Business-E-Mail-Schutz im Jahr 2026: So funktionieren Spam- und Phishing-Filter für Microsoft 365, Google Workspace und cPanel

Business-E-Mail-Schutz im Jahr 2026 bedeutet, einen Filter vor jedes Postfach Ihrer Domain zu schalten. Sie leiten die MX-Einträge der Domain auf ein Filtering-Gateway um, das jede eingehende Nachricht auf Spam, Phishing, Malware und Spoofing prüft und die bereinigte E-Mail anschließend an Microsoft 365, Google Workspace, cPanel/WHM oder Exchange weiterleitet. SPF, DKIM und DMARC schützen Ihre eigene Domain vor Fälschungen. iBlockSpam, der E-Mail-Schutzdienst von BroadNet, arbeitet auf diese Weise zu einem Festpreis pro Domain.

Warum geschäftliche E-Mails nach wie vor der Hauptangriffsweg sind

Der 2025 Internet Crime Report des FBI verzeichnete 1.008.597 Beschwerden und gemeldete Verluste in Höhe von 20,877 Mrd. $. Phishing/Spoofing war mit 191.561 Beschwerden die am häufigsten gemeldete Kriminalitätsart. Bei Business Email Compromise (BEC) gab es zwar deutlich weniger Beschwerden (24.768), doch die gemeldeten Verluste beliefen sich auf 3.046.598.558 $, ein Anstieg gegenüber 2.770.151.146 $ im Jahr 2024. Unter den cybergestützten Betrugsarten verursachte nur der Anlagebetrug noch höhere Kosten für die Opfer. Der Bericht stellt zudem fest, dass Unternehmen Verluste von mehr als 30 Mio. $ durch BEC-Betrug verzeichneten, bei dem KI zum Einsatz kam.

Diese Zahlen decken nur die bei IC3 eingereichten Beschwerden ab und zeigen daher eher den Trend als die tatsächlichen Gesamtkosten. Sie verdeutlichen auch, dass die beiden Bedrohungen Hand in Hand gehen. Phishing ist der Massenangriff. BEC ist die Auszahlung, bei der eine überzeugende E-Mail eines „Lieferanten“ oder einer „Führungskraft“ jemanden dazu auffordert, Bankverbindungen zu ändern oder eine Überweisung zu genehmigen. IC3 definiert Phishing als unerwünschte E-Mails, Textnachrichten und Telefonanrufe, sodass dasselbe Vorgehen auch über SMS erfolgt. Unser Leitfaden zur Smishing-Abwehr behandelt die Seite der Textnachrichten.

So funktioniert das Inbound-Filtering: Der MX-Eintrag entscheidet

Gemäß SMTP (RFC 5321) sucht ein sendender Server die MX-Einträge für Ihre Domain auf, um herauszufinden, wohin die E-Mails zugestellt werden sollen. Unabhängig davon, wohin diese Einträge verweisen, durchläuft jede eingehende Nachricht zuerst eine Prüfung. Ein Filtering-Gateway ändert die Route von „Absender → Ihr Mailserver“ zu „Absender → Gateway → Ihr Mailserver“. Das Gateway nimmt die Verbindung an, prüft die Reputation und Authentifizierung des Absenders, scannt Links sowie Anhänge und stellt die Nachricht entweder zu, setzt sie in Quarantäne oder lehnt sie ab.

Ihre Postfächer bleiben unverändert. Die Nutzer verwenden weiterhin dieselben Apps, Passwörter und Ordner. Zwei Einstellungen sind dabei entscheidender als alles andere. Erstens muss jeder MX-Eintrag auf das Gateway verweisen, denn ein vergessener Backup-MX, der immer noch direkt auf Ihren Mailserver zeigt, ermöglicht es Angreifern, den Filter zu umgehen. Zweitens sollte Ihre Mail-Plattform eingehende Internet-Mails nur vom Gateway aus akzeptieren. Der integrierte Schutz von Microsoft läuft weiterhin hinter dem Gateway, sodass Sie am Ende über zwei unabhängige Sicherheitsebenen statt nur einer verfügen.

