die Berichte kommen täglich als Dateianhang im Maschinenformat XML.

• Google empfiehlt in seiner Anleitung zu DMARC, dafür nicht die eigene Postfach-Adresse zu verwenden, weil große Organisationen hunderte oder tausende Berichte am Tag bekommen können⁸.
• Microsoft rät zu einem gemeinsamen Postfach oder einer Gruppe statt zum persönlichen Postfach und zu einem Auswertungsdienst, der die Berichte in Übersichten verwandelt⁴.
• Das BSI verlangt von Betreibern eines E-Mail-Dienstes, die Berichte regelmäßig und zeitnah auszuwerten, wenn möglich automatisch.

Das BSI weist außerdem auf den Datenschutz hin. Die Berichte enthalten personenbezogene Daten, und das BSI verlangt, sie innerhalb der EU zu verarbeiten. Die detaillierten Einzelberichte, die Fachleute RUF- oder forensische Berichte nennen, sollen Betreiber im DMARC-Eintrag nicht anfordern¹⁹.

Frag deshalb jeden Auswertungsdienst, wo er die Berichte verarbeitet. Das ist unsere Folgerung aus der BSI-Vorgabe.

Du gehst vom Beobachten („none“) über das Aussortieren („quarantine“) zum Abweisen („reject“). Die nächste Stufe beginnt erst, wenn deine Berichte keine vergessenen eigenen Absender mehr zeigen.

Welche Programme verschicken Mails mit deiner Domain? Die Inventur vor der Umstellung

Das Risiko bei der Umstellung liegt in Absendern, die du nicht kennst. Microsoft rät deshalb, mit der Domain zu beginnen, die die wenigsten Absender hat, weil dort die Gefahr am kleinsten ist, dass die neue Richtlinie gute Mail aus einer unbekannten Quelle blockiert⁴.

Die Inventur ist deshalb der wichtigste Schritt. Du brauchst eine Liste aller Programme, die im Namen deiner Domain Mails verschicken.

Wen du für die Inventur der Absender fragst

Frag dafür deinen IT-Dienstleister, die Buchhaltung, den Vertrieb und die Person, die eure Website pflegt.

Den Teil der Liste, den man von außen sieht, etwa die Dienste in eurem SPF-Eintrag, liefert unser Sicherheits-Check von außen.

Typische Absender und was du bei jedem prüfst

Die Spalte „Typischer Prüfpunkt“ ist unsere Prüfliste.

Wenn ein fremder Dienst Mails in deinem Namen verschickt

Trägt ein fremder Dienst, der Mails für dich verschickt, im Umschlag seine eigene Domain ein und signiert nicht mit deiner, besteht SPF für die Domain des Dienstes. DMARC fällt aber durch, weil keine der Domains zu deiner sichtbaren Absenderzeile passt.

Du richtest dann beim Dienst die Signatur mit deiner Domain ein, oder du lässt die Rückkehradresse auf deine Domain umstellen⁴.

Eigene Unteradresse (Subdomain) für Newsletter und andere fremde Dienste

• Eigene Subdomain für fremde Dienste. Für Dienste, die du nicht selbst kontrollierst, etwa Newsletter-Programme, empfiehlt Microsoft eine Subdomain, also eine Unteradresse wie marketing.deine-firma.de. So belasten Probleme dieses Versands nicht den Ruf der Hauptdomain.
• Subdomains übernehmen DMARC von der Hauptdomain. Der DMARC-Eintrag der Hauptdomain gilt automatisch für alle Subdomains, die keinen eigenen haben. SPF und DKIM brauchen dagegen für jede Subdomain eigene Einträge⁴.

Typische Fehler in den Schutzeinträgen SPF, DKIM und DMARC

Das BSI findet in den Einträgen von Unternehmen immer wieder dieselben Fehler¹.

• Tippfehler in den Einträgen, etwa „inlcude“ statt „include“.
• Anführungszeichen im DNS-Eintrag, die dort nicht hingehören.
• Mehrere Einträge für denselben Standard. Das BSI schreibt, dass SPF, DKIM und DMARC jeweils nur mit einem einzigen Eintrag im DNS einer Domain auftauchen dürfen. Führ nötige Angaben in einem Eintrag zusammen. Bei DKIM gilt das je Schlüsselname, dem sogenannten Selektor. Microsoft 365 arbeitet zum Beispiel mit zwei Selektoren⁴.
• Falsche Versionsbezeichnungen und fehlende Trennzeichen zwischen den Angaben.
• Verwaiste Einträge für Dienste, die du längst nicht mehr nutzt.

