DMARC, SPF, DKIM, sMIME
Umfassende Betreuung zur Absicherung Ihrer eMails
Sichere eMail ist die Basis für die sichere Kommunikation
eMails sicher machen
Kaum ein Werkzeug ist im Geschäftsalltag so selbstverständlich wie die eMail – und kaum eines lässt sich so leicht missbrauchen. Die Technik dahinter stammt aus einer Zeit, in der sich alle Beteiligten kannten und niemand auf den Gedanken kam, einen Absender zu fälschen. Wer eine Nachricht verschickt, darf bis heute frei hineinschreiben, von wem sie angeblich stammt. Ein Briefumschlag mit fremdem Absender – nur kostenlos, in Sekunden erstellt und millionenfach versendbar.
Genau hier setzen Angriffe an. Sie kommen selten spektakulär daher, sondern als Rechnung mit geänderter Kontonummer, als dringende Bitte der Geschäftsleitung kurz vor Feierabend, als vertraut wirkende Anmeldeseite. Die überwiegende Mehrheit erfolgreicher Angriffe auf Unternehmen beginnt mit einer Nachricht im Posteingang – nicht mit einer Lücke in der Firewall.
Die gute Nachricht: Die Antworten darauf sind vorhanden, standardisiert und seit Jahren erprobt. SPF, DKIM und DMARC schliessen die Absenderlücke, ein vorgeschaltetes Mail Gateway hält Schadhaftes vom Postfach fern, und sMIME schützt den Inhalt selbst. Man muss sie nur richtig einrichten – und sauber betreiben.
Ihr Absender ist Ihr Ruf
Eine Domain ist mehr als eine Adresse. Sie ist das Versprechen, dass eine Nachricht wirklich von Ihnen kommt. Wird dieses Versprechen missbraucht, trifft der Schaden zuerst andere: Ihre Kundschaft, Ihre Lieferanten, Ihre Partner erhalten Post in Ihrem Namen – und glauben ihr, weil Ihr Name darübersteht. Der Vertrauensverlust bleibt bei Ihnen hängen, auch wenn Ihre eigenen Systeme nie berührt wurden.
Dazu kommt eine zweite, unterschätzte Folge: die Zustellbarkeit. Grosse Anbieter beurteilen jede eingehende Nachricht danach, wie gut eine Domain abgesichert ist. Seit 2024 verlangen Google und Yahoo, seit 2025 auch Microsoft, von Versendern grösserer Mengen ausdrücklich korrekte Authentifizierung – wer sie nicht liefert, landet im Spam-Ordner oder wird gleich abgewiesen. Betroffen sind nicht nur Newsletter, sondern auch Bestellbestätigungen, Offerten und Mahnungen.
Eine abgesicherte Domain wirkt deshalb in zwei Richtungen: Sie verhindert, dass Fremde in Ihrem Namen schreiben, und sie sorgt dafür, dass Ihre eigene Post zuverlässig ankommt. Absenderschutz ist gelebter Kundenschutz – und Voraussetzung dafür, überhaupt gehört zu werden.
Drei Sicherheitsschichten
Sichere eMail entsteht nicht durch ein einzelnes Produkt, sondern durch drei Schichten, die verschiedene Fragen beantworten.
Die erste Schicht klärt die Herkunft. SPF legt fest, welche Server in Ihrem Namen senden dürfen. DKIM versieht jede Nachricht mit einer kryptografischen Unterschrift. DMARC führt beides zusammen, prüft es gegen den sichtbaren Absender und bestimmt, was mit Fälschungen geschieht. Diese Schicht lebt vollständig im DNS Ihrer Domain – unsichtbar für Anwender, entscheidend für die Wirkung.
Die zweite Schicht kontrolliert den Eingang. Ein vorgeschaltetes Mail Gateway prüft jede Nachricht auf Spam, Viren und Phishing, bevor sie überhaupt einen Mailserver oder ein Endgerät erreicht. Regeln gelten dort an einer Stelle für alle Postfächer, auf jedem Gerät, ohne Zutun der Mitarbeitenden.
Die dritte Schicht schützt den Inhalt. sMIME signiert und verschlüsselt einzelne Nachrichten von Ende zu Ende, sodass wirklich nur die vorgesehene Empfängerin mitliest.
