Sichere E-Mail für Unternehmen: Mindestschutz (2026)

Ihr E-Mail-Posteingang ist nicht nur der Ort, an dem Sie arbeiten. Er ist der Generalschlüssel zu allem anderen. Das Bankpasswort zurücksetzen? Per E-Mail. Das CRM zurücksetzen? Per E-Mail. Den Zugang zur Cloud-Infrastruktur wiederherstellen? Per E-Mail. Kontrolliert ein Angreifer ein einziges Postfach, kann er das gesamte Unternehmen kontrollieren.

Die schlechte Nachricht: Bei den meisten Unternehmen mit geschäftlicher E-Mail ist mindestens die Hälfte der folgenden Einstellungen falsch konfiguriert oder fehlt ganz. Die gute Nachricht: Für die Korrektur brauchen Sie weder ein Sicherheitsteam noch einen Enterprise-Vertrag über $50,000. Sie brauchen etwa zwei Stunden und den Willen, die Aufgabe wirklich anzugehen.

Das ist die Grundlage. Kein erstrebenswerter Zustand für irgendwann, sondern das Minimum. Wenn Sie nicht jeden Punkt auf dieser Liste abhaken können, bestehen Sicherheitslücken.

Wie Unternehmen tatsächlich kompromittiert werden

Vergessen Sie staatliche Akteure und Zero-Day-Exploits. Solange Sie nicht an geheimen Projekten arbeiten, wird kaum jemand einen aufwendigen Angriff gezielt gegen Sie führen. Die drei Risiken, die für 90% der E-Mail-Vorfälle bei KMU verantwortlich sind, sind ernüchternd alltäglich.

Credential Stuffing: Angreifer kaufen Datenbanken mit geleakten Passwörtern, etwa LinkedIn 2012, Adobe 2013 oder einen der hundert Vorfälle seitdem, und lassen Skripte gegen Ihren Mailserver laufen. Wenn Ihr Passwort in einem dieser Datensätze auftauchte und Sie es nicht geändert haben, können sie sich anmelden. Technisches Eindringen ist dafür nicht nötig.

Unbemerkte Weiterleitungsregeln: Ein kluger Angreifer durchsucht nach dem Eindringen nicht sofort alles. Stattdessen richtet er eine unauffällige Regel ein: "Wenn der Betreff 'Rechnung' oder 'Überweisung' enthält, CC an attacker@gmail.com und als gelesen markieren." Dann beobachtet er das Postfach über Monate. Wenn Sie es bemerken, wurde möglicherweise bereits eine Zahlung abgefangen.

Spoofing: Jemand schreibt Ihrer Buchhaltung von ceo@yourcompany.com und fordert eine dringende Überweisung an. Die Nachricht wirkt echt. Ist Ihr DNS nicht korrekt konfiguriert, kann der empfangende Mailserver nicht erkennen, dass die E-Mail gefälscht ist, und markiert sie unter Umständen nicht einmal.

Das Risiko aller drei Angriffswege lässt sich deutlich senken. So gehen Sie vor.

Sichere geschäftliche E-Mail: Grundschutz für Konten

Das ist Ihre äußere Schutzschicht. Fällt sie aus, kann Sie keine DNS-Konfiguration retten.

1. Phishing-resistente MFA ausnahmslos durchsetzen

Passwörter sind keine ausreichende Sicherheit. Sie dienen der Identifikation. Ein Passwort allein zeigt nur, dass jemand eine Zeichenfolge kennt, nicht dass die Person tatsächlich bei Ihnen arbeitet. Erst die Multi-Faktor-Authentifizierung fügt eine echte Verifikation hinzu.

Verwenden Sie eine Authenticator-App (Google Authenticator, Microsoft Authenticator, Authy) oder einen Hardware-Schlüssel (YubiKey). Beides ist geeignet. Nicht geeignet als primäre Methode ist eine SMS-basierte 2FA. Sie funktioniert, ist aber anfällig für SIM-Swapping, bei dem ein Angreifer den Mobilfunkanbieter durch Social Engineering dazu bringt, Ihre Nummer auf sein Gerät zu übertragen. Nutzen Sie SMS nur als Rückfalloption.

Erzwingen Sie MFA auf Administratorebene. Machen Sie sie nicht optional. Ein einziger Nutzer ohne MFA ist Ihr schwächstes Glied.

TrekMail unterstützt 2FA für alle Administratorkonten. Aktivieren Sie sie in den Sicherheitseinstellungen des Kontos. Eine vollständige Anleitung finden Sie im Leitfaden zur Zwei-Faktor-Authentifizierung.