Warum zu viele eingebundene Dienste SPF ungültig machen (Grenze von zehn DNS-Abfragen)

Der SPF-Standard begrenzt die Abfragen im DNS auf zehn. Die Einträge „include“, mit dem du einen Dienst einbindest, „a“, „mx“, „ptr“ und „exists“ sowie „redirect“ zählen dabei mit. Wer zehn überschreitet, erzeugt einen dauerhaften Fehler und SPF besteht nicht mehr³.

Wer Newsletter, Rechnungsprogramm, CRM und Buchungssystem alle über „include“ einbindet, kommt schnell in die Nähe der Grenze. Bei vielen Diensten ist DKIM deshalb robuster als SPF.

Jedes Programm, das Mails mit eurer Domain verschickt, gehört auf die Liste. Jedes braucht eine Freigabe als Versender (SPF) oder eine digitale Unterschrift (DKIM), die zu eurer Domain passt.

Was verlangen Google, Yahoo und Microsoft von Absendern?

Seit 2024 müssen Absender mit großem Versandvolumen ihre Domain authentifizieren. Das kann auch Mittelständler mit einem Newsletter treffen.

Die Angaben stammen aus den Hilfeseiten der Anbieter, bei Google aus den Absenderrichtlinien für Gmail⁷⁹⁵.

Seit wann Microsoft und Google die Absenderregeln durchsetzen

Microsoft hat die Regel am 2. April 2025 angekündigt und setzt sie seit dem 5. Mai 2025 durch. Zunächst wollte Microsoft solche Mails in den Spam-Ordner sortieren. Nach einer Aktualisierung der Ankündigung weist Outlook sie seit diesem Datum mit dem Fehler 550 5.7.515 ab⁶¹⁰.

Google verstärkt die Durchsetzung seit November 2025⁷¹⁰. Die Yahoo-Seite nennt keine Mengenschwelle. Wir geben deshalb keine an.

Ab wann dein Newsletter als großer Versand zählt

Angenommen, dein Newsletter geht an 12.000 Adressen, und 40 Prozent davon liegen bei Gmail. Das sind 4.800 Mails an einem Versandtag, also nahe an der Google-Schwelle von „rund 5.000“.

Die 40 Prozent sind eine Annahme für dieses Beispiel, keine Messung. Prüf deinen eigenen Anteil im Newsletter-Programm. Wer einmal die Schwelle erreicht, gilt laut Google dauerhaft als großer Absender⁷.

Warum die Stufe „nur beobachten“ (p=none) vor Fälschungen nicht schützt

Der Mindeststandard „DMARC mit p=none“ erfüllt die Forderung der Anbieter. Vor Fälschung schützt er aber nicht. Valimail schreibt, „none“ hake bei den Postfachanbietern das Kästchen für die Zustellung ab, tue aber nichts für den Schutz der Domain¹⁰.

Mit „none“ sicherst du also die Zustellung deiner Mails. Um den Missbrauch zu stoppen, stellst du danach auf „quarantine“ und „reject“ um.

Für die Zustellung gibt es weitere Ursachen als die Authentifizierung. Was darüber hinaus dazu führt, dass Mails im Spam landen, erklärt der Artikel Eure Mails landen beim Kunden im Spam.

Wer viele Mails an Gmail, Yahoo oder Outlook verschickt, muss seine Domain mit SPF und DKIM ausweisen und mindestens einen DMARC-Eintrag zum Beobachten („none“) setzen. Fehlt das, weisen die Anbieter Mails ab oder sortieren sie in den Spam.

Wie viele Firmen haben DMARC schon, und was heißt das für dich?

Eine verlässliche Zahl für den deutschen Mittelstand gibt es nicht. Die vorhandenen Messungen unterscheiden sich stark, weil jede eine andere Stichprobe nutzt.

Vier DMARC-Messungen im Vergleich

Was der Abstand zwischen Konzernen und kleineren Firmen bedeutet

Die zwei Messungen der größten Unternehmen liegen nah beieinander und bestätigen sich gegenseitig. Je nach Anbieter haben dort 40 bis 45 Prozent die strengste Stufe. Die breite Stichprobe liegt bei knapp einem Drittel dieses Werts.

Vielleicht liegt das daran, dass große Konzerne eigene IT-Abteilungen haben. Vielleicht enthält die breite Stichprobe auch viele kleine Domains, die niemand pflegt.

