Auf dieser Seite
Stellen Sie sich vor: Sie erhalten eine Rechnung von einem langjährigen Lieferanten. Die Absenderadresse stimmt: rechnung@mustermann-gmbh.de. Das Logo sieht aus wie immer, Ton und Aufmachung passen. Und trotzdem hat diese Mail ein Betrüger verschickt.
Das klingt nach Krimi, ist aber technisch erschreckend einfach möglich. Der Grund: E-Mail-Absenderadressen sind, anders als viele glauben, nicht automatisch echtheitsgeprüft. Ob das bei Ihren Lieferanten möglich ist, entscheiden drei Abkürzungen: SPF, DKIM und DMARC.
Sie müssen keine IT-Fachkraft sein, um das zu verstehen. Die folgende Erklärung braucht keine Vorkenntnisse.
Warum E-Mail wie eine Postkarte ist
Stellen Sie sich einen Brief per Post vor. Auf dem Umschlag schreiben Sie einen Absender: Die Post prüft nicht, ob er stimmt. Jeder kann „Finanzamt Musterstadt" auf einen Umschlag schreiben und irgendetwas verschicken.
E-Mail funktioniert technisch genauso. Die Absenderadresse, die Sie in Ihrem Posteingang sehen, ist kein technisch gesichertes Merkmal. Sie kann von jedem Rechner weltweit frei gesetzt werden, solange der Empfänger-Mailserver das nicht aktiv prüft.
Genau das prüfen SPF, DKIM und DMARC. Die drei Standards legen zusammen fest: „Darf dieser Server überhaupt E-Mails von dieser Domain versenden, und kann ich das beweisen?"
SPF: die Gästeliste
SPF steht für Sender Policy Framework. Das Prinzip: Ihr Lieferant hinterlegt eine Art Gästeliste im Internet. Darauf stehen alle Server, die berechtigt sind, E-Mails in seinem Namen zu versenden.
Wenn Ihr Mailserver eine Rechnung von rechnung@mustermann-gmbh.de empfängt, schaut er kurz nach: „Steht der Absende-Server auf der Gästeliste von mustermann-gmbh.de?" Steht er nicht drauf, ist die Mail verdächtig.
Wichtig: SPF allein reicht nicht aus. Ein entschlossener Angreifer kann bestimmte E-Mail-Header so setzen, dass die SPF-Prüfung trotzdem besteht. Deshalb braucht es das zweite Schloss.
DKIM: das Siegel
DKIM steht für DomainKeys Identified Mail. Stellen Sie sich vor, Ihr Lieferant klebt auf jeden ausgehenden Brief ein Wachssiegel, und zwar eines, das nur er erstellen kann.
Ihr Mailserver prüft dieses Siegel automatisch beim Empfang. Ist es gültig, kommt die Mail wirklich von mustermann-gmbh.de. Ist das Siegel nicht vorhanden oder beschädigt, stimmt etwas nicht.
DKIM schützt außerdem davor, dass eine Mail auf dem Weg zwischen Absender und Empfänger verändert wird, denn dann würde das Siegel nicht mehr passen.
DMARC: die Regel, was bei Verdacht passiert
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Das klingt komplizierter als es ist: DMARC ist die übergeordnete Regel, die SPF und DKIM verbindet.
Die entscheidende Frage: Was passiert, wenn eine Mail die Prüfung nicht besteht? Ihr Lieferant legt das in seinem DMARC-Eintrag fest:
| DMARC-Einstellung | Was passiert mit verdächtigen Mails |
|---|---|
p=none | Nichts: Die Mail kommt trotzdem an. Nur ein Bericht wird erstellt. Kein Schutz. |
p=quarantine | Die Mail landet im Spam-Ordner des Empfängers. Halber Schutz. |
p=reject | Die Mail wird abgelehnt und kommt gar nicht an. Voller Schutz. |
Ohne DMARC, oder mit p=none, kann im Grunde jeder E-Mails im Namen Ihres Lieferanten versenden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt SPF, DKIM und DMARC als Stand der Technik für sichere E-Mail-Kommunikation und hat dazu 2024 eine eigene Richtlinie veröffentlicht (BSI-Pressemitteilung zur TR-03182).
Was das für Ihren Rechnungseingang bedeutet
Sie prüfen bei eingehenden Rechnungen vermutlich: Stimmt die Bankverbindung? Passt der Betrag? Liegt eine Bestellung zugrunde? Das ist richtig und wichtig.
Aber ob die E-Mail wirklich von Ihrem Lieferanten stammt: Das entscheiden SPF, DKIM und DMARC. Und hier ist die unangenehme Wahrheit: Laut einer aktuellen Auswertung für Deutschland haben rund 32 % der deutschen Organisationen überhaupt kein DMARC eingerichtet. Von jenen, die es haben, stehen mehr als 80 % auf p=none, also ohne echte Schutzwirkung (Quelle: PowerDMARC Germany DMARC Report 2025).
