Lieferanten-Mail-Sicherheit prüfen – bevor Sie zahlen
Täglich treffen in deutschen Unternehmen Rechnungen per E-Mail ein. Was viele nicht wissen: Die Absender-Domain lässt sich fälschen – lautlos, ohne dass der Empfänger es bemerkt. Der Dienst zeigt auf einen Blick, wie sicher die Mail-Domain jedes einzelnen Lieferanten konfiguriert ist, bevor Sie die Zahlung auslösen. Er gehört zu den Lösungen im Überblick von liqui.de.
- Keine Installation nötig
- Ergebnis in Sekunden
- Einzelne Domain oder gesamte Lieferantenliste
- Automatische Änderungsbenachrichtigung
Das Risiko: Ihre Überweisung landet beim Betrüger
Eine gefälschte Rechnung sieht aus wie eine echte. Absendername, Betreff, Layout – alles stimmt, bis auf eine einzige geänderte Zahl: die IBAN. Möglich wird das, wenn die Absender-Domain des Lieferanten schlecht gesichert ist und Angreifer E-Mails in dessen Namen verschicken können, ohne geblockt zu werden.
Weniger als 15 von 100 deutschen Domains sind vollständig gegen Domain-Spoofing geschützt. Bei der überwältigenden Mehrheit Ihrer Lieferanten könnte ein Angreifer heute eine gefälschte Rechnung versenden, ohne dass Ihr Postfachserver sie automatisch erkennt.
IBAN-Manipulation über gefälschte E-Mail-Rechnungen ist in Deutschland eine aktiv dokumentierte Betrugsmasche – und wer erst nach der Überweisung prüft, hat ein Problem.
Quellen: DMARC-Adoptionsdaten EU, dmarcdkim.com (Juni 2026) · DMARC Adoption 2026, dmarcreport.com · IBAN-Manipulation über E-Mail-Rechnungen, abg-net.de (März 2026)
Was der Dienst prüft – und was die Ampel bedeutet
Der Dienst liest die öffentlich zugänglichen DNS-Einträge der Lieferanten-Domain aus: SPF (wer darf Mails verschicken?), DKIM (ist die Mail signiert?) und DMARC (was passiert mit nicht autorisierten Mails?). Das Ergebnis erscheint als klares Ampelsignal:
- Grün – Domain ist technisch gut abgesichert; Absender lässt sich schwer fälschen.
- Gelb – Teilschutz; DMARC-Policy ist auf Monitoring gesetzt (
p=none); kein aktiver Block gefälschter Mails. - Rot – kein oder unvollständiger Schutz; Absender-Domain ist leicht fälschbar; bei Zahlungsfreigaben besondere Vorsicht geboten.
Einzelne Domains prüfen Sie manuell in Sekunden. Die gesamte Lieferantenliste übernimmt der Dienst automatisiert – und meldet, sobald sich die Sicherheitslage eines Lieferanten verändert.
Warum das Thema jetzt dringlicher wird
E-Mail bleibt der dominierende Kanal für den Rechnungseingang in Deutschland. DATEV empfiehlt Peppol-basierte Netzwerke als sichersten Kanal – für alle Unternehmen, die weiterhin E-Mail nutzen, fehlt bisher ein einfacher Zwischen-Check direkt im Rechnungseingangs-Workflow. Genau diese Lücke schließt der Dienst.
BEC-Angriffe (Business E-Mail Compromise) zählen laut FBI IC3 2024 Annual Report konstant zu den schadensstärksten Angriffsvektoren weltweit (FBI IC3 2024 (PDF)). Kein deutschsprachiges B2B-Werkzeug positioniert diesen Check heute für den Rechnungseingang. Der Schutz ist technisch trivial umzusetzen; die Lücke liegt in der zugänglichen Verpackung für Buchhaltung und Geschäftsführung.
Mehr zum Wandel bei der E-Rechnung: E-Rechnungspflicht 2025–2028 · Lieferanten auf E-Rechnungs-Fähigkeit prüfen
Wie funktioniert das technisch?