Erst zusammen ergeben die drei Schichten ein dichtes Bild: bewiesene Herkunft, sauberer Posteingang, vertraulicher Inhalt.
eMail sicher und fehlerfrei versenden und empfangen
SPF – wer darf in Ihrem Namen senden?
Das Sender Policy Framework beantwortet eine einzige, aber entscheidende Frage: Welche Server dürfen eMails im Namen Ihrer Domain verschicken? Die Antwort hinterlegen Sie öffentlich im DNS – als kurzen Texteintrag, der Ihre eigenen Mailserver, den Newsletter-Dienst, das ERP-System und jeden weiteren berechtigten Absender aufzählt. Der empfangende Server liest diesen Eintrag bei jeder Zustellung und vergleicht ihn mit der IP-Adresse, von der die Nachricht tatsächlich stammt. Steht sie nicht auf der Liste, gilt die Mail als nicht autorisiert und wird je nach Vorgabe markiert oder abgewiesen.
So einfach das Prinzip, so heikel die Details. SPF prüft nicht den Absender, den Ihre Empfänger im Mailprogramm sehen, sondern die technische Rückadresse des Transports – ein Unterschied, den Angreifer gezielt ausnutzen. Zudem erlaubt der Standard nur zehn DNS-Abfragen je Prüfung; wer mehrere Dienste per «include» einbindet, überschreitet dieses Limit schneller als gedacht, und die Prüfung schlägt fehl. Auch Weiterleitungen bringen einen sauberen Eintrag zu Fall.
Deshalb gehört SPF in fachkundige Hände. walkingtoweb verwaltet Ihre DNS-Zonen vollständig: Wir erfassen alle sendenden Systeme, halten den Eintrag schlank und gültig und pflegen ihn nach, sobald ein neuer Dienst dazukommt.
DKIM – die Unterschrift, die mitreist
Während SPF den Weg einer Nachricht prüft, sichert DKIM die Nachricht selbst. Beim Versand berechnet Ihr Mailserver eine kryptografische Signatur über den Inhalt und die wichtigsten Kopfzeilen und hängt sie unsichtbar an die eMail. Der passende öffentliche Schlüssel liegt im DNS Ihrer Domain. Der empfangende Server holt ihn dort ab und rechnet nach: Stimmt die Signatur, stammt die Nachricht nachweislich von einem Ihrer Systeme – und sie wurde unterwegs nicht verändert.
Der Vorteil gegenüber SPF liegt in der Beweglichkeit. Die Unterschrift reist mit, weil sie nicht an eine IP-Adresse gebunden ist; sie übersteht Weiterleitungen und Zwischenstationen. Verändert dagegen ein Verteiler den Betreff oder hängt eine Fusszeile an, bricht die Prüfung. SPF und DKIM ersetzen einander deshalb nicht, sie ergänzen sich – jedes deckt die Schwäche des anderen ab.
In der Praxis entscheidet die Sorgfalt: Schlüssel mit 2048 Bit, saubere Trennung über Selektoren, regelmässiger Wechsel, und jeder Dienst, der in Ihrem Namen sendet, erhält seinen eigenen. walkingtoweb richtet DKIM auf Ihrem Kerio Connect Server und in allen angebundenen Diensten ein, hinterlegt die Schlüssel im DNS und übernimmt den Wechsel im laufenden Betrieb.
DMARC – die Regel, die beides zusammenführt
SPF und DKIM liefern Prüfergebnisse, aber keine Konsequenz. Sie sagen nicht, was mit einer Nachricht geschehen soll, die durchfällt – und sie betrachten nicht jenen Absender, den Ihre Empfänger tatsächlich lesen. Genau diese Lücke schliesst DMARC. Der Eintrag verlangt, dass die sichtbare Absenderdomain zu dem passt, was SPF oder DKIM bestätigt haben, und legt fest, wie der empfangende Server mit Abweichungen umgeht: nur beobachten (p=none), in die Quarantäne stellen (p=quarantine) oder rundweg abweisen (p=reject).
Mindestens ebenso wertvoll ist der Rückkanal. Über eine hinterlegte Reportadresse erhalten Sie täglich Berichte darüber, wer weltweit mit Ihrer Domain sendet – legitime Dienste ebenso wie Fälscher. Erst dieses Bild erlaubt den schrittweisen Weg von der Beobachtung zur Durchsetzung, ohne unterwegs eigene Rechnungen oder Newsletter zu verlieren.
