DORA und E-Mail: was die Verordnung von der E-Mail-Authentifizierung erwartet

Von Thomas · virtueller CISO · 2026-08-05

Die Verordnung DORA (Digital Operational Resilience Act) gilt nun für den Finanzsektor der Europäischen Union und verändert, wie Banken, Versicherer, Vermögensverwalter, Zahlungsdienstleister und eine lange Liste weiterer Einrichtungen ihr digitales Risiko steuern müssen. Wie NIS2 sagt DORA nie „DMARC". Doch anders als viele Texte ist sie äußerst präzise darin, was sie erwartet: nachweisbare operationelle Resilienz, getestet und dokumentiert. Und unter den am stärksten exponierten Kanälen eines Finanzinstituts steht die E-Mail ganz oben. Hier ist, wie sich die E-Mail-Authentifizierung in DORA einfügt und warum ein CISO im Finanzwesen sie vorrangig behandeln sollte.

Was DORA verlangt, in Kürze

Wo NIS2 eine umzusetzende Richtlinie ist, ist DORA eine unmittelbar geltende Verordnung: Sie bindet in jedem Mitgliedstaat identisch, ohne nationalen Spielraum. Ihr Ziel ist zu gewährleisten, dass das europäische Finanzsystem jeder technologiebedingten Störung standhalten, auf sie reagieren und sich von ihr erholen kann. Sie ruht auf fünf Säulen:

IKT-Risikomanagement — ein vollständiger Rahmen zum Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.
Vorfallmanagement und -meldung — Klassifizierung, Eskalation und Meldung schwerwiegender Vorfälle an die Behörden in engen Fristen.
Tests der operationellen Resilienz — regelmäßige Tests, bis hin zu bedrohungsgeleiteten Penetrationstests für die bedeutendsten Einrichtungen.
Drittparteienrisiko — verstärkte Aufsicht über die Abhängigkeit von Anbietern, einschließlich Cloud.
Informationsaustausch über Cyberbedrohungen zwischen den Akteuren.

Auffällig ist die Forderung nach Nachweis. DORA begnügt sich nicht mit Absichten; sie verlangt getestete Vorkehrungen und eine Dokumentation, die vor einer Aufsichtsbehörde standhält. In diesem Beweisrahmen wird die E-Mail-Authentifizierung zum Vorteil, weil sie eine der wenigen Anti-Betrugs-Kontrollen ist, deren Haltung öffentlich überprüfbar und historisierbar ist.

Warum E-Mail ein Resilienz- und nicht nur ein Sicherheitsrisiko ist

Phishing wird oft unter „Sicherheit" abgelegt, als wäre es getrennt von „operationeller Resilienz". Für ein Finanzinstitut ist das ein Analysefehler. Eine gefälschte Domain ist nicht nur ein abstraktes Sicherheitsproblem: Sie ist ein Kanal, über den ein Angreifer Zahlungen umleitet, betrügerische Überweisungen auslöst, Kundenzugänge kompromittiert — allesamt Ereignisse, die im Sinne von DORA zu schwerwiegenden operationellen Vorfällen werden, mit Meldepflichten und direkter Auswirkung auf die Dienstkontinuität.

CEO-Fraud und Business Email Compromise veranschaulichen dieses Kontinuum perfekt: Ein Angriff, der mit einer schlichten gefälschten E-Mail beginnt, endet in einem bezifferten finanziellen Verlust, einer Untersuchung und einer regulatorischen Meldung. DORA zwingt dazu, diese Kette als ein durchgängiges operationelles Risiko zu behandeln, nicht als isolierten IT-Vorfall. Die Fähigkeit eines Angreifers, das Institut zu imitieren, an der Wurzel zu kappen bedeutet, Häufigkeit und Schwere einer ganzen Familie meldepflichtiger Vorfälle zu senken.

DMARC im DORA-Rahmen

DMARC beantwortet mehrere DORA-Anforderungen zugleich, was es zu einer Kontrolle mit hoher Hebelwirkung macht:

Schutz (Säule 1). In einer Durchsetzungsrichtlinie verhindert DMARC die direkte Fälschung der Domain — eine konkrete, dauerhafte Schutzmaßnahme gegen einen erstrangigen Angriffsvektor.
Erkennung (Säule 1). Aggregierte Berichte offenbaren fortlaufend, wer im Namen der Einrichtung sendet, einschließlich illegitimer Quellen oder vergessener Dienstleister. Es ist ein dauerhafter, an die Expositionsfläche gekoppelter Sensor.
Vorfallmanagement (Säule 2). Der Verlauf von Berichten und Haltung dokumentiert die Sorgfalt und hilft, einen Fälschungsvorfall zu qualifizieren, wenn er eintritt.
Drittparteienrisiko (Säule 4). Der Versandpark umfasst fast immer Dienstleister (Abrechnung, Kontoauszüge, Marketing, E-Signatur). Diese Quellen zu kartieren und auszurichten ist genau die Abhängigkeitsinventur, die DORA auf der E-Mail-Seite verlangt.

