NIS2 und E-Mail-Authentifizierung: was die Richtlinie wirklich erwartet

Von Thomas · virtueller CISO · 2026-08-05

Die Richtlinie NIS2 (Network and Information Security 2) ist die größte Ausweitung der europäischen Cyber-Regulierung seit einem Jahrzehnt. Sobald sie in das Recht jedes Mitgliedstaats umgesetzt ist, hebt sie die Zahl der Organisationen mit Cybersicherheitspflichten von einigen Tausend auf mehrere Zehntausend in der gesamten Union. Sie spricht das Wort „DMARC" nie aus — und dennoch ist die E-Mail-Authentifizierung, sobald eine Organisation in den Anwendungsbereich fällt, eine der allerersten Kontrollen, die ein Prüfer oder eine Aufsichtsbehörde ansehen wird. Dieser Artikel erklärt, warum, und was zu tun ist, bevor die Frage überhaupt gestellt wird.

Was NIS2 wirklich ändert

Die ursprüngliche NIS-Richtlinie zielte auf eine Handvoll Betreiber von wesentlicher Bedeutung. NIS2 weitet den Anwendungsbereich in drei Richtungen zugleich aus, und es ist diese Kombination, die die meisten Organisationen überrascht.

Viel mehr Sektoren. Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und öffentliche Verwaltung, aber auch Fertigung, Lebensmittel, Abfallwirtschaft, Postdienste und digitale Anbieter. Ganze Wirtschaftszweige, die sich nie als „kritisch" verstanden haben, sind es nun.
Ein Größenkriterium. In der Regel sind mittlere und große Einrichtungen (ab 50 Beschäftigten oder 10 Mio. € Umsatz) dieser Sektoren betroffen — mit Ausnahmen, die auch kleinere, als kritisch eingestufte Akteure erfassen.
Zwei Stufen. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht; wichtige Einrichtungen einer nachträglichen Kontrolle. Beide müssen dieselben Risikomanagementmaßnahmen erfüllen; nur das Aufsichtsregime unterscheidet sich.

Zwei Neuerungen verändern das Spiel für einen CISO. Erstens die Verantwortung der Leitung: Leitungsorgane müssen die Cybersicherheitsmaßnahmen billigen und überwachen und können persönlich haftbar gemacht werden. Zweitens Sanktionen, die für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes erreichen. Cybersicherheit hört auf, ein rein technisches Thema zu sein, und wird zu einem Governance- und Bilanzrisiko.

Warum E-Mail an vorderster Front steht

NIS2 verlangt in Artikel 21 „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen" zum Risikomanagement. Die Liste umfasst ausdrücklich Vorfallbehandlung, Sicherheit der Lieferkette, grundlegende Cyberhygiene und Schulung. Doch der Einfallsvektor Nummer eins für die Vorfälle, die diese Maßnahmen verhindern sollen, bleibt Jahr für Jahr die E-Mail: Phishing, Markenimitation, CEO-Fraud.

Das Fälschen der eigenen Domain ist ein besonders gefährlicher Fall, weil es die Wachsamkeit der Korrespondenten umgeht. Eine E-Mail, die genau From: buchhaltung@organisation.de anzeigt, trägt die Autorität dieser Organisation, passiert die an ihre Domain gekoppelten Reputationsfilter und weckt keinerlei Verdacht. Das ist der Grundmechanismus des E-Mail-Spoofings, und genau das soll die Domain-Authentifizierung verhindern. Solange die Domain fälschbar bleibt, steht ein Teil der „Lieferketten"-Angriffsfläche — die Lieferanten, Kunden und Behörden, die im Namen der Organisation gefälschte Post erhalten — offen, ganz gleich, was intern sonst unternommen wird.

DMARC: die Kontrolle, der NIS2 schwer auszuweichen ist

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist der Standard, der empfangenden Servern sagt, was mit einer Nachricht zu tun ist, die vorgibt, von der geschützten Domain zu stammen, aber an der SPF- und DKIM-Authentifizierung scheitert. In einer Durchsetzungs-Richtlinie — p=quarantine oder besser p=reject — sorgt er dafür, dass gefälschte Nachrichten abgewiesen oder isoliert werden, bevor sie je einen Posteingang erreichen.

Warum erfüllt gerade diese Kontrolle so viele NIS2-Kriterien?

