Kann jemand in Ihrem Namen Rechnungen verschicken?
Bei sehr vielen Betrieben lautet die Antwort ja — und niemand hat es ihnen je gesagt. Der Check liest dieselben öffentlichen Einträge, die auch ein Angreifer liest, und übersetzt sie in Klartext.
Der Check fragt nur öffentlich einsehbare DNS-Einträge und das TLS-Zertifikat der Website ab. Kein Portscan, kein Zugriff auf Ihre Systeme, keine Anmeldung. Wir speichern die geprüfte Domain nicht.
Ob Fremde E-Mails im Namen einer Domain verschicken können, hängt an drei DNS-Einträgen: SPF legt fest, welche Server senden dürfen, DKIM signiert ausgehende Nachrichten, und DMARC sagt dem Empfänger, was mit Nachrichten passieren soll, die durchfallen. Fehlt DMARC oder steht es auf `p=none`, wird nichts blockiert — die Nachricht landet beim Empfänger, als käme sie aus dem Betrieb.
Häufige Fragen zum Check
- Ist dieser Check legal, wenn ich eine fremde Domain eingebe?
- Ja. Abgefragt werden ausschließlich DNS-Einträge und das öffentlich ausgelieferte TLS-Zertifikat — dieselben Daten, die jeder Mailserver und jeder Browser beim normalen Betrieb liest. Es findet kein Portscan statt und es wird nichts an fremden Systemen verändert. Genau deshalb ist der Check bewusst auf diese Prüfungen beschränkt.
- Warum ist DMARC wichtiger als SPF?
- SPF und DKIM stellen fest, ob eine Nachricht echt ist. DMARC ist das einzige der drei, das dem Empfänger sagt, was er mit einer unechten Nachricht tun soll. Ohne DMARC kann eine Nachricht beide Prüfungen nicht bestehen und trotzdem zugestellt werden — der Empfänger hat schlicht keine Anweisung.
- Was bedeutet p=none?
- Es ist die Beobachtungsstellung: DMARC wird ausgewertet und gegebenenfalls gemeldet, aber nichts wird blockiert. Sie ist als Übergang für ein paar Wochen gedacht, damit man sieht, wer alles im eigenen Namen sendet. In der Praxis bleibt sie oft für Jahre stehen und wiegt den Betrieb in Sicherheit.
- Ich habe kein DKIM gefunden — habe ich keines?
- Nicht zwingend. Der Selektor, unter dem ein DKIM-Schlüssel liegt, ist frei wählbar und lässt sich von außen nicht aufzählen. Der Check probiert die gebräuchlichen Namen. Findet er nichts, ist das ein Hinweis, kein Beweis — deshalb wird dieser Punkt nicht als Fehler gewertet.
- Wie lange dauert es, die gefundenen Punkte zu beheben?
- Die DNS-Einträge selbst sind eine Sache von Minuten. Der Aufwand steckt davor: herausfinden, welche Dienste tatsächlich in Ihrem Namen senden — Warenwirtschaft, Newsletter-Werkzeug, Buchhaltung, Kassensystem. Wer DMARC scharf stellt, bevor diese Liste vollständig ist, blockiert eigene Rechnungen. Deshalb geht man in Stufen vor.
Etwas gefunden, das Sie nicht erwartet haben?
Die Einträge aus diesem Bericht lassen sich in aller Regel an einem Vormittag richtigstellen. Schicken Sie uns das Ergebnis, dann sagen wir Ihnen, was davon Ihre Sache ist und was unsere.