Wie für jedes Institut, das in großem Umfang Post versendet, ist die zugrunde liegende Argumentation die für DMARC im Bankwesen entwickelte: Finanzmarken sind die weltweit am häufigsten imitierten, und durchgesetztes DMARC ist die erste strukturelle Verteidigungslinie.

Auch die dritte Säule — die Tests der operationellen Resilienz — hat einen E-Mail-Bezug, der oft übersehen wird. Wer sein Institut ernsthaft testen lässt, wird feststellen, dass ein Red Team fast immer versucht, die eigene Domain zu fälschen: Es ist der billigste und glaubwürdigste Einstieg in ein Angriffsszenario. Eine Domain in Durchsetzung nimmt diesem Pfad die Grundlage und verwandelt einen wiederkehrenden Befund in einen dokumentierten Stärkepunkt. Umgekehrt liefert jeder Test, der eine fälschbare Domain aufdeckt, genau die Art Feststellung, die vor der Aufsicht unangenehme Fragen nach sich zieht. Die Authentifizierungslage vor dem nächsten Testzyklus zu bereinigen ist daher nicht nur Schutzarbeit, sondern auch Vorbereitung auf die Prüfung selbst.

Die Falle der Publikumsdomain

Ein Punkt verdient besondere Aufmerksamkeit für Finanzkonzerne. Viele betreiben eine gepflegte, geschützte Unternehmensdomain — die für Pressemitteilungen und Investor Relations — während die Publikumsmarken-Domain, jene, von der Kunden tatsächlich Kontoauszüge und Warnungen erhalten, bei p=none zurückbleibt. Angreifer zielen nicht auf die Unternehmensdomain: Sie zielen auf die, die Kunden erkennen und der sie vertrauen.

Unter DORA ist diese Asymmetrie ein gefährlicher blinder Fleck. Jede Compliance-Bewertung muss zuerst die Domain prüfen, die Kunden in ihrem Posteingang sehen, nicht nur die Holdinggesellschaft. Unsere Domain-Prüfseiten liefern das Urteil für die genau eingegebene Domain, was es leicht macht, eine geschützte Unternehmensdomain von einer exponierten Publikumsdomain zu unterscheiden.

Der Compliance-Fahrplan

Die Abfolge ist die jedes großen Absenders, ausgeführt mit der dokumentarischen Strenge, die DORA verlangt:

Den gesamten Versandpark kartieren, Geschäftsbereich für Geschäftsbereich, Region für Region, Dienstleister für Dienstleister. DMARC auf p=none veröffentlichen und die Berichte nutzen, um die unvermuteten Quellen zu entdecken.
Jede legitime Quelle ausrichten über SPF und DKIM, mit dem Ziel dauerhafter DKIM-Ausrichtung.
Jede Markendomain gesondert behandeln, mit Vorrang für die Publikumsdomain.
Die Richtlinie hochfahren auf quarantine, dann reject, unter Beobachtung der Berichte — die vollständige Methode steht in p=reject erreichen, ohne die E-Mails zu brechen.
Dokumentieren und aufbewahren. Berichte, Entscheidungen und Verlauf der Haltung archivieren: Das ist das Beweismaterial, das DORA verlangt, und es lässt sich unverändert in einer ISO-27001-Vorkehrung wiederverwenden.

Fällt der Konzern für seine nicht streng finanziellen Tätigkeiten auch unter NIS2, sind beide Projekte als eines zu führen: Das Authentifizierungsfundament ist identisch, nur das Aufsichtsregime ändert sich, wie auf der Seite NIS2 und E-Mail-Authentifizierung dargelegt.

Klassifizierung, Meldung und die Rolle der E-Mail

DORA verlangt, IKT-bezogene Vorfälle zu klassifizieren und die schwerwiegendsten in kurzen Fristen an die zuständigen Behörden zu melden, mit einem Erstbericht, einem Zwischenbericht und dann einem Abschlussbericht. Die Schwerekriterien umfassen die Zahl der betroffenen Kunden, die Dauer, die geografische Ausdehnung und die finanziellen Verluste — allesamt Schwellen, die eine erfolgreiche Fälschungskampagne rasch überschreiten kann. Eine gefälschte E-Mail „von der Hausbank", die die Zugangsdaten Tausender Kunden abgreift, ist kein geringfügiger Vorfall: Sie ist potenziell ein meldepflichtiger schwerwiegender Vorfall, mit dem ganzen Gewicht aus Meldung, Untersuchung und Kommunikation.

Daher der Wert einer Kontrolle, die an der Wurzel wirkt. Jede gefälschte Nachricht, die DMARC vorgelagert blockiert, ist ein Vorfall, der nicht stattfindet — also keine überschrittene Schwelle, keine Meldung, keine regulatorische Untersuchung. Umgekehrt lässt das Fehlen von Authentifizierung einen Vorfallpfad offen, der reaktiv zu bewältigen ist, unter dem Druck der regulatorischen Uhr. Die Häufigkeit von Fälschungsvorfällen zu senken senkt direkt die DORA-Meldelast — ein operatives ebenso wie ein sicherheitsbezogenes Argument.

