E-Mail-Sicherheit im Betrieb
E-Mail-Sicherheit für kleine Betriebe: Postfächer schützen, Absender mit SPF, DKIM und DMARC absichern, Mails verschlüsseln und gefälschte Absender abwehren.
E-Mail-Sicherheit betrifft zwei Seiten: Ihre Postfächer sollen vor fremdem Zugriff geschützt sein, und niemand soll im Namen Ihres Betriebs täuschend echte Mails verschicken können. Beides ist mit überschaubarem Aufwand deutlich zu verbessern.
Warum das für Ihren Betrieb wichtig ist
Über E-Mail laufen Angebote, Rechnungen und vertrauliche Absprachen. Ein übernommenes Postfach erlaubt Betrügern, mitzulesen und im richtigen Moment eine Rechnung mit falscher Bankverbindung zu verschicken. Gefälschte Absender mit Ihrer Domain schaden Ihrem Ruf und Ihren Kunden.
Die wichtigsten Maßnahmen
- Alle Postfächer mit einem zweiten Faktor schützen.
- Ein guter Filter gegen Spam und Schadsoftware für eingehende Mails.
- Ihre Domain technisch so einrichten, dass Empfänger gefälschte Absender erkennen. Die Fachbegriffe dafür lauten SPF, DKIM und DMARC; Ihr IT-Dienstleister oder Mailanbieter kennt sie.
- Verschlüsselte Übertragung zwischen den Mailservern.
- Vertrauliches nicht unverschlüsselt per Mail versenden.
Der nächste Schritt
Lassen Sie prüfen, ob Ihre Domain SPF, DKIM und DMARC korrekt eingerichtet hat. Das BSI hat dafür eine Technische Richtlinie veröffentlicht und ruft Unternehmen ausdrücklich zur Umsetzung auf. Für den Schutz Ihres Teams vor betrügerischen Mails lesen Sie den Artikel zum Phishing-Schutz.
Die drei Ebenen der E-Mail-Sicherheit
- Zugang zu den Postfächern: Wer darf sich anmelden, und wie gut ist die Anmeldung geschützt?
- Transport und Echtheit: Ist die Übertragung zwischen Servern verschlüsselt, und können Empfänger prüfen, ob eine Mail wirklich von Ihrer Domain stammt?
- Inhalt: Sind vertrauliche Inhalte geschützt, und werden schädliche Inhalte eingehender Mails erkannt?
Im IT-Grundschutz-Kompendium behandeln APP.5.3 «Allgemeiner E-Mail-Client und -Server» und für Exchange-Umgebungen APP.5.2 «Microsoft Exchange und Outlook» das Thema.
Postfächer schützen
Anmeldung
Postfächer sind ein Hauptziel von Angreifern. Ein zweiter Faktor ist Pflicht, ältere Anmeldeverfahren ohne zweiten Faktor, etwa einfache Anmeldung über IMAP, POP3 oder SMTP, sollten abgeschaltet werden, wo der Mailanbieter das zulässt.
Weiterleitungen und Regeln
Nach einer Übernahme legen Angreifer oft unauffällige Regeln an: Weiterleitung aller Mails nach außen oder automatisches Verschieben von Antworten in einen versteckten Ordner. Automatische Weiterleitungen an externe Adressen sollten zentral unterbunden oder zumindest gemeldet werden.
Gemeinsame Postfächer
Adressen wie info@ oder buchhaltung@ sollten als gemeinsame Postfächer mit persönlicher Anmeldung genutzt werden, nicht als Konto mit geteiltem Passwort.
E-Mail-Sicherheit durch Absenderauthentisierung
Ohne technische Absicherung kann jeder eine Mail mit Ihrer Absenderadresse verschicken. Drei Verfahren machen Fälschungen erkennbar:
SPF
Das Sender Policy Framework legt im DNS fest, welche Server Mails für Ihre Domain versenden dürfen. Empfangende Server können prüfen, ob eine Mail von einem berechtigten Server kommt.
DKIM
DomainKeys Identified Mail versieht ausgehende Mails mit einer kryptografischen Signatur. Der öffentliche Schlüssel steht im DNS. Empfänger können so prüfen, dass die Mail unterwegs nicht verändert wurde und von Ihrer Domain signiert ist.
DMARC
DMARC verbindet SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was mit Mails passieren soll, die die Prüfung nicht bestehen: nichts tun und nur berichten, in Quarantäne verschieben oder ablehnen. Zusätzlich erhalten Sie Berichte darüber, wer Mails mit Ihrer Domain versendet.
Einführung in Stufen
- Alle legitimen Versender erfassen: eigener Mailserver oder Mailanbieter, Newsletter-Dienst, Buchhaltungs- und Shop-Software, Ticket-System.
