Kurz erklärt
E-Mail-Spoofing bedeutet, eine E-Mail mit gefälschtem Absender zu verschicken, sodass sie scheinbar von einer fremden Adresse oder Domain stammt. Das funktioniert, weil SMTP, das Protokoll hinter E-Mail, den Absender nicht prüft. Domaininhaber verhindern das Spoofing ihrer eigenen Domain mit SPF, DKIM und einer DMARC-Richtlinie auf reject. Gegen Lookalike-Domains hilft keiner dieser Standards, dafür braucht es Monitoring und Takedowns.
Ein Kunde leitet Ihnen eine Rechnung „aus Ihrer Buchhaltung“ weiter, mit einer Bankverbindung, die Sie nie benutzt haben. Oder in Ihrem Postfach landet eine Drohung, die angeblich von Ihrer eigenen Adresse kommt. Beides ist Spoofing, und beides ist möglich, weil E-Mail in den 1980er-Jahren für ein Netz gebaut wurde, in dem alle einander vertrauten.
Dieser Artikel erklärt, wie die Fälschung funktioniert, wie Sie eine verdächtige Mail prüfen, was SPF, DKIM und DMARC jeweils leisten und warum Gmail, Yahoo und Microsoft sie inzwischen verlangen.
Was ist E-Mail-Spoofing?
E-Mail-Spoofing ist das Fälschen von Absenderangaben in einer E-Mail. Meist geht es um die Absenderadresse, manchmal auch um den Anzeigenamen oder die Antwortadresse (Reply-To). Ziel ist es, sich das Vertrauen zu leihen, das der Empfänger einer Person, einem Unternehmen oder einer Behörde entgegenbringt.
Spoofing ist eine Technik, kein Angriff für sich. Es ist der Transportweg für Phishing, für CEO-Fraud und Business Email Compromise mit gefälschten Rechnungen, für Schadsoftware und für Erpresser-Mails. Ist die gefälschte Absender-Domain die eines Unternehmens, spricht man auch von Domain-Spoofing.
Wie funktioniert E-Mail-Spoofing?
Eine E-Mail hat zwei Absenderadressen, ähnlich wie ein Brief im Umschlag.
- Der Envelope-Absender (MAIL FROM, später als Return-Path sichtbar) steht sozusagen auf dem Umschlag. Mailserver nutzen ihn für Zustellung und Fehlermeldungen. Empfänger sehen ihn selten.
- Der Header-Absender (From) steht auf dem Briefbogen. Ihn zeigt Ihr Mailprogramm an, und ihn schreibt der Absender selbst.
SMTP prüft keinen der beiden. Wer einen Mailserver betreibt oder einen Versanddienst nutzt, kann in beide Felder jede beliebige Adresse eintragen. Deshalb braucht Spoofing keine Hackerkenntnisse. Aufgehalten wird eine gefälschte Mail nur, wenn der empfangende Server sie mit Einträgen abgleicht, die der echte Domaininhaber veröffentlicht hat. Genau dafür gibt es SPF, DKIM und DMARC.
Welche Arten von E-Mail-Spoofing gibt es?
Nicht jede „gespoofte“ Mail nutzt eine gefälschte Adresse. Die Tabelle zeigt die gängigen Techniken, was der Empfänger sieht und ob DMARC auf der imitierten Domain sie stoppt.