Microsoft 365, Google Workspace und cPanel: Plattformspezifische Details

Microsoft 365 und Exchange Online

Microsoft dokumentiert dieses Setup unter Manage mail flow using a third-party cloud service. Der MX-Eintrag verweist auf den Filtering-Dienst, und Sie erstellen einen Partner-Inbound-Connector, der nur E-Mails akzeptiert, die vom Zertifikat oder den IP-Adressen des Dienstes stammen. Ohne diesen können Angreifer direkt an Ihren Tenant senden und den Filter umgehen. Microsoft „empfiehlt dringend“, Enhanced Filtering for Connectors zu aktivieren, auch bekannt als Skip Listing. Wenn ein Gateway vorgeschaltet ist, trifft jede Nachricht mit der IP-Adresse des Gateways ein. Durch Enhanced Filtering bleiben die ursprüngliche Quell-IP und die Absenderinformationen erhalten, sodass die SPF, DKIM, DMARC und Anti-Spoofing-Prüfungen von Microsoft weiterhin den echten Absender erkennen. Microsoft rät davon ab, das Spam-Filtering für die IP-Adressen des Gateways einfach zu umgehen, da diese Adressen oft von vielen Kunden gemeinsam genutzt werden.

Google Workspace

In Google Workspace registrieren Sie den Filter als Inbound-Mail-Gateway in der Admin-Konsole, listen seine IP-Adressen auf und können optional alle E-Mails ablehnen, die nicht vom Gateway kommen. Google weist darauf hin, dass Gmail die DMARC-Richtlinie des Absenders bei Nachrichten, die über das Gateway eingehen, nicht erzwingt, obwohl die Authentifizierungsergebnisse weiterhin zur Bekämpfung von Spam und Phishing genutzt werden. Ihr Gateway sollte daher eigene SPF-, DKIM- und DMARC-Prüfungen durchführen.

cPanel/WHM und On-Premises Exchange

Hosting-Server und selbst verwaltete Exchange-Instanzen folgen derselben MX-Logik. Bevor Sie DNS-Einstellungen ändern, bestätigen Sie, welcher Server tatsächlich E-Mails für die Domain empfängt. Verweisen Sie dann den MX auf das Gateway, stellen Sie das Gateway so ein, dass es an Ihren Server liefert, und beschränken Sie den eingehenden SMTP-Verkehr auf die Adressen des Gateways, sofern Ihr Setup dies zulässt. Senken Sie die TTL des MX-Eintrags einen Tag im Voraus, damit sowohl die Änderung als auch ein etwaiger Rollback schnell wirksam werden.

SPF, DKIM und DMARC: Schutz Ihrer eigenen Domain

Inbound-Filtering schützt Ihre Nutzer. Domain-Authentifizierung schützt alle, die E-Mails erhalten, die vorgeben, von Ihrer Domain zu stammen. Jeder der drei Standards beweist etwas anderes:

• **SPF** (RFC 7208) legt fest, welche Server E-Mails für Ihre Domain senden dürfen. Die Prüfungen sind auf 10 DNS-Abfragemethoden begrenzt; ein Eintrag mit zu vielen „include“-Einträgen schlägt daher fehl.
• **DKIM** (RFC 6376) fügt eine kryptografische Signatur hinzu, die Empfänger anhand eines in Ihrem DNS veröffentlichten öffentlichen Schlüssels verifizieren. Dies beweist, dass die signierende Domain die Nachricht gesendet hat und die Nachricht nicht verändert wurde.
• **DMARC** (RFC 7489) verknüpft SPF oder DKIM mit der Domain in der sichtbaren From-Adresse, teilt den Empfängern mit, was im Falle eines Fehlers zu tun ist (none, quarantine oder reject), und sendet Ihnen Berichte darüber, wer im Namen Ihrer Domain sendet.

Im Mai 2026 veröffentlichte die IETF RFC 9989, die aktualisierte DMARC-Spezifikation (die „DMARCbis“-Arbeit), im Standards Track. Sie ersetzt RFC 7489, und zwei Begleit-RFCs, 9990 und 9991, decken das Aggregate- und Failure-Reporting ab. Bestehende DMARC-Einträge funktionieren weiterhin. Der übliche Weg bleibt gleich: p=none veröffentlichen, die Berichte lesen, jeden legitimen Absender korrigieren und dann zu quarantine und schließlich zu reject übergehen.