2. Veraltete Authentifizierung sofort deaktivieren

Dies ist eine der am häufigsten übersehenen Schwachstellen im Jahr 2026. Mit "veralteter Authentifizierung" sind Protokolle wie einfaches SMTP AUTH gemeint, die moderne MFA-Abläufe nicht unterstützen. Sie fragen lediglich nach Benutzername und Passwort.

Das Problem: Selbst wenn Sie 2FA für jedes Konto aktiviert haben, kann ein Angreifer sie über ein veraltetes Protokoll vollständig umgehen. Ihre neue MFA-Konfiguration ist für einen Client bedeutungslos, der nie nach einem zweiten Faktor fragt.

Blockieren Sie veraltete Authentifizierung auf Mandantenebene. Die einzige Ausnahme: Wenn ein Drucker, Scanner oder Altgerät E-Mails versenden muss, isolieren Sie es. Geben Sie ihm ein eigenes Dienstkonto mit einem langen, komplexen und regelmäßig erneuerten Passwort. Setzen Sie allgemeine Benutzerkonten nicht veralteten Protokollen aus, nur weil der Kopierer Scan-to-E-Mail benötigt.

Hinweis: TrekMail unterstützt POP3 bewusst nicht. Diese Architekturentscheidung verhindert eine ausschließlich lokale E-Mail-Speicherung, die beim Verlust eines Geräts nicht wiederhergestellt werden kann. IMAP wird unterstützt und ist für alle Clientverbindungen erforderlich.

3. Keine gemeinsam genutzten Zugangsdaten

Ein info@company.com-Konto, dessen Passwort drei Personen einander per Nachricht schicken, ist keine kleine Unannehmlichkeit. Es ist ein Sicherheitsvorfall, der nur auf seinen Auslöser wartet. Ändern Sie das Passwort, wenn jemand das Unternehmen verlässt? Meistens nicht. Wissen Sie, wer sich zuletzt angemeldet hat? Nein.

Die Lösung sind delegierter Zugriff oder gemeinsame Postfächer: Jeder Nutzer authentifiziert sich mit eigenen Zugangsdaten und erhält Zugriff auf den gemeinsamen Ordner. So entsteht ein vollständiger Audit-Trail. Zugriffe lassen sich einzeln entziehen. Das Teilen von Passwörtern entfällt.

Das Preismodell pro Nutzer wirkt dem aktiv entgegen. Wenn jeder Zugang zwischen $15 und $30 pro Monat kostet, beginnen Teams, Anmeldedaten zu teilen, um Kosten zu sparen. Beim Pauschalmodell von TrekMail zählt der gemeinsame Speicher statt der Anzahl der Zugänge. Deshalb zahlen Sie gleich viel, ob Sie 5 oder 50 Nutzer haben. Geben Sie jedem ein eigenes Konto. Teilen Sie keine Passwörter, um $6 pro Monat zu sparen.

Administration und Zugriffskontrolle

Das Notfallkonto

Wenn Ihr Telefon ins Meer fällt oder Ihr primärer Identitätsanbieter ausfällt, brauchen Sie einen Rückweg, der nicht von dem gerade ausgefallenen System abhängt. Erstellen Sie ein einziges, nur in der Cloud geführtes Administratorkonto zur Wiederherstellung, beispielsweise admin-recovery@yourdomain.com, mit einem zufälligen Passwort aus 30 Zeichen. Schreiben Sie es auf Papier und legen Sie das Papier in einen physischen Safe.

Richten Sie anschließend eine Warnung ein: Wenn sich dieses Konto jemals anmeldet, werden alle anderen Administratoren sofort benachrichtigt. Es sollte so gut wie nie verwendet werden. Meldet es sich unerwartet an, stimmt etwas nicht.

Trennung von Aufgaben

Ihr alltägliches E-Mail-Konto, mit dem Sie im Web surfen, Links anklicken und Newsletter lesen, sollte kein globaler Administrator sein. Klicken Sie als Superadmin auf einen Phishing-Link, übergeben Sie einem Angreifer womöglich gerade sämtliche Schlüssel.

Erstellen Sie ein separates Administratorkonto. Melden Sie sich dort nur an, wenn Sie Einstellungen ändern müssen. Für alles andere arbeiten Sie als Standardnutzer. Das ist keine Paranoia, sondern grundlegende Betriebshygiene, die jeder Systemadministrator vom ersten Tag an empfehlen würde.

Sichere geschäftliche E-Mail: Grundschutz für die Echtheit von Nachrichten (SPF, DKIM, DMARC)

Diese drei DNS-Einträge bilden die technische Grundlage gegen Spoofing. Seit 2024 verlangen Google und Yahoo sie von Massenversendern, und sie werden zunehmend für jede geschäftliche E-Mail erwartet. Wenn Sie sie noch nicht eingerichtet haben, sollten Sie es jetzt tun.