Ein konkretes Szenario

Man nehme einen mittelgroßen Vermögensverwalter. Ein Angreifer fälscht die Publikumsdomain, von der Kunden ihre Kontoauszüge erhalten und die bei p=none blieb. Er sendet einem Kundenportfolio eine vollkommen glaubwürdige E-Mail, die eine „Änderung der Bankverbindung für Rücknahmen" ankündigt und die authentische Adresse der Firma anzeigt. Einige Kunden folgen der Anweisung; Gelder gehen an ein vom Angreifer kontrolliertes Konto.

DORA-Ablauf: Das Ereignis überschreitet wahrscheinlich die Schwerewerte (betroffene Kunden, finanzielle Verluste) und löst eine Meldung an die Behörden, eine interne Untersuchung, eine Krisenkommunikation und die unvermeidliche Prüfung der Frage aus: „Warum war die Domain fälschbar?" Die Antwort „sie stand auf p=none" ist vor einer Aufsichtsbehörde, die nachweisbare Resilienz erwartet, unhaltbar. Derselbe Vorfall hätte mit der Domain auf p=reject schlicht nie die Posteingänge der Kunden erreicht: Die gefälschte Nachricht wäre bei der Zustellung abgewiesen worden. Das ist der Unterschied zwischen einer Kontrolle, die nur beobachtet, und einer, die schützt.

Dieses Szenario ist nichts Außergewöhnliches; es wiederholt sich mit kleinen Varianten, sobald eine Finanzdomain im reinen Beobachtungsmodus bleibt. Und es zeigt, warum DORA so sehr auf Nachweis besteht: Es zählt nicht, einen Plan zu haben, sondern belegen zu können, dass die Kontrolle zum Zeitpunkt der Ereignisse vorhanden, aktiv und überwacht war. Ein durchgesetzter DMARC-Eintrag, samt seinem Berichtsverlauf, ist genau diese Art Nachweis — datiert, öffentlich, manipulationssicher.

Die Arbeit wird zu wiederverwendbarem Nachweis

Es gibt einen strategischen Vorteil, dies einmal richtig zu tun: Der Prüfpfad reist mit. Dieselbe Akte — p=reject-Haltung, archivierte RUA-Berichte, dokumentierter Hochlauf, Schlüsselverwaltung — dient direkt dazu, die Sorgfalt unter NIS2 für nicht-finanzielle Tätigkeiten zu belegen, und beantwortet die Sicherheitsfragen, die eine DSGVO-Prüfung aufwirft. DORAs Beharren auf nachweisbarer, getesteter Resilienz ist anspruchsvoll, belohnt aber Kontrollen, die öffentlich, datiert und fortlaufend überwacht sind. Die E-Mail-Authentifizierung ist genau diese Art Kontrolle, weshalb sie früh in ein Resilienzprogramm gehört und nicht als nachträglicher Gedanke, wenn ein Vorfall die Frage bereits erzwungen hat. Sie ist zudem eine der wenigen Maßnahmen, deren Nutzen eine Führungskraft auf einen Blick sieht — ein öffentlicher Eintrag, der von none auf reject umspringt — was sie ungewöhnlich leicht nach oben berichtbar und vor einer Aufsicht verteidigbar macht.

Für einen Finanz-CISO verwandelt das eine regulatorische Last in einen wiederverwendbaren Aktivposten: Was für DORA aufgebaut wird, deckt einen Großteil dessen ab, was NIS2, die DSGVO und interne Prüfungen ohnehin verlangen. Statt drei parallele Nachweise zu führen, führt man einen sauberen — und richtet ihn je nach Adressat aus. Das ist der pragmatische Grund, warum sich der Aufwand lohnt, noch bevor man den unmittelbaren Sicherheitsgewinn einrechnet.

Eine Standortbestimmung

Wie immer ist der erste Schritt kostenlos und sofort. Die Domain, von der die Kunden tatsächlich Post erhalten, in unseren kostenlosen DMARC-Analyzer eingegeben, liefert ein sofortiges Urteil; das DMARC-Observatorium ordnet das Institut anschließend ein, indem es die öffentliche Haltung großer Finanzmarken über mehrere Länder verfolgt.

Einen großen regulierten Park mit einem nutzbaren Prüfpfad auf p=reject zu bringen, ist genau die Mission von Thomas, dem virtuellen CISO: Er identifiziert jede Versandquelle, erzeugt das genaue zu veröffentlichende DNS, bewertet die Bereitschaft pro Domain auf gleitenden Daten und meldet, wann jede Domain ohne Risiko für legitime Post durchgesetzt werden kann. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.

DMARC anwenden — konkret

Thomas, der virtuelle CISO von DMARC.com, identifiziert jede legitime Versandquelle, schreibt die exakten DNS-Einträge und bringt eine Domain sicher von p=none zu p=reject — ohne den Mailverkehr zu stören.

Zu p=reject — kostenlos