Lookalike-Domains, Impersonation und Quarantäne

DMARC verhindert, dass Angreifer Ihre exakte Domain nutzen. Es kann sie jedoch nicht daran hindern, eine ähnliche Domain zu registrieren – etwa mit einem vertauschten Buchstaben, einem zusätzlichen Bindestrich oder einer anderen Endung – und von dort aus mit vollkommen gültigen SPF und DKIM zu versenden. Viele BEC-Versuche funktionieren auf diese Weise. Deshalb prüft ein guter Filter auch die Imitation von Anzeigenamen, neu registrierte Absender-Domains und Lookalikes Ihres eigenen Namens. Die Überwachung von Registrierungen von Lookalikes Ihrer Domain warnt Sie, bevor eine dieser Domains beginnt, E-Mails zu versenden.

Die Quarantäne entscheidet darüber, ob Nutzer einen Filter überhaupt akzeptieren. Verdächtige E-Mails sollten zurückgehalten, aber nicht gelöscht werden, und jeder Nutzer sollte in der Lage sein, zu sehen, was zurückgehalten wurde, und eine echte Nachricht freizugeben, ohne ein Ticket eröffnen zu müssen. Administratoren benötigen eine domänenweite Übersicht und eine Nachrichtenhistorie, um Beschwerden über fehlende E-Mails nachverfolgen zu können. Der eigene Dienst von Microsoft beispielsweise leitet hochgradig verdächtiges Phishing standardmäßig direkt in eine reine Admin-Quarantäne. Legen Sie im Voraus fest, wer was freigeben darf.

Was die Gmail-, Yahoo- und Outlook.com-Absenderregeln für Ihre Domain bedeuten

Seit dem 1. Februar 2024 verlangen die E-Mail-Absenderrichtlinien von Google, dass jeder Absender an Gmail-Konten SPF oder DKIM einrichtet, TLS verwendet, über gültige Forward- und Reverse-DNS-Einträge verfügt und die in den Postmaster Tools gemeldete Spam-Rate unter 0,3 % hält. Absender von mehr als 5.000 Nachrichten pro Tag müssen zudem SPF, DKIM und DMARC vorweisen, wobei die From-Domain übereinstimmen muss, und eine Ein-Klick-Abmeldung für Marketing-E-Mails unterstützen. Die Sender Hub von Yahoo setzt denselben Standard: SPF oder DKIM für alle, zusätzlich DMARC von mindestens p=none für Bulk-Absender, eine Spam-Rate unter 0,3 % und die Berücksichtigung von Abmeldungen innerhalb von 2 Tagen. Yahoo gibt keine Volumenschwelle an, ab der man als Bulk-Absender gilt.

Microsoft hat dies für Outlook.com Consumer-Adressen (hotmail.com, live.com, outlook.com) umgesetzt. Seine Ankündigung vom April 2025 schreibt vor, dass Domains, die mehr als 5.000 E-Mails pro Tag versenden, SPF und DKIM bestehen sowie DMARC von mindestens p=none veröffentlichen müssen, passend zu SPF oder DKIM. Ab dem 5. Mai 2025 werden nicht konforme E-Mails mit der Fehlermeldung "550; 5.7.515 Access denied" abgelehnt. Für ein typisches Unternehmen hat dies zwei Konsequenzen: Jede Plattform, die im Namen Ihrer Domain versendet – wie Ihr CRM, Ihr Rechnungsstellungstool oder Ihre Marketing-Plattform – benötigt eine abgestimmte Authentifizierung. Und sobald DMARC durchgesetzt wird, wird es zudem wesentlich schwieriger, Ihre Domain gegenüber Ihren eigenen Kunden zu fälschen. Für den transaktionalen und Marketing-Versand übernimmt der E-Mail-Service von BroadNet das authentifizierte Versenden via SMTP und API.