Die Kontrolle ist technisch und standardisiert: ein öffentlicher DNS-Eintrag, von jedem überprüfbar, ohne proprietäre Software.
Das Ergebnis ist prüfbar: Die Haltung einer Domain ist öffentlich und in Sekunden lesbar. Ein Prüfer kann sie feststellen, ohne die Organisation überhaupt zu kontaktieren.
Der Betrieb erzeugt Nachweise: aggregierte DMARC-Berichte (RUA) dokumentieren fortlaufend, wer im Namen der Domain sendet, was direkt in die Vorfallerkennung und die Überwachung der Lieferkette einfließt.
Der Aufwand bleibt gering: keine Lizenz, eine in Wochen messbare Einführung, ein beherrschbares Risiko, sofern ein schrittweiser Hochlauf eingehalten wird.

Kurz: Es ist genau die Art „geeigneter und verhältnismäßiger" Maßnahme, die die Richtlinie fordert — ein unschlagbares Kosten-Nutzen-Verhältnis gegen ein erwiesenes Risiko.

„Aber NIS2 sagt nicht DMARC"

Stimmt, und das mit Absicht. Der europäische Gesetzgeber schreibt Ergebnispflichten, keine technischen Rezepte, die schon vor der Umsetzung veraltet wären. Er erwartet „geeignete Maßnahmen" und überlässt es dem Stand der Technik, welche das sind. Für den Domain-Schutz gegen E-Mail-Fälschung ist der Stand der Technik SPF + DKIM + DMARC: Eine anerkannte Alternative gibt es nicht. Wenn ein Branchenrahmen, ein Cyber-Versicherungsfragebogen oder ein Prüfer den konkreten Nachweis sucht, dass dieses Risiko gesteuert wird, ist es die DMARC-Richtlinie, die sie prüfen.

Das Marktsignal weist ohnehin schon in dieselbe Richtung, unabhängig von der Regulierung: Die Absenderanforderungen von Gmail und Yahoo machen DMARC seit 2024 zur Voraussetzung für jeden Massenversand. Zwischen dem regulatorischen Druck und dem Druck der großen Mailbox-Anbieter schließt sich das Fenster, in dem man folgenlos bei p=none verharren konnte.

Was konkret zu tun ist

Hier ist die Abfolge, die ein betroffener CISO ohne Warten auf die endgültige nationale Umsetzung starten sollte:

Jede Domain inventarisieren. Nicht nur die Hauptdomain: Nebenmarken, Kampagnendomains, zugekaufte Altdomains und solche, die gar keine Post senden. Jede ist eine potenzielle Fälschungsfläche.
DMARC zuerst auf p=none veröffentlichen. Das anfängliche Ziel ist Beobachtung, nicht Blockade. Die aggregierten Berichte offenbaren den gesamten realen Versandpark — fast immer breiter, als das Team annahm.
Jede legitime Quelle ausrichten. SPF und DKIM für jede Plattform (ERP, CRM, Marketing-Tool, Abrechnungsdienstleister) einstellen, bis sie ausgerichtet besteht, mit dem Ziel der DKIM-Ausrichtung, die die Weiterleitung übersteht.
Die Richtlinie bewusst hochfahren. Auf quarantine, dann reject wechseln und bei jedem Schritt die Berichte beobachten. Das genaue Vorgehen steht in p=reject erreichen, ohne die E-Mails zu brechen.
Nicht existierende Subdomains sperren. Mit DMARCbis schließt das np-Tag Subdomains, die nichts senden, aber fälschbar bleiben — eine Härtung mit nahezu null Risiko.
Die Nachweise aufbewahren. Berichte und Verlauf der Haltung archivieren: Das ist der Prüfpfad, der aktives Risikomanagement belegt, nicht ein einmal abgehaktes Kästchen.

Der eigentliche Einsatz: von `none` zu `reject`

Die häufigste Falle, unter NIS2 wie anderswo, ist der Glaube, ein veröffentlichter DMARC-Eintrag genüge. Eine Domain auf p=none bietet keinerlei Schutz: Sie beobachtet die Fälschung nur, ohne sie zu blockieren. Vor einem Prüfer sagt „wir haben DMARC" nichts; „unsere Publikumsdomain steht seit sechs Monaten auf p=reject, mit fortlaufender Überwachung" ist eine belastbare Aussage. Das ist der Unterschied zwischen Papier-Compliance und realer Haltung — und es ist auch das Kernthema im Finanzwesen, wo durchgesetztes DMARC die am häufigsten imitierten Marken schützt, eine Argumentation, die sich direkt auf die von NIS2 erfassten Behörden übertragen lässt.

