Glossar der E-Mail-Authentifizierung (SPF, DKIM, DMARC, BIMI…)

Von Thomas · virtueller CISO · 17. August 2026

Die E-Mail-Authentifizierung schleppt einen dichten Fachjargon mit sich: SPF, DKIM, Ausrichtung, RUA, Tree Walk, BIMI, VMC… lauter Abkürzungen, die sich überschneiden, einander bedingen und am Ende ineinander verschwimmen. Dieses Glossar stellt jeden Begriff an seinen Platz, in einer kurzen, in sich geschlossenen Definition — der Art, die sich zitieren, in ein Ticket kopieren oder der Geschäftsleitung erklären lässt, ohne sich zu irren. Wir gehen von den Grundlagen zu den fortgeschrittenen Mechanismen und dann zu den Bedrohungen, die diese ganze Vorkehrung kappen soll. Jeder Eintrag verweist auf den Artikel, der ihn in die Tiefe führt.

Die Grundlagen

SPF (Sender Policy Framework)

SPF ist ein DNS-TXT-Eintrag, der die Server auflistet, die für eine Domain senden dürfen. Beim Empfang vergleicht der Zielserver die sendende IP-Adresse mit dieser Liste: Steht sie nicht darin, scheitert die Nachricht an der SPF-Prüfung. Es ist die erste der drei Authentifizierungsschichten, hat aber eine angeborene Grenze — sie validiert den Umschlag (MAIL FROM), nicht die From:-Adresse, die ein Mensch tatsächlich sieht. Für die Mechanismen und Fallstricke siehe wie die Absenderprüfung funktioniert.

DKIM (DomainKeys Identified Mail)

DKIM heftet jeder ausgehenden Nachricht eine kryptografische Signatur an: Der Absender signiert mit einem privaten Schlüssel, und der Empfänger prüft diese Signatur mit einem im DNS veröffentlichten öffentlichen Schlüssel. Wurde die Nachricht unterwegs verändert oder ohne den Schlüssel gefälscht, hält die Signatur nicht. DKIM belegt somit sowohl die Herkunft als auch die Unversehrtheit der Nachricht. Die genaue Funktionsweise ist in die kryptografische Signatur der Nachrichten beschrieben.

Der private DKIM-Schlüssel ist ein erstrangiges Geheimnis: Wer ihn besitzt, kann Post im Namen der Domain signieren und ihre Abwehr passieren, als wäre er ihr rechtmäßiger Inhaber. Er hat in einer versionierten Konfigurationsdatei, einem Ticket oder einem Chat-Kanal nichts verloren — sein Platz ist ein dedizierter Secrets-Tresor wie Hucency Vault, vom Cybersicherheitsspezialisten Hucency, der diese Art Geheimnis unter kontrolliertem, protokolliertem Zugriff zentralisiert.

DKIM-Selektor

Der Selektor ist eine einfache Kennung, die es einer Domain erlaubt, mehrere DKIM-Schlüssel parallel zu betreiben. Er erscheint im DKIM-Signature-Header (Feld s=) und verweist auf den DNS-Eintrag des passenden öffentlichen Schlüssels, unter selektor._domainkey.beispiel.de. Dank ihm kann jeder Dienstleister (die Mail-Plattform, das Marketing-Tool, die Rechnungsstellung) mit seinem eigenen Schlüssel signieren, und diese Schlüssel lassen sich rotieren, ohne alles auf einmal zu brechen. Seine Rolle wird in der Selektor, erklärt ausgeführt.

DMARC

DMARC ist die Schicht, die SPF und DKIM an die sichtbare Domain im From:-Feld knüpft und den Empfängern sagt, was bei einem Fehlschlag zu tun ist. Es ist ein DNS-Eintrag (v=DMARC1), der eine Richtlinie festlegt — nichts tun, unter Quarantäne stellen oder zurückweisen — und Berichte anfordert. Ohne DMARC schützen SPF und DKIM technische Kennungen, die der Nutzer nie sieht; DMARC ist das, was endlich die angezeigte Adresse schützt. Die vollständigen Prinzipien stehen in Grundlagen des Standards.

