Gefälschte Rechnungen im Namen Ihrer Firma: so schützt sich Ihre Domain
Betrüger verschicken Rechnungen mit Ihrer Absenderadresse? Warum das technisch möglich ist, was es anrichtet — und wie DMARC mit p=reject es beendet.
Das Szenario ist Alltag geworden: Ein Kunde ruft an, weil er eine Rechnung „von Ihnen“ erhalten hat — mit fremder Kontonummer. Oder eine Mitarbeiterin bekommt eine dringende Zahlungsanweisung „vom Chef“. Die Absenderadresse stimmt exakt, das Logo auch. Der Grund ist ernüchternd einfach: E-Mail erlaubt es technisch, JEDE Absenderadresse einzutragen — solange die Domain sich nicht dagegen wehrt.
Warum die Absenderadresse nichts beweist
Der sichtbare Absender einer Mail ist ein Textfeld, das der Versender frei befüllt — vergleichbar mit dem Absender auf einem Briefkuvert. Ohne SPF, DKIM und vor allem DMARC prüft niemand, ob der Schreiber dazu berechtigt war. Betrüger brauchen dafür keine gehackten Konten und keinen Zugriff auf Ihre Systeme; ein beliebiger Server irgendwo auf der Welt genügt.
Was auf dem Spiel steht
- Zahlungsbetrug bei Ihren Kunden — die Zahlung geht auf ein fremdes Konto, das Vertrauensverhältnis leidet trotzdem bei Ihnen.
- CEO-Fraud nach innen: Anweisungen „von der Geschäftsführung“ an die eigene Buchhaltung.
- Ruf der Domain: Wird Ihre Domain für Spam-Wellen missbraucht, leidet die Zustellbarkeit Ihrer ECHTEN Post.
Die Abhilfe: DMARC mit p=reject
Gegen Fälschungen Ihrer exakten Domain gibt es eine wirksame, kostenlose Gegenmaßnahme: SPF und DKIM sauber einrichten und DMARC schrittweise auf p=reject bringen. Ab dann weisen Gmail, Outlook, Yahoo und alle anderen großen Empfänger Mails ab, die Ihre Domain im Absender tragen, aber nicht von Ihren Systemen stammen — bevor irgendjemand sie liest.
_dmarc.beispiel.atv=DMARC1; p=reject; rua=mailto:dmarc@beispiel.atSofort-Checkliste bei einem akuten Fall
- Betroffene Kunden aktiv warnen (Telefon oder verifizierter Kanal), Zahlung stoppen lassen.
- Kopf-Zeilen der Fälschung sichern — daraus lässt sich der tatsächliche Versandweg ablesen.
- Die eigene Domain prüfen und den DMARC-Stufenplan starten: Jede Woche ohne reject ist eine offene Tür.
- Bei Schaden: Anzeige erstatten; in Österreich nimmt jede Polizeidienststelle Cybercrime-Anzeigen auf.
Häufige Fragen
Unsere Domain wurde missbraucht — sind wir gehackt?
Fast immer: nein. Absender-Fälschung braucht keinerlei Zugriff auf Ihre Systeme. Prüfen lohnt trotzdem — aber die eigentliche Lücke ist die fehlende DMARC-Durchsetzung der Domain, nicht ein Einbruch.
Hilft ein Hinweis in unserer Signatur („Wir versenden nie Kontodaten per Mail“)?
Als Ergänzung ja, als Schutz nein — die Fälschung trägt schlicht dieselbe Signatur. Verlässlich ist nur die technische Abweisung durch DMARC plus ein zweiter Kanal (Rückruf) für Zahlungsänderungen.
Wie schnell wirkt p=reject?
Sofort ab dem Zeitpunkt, an dem Empfänger den Eintrag sehen — also innerhalb von Stunden. Die Vorarbeit (alle legitimen Versanddienste sauber aufstellen) ist das, was Wochen braucht; das Scharfschalten selbst ist ein einzelner DNS-Eintrag.