Inhalt
Kurzantwort
E-Mail bleibt der häufigste Weg für Phishing und Zahlungsbetrug. Für kleine Unternehmen wirken drei Ebenen zusammen: Filter beim E-Mail-Anbieter, technische Absenderprüfung für die eigene Domain (SPF, DKIM, DMARC) und klare Abläufe für Zahlungen und Kontoänderungen. Keine dieser Ebenen ersetzt die anderen.
Warum ist das für kleine Unternehmen relevant?
Gefälschte Rechnungen, geänderte Bankverbindungen oder angebliche Anweisungen der Geschäftsführung richten in kleinen Betrieben schnell große Schäden an, weil Freigaben oft bei wenigen Personen liegen. Gleichzeitig können Angreifer Ihre Domain missbrauchen, um Ihre Kunden zu täuschen.
Was gehört dazu?
Spam- und Phishing-Filter
In Business-Postfächern meist enthalten. Fangen viel ab, aber nicht gezielte oder neue Angriffe.
Basis
Domain-Spoofing verstehen
Angreifer versenden E-Mails, die so aussehen, als kämen sie von Ihrer Domain oder einer ähnlich geschriebenen.
Basis
SPF, DKIM und DMARC
SPF legt fest, welche Server für Ihre Domain senden dürfen. DKIM signiert E-Mails. DMARC sagt Empfängern, was mit E-Mails passieren soll, die beide Prüfungen nicht bestehen – und liefert Berichte. Die Einrichtung erfolgt in den DNS-Einstellungen, meist mit Ihrem E-Mail- oder IT-Dienstleister.
Sinnvoll bei wachsender IT
Erweiterte E-Mail-Security
Zusätzliche Prüfung von Links und Anhängen, etwa in einer isolierten Umgebung. Lohnt sich bei hohem Aufkommen oder gezielten Angriffen.
Sinnvoll bei wachsender IT
CEO- und Lieferantenbetrug
Täuschung ohne Schadsoftware: angebliche Chef-Anweisungen oder geänderte Bankdaten. Schutz entsteht vor allem durch Prozesse.
Basis
Mitarbeiterschulung
Kurze, regelmäßige Übungen und ein einfacher Meldeweg für verdächtige Nachrichten.
Sinnvoll bei wachsender IT
Was schützt die Maßnahme?
- Massen-Phishing und bekannte Schadsoftware-Anhänge (Filter)
- Missbrauch der eigenen Domain gegenüber Kunden (DMARC mit strenger Richtlinie)
- Zahlungsbetrug, wenn Freigaben über einen zweiten Kanal bestätigt werden
Was schützt sie nicht?
- Täuschend ähnliche Fremddomains – DMARC schützt nur die eigene Domain
- Übernommene echte Postfächer von Lieferanten
- Mitarbeitende, die unter Zeitdruck ohne Rückruf zahlen
Welche Basismaßnahmen reichen oft?
- 01Filter des Anbieters aktiv lassen, externe E-Mails kennzeichnen
- 02MFA für alle Postfächer
- 03Zahlungen und Bankdatenänderungen nur nach Rückruf über eine bekannte Nummer
- 04Meldeweg für verdächtige E-Mails festlegen
- 05SPF, DKIM und DMARC mit dem E-Mail-Dienstleister prüfen lassen
Wann wird eine weitergehende Lösung sinnvoll?
Erweiterte Filter, eine schrittweise verschärfte DMARC-Richtlinie mit Auswertung der Berichte und regelmäßige Phishing-Übungen werden sinnvoll, wenn viele Mitarbeitende E-Mails mit externen Partnern austauschen, regelmäßig Zahlungen auslösen oder der Betrieb bereits gezielt angegriffen wurde.
Typische Fehler
- Sich allein auf den Spamfilter verlassen
- DMARC einrichten, aber die Berichte nie ansehen
- Geänderte Bankdaten per Antwort auf dieselbe E-Mail bestätigen
- Mitarbeitende für gemeldete Fehlklicks kritisieren – dann meldet niemand mehr
Checkliste
- MFA auf allen Postfächern
- Vier-Augen-Prinzip oder Rückruf bei Zahlungen und Bankdatenänderungen
- Meldeweg für Verdachtsfälle bekannt
- SPF, DKIM und DMARC für die eigene Domain geprüft
- Kurze Phishing-Übung mindestens einmal im Jahr
Häufige Fragen
Verhindert DMARC Phishing?
DMARC erschwert den Missbrauch Ihrer eigenen Domain. Gegen ähnlich geschriebene Domains oder übernommene Fremdpostfächer hilft es nicht.
Müssen wir SPF, DKIM und DMARC selbst einrichten?
Nicht unbedingt. Ihr E-Mail-Anbieter oder IT-Dienstleister kann die Einträge prüfen und anlegen.
Was tun nach einer Fehlüberweisung?
Sofort die Bank kontaktieren und einen Rückruf der Zahlung anfragen. Unser Ratgeber zu Rechnungsbetrug beschreibt die nächsten Schritte.
Nächster sinnvoller Schritt
Legen Sie fest, dass jede Änderung von Bankverbindungen per Rückruf über eine bekannte Nummer bestätigt wird.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Allianz für Cyber-Sicherheit (BSI)
- DMARC.org
- CISA – Cybersecurity and Infrastructure Security Agency
Geprüft am 06.10.2026.
Allgemeine Orientierung – ersetzt keine individuelle technische Sicherheitsprüfung, Rechts- oder Datenschutzberatung.