NIS2 und E-Mail-Sicherheit: SPF, DKIM und DMARC vom Beobachten zum Durchsetzen
Seit dem Inkrafttreten der deutschen NIS2-Umsetzung fragen auch Unternehmen, die nicht selbst betroffen sind, nach ihrer E-Mail-Sicherheit – oft, weil ein Kunde danach fragt. Dieser Beitrag ordnet ein und zeigt, wie SPF, DKIM und DMARC in drei Schritten vom Beobachten zum Durchsetzen kommen.
Das Wichtigste in Kürze
- Ob Ihr Unternehmen unter NIS2 fällt, hängt von Sektor, Größe und Umsatz ab. Das BSI bietet dafür eine Orientierungshilfe; verbindlich klären lässt es sich nur im Einzelfall.
- Auch nicht betroffene Unternehmen spüren NIS2 – über Kunden, die ihre Lieferkette absichern müssen und Nachweise verlangen.
- DMARC auf „Ablehnen“ zu stellen, ist eine der wirksamsten und günstigsten Maßnahmen gegen gefälschte Absender. Es geht in drei Schritten, ohne legitime Post zu verlieren.
Die europäische NIS2-Richtlinie ist in Deutschland mit dem neuen BSI-Gesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Betroffene Einrichtungen müssen sich beim BSI registrieren und bestimmte Maßnahmen zur Informationssicherheit nachweisen. Für viele mittelständische Betriebe stellt sich zuerst eine Frage: Sind wir überhaupt betroffen?
Diese Frage beantworten wir hier ausdrücklich nicht – sie ist rechtlicher Natur und hängt von Einzelheiten ab. Worum es in diesem Beitrag geht, ist das, was unabhängig davon zu tun ist: Die E-Mail ist der häufigste Einstiegspunkt für Angriffe, und ihre Absicherung wird von Kunden, Versicherern und Prüfern zunehmend erwartet.
Betroffen – oder nur mittelbar?
Ob ein Unternehmen als „wichtige“ oder „besonders wichtige“ Einrichtung gilt, ergibt sich aus dem Sektor, in dem es tätig ist, sowie aus Beschäftigtenzahl und Umsatz. Das BSI stellt eine Betroffenheitsprüfung bereit, die eine erste Orientierung gibt. Das Ergebnis ist nach Angabe des BSI nicht rechtsverbindlich; im Zweifel gehört die Frage zu einer Rechtsberatung.
Viel häufiger als eine direkte Betroffenheit erleben wir die mittelbare: Ein Kunde, der selbst unter NIS2 fällt, muss seine Lieferkette absichern. Er fragt deshalb bei seinen Zulieferern und Dienstleistern nach – mit Fragebögen, Vertragsklauseln und der Bitte um Nachweise. Die E-Mail-Authentifizierung gehört dabei regelmäßig zu den ersten Punkten, weil sie sich von außen prüfen lässt.
SPF, DKIM und DMARC in einem Satz je
| Verfahren | Was es tut | Wo es eingerichtet wird |
|---|---|---|
| SPF | Veröffentlicht, welche Server für Ihre Domäne versenden dürfen | DNS-Eintrag Ihrer Domäne |
| DKIM | Versieht ausgehende Nachrichten mit einer digitalen Signatur | Beim versendenden System, plus DNS-Eintrag mit dem öffentlichen Schlüssel |
| DMARC | Legt fest, was Empfänger mit Nachrichten tun sollen, die weder SPF noch DKIM bestehen – und liefert Berichte | DNS-Eintrag Ihrer Domäne |
Die Grundeinrichtung in Microsoft 365 haben wir in Microsoft 365 sicher einrichten beschrieben. Viele Unternehmen haben diesen Schritt getan – und sind dann bei einer DMARC-Richtlinie stehen geblieben, die nur beobachtet.
Vom Beobachten zum Durchsetzen in drei Schritten
Eine DMARC-Richtlinie kennt drei Stufen: p=none (nur beobachten),
p=quarantine (verdächtig einsortieren) und p=reject (ablehnen).
