DMARC für den öffentlichen Sektor: eine Domain, der Bürger aufs Wort glauben

Von Thomas · virtueller CISO · 2026-08-08

Wenn ein Bürger eine E-Mail von seiner Stadtverwaltung, dem Finanzamt oder seiner Krankenkasse erhält, glaubt er ihr aufs Wort. Dieses beinahe automatische Vertrauen ist genau das, was den öffentlichen Sektor zu einem bevorzugten Ziel der Fälschung macht: Eine gefälschte Nachricht „von der Behörde" trägt unmittelbare Autorität, landet oft in einem glaubwürdigen Kontext (eine Steuer, eine Beihilfe, ein einzureichendes Dokument) und drängt ohne Misstrauen zum Handeln. Dennoch lässt ein großer Teil der öffentlichen Organisationen — besonders die kleinen Kommunen — seine Domain weiterhin weit offen für diese Fälschung. Dieser Artikel erklärt, warum der öffentliche Sektor so exponiert ist, was die Daten zeigen und wie sich eine öffentliche Einrichtung selbst mit knappen Mitteln schützen kann.

Warum der öffentliche Sektor ein ideales Ziel ist

Drei Eigenschaften machen eine öffentliche Domain außergewöhnlich wertvoll zum Fälschen:

Eingebautes, übergreifendes Vertrauen. Wo die Imitation eines Unternehmens nur dessen Kunden täuscht, berührt die Imitation einer Behörde potenziell die gesamte Bevölkerung. Ein überzeugendes From: kontakt@beispiel.de entwaffnet die Skepsis, bevor die erste Zeile gelesen ist.
Eine Fülle glaubwürdiger Vorwände. Bußgelder, Erstattungen, Personenstandsurkunden, Schulanmeldungen, Sozialleistungen: Der öffentliche Dienst bietet ein unerschöpfliches Reservoir legitim klingender Vorwände, die ein Angreifer für sein Phishing wiederverwendet.
Daten und Zugänge am Ende. Die Fälschung führt zum Diebstahl von Bürgerkonto-Zugangsdaten, zur Sammlung personenbezogener Daten oder gar zu CEO-Fraud, der auf die eigene Finanzabteilung der Einrichtung zielt.

Ohne durchgesetzte Authentifizierung hat ein empfangender Server keine verlässliche Möglichkeit, die echte Nachricht der Stadtverwaltung von der Fälschung zu unterscheiden. Beide zeigen dieselbe Adresse — und es ist der Bürger, der den Preis zahlt.

Das Problem von Skala und Ressourcen

Der öffentliche Sektor leidet unter einer eigenen strukturellen Schwierigkeit: der Zahl. Allein in einem Land gibt es Zehntausende Kommunen, hinzu kommen Gemeindeverbände, Landkreise, Regionen und öffentliche Einrichtungen. Die überwiegende Mehrheit hat keinen CISO, kein eigenes Sicherheitsteam, mitunter nicht einmal eine IT-Kraft in Vollzeit. Die E-Mail-Sicherheit ruht dort oft auf einem externen Dienstleister oder dem guten Willen einer vielseitigen Fachkraft.

Das Ergebnis: Eine öffentliche Domain bleibt häufig bei p=none, wenn überhaupt ein DMARC-Eintrag existiert. Das ist kein Mangel an Risikobewusstsein — es ist ein Mangel an Zeit, verfügbarer Kompetenz und Verantwortungsübernahme. Das Paradox ist grausam: Die Organisationen, deren Fälschung den größten gesellschaftlichen Schaden anrichten würde, sind auch die mit den geringsten Mitteln, sich davor zu schützen. Genau hier ändert eine Werkzeugkette, die Diagnose und Behebung automatisiert, das Bild, indem sie das Thema auf einige Entscheidungen statt auf ein Vollzeitprojekt reduziert.

Was die Daten zeigen

Das ist keine Ahnung, es ist messbar. Unser DMARC-Observatorium verfolgt die öffentliche Haltung von Domains des öffentlichen Sektors und ordnet sie als geschützt (p=reject), durchsetzend (p=quarantine), reine Beobachtung (p=none) oder gar nicht geschützt ein. Der wiederkehrende Befund deckt sich mit dem im Finanzwesen beobachteten, entwickelt in DMARC für Banken: Ein beachtlicher Anteil bekannter, stark genutzter Einrichtungen setzt noch nicht durch und lässt seine Publikumsdomain im Moment dieser Zeilen fälschbar.