Eine ausführlichere Erklärung jeder Schutzschicht und der gesamten Umsetzung finden Sie im Leitfaden zur Einrichtung einer E-Mail-Domain.

SPF: Die Liste zugelassener Absender

Sender Policy Framework ist ein DNS-TXT-Eintrag, der ausdrücklich aufführt, welche IP-Adressen E-Mails für Ihre Domain senden dürfen. Jeder nicht aufgeführte Server besteht die Prüfung nicht.

v=spf1 include:_spf.trekmail.net -all

Hier müssen Sie auf zwei Dinge achten:

Erstens: Beenden Sie den Eintrag mit -all (Hard Fail), nicht mit ~all (Soft Fail). Ein Soft Fail teilt der Welt sinngemäß mit: "Ich bin nicht sicher, wer meine E-Mails versendet, also lass sie vielleicht durch." Das ist keine Sicherheitsrichtlinie, sondern eine Einladung. Verwenden Sie Hard Fail, sobald Sie Ihre legitimen Absender geprüft haben.

Zweitens: SPF erlaubt höchstens 10 DNS-Abfragen. Wenn Sie Google Workspace, Mailchimp, Salesforce und Zendesk in denselben Eintrag aufnehmen, überschreiten Sie die Grenze wahrscheinlich und SPF funktioniert unbemerkt nicht mehr. Verwenden Sie ein Werkzeug zum SPF-Flattening, wenn Sie mehrere Versanddienste koordinieren.

DKIM: Das manipulationssichere Siegel

DomainKeys Identified Mail versieht jede ausgehende Nachricht mit einer kryptografischen Signatur. Ihr Mailserver, auf dem sich der private Schlüssel befindet, signiert die E-Mail. Der Server des Empfängers prüft sie anhand des öffentlichen Schlüssels, den Sie im DNS veröffentlicht haben.

Warum Sie DKIM auch mit SPF benötigen: Eine Weiterleitung unterbricht SPF. Wird eine Nachricht weitergeleitet, ändert sich die sendende IP-Adresse, sodass SPF fehlschlägt. DKIM bleibt in den Kopfzeilen der Nachricht erhalten und übersteht die Weiterleitung. Sie benötigen beides.

TrekMail verwaltet die Erzeugung und Rotation von DKIM-Schlüsseln in kostenpflichtigen Tarifen automatisch. Der öffentliche Schlüssel wird in Ihrem DNS veröffentlicht und jede ausgehende Nachricht signiert. Eine manuelle Konfiguration ist nicht nötig. Der Leitfaden zu erforderlichen DNS-Einträgen zeigt genau, was wo hinzugefügt wird.

DMARC: Die Ebene zur Durchsetzung von Richtlinien

DMARC teilt empfangenden Mailservern mit, was sie tun sollen, wenn SPF oder DKIM fehlschlägt. Außerdem erhalten Sie Berichte darüber, wer im Namen Ihrer Domain sendet. So entdecken Sie beispielsweise ein vergessenes Marketingtool, das noch immer in Ihrem Namen Nachrichten verschickt.

Beginnen Sie im Überwachungsmodus. Überspringen Sie diese Phase nicht.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Dieser Eintrag bedeutet sinngemäß: "Melde mir, wer in meinem Namen sendet, aber blockiere noch nichts." Sammeln Sie zwei bis vier Wochen lang Berichte. Prüfen Sie jede Versandquelle. Wechseln Sie erst dann zur Durchsetzung, wenn Sie bestätigt haben, dass alle legitimen Absender die Authentifizierung bestehen:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Später schließlich:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Wenn Sie ohne vorherige Prüfung direkt zu p=reject wechseln, blockieren Sie eigene Rechnungen, eigene Marketing-E-Mails und alles andere, was nicht einwandfrei konfiguriert ist. Gehen Sie schrittweise vor. Die DMARC-Dokumentation beschreibt die vollständige stufenweise Einführung.

Sichere Weiterleitung und Catch-all-Konfiguration

Automatische externe Weiterleitung blockieren

Diese eine Regel trägt dazu bei, den zuvor beschriebenen Angriff zur unbemerkten Datenabführung zu verhindern. Konfigurieren Sie Ihren Mailserver so, dass automatische Weiterleitungen an externe Domains untersagt sind.

Es gibt kaum einen legitimen geschäftlichen Grund dafür, dass Beschäftigte sämtliche Firmen-E-Mails automatisch an ein privates Gmail-Konto weiterleiten. Wenn jemand von mehreren Orten aus Zugriff benötigt, geben Sie der Person IMAP-Zugriff von mehreren Geräten. Genau dafür ist IMAP da. Weiterleitungsregeln, die unbemerkt alles an eine externe Adresse kopieren, sind konstruktionsbedingt ein Datenleck.

