Ein Kunde ruft an: er hat eine Zahlungsaufforderung mit Ihrem Namen, Ihrer Signatur und einer fremden Bankverbindung bekommen. Sie haben nichts verschickt. Der Absender war gefälscht, und der Kunde konnte das nicht erkennen.
Ob so etwas möglich ist, hängt nicht von Ihrem Postfach ab, sondern von drei Einträgen im DNS Ihrer Domain. Sind sie da und richtig, weisen Empfänger solche Nachrichten ab. Fehlen sie, kommt alles durch.
Geben Sie die Domain ein, die hinter Ihren E-Mail-Adressen steht, also den Teil nach dem @. Die Prüfung dauert wenige Sekunden.
Gesendet wird nur der Domainname, an einen öffentlichen DNS-Dienst (Google, ersatzweise Cloudflare). Nichts wird gespeichert.
Jeder Eintrag beantwortet eine andere Frage. Erst zusammen ergeben sie einen Schutz, den Empfänger auch durchsetzen.
Eine Liste der Server, die für Ihre Domain E-Mail verschicken dürfen. Steht der Absender-Server nicht darauf, ist die Nachricht verdächtig. Für Microsoft 365 gehört spf.protection.outlook.com hinein, dazu jeder weitere Dienst, der in Ihrem Namen sendet.
Ihr Mailserver unterschreibt jede Nachricht mit einem Schlüssel, dessen Gegenstück im DNS liegt. Empfänger prüfen damit, ob die Nachricht wirklich von Ihnen kommt und unterwegs nicht verändert wurde. Bei Microsoft 365 schaltet man das mit zwei CNAME-Einträgen frei.
Die Anweisung an Empfänger: zustellen, in den Spam schieben oder abweisen. Und die Adresse, an die sie Berichte schicken. Ohne DMARC bleiben SPF und DKIM Empfehlungen, die niemand durchsetzen muss. Der übliche Weg: erst beobachten (p=none), dann verschärfen.
Wer in Ihrem Haus Administrator ist und wie viel Macht diese Konten haben, ist die andere Seite derselben Frage. Der Rollen-Check beantwortet sie.
Zum Rollen-CheckKostenfrei, ohne Anmeldung.