Belegt ist keine der beiden Erklärungen. Wir vermuten, dass kleinere Firmen näher an der unteren Zahl liegen. Eine Messung speziell für den Mittelstand fehlt.

Was das BSI über kleine und mittlere Unternehmen sagt

Eine DMARC-Zahl nennt das BSI nicht. Im Lagebericht 2025 schreibt es über kleine und mittlere Unternehmen, viele kennen nach seiner Erfahrung weder die allgemeine Bedrohungslage noch ihr eigenes Risikoprofil und ergreifen deshalb selbst elementare, oft kostenfrei umsetzbare Maßnahmen häufig nicht.

Die Gefährdungslage bleibt demnach angespannt. Die Ursache sieht das BSI weniger in neuen Angriffsmethoden als vor allem im mangelnden Angriffsflächenmanagement der Gefährdeten, also im Umgang mit den eigenen Schwachstellen. Dazu zählt das BSI zum Beispiel Updates²⁰.

Das passt zur niedrigen Quote in der breiten Stichprobe, beweist sie aber nicht, denn das BSI nennt DMARC an dieser Stelle nicht.

Was Suchanfragen und Klickpreise über DMARC zeigen

DENIC meldet 18 Millionen registrierte .de-Domains¹⁴. Nach „dmarc einrichten“ suchen in Deutschland rund 90 Menschen im Monat, nach „spf dkim dmarc“ rund 320¹⁸. Die Nachfrage ist winzig im Vergleich zur Zahl der Domains. Vermutlich kennen viele Verantwortliche das Wort gar nicht und suchen deshalb auch nicht danach.

Dass das Thema trotzdem Geld bewegt, zeigen die Klickpreise. Der Keyword Planner nennt für „domain spoofing“ Gebotsspannen bis 28,44 Euro pro Klick, für „email spoofing“ bis 5,14 Euro¹⁸. Ein hoher Klickpreis zeigt, dass Werbetreibende einen Kontakt mit diesem Interesse hoch bewerten.

Valimail sah nach den Regeln von Google, Yahoo und Microsoft keinen großen Sprung bei der Verbreitung¹⁰. Die Regeln haben also vor allem Absender mit hohem Volumen zum Umstellen gebracht. Firmen mit wenig Versand erreichen sie nicht automatisch.

Google, Yahoo und Microsoft verlangen nur, dass Empfänger Fälschungen beobachten können. Vor Fälschungen deiner Domain schützt dich erst das Aussortieren („quarantine“) oder das Abweisen („reject“).

Was tust du heute, wenn gerade jemand in eurem Namen Mails verschickt?

Geh die Schritte der Reihe nach durch, denn jeder baut auf dem vorigen auf.

1. Klär, ob das Postfach gehackt ist. Dein IT-Dienstleister prüft den Ordner „Gesendet“ und das Anmeldeprotokoll. Bei fremden Anmeldungen ändert er die Passwörter und schaltet die Zwei-Faktor-Anmeldung ein.
2. Sichere ein Beispiel. Bitte den Empfänger um die Original-Mail als Anhang samt vollständiger Kopfzeile. Dort steht, über welchen Server die Mail lief und wie SPF, DKIM und DMARC ausgefallen sind.
3. Prüfe, was im DNS steht. Gibt es genau einen SPF-Eintrag und genau einen DMARC-Eintrag, und stimmen die Angaben für DKIM? Das BSI nennt Tippfehler, Mehrfacheinträge und verwaiste Einträge als häufige Fehler¹.
4. Starte DMARC im Beobachtungsmodus („none“) mit Berichtsadresse. Ohne diesen Schritt siehst du nicht, wer in deinem Namen sendet. Google empfiehlt als Start ausdrücklich „none“⁸.
5. Mach die Inventur. Setz alle Programme auf die Liste und richte SPF und DKIM für jedes ein.
6. Gehe schrittweise weiter. Lies die Berichte, stell dann auf Aussortieren („quarantine“) und danach auf Abweisen („reject“) um.

Warum es Monate dauert, bis Empfänger Fälschungen abweisen

Die Schritte vier, fünf und sechs dauern Monate. Der RFC nennt mindestens einen Monat für „none“ und einen weiteren für „quarantine“. Er schreibt außerdem, dass es je nach Versandrhythmus viele Monate dauern kann, bis ein Domaininhaber alle eigenen Absender sicher erfasst hat².

Ein Betrüger, der deine Domain einmal entdeckt hat, macht nach deinem ersten Eintrag erst einmal weiter. Ab „reject“ wirken seine Fälschungen mit eurer exakten Domain bei Empfängern, die die Richtlinie beachten, nicht mehr.

