Angebote, Rechnungen und Terminbestätigungen sollen unter Deiner Firmendomain zuverlässig beim richtigen Gegenüber ankommen. Zugleich möchtest Du es Fremden erschweren, diese Domain als Absender zu missbrauchen. Eine betreute DMARC-Einführung verbindet beide Ziele. Für Deinen Auftrag zählt deshalb mehr als ein neuer Eintrag beim Domainanbieter: Die tatsächlichen Versandwege müssen bekannt sein, zulässige Absender passend eingerichtet und Änderungen kontrolliert eingeführt werden. Hier erfährst Du, wie Du den Bedarf beschreibst und Angebote vergleichst, ohne Dich selbst durch technische Einstellungen arbeiten zu müssen.
Vom geschäftlichen Versand zur vollständigen Absenderübersicht
Beginne mit den E-Mails, die Dein Unternehmen tatsächlich versendet. Persönliche Nachrichten aus den Firmenpostfächern sind dabei nur ein Teil. Vielleicht verschickt eine Buchhaltungssoftware Rechnungen, eine Website bestätigt Termine oder ein externer Dienst betreut einen Newsletter. Diese Beispiele sind mögliche Versandwege, keine Annahme über Deinen Betrieb. Frage die zuständigen Bereiche, welche Systeme unter Eurem Namen Nachrichten versenden. Für ein erstes Gespräch genügt eine verständliche Übersicht der Anwendungen und Ansprechpartner. Zugangsdaten gehören nicht hinein.
Lass den Dienstleister erklären, wie er diese Übersicht vervollständigt. Die Fachbereiche kennen den geschäftlichen Zweck, die technische Betreuung kann den zugehörigen Versandweg untersuchen. Beides wird gebraucht. Eine unbekannte Versandquelle ist nicht automatisch ein Angreifer; sie kann auch zu einer selten verwendeten Anwendung gehören. Umgekehrt macht ein vertrauter Produktname einen Versandweg noch nicht technisch passend. Dein Auftrag sollte daher die Zuordnung und die Behandlung offener Fälle enthalten, bevor strengere Regeln freigegeben werden.
Beziehe seltene Abläufe bewusst ein. Jahresrechnungen, gelegentliche Einladungen oder besondere Kundenaktionen sind in einer kurzen Beobachtung möglicherweise nicht vertreten. Frage, welche Informationen dazu aus vorhandenen Unterlagen oder von den jeweiligen Anbietern benötigt werden. Eine bestimmte Beobachtungsdauer kann keine fehlende fachliche Bestätigung ersetzen. Für Deine Entscheidung ist wertvoll, wenn ein Angebot zwischen bereits bestätigten Quellen und noch zu klärenden Anwendungen unterscheidet. So erkennst Du, welche Vorarbeit Dein Unternehmen leisten muss.
Verstehen, was DMARC prüft und welche Grenzen bleiben
DMARC verbindet Ergebnisse der E-Mail-Authentifizierung mit der im Absenderfeld sichtbaren Domain. Dabei spielen SPF und DKIM eine Rolle. Vereinfacht gesagt geht es um berechtigte Versandquellen beziehungsweise eine überprüfbare Signatur und deren passenden Bezug zur sichtbaren Absenderdomain. Ein bloß irgendwo erfolgreiches SPF- oder DKIM-Ergebnis genügt deshalb nicht automatisch. Der Anbieter sollte diesen Zusammenhang für Eure Versandwege verständlich erklären können. Microsoft beschreibt die benötigte Übereinstimmung der Domains und die Prüfung beider Verfahren in seiner aktuellen Dokumentation. Microsoft: DMARC einrichten
Für Deine Kaufentscheidung brauchst Du daraus keine technische Anleitung abzuleiten. Frage stattdessen, ob der Auftrag die vorhandene SPF- und DKIM-Einrichtung einschließt und wie Abweichungen bearbeitet werden. Vielleicht kann der betreuende Anbieter einen Versanddienst selbst anpassen. Vielleicht benötigt er dafür die Mitwirkung eines Softwareherstellers oder einer anderen Agentur. Diese Grenze sollte im Angebot sichtbar sein. Ein technisch korrekt angelegter DMARC-Eintrag löst eine ungeklärte Konfiguration bei einem beteiligten Drittdienst nicht von allein.