Ausrichtung (Alignment)

Die Ausrichtung ist das Herz von DMARC: Sie verlangt, dass die von SPF oder DKIM validierte Domain mit der Domain im sichtbaren From: übereinstimmt. Eine Nachricht kann SPF und DKIM auf technischen Domains eines Dritten bestehen und dennoch die angezeigte Adresse fälschen; die Ausrichtung schließt diese Lücke, indem sie die Übereinstimmung erzwingt. DMARC gelingt, sobald mindestens einer der beiden (SPF oder DKIM) ausgerichtet ist. Der Mechanismus wird in SPF, DKIM und DMARC gemeinsam erklärt seziert.

Richtlinie (`p=none` / `quarantine` / `reject`)

Der p-Tag des DMARC-Eintrags bestimmt das Schicksal nicht authentifizierter Nachrichten. p=none beobachtet, ohne zu handeln (gefälschte Nachrichten kommen durch, aber die Berichte laufen ein); p=quarantine legt sie in den Spam; p=reject blockiert sie an der Tür. Nur p=reject schützt eine Domain wirklich — p=none ist ein Diagnoseschritt, kein Ziel. Die Wahl zwischen den beiden Durchsetzungsstufen wird in quarantine oder reject behandelt.

Die Berichte

RUA (aggregierter Bericht)

RUA-Berichte sind tägliche XML-Zusammenfassungen, die Empfänger an die im rua=-Tag angegebene Adresse zurücksenden. Sie erfassen pro Versandquelle die Mail-Volumina und die SPF/DKIM/DMARC-Ergebnisse — ohne je den Inhalt der Nachrichten offenzulegen. Das ist das Radar einer Domain: Sie offenbaren, wer in ihrem Namen sendet, legitim oder nicht, und leiten den Hochlauf zu p=reject. Ihre Lektüre wird in Rückmeldungen der Empfänger deuten erklärt.

RUF (Fehlerbericht)

RUF-Berichte (oder forensische Berichte) werden laufend gesendet, Nachricht für Nachricht, wenn eine E-Mail an der Authentifizierung scheitert. Sie sind weit detaillierter als RUA — sie können Header und Fragmente der Nachricht enthalten — was ernste Datenschutzfragen aufwirft, so sehr, dass die meisten Empfänger sie nicht mehr ausstellen. Der Wesensunterschied zwischen den beiden Kanälen wird in beide Berichtsarten im Vergleich entfaltet.

DMARCbis und die Neuerungen

DMARCbis

DMARCbis ist die 2026 veröffentlichte Überarbeitung von DMARC, die die ursprüngliche RFC 7489 (2015) ersetzt und das Protokoll auf den offiziellen Standards-Track hebt. Gleiches Prinzip, gleiche Kennung v=DMARC1: kein Bruch, sondern ein neu geschriebener Text mit neuen Tags (np, t) und einem robusteren Mechanismus zur Domain-Zuordnung. Der bestehende Eintrag bleibt gültig. Was sich wirklich ändert, ist in die Überarbeitung der Norm beschrieben.

`np`-Tag

Der np-Tag legt die Richtlinie fest, die auf Subdomains angewandt wird, die nicht existieren. Das ist ein klassisches Fälschungsziel: Ein Angreifer kann rechnung.beispiel.de fälschen, selbst wenn diese Subdomain nie angelegt wurde, weil sie standardmäßig durch nichts geschützt ist. np=reject zu setzen schließt diese Tür ohne jedes Risiko für die legitime Post, da diese Subdomains nichts senden. Seine Funktionsweise ist in der Tag für nicht sendende Subdomains beschrieben.