Die Lücke ist bei kleinen Kommunen oft am größten, verschont aber nicht immer große Strukturen, die Domains und Subdomains vervielfachen, bis sie den Überblick verlieren. Die Domain zu prüfen, die Einwohner tatsächlich in ihrem Posteingang sehen — nicht nur das institutionelle Portal — ist der richtige Reflex: Das ist die Adresse, die Betrug fälschen wird.

NIS2 macht es verpflichtend

Was gestern gute Praxis war, wird zur Pflicht. Die öffentliche Verwaltung fällt ausdrücklich in den Anwendungsbereich der NIS2-Richtlinie, die Cyber-Risikomanagementmaßnahmen vorschreibt und die Leitung in die Haftung nimmt. Die E-Mail-Authentifizierung — eine naheliegende, prüfbare, kostengünstige Anti-Fälschungs-Kontrolle — ist einer der ersten Punkte, die eine Prüfung ansehen wird. Für eine betroffene Einrichtung ist es, ihre Domain auf p=reject zu bringen, keine Komfortoption mehr, sondern eine Compliance-Anforderung — und konkreter Schutz der Einwohner.

Über NIS2 hinaus zählt die E-Mail-Authentifizierung seit Langem zu den Empfehlungen zur digitalen Hygiene, die nationale Cybersicherheitsbehörden für den öffentlichen Sektor aussprechen. Die Konvergenz ist deutlich: Hygieneempfehlungen, regulatorische Pflicht und die Anforderungen der großen Mailbox-Anbieter weisen alle auf dasselbe Ziel, p=reject. Eine öffentliche Einrichtung, die heute beginnt, nimmt nur eine Anforderung vorweg, die überall zum Mindeststandard eines vertrauenswürdigen digitalen öffentlichen Dienstes wird — besser in Ruhe als in der Hektik einer Prüfung oder, schlimmer, eines bereits laufenden Vorfalls.

Der Fahrplan für eine öffentliche Einrichtung

Die Abfolge ist die jedes Absenders, angepasst an die Realitäten des öffentlichen Sektors:

Diagnostizieren. Am Anfang steht ein kostenloser Test der Hauptdomain und der Dienstdomains. Das sofortige Urteil benennt den Ist-Zustand, ohne dass irgendetwas zu installieren wäre.
DMARC auf p=none zur Beobachtung veröffentlichen. Die aggregierten Berichte offenbaren jede Quelle, die im Namen der Einrichtung sendet: Fachsoftware, Online-Antragsplattform, Versanddienstleister, Newsletter-Tool. Es sind immer mehr, als man denkt.
Jede legitime Quelle ausrichten über SPF und DKIM, gestützt auf die Dienstleister — die meisten dokumentieren das Vorgehen.
Die Richtlinie hochfahren auf quarantine, dann reject, unter Beobachtung der Berichte. Die Methode steht in p=reject erreichen, ohne die E-Mails zu brechen.
Ruhende Domains und Subdomains sperren. Viele Kommunen besitzen alte Domains oder Subdomains, die nichts senden, aber fälschbar bleiben. Das DMARCbis-np-Tag schließt sie auf einen Schlag, ohne Risiko für legitime Post.

Der Fall der Kommunen ohne Website oder E-Mail

Ein massiver blinder Fleck im öffentlichen Sektor: Unzählige kleine Kommunen haben weder eine Website noch E-Mail auf ihrem eigenen Domainnamen — und wenn sie eine Domain besitzen, ruht sie und sendet nichts. Man könnte diese Domains für risikofrei halten, da sie keinen Zweck erfüllen. Das Gegenteil ist wahr: Eine Domain, die keine legitime Post sendet, ist eine Domain, die niemand beobachtet, und die ein Angreifer fälschen kann, ohne je mit einem echten Fluss zu kollidieren. Eine Stadtverwaltung, die nie E-Mail sendet, ist paradoxerweise ein leichtes Ziel, weil auf der legitimen Seite nichts den Betrug verrät.

Das Gegenmittel ist einfach und günstig: Selbst eine ruhende Domain sollte eine ausdrückliche p=reject-DMARC-Richtlinie veröffentlichen, die erklärt, dass keine legitime Post sie verlässt. Mit DMARCbis sperrt das np-Tag zusätzlich nicht existierende Subdomains. Für Kommunen, die noch gar keine Domain besitzen, schützt es den Namen vor der ersten Nutzung, eine Domain zu reservieren und sie sofort auf reject zu setzen — eine Entscheidung von wenigen Minuten, die eine Tür dauerhaft schließt.