DMARC ist außerdem kein vollständiger Schutz vor jeder betrügerischen E-Mail. Für einen sinnvollen Auftrag sollte klar bleiben, welche Domain geschützt werden soll und welche weiteren Sicherheitsaufgaben außerhalb dieses Vorhabens liegen. Lass den Anbieter den erwarteten Nutzen konkret beschreiben, ohne eine allgemeine Zustell- oder Sicherheitsgarantie abzugeben. Dein Team benötigt weiterhin geeignete Wege für den Umgang mit verdächtigen Nachrichten. Der neue Schutzbaustein ergänzt diese Arbeit; er macht ungewöhnliche Zahlungsaufforderungen oder geänderte Bankverbindungen nicht automatisch vertrauenswürdig.
Den Auftrag auf die richtigen Domains begrenzen
Eine Unternehmensgruppe kann mehrere Namen und Domains verwenden. Vielleicht arbeitet das Büro unter der Firmendomain, während ein gesondertes Produkt eine weitere Adresse besitzt. Halte deshalb fest, welche Absenderdomains zum Auftrag gehören. Das sichtbare Logo in einer E-Mail beantwortet diese Frage nicht. Lass den Dienstleister die tatsächlichen Adressen mit der geschäftlichen Verwendung zusammenbringen. Bei mehreren rechtlich selbständigen Unternehmen sollte außerdem geklärt sein, wer für welches Vorhaben die zuständige Freigabe erteilen kann.
Frage auch nach Unterdomains und derzeit nicht zum Versand verwendeten Domains. Der Anbieter sollte untersuchen, welche davon berücksichtigt werden müssen und wie vorhandene Regeln zusammenwirken. Du musst daraus keine eigene Einstellung ableiten. Für den Angebotsvergleich genügt zunächst eine nachvollziehbare Einordnung des Umfangs. Wenn eine Domain ausdrücklich außerhalb bleibt, sollte dieser Ausschluss erkennbar sein. So wird aus der pauschalen Leistung „DMARC für die Firma“ ein abgegrenzter Auftrag mit überprüfbarem Ergebnis.
Unterscheide den Schutz Deiner Absenderdomain von der Untersuchung eingehender Nachrichten. Falls Dein eigentliches Problem verdächtige E-Mails im eigenen Postfach sind, benenne das im Erstgespräch ausdrücklich. Dann kann der Anbieter erläutern, welchen Beitrag die geplante Leistung dazu leistet und ob eine weitere Untersuchung nötig ist. Die verschiedenen Aufgaben dürfen gemeinsam angeboten werden, sollten aber verständlich getrennt beschrieben sein. Dadurch kannst Du erkennen, welche konkrete Verbesserung Du mit welchem Teil des Angebots einkaufst.
Zuständigkeiten vor der ersten Änderung festlegen
Kläre, wer die Domain verwaltet, wer den E-Mail-Dienst betreut und wer zusätzliche Versanddienste beauftragt hat. Diese Aufgaben können bei unterschiedlichen Unternehmen liegen. Dein DMARC-Anbieter muss wissen, an wen er sich für eine Konfigurationsänderung wenden kann. Frage auch, wer innerhalb Deines Unternehmens eine Änderung mit Auswirkungen auf den Versand freigibt. Gerade wenn Rechnungen oder Kundenbestätigungen betroffen sind, sollte diese Entscheidung nicht zwischen mehreren Supportstellen verloren gehen.
Ein guter Leistungsumfang beschreibt die Zusammenarbeit dieser Stellen. Wer fordert die benötigten Angaben an, wer prüft die technische Umsetzung und wer verfolgt ausstehende Antworten? Wenn Dein Unternehmen diese Koordination selbst übernimmt, lässt sich das bewusst vereinbaren. Dann sollte der Anbieter benennen, welche kurze Mitwirkung er wann benötigt. Falls er die Abstimmung vollständig begleitet, gehört auch diese Leistung ins Angebot. So vergleichst Du eine reine Konfigurationsarbeit nicht versehentlich mit einem betreuten Einführungsprojekt.
Lass vor produktiven Änderungen den bisherigen Zustand dokumentieren und einen passenden Rückfallweg vereinbaren. Dazu gehören die betroffenen Einstellungen, zuständige Personen und ein erreichbarer Kontakt bei unerwarteten Problemen. Der Rückfallweg sollte zu Eurer tatsächlichen Domainverwaltung passen. Eine allgemeine Aussage, man könne die Änderung jederzeit zurücknehmen, sagt noch wenig über Befugnisse und Bearbeitung aus. Du brauchst einen klaren Ablauf, den die beteiligten Anbieter im vereinbarten Rahmen auch ausführen können.