`t`-Tag

Der t-Tag ersetzt das alte pct und führt einen binären Testmodus ein: t=y signalisiert ein laufendes Experiment, dessen Richtlinie die Empfänger noch nicht strikt durchsetzen sollen. Er dient dazu, die Wirkung einer Verschärfung zu beobachten, bevor sie wirklich aktiviert wird, gestützt auf die Berichte statt auf einen zufälligen Prozentsatz an Nachrichten. Seine Verwendung wird in der Tag für den Testmodus erklärt.

DNS Tree Walk

Der DNS Tree Walk ist der Mechanismus, mit dem in DMARCbis die organisatorische Domain durch eine Folge schrittweiser DNS-Abfragen (höchstens acht) bestimmt wird, indem der Namensbaum hinaufgestiegen wird. Er ersetzt die Public Suffix List, eine extern von Hand gepflegte Liste, von der DMARC zuvor abhing. Das Ergebnis: mehr Vorhersagbarkeit, keine Abhängigkeit von einer Fremddatei. Der genaue Ablauf ist in der DNS Tree Walk erklärt beschrieben.

Organisatorische Domain

Die organisatorische Domain ist die „Wurzel"-Domain, unter der die Subdomains leben — zum Beispiel meine-bank.de für mail.meine-bank.de. DMARC stützt sich auf diesen Begriff für zwei Dinge: zu entscheiden, ob SPF oder DKIM ausgerichtet ist (entspannte Ausrichtung), und zu wissen, welche Subdomain-Richtlinie (sp) gilt. Wie DMARCbis sie nun berechnet — über den Tree Walk statt über eine Liste — steht im Zentrum von was sich in DMARCbis ändert.

Transport und Nachverfolgbarkeit

MTA-STS

MTA-STS (Mail Transfer Agent Strict Transport Security) erzwingt die TLS-Verschlüsselung des Transports zwischen Mailservern und verhindert, dass ein Angreifer die Verbindung auf Klartext herabstuft. Veröffentlicht wird eine Richtlinie (über einen DNS-Eintrag und eine per HTTPS ausgelieferte Datei), die verlangt, dass eingehende Post die Domain nur über eine verschlüsselte, authentifizierte Verbindung erreicht. Es ist die „Transport"-Ergänzung zur „Inhalts"-Authentifizierung, die SPF, DKIM und DMARC leisten. Seine Einrichtung ist in Transportverschlüsselung, erklärt beschrieben.

TLS-RPT

TLS-RPT (TLS Reporting) ist der zu MTA-STS gehörende Berichtskanal: Er bittet entfernte Server, TLS-Aushandlungsfehler zu melden, wenn sie Post an die Domain senden. Eine Adresse in einem _smtp._tls-DNS-Eintrag genügt, und es laufen Zusammenfassungen ein, die Verschlüsselungsprobleme sichtbar machen, bevor sie die Transportsicherheit stillschweigend verschlechtern. Das Detail steht in Transportberichte erklärt.

ARC (Authenticated Received Chain)

ARC bewahrt das Authentifizierungsergebnis einer Nachricht, wenn sie durch einen Vermittler läuft — eine Mailingliste, einen Weiterleitungsdienst —, der den Inhalt legitim verändert und sonst SPF und DKIM brechen würde. Jedes ARC-konforme Relais signiert eine „Kette", die bezeugt, dass die Authentifizierung beim Eingang gültig war, was der Endempfänger berücksichtigen kann. ARC ersetzt DMARC nicht; es verhindert, dass legitime indirekte Ströme zu Unrecht zurückgewiesen werden.

BIMI und die Markendarstellung

BIMI (Brand Indicators for Message Identification)

BIMI zeigt das Markenlogo neben den Nachrichten in den Posteingängen an, die es unterstützen (Gmail, Yahoo, Apple Mail…). Es ist die sichtbare Belohnung für eine gut geführte Domain: BIMI wird nur Domains auf p=quarantine oder p=reject gewährt, was es ebenso zu einem Vertrauenssignal wie zu einem Marketinghebel macht. Veröffentlicht wird ein DNS-Eintrag, der auf das Logo im SVG-Format verweist. Die vollständige Einrichtung steht in das Logo bei Gmail einrichten.