| Technik | Was der Empfänger sieht | Stoppt Ihr DMARC das? |
|---|---|---|
| Spoofing der exakten Domain | [email protected], Ihre echte Adresse | Ja, mit p=reject |
| Anzeigenamen-Spoofing | „Max Mustermann, Geschäftsführer“ <[email protected]> | Nein, die Freemail-Domain besteht ihre eigene Prüfung |
| Lookalike-Domain | [email protected] oder [email protected] | Nein, die Domain gehört dem Angreifer |
| Reply-To-Tausch | Richtiger Absender, Antworten gehen an eine andere Adresse | Nur wenn die Absender-Domain selbst gefälscht ist |
| Übernommenes Postfach | Der echte Absender in einem echten Mailverlauf | Nein, die Mail ist echt und besteht jede Prüfung |
Drei der fünf Zeilen liegen außerhalb der Reichweite von DMARC. Anzeigenamen-Spoofing funktioniert, weil viele Mail-Apps, gerade auf dem Smartphone, nur den Namen zeigen. Lookalike-Domains arbeiten mit Tippfehlern, Zusatzwörtern oder Zeichen aus anderen Alphabeten. Und ein übernommenes Postfach (Kontoübernahme) ist technisch gar kein Spoofing, ist aber oft gemeint, wenn jemand sagt: „Von meiner Adresse werden Mails verschickt.“
Wie erkennen Sie eine gefälschte E-Mail?
Beginnen Sie mit dem, was Sie sehen, und prüfen Sie den Header, wenn etwas nicht passt.
- Die vollständige Adresse anzeigen. Tippen oder zeigen Sie auf den Absendernamen und lesen Sie die Domain bis zum letzten Zeichen. Achten Sie auf vertauschte Buchstaben, zusätzliche Bindestriche und Endungen wie .co statt .com oder .de.
- Prüfen, wohin eine Antwort ginge. Erscheint beim Antworten eine andere Adresse, behandeln Sie die Mail als feindlich.
- Den Header lesen. In Gmail öffnen Sie das Menü der Nachricht und wählen „Original anzeigen“. In Outlook finden Sie den Header unter den Eigenschaften oder der Nachrichtenquelle. Suchen Sie die Zeile
Authentication-Resultsund die Werte fürspf=,dkim=unddmarc=. Kommt eine Mail angeblich von einem großen Unternehmen und zeigtdmarc=fail, ist sie fast sicher gefälscht. - Die Bitte bewerten, nicht nur den Absender. Neue Bankdaten, eine eilige Zahlung, ein Login-Link oder ein unerwarteter Anhang sind Gründe, telefonisch nachzufragen, egal was der Header sagt.
Ein pass heißt nicht, dass die Mail harmlos ist. Er heißt nur, dass sie wirklich von der angezeigten Domain kommt. Angreifer mit eigener Lookalike-Domain bestehen alle drei Prüfungen. Verdächtige Mails können Sie an das Phishing-Radar der Verbraucherzentrale NRW weiterleiten ([email protected]), das daraus öffentliche Warnungen erstellt.
SPF, DKIM und DMARC: Was macht welcher Eintrag?
Die drei Standards beantworten jeweils eine andere Frage. Erst zusammen schützen sie die Adresse, die Ihre Empfänger tatsächlich sehen.
| Standard | Was er prüft | Was Sie veröffentlichen | Grenzen |
|---|---|---|---|
| SPFRFC 7208 | Ob der sendende Server für die Envelope-Domain (den verborgenen Return-Path) senden darf. | Einen TXT-Eintrag mit den erlaubten Servern, endend auf -all. | Prüft nicht die sichtbare Absenderadresse. Scheitert bei Weiterleitungen. Höchstens 10 DNS-Abfragen. |
| DKIMRFC 6376 | Eine kryptografische Signatur über Header und Inhalt, gebunden an eine signierende Domain (d=). | Einen öffentlichen Schlüssel als TXT-Eintrag unter einem Selektor, z. B. s1._domainkey. | Sagt allein nichts darüber, ob die signierende Domain zur sichtbaren Absenderadresse passt. |
| DMARCRFC 9989 (2026), vorher RFC 7489 | Ob SPF oder DKIM für eine Domain bestanden wurde, die zur sichtbaren Absender-Domain passt. | Einen TXT-Eintrag unter _dmarc.ihredomain mit Richtlinie (none, quarantine, reject) und Berichtsadresse. | Schützt nur Ihre eigenen Domains. Kein Schutz vor Lookalikes. |
SPF: welche Server senden dürfen
SPF (RFC 7208) listet die Server und Dienste, die für eine Domain Mails versenden dürfen. Ein typischer Eintrag:
ihrefirma.de. TXT "v=spf1 include:_spf.google.com include:sendgrid.net -all"Die Schwäche: SPF prüft die Envelope-Domain, nicht die Absenderadresse, die der Leser sieht. Ein Angreifer kann von seiner eigenen Domain mit gültigem SPF senden und trotzdem Ihre Adresse in die From-Zeile schreiben. Außerdem erlaubt SPF höchstens 10 DNS-Abfragen, eine Grenze, an die Unternehmen mit vielen Maildiensten schnell stoßen.
