Ratgeber · E-Mail-Sicherheit
E-Mail-Spoofing erkennen und stoppen
E-Mail-Spoofing: Wie Fremde Rechnungen in Ihrem Namen fälschen – ganz ohne Hack. Was dahintersteckt, woran Sie es erkennen und wie Sie es zuverlässig stoppen.
Ein Kunde ruft an. Er habe Ihre Rechnung bezahlt — pünktlich, wie immer. Nur: auf ein Konto, das Ihnen nicht gehört. Sie haben diese Rechnung nie geschrieben.
Niemand hat Sie gehackt. Ihr Postfach ist unberührt, Ihre Passwörter sind sicher, Ihr Rechner ist sauber. Und trotzdem ist eine E-Mail mit Ihrem Namen, Ihrer Adresse und Ihrem Logo bei Ihrem Kunden gelandet — mit der Bankverbindung eines Betrügers.
Das nennt sich E-Mail-Spoofing, und es ist kein seltener Sonderfall. Für Betriebe mit Rechnungsversand per E-Mail — Praxen, Kanzleien, Handwerksbetriebe — gehört es zu den am meisten unterschätzten Risiken. Die gute Nachricht: Technisch lässt es sich weitgehend verhindern. Die schlechte: Bei den meisten kleinen Unternehmen ist genau dieser Schutz nie eingerichtet worden.
Das ist kein Hack — und das ist das Tückische daran
E-Mail wurde in einer Zeit erfunden, in der sich alle im Netz vertrauten. Bis heute trägt das System diese Naivität in sich: Der Absender einer E-Mail lässt sich frei eintragen, so wie der Absender auf einem Briefumschlag. Niemand prüft beim Verschicken, ob er stimmt.
Das heißt: Jeder kann eine E-Mail verschicken, in der Ihre Domain als Absender steht — ohne je Zugriff auf Ihr Postfach gehabt zu haben. Kein Einbruch, kein gestohlenes Passwort. Nur ein offenes Schlupfloch, das offensteht, solange Sie es nicht schließen.
Weil kein Angriff im klassischen Sinn stattfindet, merken die meisten Betriebe erst dann etwas davon, wenn der Schaden schon da ist — eine gefälschte Rechnung, eine Phishing-Mail im Namen Ihrer Firma, eine manipulierte Zahlungsaufforderung an Ihre Kunden.
„Habe ich das nicht längst?"
Vielleicht. Drei technische Einträge im Hintergrund Ihrer Domain entscheiden darüber, ob Fremde in Ihrem Namen senden können: SPF, DKIM und DMARC. Viele Websites haben einen oder zwei davon — irgendwann eingerichtet vom Hoster oder vom Webdesigner. Das beruhigt, hilft aber oft nicht.
Denn eingerichtet heißt nicht wirksam. Ein SPF-Eintrag kann existieren und trotzdem auf „weich" stehen, sodass gefälschte Mails durchrutschen, statt blockiert zu werden. Eine DMARC-Regel kann vorhanden sein, aber nur im Beobachtungsmodus laufen — sie meldet den Missbrauch, verhindert ihn aber nicht. Der Unterschied zwischen „Eintrag vorhanden" und „Lücke geschlossen" steckt in Details, die man nicht sieht, ohne die Einträge gezielt zu lesen und zu interpretieren.
Diese Einträge sind öffentlich. Das ist das Unangenehme daran: Ein Betrüger kann genauso nachsehen wie ich — und erkennt in Sekunden, ob Ihre Domain eine offene Tür ist.
Die drei Schutzschichten — einfach erklärt
SPF ist eine öffentliche Liste, welche Server überhaupt E-Mails für Ihre Domain verschicken dürfen — wie eine Gästeliste am Eingang. Wer nicht draufsteht, ist nicht legitimiert.
DKIM ist ein fälschungssicheres Siegel auf jeder einzelnen Mail. Es beweist, dass die Nachricht wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde — vergleichbar mit einem Siegel auf einem Brief, das beim Öffnen bricht.
DMARC ist die Anweisung, die beides zusammenführt: Sie sagt den empfangenden Mailservern, was mit einer Nachricht geschehen soll, die Gästeliste und Siegel nicht besteht — durchlassen, in den Spam verschieben oder ganz ablehnen. Und sie schickt Ihnen Berichte darüber, wer versucht hat, in Ihrem Namen zu senden.
Erst die dritte Schicht macht die ersten beiden scharf. Ohne eine verbindliche DMARC-Regel sind SPF und DKIM ein Rauchmelder ohne Sirene: Sie bemerken das Feuer, aber niemand wird gewarnt.
Was Sie jetzt tun können
Die gute Nachricht zuerst: Das Problem lässt sich beheben, und zwar dauerhaft. Es braucht keine neue Software und kein Abo — nur drei korrekt gesetzte Einträge im DNS Ihrer Domain.
Der Haken liegt im „korrekt". Eine zu lasche Konfiguration schützt nicht. Eine zu strenge blockiert im schlimmsten Fall Ihre eigenen legitimen Mails — die Terminbestätigung aus dem Buchungstool, den Newsletter, die Rechnung aus der Praxissoftware. Beides passiert in der Praxis ständig, und beides bleibt oft monatelang unbemerkt.
Genau das prüfe ich für Sie. Ich lese die tatsächliche Konfiguration Ihrer Domain, sage Ihnen in klaren Worten, ob und wo Sie angreifbar sind — ohne Fachjargon, ohne Panikmache — und richte den Schutz auf Wunsch sauber ein, ohne Ihren eigenen Mailverkehr zu gefährden.
Die E-Mail-Sicherheit ist einer von mehreren Punkten, die mein Web Security Check abdeckt. Wenn Sie wissen wollen, ob in Ihrem Namen gesendet werden kann: Schreiben Sie mir die Domain — den Rest übernehme ich.