Die DORA-Compliance für den Finanzsektor folgt genau derselben Logik der operationellen Resilienz: Fällt eine Organisation unter beide Regime, sind sie als ein einziges Authentifizierungsprojekt zu behandeln, im Detail auf der Finanzseite in den E-Mail-Anforderungen von DORA beschrieben. Und wer diese Pflicht in wiederverwendbare Prüfnachweise verwandeln will, findet in DMARC einen Baustein, der sich natürlich in ein ISO-27001-Managementsystem einfügt.

Die Zeit arbeitet gegen die Nachzügler

Die Umsetzung von NIS2 läuft in den Mitgliedstaaten, mit unterschiedlichem Tempo, aber identischer Richtung. Die Falle ist, dass sich E-Mail-Authentifizierungs-Compliance nicht am Vorabend einer Prüfung improvisieren lässt. Zwischen der Veröffentlichung von DMARC auf p=none, dem Sammeln mehrerer Wochen an Berichten zur Kartierung des realen Parks, der Ausrichtung jeder Quelle und dem vorsichtigen Hochlauf auf p=reject vergehen typischerweise ein bis drei Monate — mehr für einen großen Multi-Domain-Konzern. Früh zu beginnen verschafft die Zeit, es zu tun, ohne legitime Post zu brechen; spät zu beginnen erzwingt die Wahl zwischen brutaler Durchsetzung, riskant für die Zustellbarkeit, und einem nun sanktionierbaren Compliance-Verzug.

Es gibt auch einen Governance-Grund. Da NIS2 die persönliche Haftung der Leitung begründet, ist die Frage „ist unsere Domain fälschbar?" keine Sache des Technikteams mehr: Es ist eine Frage, die die Geschäftsführung mit Nachweisen beantworten können muss. Eine Domain auf p=reject mit einem Überwachungsverlauf ist eine Antwort, die man einem Vorstand wie einer Behörde gelassen präsentiert; ein seit zwei Jahren vergessenes p=none ist ein Risiko, das niemand namentlich verantworten möchte.

Ein Projekt, mehrere Regime

Ein abschließender Punkt für alle, die den Aufwand abwägen: Diese Arbeit wird nicht einmal ausgegeben und unter einer einzigen Überschrift vergessen. Dieselbe durchgesetzte Haltung, dieselben archivierten Berichte und der dokumentierte Hochlauf erfüllen die Risikomanagementpflicht von NIS2, speisen den Sicherheitsteil der DSGVO und fügen sich als wiederverwendbarer Nachweis in ein ISO-27001-Managementsystem ein. Es entstehen nicht drei getrennte Akten, sondern eine solide Kontrolle, die unter drei regulatorischen Blickwinkeln präsentiert wird. Für ein knapp besetztes Sicherheitsteam ist diese Wiederverwendung oft das entscheidende Argument — die günstigste Compliance ist die Kontrolle, die nur einmal umzusetzen ist und sich danach von überall dort ansteuern lässt, wo sie gebraucht wird.

Dieser Hebel wirkt auch nach oben: Eine Kontrolle, deren Haltung öffentlich und datiert ist, lässt sich einem Vorstand in einem Satz erklären und einer Aufsichtsbehörde ohne langwieriges Beweisverfahren vorlegen. Wenige Sicherheitsmaßnahmen verbinden einen so geringen Aufwand mit einer so breiten regulatorischen Wirkung — Grund genug, das Thema früh auf die richtige Ebene zu heben, statt es dem Technikteam allein zu überlassen.

Die eigene Exposition jetzt prüfen

Die gute Nachricht: Eine Standortbestimmung dauert Sekunden und kostet nichts. Eine in unseren kostenlosen DMARC-Analyzer eingegebene Domain liefert ein sofortiges Urteil über die aktuelle Richtlinie; der Sektorvergleich folgt auf einen Blick im DMARC-Observatorium — die öffentliche Verwaltung zählt zu den verfolgten Sektoren, und der wiederkehrende Befund ist, dass ein beachtlicher Anteil der Einrichtungen im reinen Beobachtungsmodus verharrt.

Einen Multi-Domain-Park auf p=reject zu bringen und dabei einen sauberen Prüfpfad zu halten, ist genau das, wofür Thomas, der virtuelle CISO, gebaut ist: Er benennt jede Versandquelle, generiert das zu veröffentlichende DNS, bewertet die Bereitschaft pro Domain auf gleitenden Daten und nennt den Zeitpunkt, an dem jede sicher durchgesetzt werden kann. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.

DMARC anwenden — konkret

Thomas, der virtuelle CISO von DMARC.com, identifiziert jede legitime Versandquelle, schreibt die exakten DNS-Einträge und bringt eine Domain sicher von p=none zu p=reject — ohne den Mailverkehr zu stören.

Zu p=reject — kostenlos