Seit 2024 ist DMARC keine Kür mehr: Google und Yahoo, seit 2025 auch Microsoft, verlangen von Versendern grösserer Mengen einen gültigen Eintrag. walkingtoweb begleitet Sie über den ganzen Weg – Bestandsaufnahme aller Absender, Einrichtung, Auswertung der Berichte und die kontrollierte Verschärfung bis p=reject.
Mail Gateway – Filter vor dem Postfach
Authentifizierung beweist, wer geschrieben hat. Sie sagt nichts darüber, ob der Inhalt harmlos ist. Diese Aufgabe übernimmt ein Mail Gateway: eine vorgeschaltete Instanz zwischen dem offenen Internet und Ihrem Mailserver, vergleichbar mit einem aufmerksamen Empfang, der jede Sendung prüft, bevor sie ins Haus gelangt. Ihr MX-Eintrag zeigt dabei nicht mehr direkt auf den Server, sondern auf das Gateway – jede Nachricht passiert zuerst diese eine Stelle.
Dort wird in Sekundenbruchteilen analysiert: Reputation des Absenders, SPF, DKIM und DMARC, danach Text, Links und Anhänge. Erwünschte Post läuft sauber weiter, Spam, Viren und Phishing werden abgewiesen oder in die Quarantäne gelegt – und zwar bereits vor der Warteschlange, sodass unerwünschte Last Ihr Netz gar nicht erst erreicht.
Der entscheidende Unterschied zu lokalen Virenscannern: Die Regeln gelten an einem Punkt für alle Postfächer und jedes Gerät, auch für Smartphone und Webmail. walkingtoweb betreibt dafür den Proxmox Mail Gateway als gepflegten, überwachten Dienst auf Schweizer Infrastruktur – mit ClamAV, SpamAssassin, durchsuchbarer Quarantäne und lückenlosem Message-Tracking.
sMIME – Vertraulichkeit von Ende zu Ende
SPF, DKIM und DMARC schützen Ihre Domain, ein Gateway schützt Ihren Posteingang. Der Inhalt einer Nachricht bleibt dabei grundsätzlich lesbar – auf jedem Server, den sie unterwegs passiert. Wer wirklich vertrauliche Informationen austauscht, braucht deshalb die dritte Schicht: S/MIME, die Verschlüsselung und Signatur der einzelnen Nachricht.
Grundlage ist ein persönliches Zertifikat mit einem Schlüsselpaar. Der private Schlüssel bleibt geschützt bei Ihnen, der öffentliche steckt im Zertifikat und darf frei geteilt werden. Die digitale Signatur belegt zweifelsfrei, dass eine eMail von Ihnen stammt und unterwegs nicht verändert wurde; die Verschlüsselung sorgt dafür, dass ausschliesslich die vorgesehene Empfängerin den Inhalt lesen kann – nicht der Provider, nicht ein Zwischenserver, niemand sonst.
Eingerichtet wird das Zertifikat direkt im Mailprogramm, in Outlook, Apple Mail oder Thunderbird; danach genügt ein Klick. Besonders sinnvoll ist S/MIME überall dort, wo rechtlich heikle Informationen fliessen: in Kanzleien, Treuhandbüros, im Gesundheitswesen, in der Geschäftsleitung. walkingtoweb liefert die passenden Zertifikate von DigiCert Thawte – Klasse 1 für Einzelpersonen, Klasse 2 mit geprüftem Firmennamen – inklusive Einrichtung und automatischer Erneuerung.
DNS-Verwaltung – das unsichtbare Fundament
SPF, DKIM und DMARC haben eines gemeinsam: Sie sind keine Software, die man installiert, sondern Einträge im DNS Ihrer Domain. Das macht sie so wirkungsvoll – jeder empfangende Server auf der Welt kann sie abfragen – und zugleich so fehleranfällig. Ein Tippfehler, ein doppelter SPF-Eintrag, ein vergessener Selektor oder eine zu kurz gesetzte Gültigkeitsdauer, und die Absicherung greift nicht mehr oder blockiert die eigene Post.