DKIM: eine Signatur auf der Nachricht
DKIM (RFC 6376) versieht jede Nachricht mit einer kryptografischen Signatur. Der empfangende Server holt den öffentlichen Schlüssel aus dem DNS und prüft, ob Header und Inhalt unverändert sind. DKIM übersteht die meisten Weiterleitungen und ist deshalb für DMARC die verlässlichere Grundlage. Jeder Dienst, der in Ihrem Namen sendet, vom CRM bis zum Newsletter-Tool, sollte mit einem eigenen Schlüssel für Ihre Domain signieren.
DMARC: die Richtlinie für die sichtbare Absenderadresse
DMARC schützt den Absender, den Ihre Empfänger sehen. Eine Mail besteht DMARC nur, wenn SPF oder DKIM für eine Domain bestanden wurde, die zur From-Domain passt (Alignment). Der Domaininhaber legt fest, was mit Mails passieren soll, die durchfallen, und wohin Berichte gehen:
_dmarc.ihrefirma.de. TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Im Mai 2026 hat die IETF DMARC als Proposed Standard in RFC 9989 veröffentlicht, die Berichte sind in RFC 9990 und RFC 9991 ausgelagert. Der neue Standard ersetzt RFC 7489 aus dem Jahr 2015, der nur informativen Status hatte. Bestehende Einträge funktionieren weiter. Die sichtbarste Änderung betrifft die Frage, wie Empfänger die Organisationsdomain ermitteln: Statt der Public Suffix List wird der DNS-Baum abgefragt. Das Tag pct entfällt und wird durch ein einfaches Test-Flag (t=y) ersetzt. Das neue Tag np legt eine Richtlinie für Subdomains fest, die es gar nicht gibt, etwa rechnung.ihrefirma.de, wenn ein solcher Host nie eingerichtet wurde.
Was das BSI empfiehlt
Das BSI hat die Anforderungen an E-Mail-Authentifizierung in der Technischen Richtlinie TR-03182 festgehalten: Jede sendende Domain braucht einen gültigen SPF-Eintrag, ausgehende Mails werden mit DKIM signiert, und die Einträge sollen per DNSSEC abgesichert sein. Im Mai 2025 veröffentlichte das BSI dazu die Cyber-Sicherheitsempfehlung „Upgrade für die E-Mail-Sicherheit“ für alle Unternehmen mit eigener Domain. Gemeinsam mit eco und Bitkom rief das BSI 2025 außerdem das E-Mail-Sicherheitsjahr aus, mit SPF, DKIM und DMARC unter den sechs Kennzahlen.
Warum verlangen Gmail, Yahoo und Outlook inzwischen DMARC?
Seit Februar 2024 verlangen die Absenderrichtlinien von Google von allen, die etwa 5.000 oder mehr Mails pro Tag an Gmail-Adressen schicken, SPF, DKIM und DMARC, eine zur From-Domain passende Authentifizierung über SPF oder DKIM und bei Werbemails ein Abmelden mit einem Klick. Seit November 2025 setzt Google das bei nicht konformen Mails strenger durch. Yahoo hat zur selben Zeit ähnliche Regeln eingeführt.
Microsoft zog für Outlook.com, Hotmail und Live nach. Seit dem 5. Mai 2025 müssen Domains, die mehr als 5.000 Mails pro Tag senden, SPF, DKIM und DMARC (mindestens p=none) bestehen, wie Microsoft im Defender-for-Office-365-Blog angekündigt hat.
