DMARC für Unternehmen in Monaco

Drei DNS-Einträge entscheiden, ob Ihre E-Mail ankommt

Die meisten Unternehmen in Monaco stoßen auf das Thema E-Mail-Authentifizierung erst, wenn etwas schiefgeht. Ein Kunde sagt, er habe das Angebot nie erhalten. Ein Newsletter, der bisher im Posteingang landete, wandert plötzlich in den Spam-Ordner. Oder – schlimmer – ein Lieferant ruft wegen einer Rechnung an, die Ihr Unternehmen nie verschickt hat.

Alle drei Fälle haben dieselbe Ursache: drei kleine Einträge im DNS Ihrer Domain, genannt SPF, DKIM und DMARC. Das ist kein Marketing-Feature. Es ist der Mechanismus, mit dem Gmail, Outlook und jeder andere Mail-Anbieter entscheidet, ob eine Nachricht, die angeblich von Ihrer Domain kommt, tatsächlich von Ihnen stammt.

Fehlen diese Einträge, sind sie falsch gesetzt oder auf eine Richtlinie eingestellt, die nichts bewirkt, folgen zwei Dinge. Ihre legitime Post wird mit Misstrauen behandelt. Und jeder auf der Welt kann E-Mails verschicken, die aussehen, als kämen sie von Ihrer Adresse – ohne dass irgendetwas das verhindert.

Das lässt sich in einer Woche beheben. Die meisten Firmen hier haben schlicht nie nachgesehen.

Warum die Regeln strenger wurden – und nicht wieder gelockert werden

Jahrelang war Authentifizierung in der Praxis optional. Das änderte sich 2024, als Google und Yahoo verbindliche Anforderungen für Massenversender einführten, und es verschärfte sich erneut, als Microsoft vergleichbare Regeln für aufkommensstarke Absender an Outlook- und Hotmail-Adressen anwandte.

Die Anforderungen ähneln sich heute über die großen Anbieter hinweg. Wer in großem Umfang versendet – als Schwelle wird meist rund 5.000 Nachrichten pro Tag an die Adressen eines Anbieters genannt –, braucht SPF und DKIM, einen veröffentlichten DMARC-Eintrag, eine Absenderdomain, die zur Authentifizierung passt, eine Ein-Klick-Abmeldung bei Marketing-Mails und eine Beschwerderate von unter etwa 0,3 %.

Zwei Details wiegen schwerer als die Überschrift. Erstens sind die Anbieter vom stillen Wegfiltern zum offenen Ablehnen übergegangen: ein harter Bounce, kein Spam-Ordner. Zweitens – und das ist für Monaco entscheidend – legen die Volumenschwellen fest, wer durchgesetzt bekommt, nicht wer bewertet wird. Ein Family Office mit zwölf Personen und vierzig E-Mails am Tag wird an denselben Signalen gemessen. Es scheitert nur leiser.

Was die einzelnen Einträge tatsächlich tun

SPF veröffentlicht die Liste der Server, die für Ihre Domain versenden dürfen. Kommt eine Nachricht von einem Server, der nicht auf dieser Liste steht, weiß der Empfänger, dass etwas nicht stimmt.

DKIM versieht jede Nachricht mit einer kryptografischen Signatur, die an einen in Ihrem DNS hinterlegten Schlüssel gebunden ist. Sie belegt, dass die Nachricht wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde.

DMARC verbindet beides – und fehlt am häufigsten. Es sagt den empfangenden Servern zweierlei: was mit Nachrichten geschehen soll, die an SPF und DKIM scheitern (p=none, p=quarantine oder p=reject), und wohin Berichte über Missbrauchsversuche Ihrer Domain gehen sollen.

Diese Berichtsfunktion ist die unterschätzte Hälfte. Ein DMARC-Eintrag mit p=none blockiert nichts, startet aber einen Datenstrom, der Ihnen genau zeigt, wer im Namen Ihrer Domain versendet – einschließlich der Systeme, die Sie vergessen hatten, und derer, die Sie nie autorisiert haben.

Die Alignment-Falle

Hier scheitern die meisten Unternehmen in Monaco, und schuld ist nicht der Eintrag selbst.

Ein typischer kleiner Betrieb im Fürstentum versendet aus mehr Quellen, als ihm bewusst ist: Microsoft 365 oder Google Workspace für die tägliche Korrespondenz, eine Newsletter-Plattform, das Kontaktformular der Website, ein Buchungs- oder CRM-System, eine Buchhaltungssoftware, die Rechnungen verschickt, und oft eine Agentur, die im Namen der Firma sendet.

Jedes davon ist ein Absender für Ihre Domain. DMARC verlangt Alignment: Die Domain im sichtbaren Von-Feld muss zu der Domain passen, die die Nachricht authentifiziert hat. Signiert eine Plattform die Post mit ihrer eigenen statt mit Ihrer Domain, besteht die Nachricht DKIM technisch, scheitert aber am Alignment – und DMARC behandelt sie als nicht authentifiziert.

