Jemand sendet gefälschte E-Mails mit deiner Domain (Spoofing)

Was das bedeutet

E-Mail wurde ohne einen Nachweis entwickelt, wer der Absender ist. Jeder kann deine Adresse in die Absenderzeile schreiben, so wie jeder eine beliebige Absenderadresse auf einen Papierbrief schreiben kann. Das nennt man Spoofing.

Anzeichen dafür, dass es dich betrifft:

• Du bekommst Bounces für E-Mails, die du nie gesendet hast.
• Kunden oder Partner erzählen dir, dass sie seltsame Rechnungen, Zahlungsaufforderungen oder Links „von dir“ bekommen haben.
• DMARC-Berichte zeigen Server, die du nicht kennst und die mit deiner Domain senden.

Warum das wichtig ist

Gefälschte E-Mails werden für Phishing und Rechnungsbetrug genutzt. Sie schaden deinen Kunden und deiner Marke und können die Reputation deiner Domain bei Postfach-Anbietern beschädigen.

Hinweis: Wenn dein eigenes Postfach gehackt wurde, kommen die E-Mails wirklich von dir. Ändere zuerst das Passwort, schalte die Zwei-Faktor-Anmeldung ein und prüfe die Weiterleitungsregeln.

So prüfst du es

• Nutze den Domain-Scanner unter /domain-scanner: Prüfe, ob SPF, DKIM und DMARC vorhanden sind, und sieh dir deine DMARC-Richtlinie an.
• Lies die DMARC-Berichte: Sie listen jede IP auf, die mit deiner Domain E-Mails gesendet hat, und ob sie bestanden hat. Das DMARC-Monitoring von Delivmail im kostenpflichtigen Dashboard empfängt sie und fasst sie für dich zusammen.
• Wenn du eine verdächtige E-Mail hast, sieh dir ihre Header an: Eine E-Mail, bei der SPF und DKIM für deine Domain scheitern, ist nicht von dir.

So behebst du es

1. Richte SPF und DKIM ein für jeden Dienst, der rechtmäßig für dich sendet.
2. Veröffentliche DMARC im Beobachtungsmodus, wenn du es noch nicht hast:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

3. Lies die Berichte zwei bis vier Wochen lang. Sortiere die Quellen in „meine“ (bring ihr SPF oder DKIM in Ordnung) und „nicht meine“ (Spoofing).
4. Stell auf quarantine um, sobald alle deine echten Absender bestehen:

   v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

5. Stell dann auf reject um, das sagt Empfängern, dass sie gefälschte E-Mails ablehnen sollen:

   v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

6. Schütze deine anderen Domains: Domains, die nie E-Mails senden, sollten v=spf1 -all und einen DMARC-Eintrag mit p=reject haben.
7. Beobachte weiter. Neue Tools, die du später hinzufügst, müssen authentifiziert sein, sonst blockiert p=reject sie.

Was DMARC nicht kann

DMARC schützt genau deine Domain. Es verhindert keine ähnlich aussehenden Domains wie yourdomaín.com oder yourdomain-billing.com. Warne deine Kunden und melde gefälschte Domains bei ihrem Registrar.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner erneut: Die DMARC-Richtlinie sollte reject zeigen. Sende eine Test-E-Mail über die Startseite, um sicherzugehen, dass deine eigenen E-Mails weiterhin bestehen. In den folgenden Wochen sollten die DMARC-Berichte gefälschte E-Mails als abgelehnt zeigen.