SPF, DKIM, DMARC – was hinter den DNS-Einträgen steckt, wie die Bewertungsmatrix aussieht und wie ERP- und IT-Verantwortliche die Lieferantenliste automatisiert in den Freigabe-Workflow einbinden.
Technik-Hintergrund lesen →
Ich habe dieses Problem
Neue IBAN, unbekannter Absender, mulmiges Gefühl vor der Zahlung – so gehen Sie in der Buchhaltung Schritt für Schritt vor, ohne technisches Vorwissen.
Praxisanleitung für die Buchhaltung →
Was ist Domain-Spoofing und warum betrifft es meinen Rechnungseingang?
Beim Domain-Spoofing versenden Angreifer E-Mails, die scheinbar von einer vertrauten Absender-Domain stammen – z. B. von der Domain Ihres Lieferanten. Ist diese Domain schlecht gesichert, blockt kein Mailserver die gefälschten Nachrichten automatisch. Im Rechnungseingang bedeutet das: Eine Fake-Rechnung mit geänderter IBAN sieht aus wie eine echte.
Was bedeutet DMARC `p=none` – und warum schützt das nicht?
`p=none` ist der DMARC-Monitoring-Modus. E-Mail-Server erhalten Berichte über verdächtige Mails – blocken aber keine einzige. Wer `p=none` setzt, sammelt Daten und schützt niemanden. Für Ihren Rechnungseingang ist das gleichbedeutend mit keinem aktiven Schutz. Rund 56 % aller Domains mit DMARC-Eintrag stehen auf diesem Status (Quelle: dmarcreport.com, 2026).
Schützt die Domain-Prüfung auch vor Look-alike-Domains?
Nein – und das ist wichtig zu wissen. Der Dienst prüft die exakte Absender-Domain. Schreibvarianten wie `rn` statt `m` oder andere Tippfehler-Domains (sogenannte Look-alike-Domains) umgehen DMARC technisch. Der Dienst macht das transparent: Er benennt klar, was er prüft und wo zusätzliche manuelle Kontrolle sinnvoll ist.
Was tue ich, wenn eine Lieferanten-Domain rot angezeigt wird?
Verifizieren Sie Zahlungsdaten telefonisch über eine bekannte Nummer – unabhängig von der E-Mail. Informieren Sie bei Gelegenheit Ihren Lieferanten über die Sicherheitslücke in seiner Domain-Konfiguration. Langfristig empfiehlt sich der Wechsel auf strukturierten Datenaustausch über Peppol. Der Dienst hält Sie informiert, sobald ein Lieferant seinen Schutz verbessert.
Wie prüfe ich meine gesamte Lieferantenliste auf einmal?
Der Dienst nimmt Ihre Lieferantenliste entgegen und prüft alle Domains automatisch – mit Ampelstatus pro Lieferant und Benachrichtigung, wenn sich die Sicherheitslage verändert. Einzelne Domains lassen sich jederzeit manuell abfragen.
Ersetzt der Domain-Check eine E-Rechnung über Peppol?
Nein. Strukturierte E-Rechnungen über Peppol sind der sicherste Kanal und ersetzen langfristig die E-Mail-Rechnung. Der Domain-Check ist der pragmatische Zwischenschritt für Unternehmen, die heute noch E-Mails empfangen und nicht warten können, bis alle Lieferanten migriert sind. DATEV empfiehlt Peppol ausdrücklich als sicherste Option; hier mehr zur E-Rechnungspflicht.
Jede Zahlung auf geprüftem Grund
Wer die Mail-Sicherheit jedes Lieferanten kennt, bevor die Überweisung ausgelöst wird, ersetzt Vertrauen durch Fakten – und behält die Kontrolle darüber, welche Zahlung freigegeben wird und welche erst nach Rückfrage.
Gebaut von Leuten, die denselben Engpass aus der Praxis kennen.
