Startseite > Lexikon > E-Mail, CRM & Automation > Spoofing

Spoofing

Jemand verschickt Mails in deinem Namen, ohne dein Konto zu kennen. Spoofing fälscht den Absender, und ohne Schutz an der Domain ist das erstaunlich einfach.

Auch bekannt alsE-Mail-Spoofing

6 Min

Lesezeit

02.11.2026

Letzte Aktualisierung

Was ist Spoofing?

Kann jemand Mails von deiner Adresse schicken, ohne dein Konto gehackt zu haben? Ja, und genau das ist Spoofing. Der Absender wird gefälscht, so wie jemand auf einen Briefumschlag eine fremde Adresse schreiben kann.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt es Verschleierung der Absenderidentität und eine leider häufig erfolgreiche Angriffsmethode. Kriminelle geben sich als Bank, Behörde oder Unternehmen aus, um an Daten oder Geld zu kommen.

Fürs Marketing heißt das: Ohne Schutz kann jeder im Namen deiner Domain versenden. Das trifft deine Kunden, deine Marke und am Ende auch deine Zustellbarkeit.

Spoofing ist nicht nur E-Mail

Call-ID-Spoofing: gefälschte Rufnummer auf dem Display.
DNS-Spoofing: Abfragen nach einer Website werden umgeleitet.
Website-Spoofing: nachgebaute Seiten, die echt aussehen.

Spoofing oder Phishing?

Die beiden werden oft in einen Topf geworfen. Spoofing ist die Technik, Phishing das Ziel. Spoofing fälscht die Identität, Phishing will Daten oder Geld.

Begriff

Was passiert?

Spoofing

Absender wird gefälscht

Phishing

Mail lockt an Daten oder Geld

Spam

Unerwünschte Massenwerbung

Geschäftsmail-Betrug

Falsche Chefs, falsche Rechnungen

Phishing geht auch ohne Spoofing, etwa über ähnlich klingende Domains oder gehackte Konten. Wie teuer das Ganze ist, zeigt ein Blick in die USA: Das FBI zählte 2024 unter Phishing und Spoofing zusammen 193.407 Beschwerden, beim Betrug mit Geschäftsmails 21.442 Beschwerden mit 2,77 Milliarden US-Dollar Schaden. Das sind nur gemeldete Fälle, und sie sagen nichts über Deutschland. Die Größenordnung bleibt trotzdem beeindruckend.

Wie schützt du deine Domain?

Drei Einträge im DNS, dem Adressbuch deiner Domain, machen den Unterschied:

SPF legt fest, welche Server für dich versenden dürfen.
DKIM signiert deine Mails kryptografisch.
DMARC sagt dem Empfänger, was bei Verstößen passieren soll, und schickt dir Berichte.

SPF allein reicht nicht, denn es prüft nicht den sichtbaren Absender. Diese Verbindung schafft erst DMARC. Die Richtlinie führst du in drei Stufen ein:

DMARC-Stufe

Wirkung

none

Nur beobachten, kein Schutz

quarantine

Verdächtiges in den Spam-Ordner

reject

Fälschungen werden abgelehnt

Das BSI erwartet in seiner Technischen Richtlinie TR-03182 quarantine oder reject, weil nur diese Stufen Empfänger schützen. Das langfristige Ziel ist reject. Die Richtlinie richtet sich an Betreiber von Mail-Diensten, die Empfehlung gilt aber genauso für KMU.

Die Regeln der großen Postfächer

Auch die Anbieter machen Druck. Gmail verlangt seit Februar 2024 von allen Absendern SPF oder DKIM. Wer mehr als 5.000 Nachrichten am Tag an Gmail schickt, braucht SPF, DKIM und DMARC, und seit November 2025 setzt Google das härter durch. Yahoo zog 2024 nach, Microsoft 2025 für Outlook.com. Dort gilt ebenfalls die Marke von 5.000 Mails am Tag. Für diese Regeln reicht p=none. Für echten Schutz reicht es nicht.

Häufige Fehler

Fehler 1 · „DMARC ist eingetragen, also sind wir sicher“

Mit p=none erfüllst du die Absenderregeln, schützt aber niemanden. Fälschungen kommen weiter durch.

Fehler 2 · „Wir sind zu klein“

SPF oder DKIM gelten bei Gmail für alle Absender. Und Angreifer fragen nicht nach deiner Größe, kleine Betriebe haben oft einfach keinen Schutz.

Fehler 3 · Mehrere SPF-Einträge

Jedes Newsletter-Tool liefert seine eigene Anleitung, und schon stehen zwei SPF-Einträge im DNS. Richtig ist einer, zusammengeführt. Das BSI nennt das als häufigen Fehler, dazu Tippfehler wie „inlcude“. Achte auch auf das Limit von 10 DNS-Abfragen im SPF-Eintrag.

Fehler 4 · Blind auf reject schalten

Ohne Berichte weißt du nicht, wer legitim für dich versendet. Newsletter-Tool, CRM, Rechnungsprogramm und Kontaktformular müssen vorher sauber eingerichtet sein. Sonst verlierst du eigene Mails.

Was tust du jetzt?

Bestand aufnehmen: Welche Dienste versenden in deinem Namen?
SPF und DKIM setzen: für jeden dieser Dienste.
DMARC mit none starten: Berichte auswerten, zum Beispiel mit dmarcian oder PowerDMARC.
Hochstufen: erst quarantine, dann reject, wenn die Berichte sauber sind.
Spamrate prüfen: in den Google Postmaster Tools. Google verlangt unter 0,3 %, empfiehlt unter 0,1 %.
Stille Domains sichern: Domains ohne Mailversand sollen laut BSI kein Mail-Ziel haben, ein SPF ohne erlaubte Server und DMARC auf reject.

Häufige Fragen

Was ist der Unterschied zwischen Spoofing und Phishing?

Spoofing ist die Technik: Der Absender wird gefälscht. Phishing ist das Ziel: an Daten oder Geld kommen. Spoofing wird oft für Phishing genutzt, Phishing geht aber auch ohne gefälschten Absender.

Kann jemand mit meiner Adresse Mails schicken, ohne mein Konto zu hacken?

Ja. Der Absender lässt sich fälschen wie die Absenderzeile auf einem Briefumschlag. Ohne SPF, DKIM und ein durchgesetztes DMARC kann das Empfänger-System die Fälschung schlechter erkennen.

Brauche ich DMARC auch als kleines Unternehmen?

Ja. Der Eintrag kostet nichts außer etwas Einrichtungszeit, und er schützt deine Domain vor Missbrauch. Das BSI hat dafür eine Empfehlung für Firmen ohne eigenen Mailbetrieb veröffentlicht.

Welche DMARC-Richtlinie ist die richtige?

Starte mit none zum Beobachten, geh über quarantine und lande bei reject. Nur quarantine und reject schützen wirklich. Das BSI nennt reject als langfristiges Ziel.

Muss ich Domains schützen, von denen ich keine Mails verschicke?

Ja, denn auch die lassen sich missbrauchen. Das BSI empfiehlt für solche Domains einen Null-MX-Eintrag, ein SPF ohne erlaubte Absender und DMARC auf reject.

Quellen