Ein Beispiel: die gefälschte Behördenmaßnahme

Man nehme einen Gemeindeverband, dessen Publikumsdomain bei p=none blieb. Ein Angreifer mailt den Einwohnern eine Nachricht, die die authentische Adresse der Dienststelle anzeigt, eine „zu erstattende Überzahlung" ankündigt und auf ein Formular zur Eingabe von Bankdaten verweist. Die Nachricht trägt den Namen der Einrichtung, kommt in einem plausiblen Kontext, und ein Teil der Empfänger führt es aus. Gelder gehen ab, Daten sickern durch, und die Einrichtung erfährt von der Sache durch die Beschwerden.

Dieselbe E-Mail hätte mit der Domain auf p=reject die Posteingänge nie erreicht: mangels ausgerichteter Authentifizierung bei der Zustellung abgewiesen. Der Wechsel von der Beobachtung zur Durchsetzung ist wieder das, was eine Domain, die ihre eigene Fälschung dokumentiert, von einer trennt, die sie verweigert.

Auf territorialer Ebene bündeln

Die Stärke des öffentlichen Sektors gegen diese Exposition ist, dass er kollektiv antworten kann. Ein IT-Zweckverband, ein Gemeindeverband oder ein öffentlicher Betreiber digitaler Dienste kann die DMARC-Vorgehensweise für Dutzende Kommunen zugleich tragen: dieselbe Diagnose, dieselben Versanddienstleister, dieselben Konfigurationsrezepte. Was Kommune für Kommune ein undurchführbares Projekt wäre, wird zu einem einzigen, wiederholbaren Programm auf territorialer Ebene — die beste Antwort auf das Ressourcenproblem, das den Sektor prägt.

Diese Logik gilt auch für den Kompetenzaufbau: Hat ein territoriales Team eine erste Domain von p=none bis p=reject durchgezogen, hält es ein Rezept, das es dann in Serie anwendet, wobei jede neue Kommune weniger Zeit braucht als die vorige. Die Anfangsinvestition amortisiert sich über den gesamten Park.

Die Vertrauensdividende

Es gibt einen selten erwähnten kollektiven Vorteil. Jede öffentliche Einrichtung, die p=reject erreicht, schützt nicht nur ihre eigenen Einwohner — sie hilft, die Öffentlichkeit darauf umzugewöhnen, authentifizierte Post von der Behörde zu erwarten. Je mehr öffentliche Domains durchsetzen, desto mehr sticht eine gefälschte hervor, und desto schwerer wird es für Angreifer, Betrug in einem Meer nicht authentifizierter amtlicher Post zu verstecken. Der Schutz des öffentlichen Sektors hat einen Netzwerkeffekt, den private Marken nicht haben: Die Glaubwürdigkeit des Sektors ist bis zu einem gewissen Grad geteilt. Jede durchgesetzte Domain hebt den Boden für alle — ein Grund, dies nicht als lästige Formsache zu behandeln, sondern als Beitrag zum öffentlichen digitalen Vertrauen, und ein Grund für größere Einrichtungen, mit gutem Beispiel voranzugehen. Je früher die sichtbarsten öffentlichen Domains durchsetzen, desto schneller lernt die Bevölkerung, unauthentifizierte amtliche Post zu misstrauen — ein kollektiver Gewinn, den kein einzelner Akteur allein erzielen könnte.

Die Prüfung einer Kommune — oder jeder Behörde

Wo eine bestimmte Behörde steht, klärt sich schnell: Die Domain der Einrichtung in unsere kostenlose DMARC-Analyse einzugeben genügt für ein sofortiges Urteil, und das DMARC-Observatorium erlaubt es, einen ganzen Satz auf einen Blick zu vergleichen. Dasselbe Risiko trifft andere Sektoren mit hohem öffentlichen Vertrauen, angefangen beim Gesundheitswesen, das dieselben Ursachen und dieselben Gegenmittel teilt. Und um den Angriffsmechanismus zu verstehen, den all das schließt, gibt Phishing mit dem eigenen Domainnamen verhindern den Überblick.

Einen öffentlichen Multi-Domain-Park ohne eigenes Team auf p=reject zu bringen, ist genau das, was Thomas, der virtuelle CISO, zugänglich machen soll: Er benennt jede Versandquelle, generiert das zu veröffentlichende DNS, bewertet die Bereitschaft pro Domain und sagt, wann jede sicher durchgesetzt werden kann. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.

DMARC anwenden — konkret

Thomas, der virtuelle CISO von DMARC.com, identifiziert jede legitime Versandquelle, schreibt die exakten DNS-Einträge und bringt eine Domain sicher von p=none zu p=reject — ohne den Mailverkehr zu stören.

Zu p=reject — kostenlos