Die Einführung in nachvollziehbare Stufen aufteilen
Für bereits genutzte Domains ist eine kontrollierte Einführung besonders wichtig. Microsoft beschreibt einen schrittweisen Weg über Beobachtung und zunehmend strengere Richtlinien. Die bekannten Bezeichnungen dafür lauten none, quarantine und reject. Sie unterscheiden sich in der angefragten Behandlung nicht bestandener Prüfungen. Welche Wirkung tatsächlich eintritt, hängt auch vom empfangenden E-Mail-System ab. Der Anbieter sollte daher die gewünschte Stufe und die Voraussetzungen für einen Wechsel erklären, statt nur einen möglichst strengen Eintrag als Erfolg zu präsentieren.
Frage nach den Kriterien für den nächsten Schritt. Sind die geschäftlich benötigten Versandwege zugeordnet? Sind bekannte Fehler geklärt oder mit Verantwortlichen offen dokumentiert? Welche Beobachtungen sprechen dafür, dass legitime Nachrichten korrekt authentifiziert werden? Ein Stufenplan wird erst nützlich, wenn diese Entscheidungen verständlich sind. Eine rein kalendarische Umstellung nach einigen Tagen ist dafür wenig aussagekräftig, falls wesentliche Anwendungen noch fehlen oder eine Rückmeldung des zuständigen Anbieters aussteht.
Auch Google weist bei seiner DMARC-Einrichtung auf die Authentifizierung von Drittanbieter-E-Mails und auf eine schrittweise Verschärfung hin. Nutze diese Herstellerhinweise als Gesprächsgrundlage für die jeweilige Umgebung. Sie sind kein Beleg dafür, dass jede Einstellung unverändert auf Deinen E-Mail-Dienst passt. Lass den beauftragten Fachanbieter die Dokumentation seiner tatsächlich eingesetzten Produkte berücksichtigen. So erhältst Du eine zu Deinem Versand passende Einführung und keine ungeprüfte Übernahme eines fremden Konfigurationsbeispiels. Google Workspace: DMARC einrichten
Berichte in konkrete Entscheidungen übersetzen lassen
DMARC-Berichte können Hinweise auf Versandquellen und Authentifizierungsergebnisse liefern. Für die Betreuung zählt, wer sie auswertet und welche Handlung aus einem auffälligen Ergebnis folgt. Frage nach einem verständlichen Bericht für Dein Unternehmen. Du brauchst normalerweise keine Sammlung technischer Rohdateien als regelmäßige Entscheidungsgrundlage. Hilfreicher sind bestätigte Versandwege, neu aufgetauchte Quellen, offene Klärungen und die Empfehlung für den nächsten Einführungsschritt. Der Anbieter sollte dabei zwischen Beobachtung und belastbarer Zuordnung unterscheiden.
Kläre auch den Umgang mit unbekannten Quellen. Wer prüft zunächst, ob ein Fachbereich einen neuen Dienst verwendet? Wie werden verdächtige und legitime Quellen voneinander abgegrenzt? Welche Informationen benötigt der Anbieter dafür und welche Stelle darf eine Änderung bestätigen? Diese Fragen verhindern, dass jede Auffälligkeit entweder ungeprüft freigegeben oder vorschnell als Missbrauch behandelt wird. Für wichtige Versandwege sollte es einen benannten Ansprechpartner geben, der den geschäftlichen Zweck und die notwendige Nutzung bestätigen kann.
Die vereinbarte Beobachtung hat Grenzen. Frage, welche Empfängersysteme tatsächlich Berichte liefern und was aus einem fehlenden Bericht geschlossen werden darf. Ein lückenhafter Datenbestand sollte im Ergebnis erkennbar bleiben. Ergänzende Prüfungen und vorhandene Versandinformationen können dann gezielt betrachtet werden. Das Ziel ist eine begründete Entscheidung über die betreuten Versandwege. Ein möglichst großer technischer Datenbestand ist dafür nur dann hilfreich, wenn seine Abdeckung und Aussagekraft zum vorgesehenen Schluss passen.