- SPF-Eintrag mit allen Versendern anlegen, DKIM bei jedem Versender aktivieren.
- DMARC zunächst nur beobachtend einführen und die Berichte auswerten.
- Fehlende Versender ergänzen, danach schrittweise auf Quarantäne und Ablehnung umstellen.
- Domains, die gar keine Mails versenden, so konfigurieren, dass alle Mails abgelehnt werden.
Das BSI hat diese Verfahren in der Technischen Richtlinie TR-03182 «E-Mail-Authentifizierung» zusammengefasst, die sich an E-Mail-Diensteanbieter richtet. Im E-Mail-Sicherheitsjahr 2025 hat das BSI Unternehmen mit eigener E-Mail-Infrastruktur aufgerufen, TR-03182 gemeinsam mit TR-03108 zum sicheren E-Mail-Transport umzusetzen.
Transportverschlüsselung
Zwischen Mailservern sollte die Übertragung mit TLS verschlüsselt sein. Standardmäßig ist diese Verschlüsselung jedoch oft optional: Kann sie nicht hergestellt werden, wird unverschlüsselt zugestellt. Verfahren wie MTA-STS oder DANE erlauben, verschlüsselte Zustellung verbindlich einzufordern. Bei gehosteten Mailanbietern lohnt die Frage, welche dieser Verfahren unterstützt werden.
Inhalte schützen
Eingehende Mails
Filter gegen Spam und Schadsoftware, Prüfung von Anhängen, Blockieren gefährlicher Dateitypen und Kennzeichnung externer Absender. Das BSI empfiehlt außerdem, Mails möglichst als reinen Text anzuzeigen und aktive Inhalte zu unterbinden. Einzelheiten zum Umgang mit Phishing stehen im Artikel zum Phishing-Schutz.
Vertrauliche Inhalte
Transportverschlüsselung schützt nur auf dem Weg zwischen Servern, nicht im Postfach. Für besonders vertrauliche Inhalte, etwa Gesundheitsdaten oder Personalunterlagen, kommt eine Ende-zu-Ende-Verschlüsselung mit S/MIME oder OpenPGP in Frage, alternativ ein sicheres Portal oder ein verschlüsselter Dateiaustausch. Passwörter für verschlüsselte Anhänge werden über einen anderen Kanal übermittelt.
Betrieb und Kontrolle
- DMARC-Berichte regelmäßig auswerten oder von einem Dienst aufbereiten lassen.
- Anmeldeprotokolle der Postfächer auf ungewöhnliche Orte und Zeiten prüfen.
- Postfächer ausgeschiedener Mitarbeitender geregelt umleiten und sperren.
- Die DNS-Einträge bei jedem neuen Versanddienst anpassen, sonst landen legitime Mails im Spam.
Domain und DNS schützen
Die Einträge für SPF, DKIM und DMARC liegen im DNS Ihrer Domain. Wer Zugang zur Domainverwaltung hat, kann Ihre gesamte E-Mail-Kommunikation umleiten. Der Zugang zum Domain-Anbieter gehört deshalb zu den besonders schützenswerten Konten: zweiter Faktor, wenige Berechtigte, aktuelle Kontaktadresse für Warnungen. Achten Sie außerdem darauf, dass die Domain rechtzeitig verlängert wird, denn eine abgelaufene Domain kann von Dritten registriert werden.
Häufige Fehler
- Ein SPF-Eintrag, der zu viele Server erlaubt, oder mehrere widersprüchliche SPF-Einträge.
- DMARC dauerhaft nur im Beobachtungsmodus, ohne dass jemand die Berichte liest.
- Newsletter- oder Shop-Systeme, die ohne DKIM im Namen der Domain versenden.
- Vergessene Zweit-Domains, die von Angreifern zum Fälschen genutzt werden.
Häufige Fragen
Was sind SPF, DKIM und DMARC?
Drei Verfahren, mit denen Empfänger prüfen können, ob eine Mail wirklich von Ihrer Domain stammt. SPF nennt die berechtigten Server, DKIM signiert die Mails, DMARC legt fest, was mit nicht bestandenen Prüfungen passiert, und liefert Berichte.
Sind E-Mails verschlüsselt?
Zwischen Mailservern meist per TLS, aber oft nur optional. Im Postfach liegen Mails in der Regel unverschlüsselt. Für sehr vertrauliche Inhalte ist eine Ende-zu-Ende-Verschlüsselung oder ein sicherer Dateiaustausch nötig.
Wie erkenne ich, ob jemand mein Postfach übernommen hat?
Warnzeichen sind unbekannte Anmeldungen, neue Weiterleitungs- oder Löschregeln, gesendete Mails, die Sie nicht geschrieben haben, und Rückfragen von Kunden zu ungewöhnlichen Nachrichten.