Das ist der häufigste Grund, warum eine Firma die Durchsetzung aktiviert und damit prompt die eigene Rechnungsstellung oder den Newsletter lahmlegt. Und deshalb ist die Bestandsaufnahme keine optionale Etappe. Bevor Sie irgendeine Richtlinie ändern, brauchen Sie die vollständige Liste aller Systeme, die in Ihrem Namen versenden – jedes so konfiguriert, dass es mit Ihrer Domain signiert. Ist Ihr Setup für E-Mail-Marketing und CRM über Jahre gewachsen, rechnen Sie mit mindestens einem Absender, an dessen Einrichtung sich niemand erinnert.

Fälschung, Rechnungsbetrug und der Stichtag September 2026

Monacos Wirtschaftsprofil macht daraus mehr als eine Frage der Zustellbarkeit. Vermögensverwaltung, Immobilien, Yachting und Hotellerie leben von hochwertigen Geschäften, die per E-Mail zwischen Parteien geschlossen werden, die sich mitunter nie persönlich begegnen. Genau dieses Profil zielen Betrüger mit Zahlungsumleitung und gefälschten Rechnungen an.

Eine ungeschützte Domain macht ihnen die Arbeit leicht. Sie müssen nichts kompromittieren – sie schicken einfach eine Nachricht, die vorgibt, von Ihrer Buchhaltungsadresse zu kommen, weil auf Ihrer Seite nichts das Gegenteil sagt. Eine DMARC-Richtlinie auf p=reject stoppt nicht jede Variante dieses Betrugs, schließt aber den direktesten Weg.

Der Zeitpunkt ist bemerkenswert. Monacos Pflicht zur strukturierten elektronischen Rechnungsstellung greift ab dem 1. September 2026, gestaffelt nach Unternehmensgröße. Je systematischer und automatisierter die Fakturierung wird, desto attraktiver wird rechnungsbezogener E-Mail-Verkehr als Ziel – und desto teurer eine Fälschung. Häuser, deren Website sensible Mandantenbeziehungen trägt – das übliche Muster hinter Websites für Vermögensverwaltung –, sollten den Domain-Schutz im selben Projekt mitdenken.

Zur Durchsetzung, ohne etwas kaputtzumachen

Die Reihenfolge ist unspektakulär und sie funktioniert.

Veröffentlichen Sie DMARC mit p=none und einer Berichtsadresse und lassen Sie es zwei bis vier Wochen laufen. Lesen Sie die Berichte – mit einem Monitoring-Werkzeug, denn rohes XML ist unlesbar. Bauen Sie daraus die vollständige Absenderliste und korrigieren Sie SPF und DKIM-Alignment für jede legitime Quelle, eine nach der anderen. Gehen Sie dann auf p=quarantine, zunächst für einen Teil des Verkehrs, und beobachten Sie. Erst danach auf p=reject.

Wer direkt zu p=reject springt, entdeckt auf die harte Tour, dass die Buchhaltungssoftware der eine Absender war, den niemand konfiguriert hatte. Tun Sie es nicht in der Woche eines Kampagnenversands.

Danach: pflegen. Jedes später hinzugefügte Werkzeug ist ein neuer Absender, und DNS-Einträge veralten, wenn Plattformen ihre Infrastruktur wechseln. Das gehört in dieselbe Routine wie der Rest Ihrer Website-Wartung, nicht in einen einmaligen Projektordner.

Was diesen Monat zu tun ist

Prüfen Sie, was Ihre Domain aktuell veröffentlicht – eine DMARC-Abfrage dauert Sekunden. Gibt es keinen Eintrag, veröffentlichen Sie heute einen mit p=none: risikoarm, und die Daten beginnen zu fließen. Existiert der Eintrag, steht aber seit einem Jahr auf p=none, ist das der hier häufigere Befund – Sie haben Sichtbarkeit ohne Schutz.

DNS-Änderungen sind unkompliziert für jemanden, der sie regelmäßig macht, und sonst leicht auf subtile Weise falsch: Ein einziger fehlerhafter SPF-Eintrag kann die Zustellung sämtlicher Nachrichten verschlechtern. Wenn Ihr Geschäft per E-Mail stattfindet, lohnt es sich, das sauber zu machen und in eine breitere Betrachtung der Digitalstrategie einzubinden, statt es als IT-Pflichtaufgabe abzuhaken.

Sie möchten die E-Mail-Authentifizierung Ihrer Domain prüfen lassen und sicher zur Durchsetzung übergehen? Nehmen Sie Kontakt auf – wir sagen Ihnen, wo Sie stehen, bevor sich irgendetwas ändert.