Diese Regeln verlangen nur p=none. Sie bringen Unternehmen dazu, DMARC zu veröffentlichen, aber nicht dazu, es durchzusetzen. Das zeigt sich in den Zahlen: Laut DMARC-Adoption-Report 2026 von EasyDMARC, der die 1,8 Millionen meistbesuchten Domains untersucht hat, hatten 52,1 Prozent einen gültigen DMARC-Eintrag. Davon standen 56,1 Prozent noch auf p=none, und nur 8,9 Prozent aller Domains kombinierten p=reject mit Berichten. Ein Eintrag mit p=none sagt den Empfängern, gefälschte Mails trotzdem zuzustellen.
Wie richten Sie DMARC ein, ohne Ihre eigenen Mails zu blockieren?
Das Risiko bei DMARC liegt darin, eigene legitime Mails auszusperren, etwa Rechnungen aus dem ERP-System oder Newsletter aus dem Marketing-Tool. Eine schrittweise Einführung vermeidet das.
- Alles erfassen, was unter Ihrer Domain sendet. Mailplattform, CRM, Ticketsystem, Newsletter, Lohnabrechnung, Webformulare, Scanner und Drucker.
- SPF bereinigen und DKIM für jeden Absender aktivieren. Nutzen Sie in der DKIM-Signatur Ihre eigene Domain, nicht die des Anbieters.
- DMARC mit p=none und rua-Adresse veröffentlichen. Lesen Sie die Aggregat-Berichte einige Wochen lang. Sie zeigen jeden Server, der unter Ihrem Namen sendet, ob legitim oder nicht.
- Auf p=quarantine, dann auf p=reject umstellen. RFC 9989 empfiehlt mindestens einen Monat mit p=none und etwa ebenso lange mit quarantine.
- Domains absichern, die nie Mails versenden. Veröffentlichen Sie
v=spf1 -allund einen DMARC-Eintrag mit p=reject für geparkte und Nebendomains. - Die Berichte weiter lesen. Neue Tools und neue Angriffe zeigen sich dort zuerst.
Noch eine Falle: Läuft Ihre eingehende Mail über ein Security-Gateway, bevor sie Microsoft 365 oder eine andere Plattform erreicht, prüfen Sie, ob der Spoofing-Schutz dort noch greift. Microsoft beschrieb im Januar 2026 Phishing-Kampagnen, die komplexes Mail-Routing und schwache Spoofing-Einstellungen nutzten, um Mails zuzustellen, die wie interne Nachrichten aussahen.
Was DMARC nicht kann: Lookalike-Domains
Sobald Ihre Domain auf p=reject steht, weichen Angreifer auf Domains aus, die ihnen gehören. Eine Lookalike wie ihrefirma-rechnung.de oder ihrefirrna.de kann tadellose SPF-, DKIM- und DMARC-Einträge haben, weil der Angreifer sie selbst gesetzt hat. In einer Kampagne, die Microsoft im September 2026 analysiert hat, registrierten die Täter am 31. Juli eine Lookalike-Domain eines Softwareanbieters und verschickten zwischen dem 3. und 5. August über eine Million gefälschte Rechnungsmails im Namen von Führungskräften.
Die Gegenmaßnahme liegt außerhalb des Postfachs: solche Domains bei der Registrierung entdecken und abschalten lassen, bevor oder während sie genutzt werden. Dafür gibt es Domain Monitoring. nebty gleicht neue Registrierungen mit Ihren Brand- und Domainnamen ab, meldet verdächtige Lookalikes meist innerhalb von Stunden und übernimmt den Takedown bei Registrar und Hoster. Sie zahlen nur für erfolgreiche Takedowns.
Was tun, wenn jemand Ihre Domain für Spoofing nutzt?
- Herausfinden, welche Art es ist. Sehen Sie sich den Header einer Beispielmail an. Ist es Ihre exakte Domain, eine Lookalike oder ein echtes Postfach von Ihnen? Jeder Fall braucht eine andere Reaktion.