Anders gesagt: Bei einem erheblichen Teil Ihrer Lieferanten wäre es für einen Angreifer technisch möglich, E-Mails in deren Namen zu versenden. Nicht weil der Lieferant unvorsichtig ist, sondern weil er schlicht noch nie davon gehört hat.
Drei Schritte, die Sie jetzt tun können
Schritt 1: Ruhig bleiben. SPF, DKIM und DMARC sind kein Alarmsignal, sondern ein Qualitätsmerkmal. Die überwiegende Mehrheit Ihrer eingehenden Rechnungen ist legitim. Es geht darum, das Risiko zu kennen und bei auffälligen Rechnungen besser einschätzen zu können.
Schritt 2: Auffällige Rechnungen besonders sorgfältig prüfen. Geänderte Bankverbindung, ungewöhnlicher Betrag, eine Absenderadresse, die Sie so noch nicht gesehen haben: Das sind Warnsignale. Rufen Sie bei solchen Rechnungen kurz beim Lieferanten an (über eine Nummer aus Ihren eigenen Unterlagen, nicht die in der fraglichen Mail). Einen systematischen Prüfrahmen für solche Fälle bietet gefälschte Rechnungen erkennen.
Schritt 3: Den Schutzstatus Ihrer Lieferanten sichtbar machen. Sie müssen das nicht selbst technisch prüfen. Die Software hinter liqui.de macht genau das sichtbar: Bei eingehenden Rechnungen per E-Mail zeigt der Dienst automatisch, ob die Absender-Domain technisch abgesichert ist, ohne IT-Aufwand auf Ihrer Seite.
Mehr dazu auf der Übersichtsseite: SPF, DKIM, DMARC: die Lösung für Ihren Rechnungseingang
Alle Themen zum Rechnungseingang auf einen Blick: Lösungen im Überblick
Übrigens: Wer regelmäßig PDF-Rechnungen per E-Mail empfängt und verarbeitet, findet weitere Hinweise unter PDF-Rechnungen per Mail sicher verarbeiten. Und wer wissen möchte, welche weiteren Sicherheitsmaßnahmen der Dienst bietet, kann das unter Sicherheit bei liqui.de nachlesen.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF legt fest, welche Server im Namen einer Domain E-Mails versenden dürfen. DKIM fügt jeder ausgehenden Mail eine kryptografische Unterschrift hinzu, die der Empfänger prüfen kann. DMARC verbindet beide Mechanismen und bestimmt, was bei einem negativen Prüfergebnis passiert: Ablehnung, Spam-Einstufung oder trotzdem zustellen.
Muss ich als Empfängerin etwas einrichten?
Nein. Als Empfänger von Rechnungen müssen Sie nichts konfigurieren. Die Prüfung übernimmt Ihr Mailserver automatisch. Was Sie tun können: dafür sorgen, dass der Schutzstatus Ihrer wichtigsten Lieferanten bekannt ist. Der Dienst macht das sichtbar.
Kann eine Mail echt sein, obwohl SPF oder DKIM fehlt?
Ja. Das Fehlen bedeutet nicht zwingend Betrug, denn viele seriöse Unternehmen haben diese Standards noch nicht eingerichtet. Es erhöht aber das Risiko. Bei auffälligen Rechnungen ist das Fehlen ein zusätzliches Warnsignal, das zum Rückruf beim Lieferanten raten lässt.
Was bedeutet DMARC „p=none"?
`p=none` ist die schwächste Einstellung: Es gibt einen DMARC-Eintrag, aber er hat keine Schutzwirkung. Mails, die SPF und DKIM nicht bestehen, werden trotzdem zugestellt. Echten Schutz bieten erst `p=quarantine` oder `p=reject`.
Bin ich oder mein Lieferant gesetzlich zur DMARC-Einrichtung verpflichtet?
Für Endkunden-Unternehmen gibt es Stand heute keine gesetzliche Pflicht. Das BSI empfiehlt die drei Standards als Stand der Technik (BSI TR-03182), primär adressiert an E-Mail-Dienstleister. Im Zweifel fragen Sie Ihre IT-Abteilung oder einen IT-Dienstleister.
Was tue ich, wenn ich eine verdächtige Rechnung erhalten habe?
Nicht bezahlen, bevor Sie Kontakt mit dem Lieferanten aufgenommen haben: über einen Kanal, den Sie unabhängig von der fraglichen Mail kennen (z. B. eine bekannte Telefonnummer aus Ihrer Kontaktdatenbank). Informieren Sie im Verdachtsfall auch Ihre Bank.
Absicherung, die im Prüfungsfall standhält
Wer bei eingehenden Rechnungen automatisch sieht, ob der Absender technisch verifiziert ist, trifft Zahlungsentscheidungen auf belegbarer Grundlage. Gegenüber Finanzbehörden und Wirtschaftsprüfern ist das eine nachweisbare Sorgfalt, die im Prüfungsfall zählt.
Gebaut von Leuten, die denselben Engpass aus der Praxis kennen.