VMC (Verified Mark Certificate)

Das VMC ist ein Zertifikat, das den rechtmäßigen Besitz des über BIMI angezeigten Logos belegt. Von einer Zertifizierungsstelle nach Prüfung der eingetragenen Marke ausgestellt, wird es von Gmail und anderen verlangt, um das Logo anzuzeigen. Es ist das Stück, das einen Betrüger daran hindert, die visuelle Identität einer bekannten Marke zu kapern. Seine Rolle und seine Kosten sind in das VMC-Zertifikat für BIMI beschrieben.

CMC (Common Mark Certificate)

Das CMC ist eine zugänglichere Alternative zum VMC, gedacht für Logos, die keine eingetragenen Marken sind (etwa eine Behörde oder eine Organisation ohne registrierte Marke). Es erlaubt, ein Logo über BIMI anzuzeigen, ohne die für ein VMC nötige Markeneintragung, im Gegenzug für andere Formen der Prüfung. Die Fälle, in denen es greift, sind in Logo ohne Zertifikat dargelegt.

Die Bedrohungen

Spoofing (Fälschung)

Spoofing bedeutet, die Absenderadresse einer E-Mail zu fälschen, damit sie aussieht, als käme sie von einem legitimen Absender. Technisch trivial — die From:-Adresse ist nur ein frei veränderbares Textfeld — ist es die grundlegende Bedrohung, zu deren Neutralisierung SPF, DKIM und vor allem DMARC existieren. Solange eine Domain nicht auf p=reject steht, kann jeder Post unter ihrem Namen versenden. Die Mechanismen und Gegenmaßnahmen sind in was ist E-Mail-Spoofing beschrieben.

Phishing

Phishing ist ein Angriff, der das Opfer manipuliert, damit es Zugangsdaten, eine Zahlung oder eine sensible Handlung preisgibt, oft mittels einer E-Mail, die sich als vertrauenswürdige Quelle ausgibt. Domain-Spoofing ist sein wirksamster Treibstoff: Eine Nachricht, die wirklich von der Hausbank oder vom Arbeitgeber zu kommen scheint, senkt jede Abwehr. Das Spoofing an der Quelle zu kappen verkleinert die Angriffsfläche entsprechend, wie Phishing auf der eigenen Domain verhindern erklärt.

BEC (Chef-Betrug)

BEC (Business Email Compromise), der Chef-Betrug, zielt auf eine Organisation, indem er sich als Führungskraft oder Lieferant ausgibt, um eine betrügerische Überweisung oder ein Datenleck anzuordnen. Es ist einer der teuersten Betrugsarten, weil er auf Autorität und Dringlichkeit setzt statt auf eine technische Schwäche — doch das Fälschen einer legitimen Domain macht ihn furchterregend glaubwürdig. Die Vorgehensweise und die Abwehr sind in Chef-Betrug (BEC) beschrieben.

Wo anfangen

Dieses Glossar beschreibt eine Vorkehrung; sie umzusetzen beginnt stets mit einer Bestandsaufnahme. Der schnellste Weg zu wissen, wo eine Domain steht — welche DMARC-Richtlinie, welche SPF/DKIM-Ausrichtung, welche Quellen in ihrem Namen senden — ist, sie durch einen kostenlosen DMARC-Analyzer laufen zu lassen. Das liefert ein sofortiges Urteil über die aktuelle Haltung, die sich anschließend im DMARC-Observatorium mit dem eigenen Sektor vergleichen lässt.

Diese Diagnose in Handeln zu verwandeln — jede Quelle zu benennen, das zu veröffentlichende DNS zu generieren, jede Stufe von p=none bis p=reject zu nehmen, ohne einen einzigen legitimen Strom zu brechen — ist genau das, was Thomas, der virtuelle CISO, automatisiert. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.