Das Problem mit Catch-all

Eine Catch-all-Adresse nimmt alles an, was an eine beliebige Adresse Ihrer Domain gesendet wird, auch wenn die Adresse nicht existiert. Das klingt bequem. In der Praxis lieben Spammer diese Funktion. Sie bombardieren Ihre Domain mit Wörterbuchangriffen, etwa a@yourdomain.com, aa@yourdomain.com, ab@yourdomain.com. Wenn Sie auf eine dieser Nachrichten antworten oder eine Adresse eine Spamfalle ist, kann Ihre Domain markiert werden.

Deaktivieren Sie Catch-all, sofern Sie keinen konkreten betrieblichen Grund dafür haben. Wenn Sie die Funktion benötigen, überwachen Sie sie täglich und filtern Sie konsequent. Der Pro-Tarif von TrekMail unterstützt die externe Catch-all-Weiterleitung mit integriertem Spamfilter. Der Leitfaden zur Catch-all-Einrichtung weist jedoch darauf hin, dass sie aktiv verwaltet werden muss und keine einmalige Einstellung ist.

Die Sicherheits-Checkliste mit 12 Punkten

Wenn Sie alle folgenden Punkte abhaken können, sind Sie besser geschützt als die meisten Organisationen, darunter viele Unternehmen mit eigenen IT-Teams, die schlicht noch nicht dazu gekommen sind.

Drucken Sie diese Liste aus. Nehmen Sie sie in Ihr Onboarding-Handbuch auf. Gehen Sie sie alle sechs Monate durch.

Warum Preise pro Nutzer ein Sicherheitsproblem sind

Das muss deutlich gesagt werden: Preise pro Nutzer, also das übliche Modell mit $6 bis $30 pro Nutzer, erzeugen direkten finanziellen Druck, bei der Sicherheit Abstriche zu machen. Wenn jeder Nutzer Geld kostet, teilen Teams das info@-Passwort, statt individuelle Konten anzulegen. Auftragnehmer erhalten keine eigenen Zugangsdaten. Konten ehemaliger Beschäftigter bleiben aktiv, weil eine Migration teuer erscheint.

Sichere geschäftliche E-Mail setzt Trennung voraus. Jeder Mensch erhält eine eigene Identität. Jeder Dienst-Bot bekommt ein eigenes Konto. Ohne das gibt es keinen verlässlichen Audit-Trail.

Das Pauschalmodell von TrekMail berechnet einen Speicherpool statt der Nutzerzahl. Ob Sie fünf Postfächer oder fünfhundert betreiben, der Preis ändert sich nicht aufgrund der Zugänge. So können Sie allen, ob Beschäftigten, Auftragnehmern oder Dienstkonten, eigene isolierte Zugangsdaten geben, ohne bei jedem Neuzugang erneut über das Budget zu sprechen.

Tarife beginnen bei $3.50 pro Monat für bis zu 50 Domains und 100 Nutzer pro Domain. Bei einem Team üblicher Größe liegt der rechnerische Preis deutlich unter einem Dollar pro Nutzer. Für alle kostenpflichtigen Tarife gibt es eine kostenlose Testphase von 14 Tagen. Eine Karte ist erforderlich.

Die nächsten Schritte

Gehen Sie die Checkliste oben durch. Seien Sie ehrlich, was noch fehlt. Die meisten Unternehmen finden beim ersten Durchgang mindestens drei oder vier Lücken. Das ist normal und lässt sich beheben.

Die wirksamsten Maßnahmen, geordnet nach Aufwand und Wirkung:

1. Aktivieren Sie MFA überall. Erledigen Sie das heute.
2. Prüfen Sie Ihre DMARC-Berichte, sofern Sie welche haben. Beginnen Sie andernfalls mit der Erfassung.
3. Prüfen Sie, ob Ihr SPF-Eintrag mit -all endet und die Abfragegrenze nicht überschreitet.
4. Blockieren Sie automatische externe Weiterleitungen auf Serverebene.
5. Erstellen Sie das Notfallkonto, bevor Sie es benötigen.

Bei Sicherheit geht es nicht darum, ein magisches Produkt zu kaufen. Entscheidend ist, die Grundlage korrekt einzurichten und nicht davon abzuweichen. Konfigurieren Sie Ihr DNS, erzwingen Sie MFA und teilen Sie keine Passwörter. Diese Kombination blockiert einen großen Teil der Angriffswege, von denen Unternehmen tatsächlich betroffen sind.

Wenn Sie die Umgebung neu einrichten, übernimmt TrekMail die DKIM- und SPF-Konfiguration automatisch über den DNS-Assistenten, unterstützt POP3 bewusst nicht und bietet ein Pauschalmodell, mit dem sich Nutzerkonten wirtschaftlich sinnvoll trennen lassen. Testen Sie es 14 Tage kostenlos.