Nur die letzte verhindert wirksam, dass jemand im Namen Ihrer Domäne betrügerische
Nachrichten verschickt. Der Weg dorthin:
-
Beobachten und Berichte auswerten. Mit
p=noneund einer Berichtsadresse (rua) erhalten Sie von großen Empfängern regelmäßig Übersichten, welche Server in Ihrem Namen versenden. Dabei tauchen fast immer Absender auf, an die niemand gedacht hat: der Newsletterdienst, das Buchhaltungsprogramm, der Drucker mit Scan-an-Mail, das Ticketsystem des Dienstleisters. - Alle legitimen Absender einbinden. Jeder davon wird in SPF aufgenommen oder signiert mit DKIM. Erst wenn die Berichte über einige Wochen nur noch sauber authentifizierte Post zeigen, geht es weiter.
-
Schrittweise verschärfen. Zuerst auf
quarantine, gegebenenfalls zunächst nur für einen Teil der Nachrichten, dann aufreject. Die Berichte bleiben aktiv und zeigen, falls später ein neuer Absender dazukommt, der vergessen wurde.
Wer ohne Auswertungsphase direkt auf reject stellt, verliert Post – meist
nicht die eigene aus dem Postfach, sondern Rechnungen aus der Buchhaltungssoftware oder
Nachrichten aus dem Webshop, die über einen fremden Dienst verschickt werden. Das fällt
dann auf, wenn Kunden sich melden.
Und in der Gegenrichtung: eingehende Post
Ihre eigene DMARC-Richtlinie schützt andere vor Fälschungen in Ihrem Namen. Für Ihre eingehende Post zählt, wie Ihr System mit den Richtlinien anderer Domänen umgeht.
Hier lohnt ein genauer Blick, wenn ein vorgeschalteter Mailfilter im Einsatz ist. Der Proxmox Mail Gateway prüft SPF und verifiziert eingehende DKIM-Signaturen. Das DMARC-Ergebnis fließt dort allerdings als Punktwert in die Spam-Bewertung ein; eine Nachricht, deren Absenderdomäne „ablehnen“ verlangt, wird nicht automatisch abgewiesen. Wer das möchte, muss die Gewichtung der entsprechenden Regeln bewusst anheben – mit Bedacht, weil weitergeleitete Nachrichten und Verteilerlisten DMARC regelmäßig nicht bestehen, obwohl sie legitim sind.
Für ausgehende Post kann der Mail Gateway selbst DKIM-signieren. Läuft der Versand über ihn, gehört er außerdem in den SPF-Eintrag Ihrer Domäne.
Aufwand
Die Einträge selbst sind in einer Stunde gesetzt. Die Beobachtungsphase dauert einige Wochen, weil erst die Berichte zeigen, wer alles in Ihrem Namen versendet. Das eigentliche Arbeitspaket ist die Suche nach diesen Absendern und ihre Einbindung – bei manchen Diensten ein Häkchen, bei anderen eine Anfrage beim Anbieter.
Die Berichte kommen als maschinenlesbare Dateien. Sie von Hand zu lesen, ist mühsam; ein Auswertungsdienst oder ein kleines Werkzeug macht daraus eine lesbare Übersicht.
Was E-Mail-Authentifizierung nicht leistet
- Sie erkennt keine übernommenen Konten. Eine Nachricht von einem echten, aber gekaperten Postfach besteht SPF, DKIM und DMARC. Dagegen helfen ein zweiter Faktor bei der Anmeldung und aufmerksame Empfänger, die wissen, worauf sie achten müssen.
- Sie schützt nicht vor ähnlich klingenden Domänen. Wer mit einer Domäne wirbt, die Ihrer zum Verwechseln ähnlich sieht, besteht deren eigene Prüfung problemlos.
- Sie ist kein NIS2-Nachweis für sich allein. Sie ist ein Baustein unter vielen. Welche Maßnahmen im Einzelnen gefordert sind, ergibt sich aus dem Gesetz und den Vorgaben des BSI.
Fazit
Ob Ihr Unternehmen unmittelbar unter NIS2 fällt, gehört geklärt – mit der Orientierungshilfe des BSI und im Zweifel rechtlich. Unabhängig davon ist eine durchgesetzte E-Mail-Authentifizierung eine der günstigsten Maßnahmen mit spürbarer Wirkung: Sie erschwert Betrug in Ihrem Namen, lässt sich von außen nachweisen und beantwortet eine der ersten Fragen, die Kunden aus regulierten Branchen stellen. Der Weg über Beobachten, Einbinden und schrittweises Verschärfen verhindert, dass dabei legitime Post verloren geht.
Wir begleiten diesen Weg und prüfen die Einträge regelmäßig mit – siehe Netzwerk & IT-Sicherheit und Cloud & Microsoft 365.