Erschwerend kommt hinzu, dass sich die Landschaft ständig bewegt. Ein neues Buchhaltungsprogramm verschickt Rechnungen, das Marketing bucht einen Newsletterdienst, ein Onlineshop kommt dazu – jedes dieser Systeme muss autorisiert und signiert werden, sonst verschwinden seine Nachrichten stillschweigend im Spam. Umgekehrt bleiben alte Einträge oft jahrelang stehen und öffnen ausgerechnet jene Türen, die man schliessen wollte.
Deshalb betreibt walkingtoweb die DNS-Verwaltung als eigene Leistung: vollständige Zonen in unserer Hand, saubere Dokumentation aller sendenden Systeme, kontrollierte Änderungen mit kurzen Wartezeiten und eine regelmässige Kontrolle der Einträge. Sie melden den neuen Dienst – wir sorgen dafür, dass er zustellt.
Kerio Connect – Sicherer eMail Server
Wer seine eMails absichern will, sollte wissen, wo sie liegen. Bei grossen internationalen Plattformen ist das oft nur ungefähr zu beantworten: Daten liegen in Rechenzentren ausserhalb Europas, unterliegen fremden Gesetzen und lassen sich für Auswertungen nutzen. Mit Kerio Connect auf Schweizer Servern kehrt sich dieses Verhältnis um – Sie kennen den Standort, den Rechtsraum und Ihren Ansprechpartner.
Für die Absicherung ist ein eigener, klar umrissener Mailserver Gold wert. Er ist der eine Ort, an dem DKIM-Signaturen entstehen, an dem TLS-Verschlüsselung erzwungen wird, an dem Filter- und Weiterleitungsregeln zentral greifen und an dem sich nachvollziehen lässt, was tatsächlich verschickt wurde. Eine überschaubare Zahl bekannter Absendesysteme ist zugleich die Voraussetzung dafür, dass SPF und DMARC überhaupt streng gesetzt werden können.
walkingtoweb betreibt Kerio Connect seit vielen Jahren als Groupware-Hosting in der Schweiz – eMail, Kalender, Kontakte und Aufgaben in einer Lösung, konform zu DSG und DSGVO, sauber authentifiziert und hinter einem Mail Gateway geschützt. Die Migration vom bisherigen Anbieter übernehmen wir.
Fünf Schritte zur abgesicherten Domain
Der Weg zu einer geschützten eMail-Domain lässt sich planen. Er beginnt mit einer Bestandsaufnahme: Welche Systeme versenden heute in Ihrem Namen? Mailserver, Buchhaltung, Shop, Newsletter, Ticketsystem, Formulare der Website – erfahrungsgemäss sind es deutlich mehr als erwartet, und gerade die vergessenen sind es, die später Ärger machen.
Im zweiten Schritt entsteht ein sauberer SPF-Eintrag, der genau diese Systeme abbildet und die Grenze von zehn Abfragen respektiert. Im dritten wird jedes Absendesystem mit einem eigenen DKIM-Schlüssel versehen. Der vierte Schritt setzt DMARC zunächst auf Beobachtung; die täglichen Berichte zeigen über einige Wochen, wer tatsächlich sendet – und decken dabei regelmässig sowohl vergessene eigene Dienste als auch fremden Missbrauch auf. Erst wenn das Bild stimmig ist, folgt der fünfte Schritt: die Verschärfung auf Quarantäne und schliesslich auf Abweisung.
walkingtoweb geht diesen Weg mit Ihnen – von der Analyse über die DNS-Einträge und das vorgeschaltete Mail Gateway bis zu S/MIME-Zertifikaten für besonders vertrauliche Korrespondenz. Ein Ansprechpartner, eine Verantwortung, nachvollziehbar dokumentiert.
Managed eMail Sicherheit mit walkingtoweb
Hinweise zu den Preisen
Der angegebene Preis ist je Domain und Monat bzw. je sMIME Zertifikat und Jahr.
Alle Preise sind Nettopreise und werden für Schweizer Kunden zuzüglich der gesetzlichen Mehrwertsteuer in Rechnung gestellt. Angegebene EUR / USD Preise haben nur informativen Charakter, relevant ist immer der CHF Preis der tagesaktuell umgerechnet wird. Weitere Leistungen bieten wir Ihnen gern auf Anfrage an.
Es gelten unsere Allgemeinen Geschäftsbedingungen.
Diese Preisliste ist gültig ab 01. Juli 2026.