Kunden und Lieferanten warnen

Das BSI rät bei zweifelhaften Aufforderungen nach Daten oder Geld, die Kommunikation zu beenden und die Person oder das Unternehmen über einen anderen Weg zu kontaktieren, um die Anfrage zu prüfen²¹.

Sag deinen Kunden also, dass sie bei verdächtigen Mails mit eurem Absender bei euch anrufen, bevor sie etwas überweisen oder anklicken.

Die Polizei über die Zentrale Ansprechstelle Cybercrime einschalten

Entscheide außerdem, ob du die Polizei einschaltest. Unternehmen finden in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC). Die Polizei nennt sie den Kontaktpunkt für Unternehmen, die von einem Cyberangriff betroffen sind, in akuten Fällen und zur Beratung.

Die ZAC gibt eine erste Einschätzung, berät und leitet die notwendigen Schritte zur Strafverfolgung ein. Zuständig ist die ZAC des Landes, in dem dein Unternehmen seinen Sitz hat oder der Vorfall geschah²³.

Den Missbrauch deiner Absenderadresse kannst du dort schildern und dich beraten lassen. Privatpersonen wenden sich an die Online-Wachen der Polizei in ihrem Land.

Kläre zuerst, ob das Postfach gehackt ist. Danach setzt du DMARC zum Beobachten („none“) mit einer Adresse für die Berichte, denn ohne Berichte siehst du nicht, wer in deinem Namen sendet.

Das kannst du heute tun

Geh die Aufgaben von oben nach unten durch und hak ab, was erledigt ist. In der Spalte „Wer“ steht, wer die Aufgabe in der Regel übernimmt.

Was liegt bei deinem IT-Dienstleister, und was können wir prüfen?

Die Einträge im DNS setzt von Hand, wer deine Domain verwaltet. Hat dein Unternehmen kein eigenes Personal für die IT-Administration, bittest du laut BSI-Empfehlung den IT-Dienstleister um die Umsetzung der Maßnahmen¹.

Das ist auch unsere Sicht. Für Postfächer, Spamfilter, Virenschutz und Schulungen ist dein IT-Dienstleister zuständig. Das gilt für alles, was auf den Rechnern und im Postfach selbst passiert.

Wir prüfen die Außenseite rund ums Marketing. Dazu zählt der E-Mail-Absender mit SPF, DKIM und DMARC, so wie ihn Empfänger im Netz sehen. Wir prüfen, welche Dienste euer SPF-Eintrag zulässt, ob die Einträge fehlerfrei sind und welche Domains eurer ähnlich sehen.

Das fassen wir in einem Sicherheits-Check von außen zusammen, mit einem Befund je Punkt. Danach kannst du jeden Punkt einzeln umsetzen lassen, bei uns oder bei deinem IT-Dienstleister.

Mit dem Check von außen prüfen wir nicht, ob ein Postfach gehackt ist, und wir schulen keine Mitarbeitenden. Beides bleibt beim IT-Dienstleister. Wie aus einer gefälschten Mail ein Betrugsversuch entsteht, beschreibt der Artikel Der falsche Chef will eine Überweisung.

FAQ

Quellen

1. BSI: „Upgrade für die E-Mail-Sicherheit. Handlungsempfehlungen für moderne E-Mail-Infrastrukturen in Unternehmen“ (BSI-CS 155, Version 1.00 vom 05.05.2025) (2025), https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_155.pdf?__blob=publicationFile&v=3, Abruf 31.10.2026
2. IETF: „RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC)“ (2026), https://www.rfc-editor.org/rfc/rfc9989, Abruf 31.10.2026
3. IETF: „RFC 7208: Sender Policy Framework (SPF)“ (2014), https://www.rfc-editor.org/rfc/rfc7208, Abruf 31.10.2026
4. Microsoft Learn: „How email authentication works in Microsoft 365“, „Set up DMARC to validate email in Microsoft 365“ und „Anti-phishing policies in Microsoft 365“ (2026), https://learn.microsoft.com/en-us/defender-office-365/email-authentication-about, https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure und https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about, Abruf 31.10.2026
5. Microsoft Support: „Fix NDR error 550 5.7.515 in Outlook.com“ (2026), https://support.microsoft.com/en-au/topic/fix-ndr-error-550-5-7-515-in-outlook-com-34cfe8f8-6fbf-457e-9e8b-9e4dbaf4e0ef, Abruf 31.10.2026