Neue Versanddienste und Änderungen dauerhaft berücksichtigen
Nach der Einführung verändert sich Dein Unternehmen weiter. Eine neue Rechnungssoftware, ein zusätzliches Kontaktformular oder eine andere Marketingbetreuung können neue Versandwege mitbringen. Vereinbare deshalb, wie solche Vorhaben vor dem Einsatz gemeldet werden. Ein kurzer Hinweis aus dem Fachbereich kann genügen, um die technische Prüfung einzuplanen. Wichtig ist, dass diese Prüfung eine zuständige Stelle hat. Sonst wird eine später auftretende Zustellstörung möglicherweise erst dann bemerkt, wenn ein geschäftlicher Vorgang bereits wartet.
Lass den Anbieter den Ablauf an einem geplanten Drittdienst erklären. Welche Informationen werden benötigt, wer richtet die erforderlichen Funktionen ein und wie wird die Freigabe dokumentiert? Frage auch nach dem Ende eines solchen Dienstes. Nicht mehr benötigte Einstellungen und Zuständigkeiten sollten kontrolliert geprüft werden. Dabei geht es um die jeweils betroffene Änderung, nicht um einen ungefragten Komplettumbau Eurer E-Mail-Umgebung. Eine klare Abgrenzung hält die laufende Betreuung verständlich und ihren Aufwand nachvollziehbar.
Für Störungen brauchst Du einen bekannten Meldeweg. Wer nimmt eine Rückfrage zur Authentifizierung an und wer kann den tatsächlichen Versanddienst untersuchen? Lass Erreichbarkeit und Zuständigkeit getrennt erklären. Ein Anbieter kann Deine Domainregeln betreuen, ohne für jedes technische Problem einer externen Buchhaltungsanwendung verantwortlich zu sein. Wenn mehrere Stellen beteiligt sind, sollte die Übergabe zwischen ihnen vereinbart sein. Dadurch kann Dein Team ein Problem melden, ohne zuvor selbst die technische Ursache bestimmen zu müssen.
Den Leistungsumfang und die Abnahme vergleichbar machen
Nenne allen angefragten Anbietern dieselben Domains, wesentlichen Versanddienste und bekannten Ansprechpartner. Lass Bestandsaufnahme, Einrichtung, Begleitung der Einführung und spätere Betreuung getrennt darstellen. Frage, ob die Bearbeitung zusätzlicher Drittdienste enthalten ist und wie mit unbekannten Versandwegen umgegangen wird. Unterschiedliche Pakete können jeweils sinnvoll sein. Für einen fairen Vergleich muss jedoch erkennbar bleiben, ob ein Anbieter nur Einstellungen hinterlegt oder auch die fachliche Zuordnung und die laufende Klärung begleitet.
Zur Abnahme gehört eine verständliche Übersicht des erreichten Zustands. Welche Domains und Versandquellen sind einbezogen, welche Richtlinie gilt und welche Fragen bleiben offen? Lass die zugrunde liegenden Nachweise dem Ergebnis zuordnen. Eine grüne Anzeige in einem einzelnen Werkzeug ist dafür kein vollständiger Abschluss. Für Dein Unternehmen zählt, ob die vorgesehenen geschäftlichen Versandwege berücksichtigt sind und wer eine spätere Änderung betreut. Offene Einschränkungen sollten mit nächster Aktion und Zuständigkeit dokumentiert sein.
Besprich schließlich die Übergabe bei einem Anbieterwechsel. Dein Unternehmen sollte wissen, wo die maßgeblichen Einstellungen verwaltet werden und welche laufenden Aufgaben dazugehören. Auch die Übersicht der berechtigten Versanddienste bleibt nützlich. Bitte um eine Dokumentation, mit der eine andere zuständige Fachperson die Betreuung nachvollziehen kann. So endet der Wert der Einführung nicht mit einer einmaligen Konfiguration. Du erhältst einen verständlichen betreuten Ablauf, der den Schutz Deiner Firmendomain und den benötigten Versand gemeinsam berücksichtigt.
Unterstützung für Deine Firmendomain anfragen
Auf der Startseite von IT-Sicherheit Angebote kannst Du kostenfrei und unverbindlich Unterstützung anfragen. Wähle das passende Anliegen und die nächstliegende IT-Umgebung. Halte für die Rückmeldung eine Übersicht Deiner Domains und wichtigen Versanddienste bereit. Zugangsdaten oder vertrauliche E-Mail-Inhalte werden dafür nicht benötigt. Den konkreten Einführungsumfang und notwendige Mitwirkung besprichst Du mit dem jeweiligen Anbieter.