- Bei Ihrer exakten Domain: Prüfen Sie den DMARC-Eintrag und stellen Sie so schnell auf p=reject um, wie Ihre Berichte es erlauben.
- Bei einer Lookalike-Domain: Sichern Sie Beweise mit einem Website-Scan, ermitteln Sie Registrar und Hoster mit Wer hostet die Website? und beantragen Sie einen Takedown. Die Schritte erklärt unser Takedown-Leitfaden.
- Bei einem echten Postfach: Passwort zurücksetzen, alle Sitzungen beenden, unbekannte Weiterleitungsregeln löschen und phishing-resistente MFA aktivieren.
- Kunden und Partner warnen. Teilen Sie mit, welche Adressen und Bankverbindungen echt sind und wie man Ihnen verdächtige Mails meldet.
- Betrug anzeigen. Ist Geld geflossen, folgen Sie den Schritten in unserem Leitfaden zu CEO-Fraud und BEC: zuerst die Bank anrufen, dann Anzeige erstatten, für Unternehmen am besten bei der Zentralen Ansprechstelle Cybercrime Ihres Bundeslandes.
Häufige Fragen zu E-Mail-Spoofing
Kann jemand E-Mails mit meiner Adresse verschicken, ohne mein Konto zu hacken?
Ja. Die Absenderzeile einer E-Mail ist ein Textfeld, das der sendende Server ausfüllt, und das Protokoll SMTP prüft es nicht. Ob eine gefälschte Mail im Postfach ankommt, hängt vom empfangenden Server und von den SPF-, DKIM- und DMARC-Einträgen Ihrer Domain ab. Steht DMARC auf reject, lehnen die großen Mailanbieter die meisten dieser Mails ab.
Warum bekomme ich Spam von meiner eigenen E-Mail-Adresse?
Meist hat der Absender Ihre Adresse in die Absenderzeile geschrieben. Erpresser-Mails machen das bewusst, um den Eindruck zu erwecken, Ihr Konto sei gehackt. Zeigt der Header für SPF und DKIM ein fail und Ihr Konto keine fremden Anmeldungen, wurde Ihr Postfach sehr wahrscheinlich nicht angetastet. Ändern Sie das Passwort trotzdem, falls Sie es auch anderswo nutzen.
Ist E-Mail-Spoofing dasselbe wie Phishing?
Nein. Spoofing ist eine Technik, nämlich das Fälschen des Absenders. Phishing ist ein Angriff, der Sie zu einem Klick, einer Anmeldung oder einer Zahlung bringen will. Viele Phishing- und CEO-Fraud-Angriffe nutzen Spoofing oder Lookalike-Domains, um vertrauenswürdig zu wirken. Spoofing kommt aber auch bei Spam und Erpressung vor.
Verhindert DMARC jedes E-Mail-Spoofing?
Nein. DMARC mit p=reject stoppt Mails, die vorgeben, von Ihrer exakten Domain zu kommen, und die Prüfung nicht bestehen. Lookalike-Domains, die dem Angreifer gehören, Tricks mit dem Anzeigenamen bei Freemail-Konten und ein echtes, übernommenes Postfach deckt DMARC nicht ab.
Soll ich p=quarantine oder p=reject verwenden?
Ziel ist p=reject. Bei quarantine landen gefälschte Mails im Spamordner, wo sie trotzdem gelesen werden. Starten Sie mit p=none und Berichten, bringen Sie Ihre legitimen Absender in Ordnung, wechseln Sie dann zu quarantine und schließlich zu reject. Der DMARC-Standard RFC 9989 empfiehlt mindestens einen Monat mit p=none und etwa ebenso lange mit p=quarantine.
Brauchen Domains, die nie E-Mails verschicken, auch DMARC?
Ja. Geparkte und ungenutzte Domains sind bei Angreifern beliebt, weil niemand sie im Blick hat. Veröffentlichen Sie einen SPF-Eintrag v=spf1 -all und einen DMARC-Eintrag mit p=reject, damit Empfänger wissen, dass jede Mail von dieser Domain gefälscht ist.