Checkliste: Auswahl eines Inbound-E-Mail-Filters

1. 1Funktioniert er vor Ihrer Plattform (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) unter Verwendung der dokumentierten Methode des Anbieters, wie etwa eines Connectors mit Enhanced Filtering oder eines Inbound-Gateways?
2. 2Prüft er SPF, DKIM und DMARC direkt bei eingehenden E-Mails und erkennt die Imitation von Anzeigenamen sowie Lookalike-Domains?
3. 3Erhält jeder Nutzer eine persönliche Quarantäne mit Zusammenfassungen (Digests) sowie eine Admin-Ansicht und eine durchsuchbare Nachrichtenhistorie?
4. 4Was passiert, wenn Ihr Mailserver ausfällt? Achten Sie auf eine angegebene Spooling-Zeitspanne.
5. 5Basiert die Preisgestaltung auf pro Nutzer oder pro Domain, und welche Nachrichtenvolumen- und Größenlimits sind enthalten?
6. 6Erfasst die Einrichtung Ihre aktuellen DNS-Einstellungen und liefert Rollback-Schritte, und überwacht etwas MX, SPF und DMARC auf Abweichungen?
7. 7Wo werden E-Mails verarbeitet, was wird gespeichert und wie lange?
8. 8Sind Rückerstattungsbedingungen, Kündigungsmodalitäten und der Austrittsprozess vor der Unterzeichnung schriftlich festgelegt?

E-Mail ist nur ein Kanal. Wenn Ihre Kunden Einmalpasswörter oder Warnmeldungen per SMS erhalten, wenden Sie dort dieselbe Sorgfalt an. Lesen Sie dazu unseren Leitfaden zu den SMS OTP Sicherheitsstandards und nutzen Sie MobileValidate, um Telefonnummern und E-Mail-Adressen vor dem Versand zu prüfen.

So passt iBlockSpam hinein

iBlockSpam ist Teil der BroadNet Markenwelt. Laut der „So funktioniert es“-Seite leiten Sie Ihre MX-Einträge auf die Filterserver von iBlockSpam um, woraufhin jede eingehende Nachricht auf Spam, Viren, Malware, Phishing und Spoofing geprüft wird, bevor die bereinigte E-Mail an Ihren bereits genutzten Server weitergeleitet wird. Die Schritte sind: prüfen, konfigurieren, verifizieren und überwachen. Ein geführter Assistent zeigt aktuelle und neue DNS-Einstellungen nebeneinander an und speichert Rollback-Schritte. iBlockSpam nimmt keine Änderungen an Ihrem DNS vor. Die veröffentlichten Fakten:

• Kompatibel mit Microsoft 365, Google Workspace, cPanel/WHM, Exchange und anderen Mailservern.
• Persönliche Quarantäne für jeden Nutzer mit geplanten Zusammenfassungen, eine gemeinsame Admin-Quarantäne und 30 Tage Nachrichtenverlauf.
• Falls Ihr Mailserver nicht erreichbar ist, werden die E-Mails bis zu 5 Tage lang zurückgehalten und zugestellt, sobald der Server wieder online ist.
• Unbegrenzte Postfächer und Domain-Aliase. Jede Domain beinhaltet 100.000 eingehende Nachrichten pro Monat, eine maximale Nachrichtengröße von 400 MB und 500 ausgehende Relay-Nachrichten mit DKIM-Signierung.
• Lookalike-Domain-Überwachung, DMARC-Bericht-Monitoring und MX/SPF/DMARC-Drift-Warnungen (wöchentlich bei Protect, täglich bei Protect Plus).
• Die E-Mail-Verarbeitung erfolgt in den Vereinigten Staaten.

Preise gelten pro Domain in USD, exklusive Steuern: **Protect** kostet 12 $ pro Domain und Monat bei jährlicher Abrechnung (144 $ pro Jahr) oder 15 $ bei monatlicher Abrechnung. **Protect Plus** kostet 19 $ bei jährlicher Abrechnung (228 $ pro Jahr) oder 24 $ bei monatlicher Abrechnung und bietet zusätzlich tägliches Monitoring, einen monatlichen Inhaberbericht sowie eine persönliche Einrichtungssitzung. Es gibt keine kostenlose Testphase. Stattdessen gilt für das erste Jahresabonnement einer Domain eine 30-tägige Geld-zurück-Garantie. Der kostenlose Email Health Check analysiert Ihre MX, SPF, DMARC und gängigen DKIM-Selektoren ohne Konto. Der umfassende Sicherheitsansatz und das Trust Center von BroadNet decken die Zertifizierungen der Gruppe ab.

Häufig gestellte Fragen

Reicht der integrierte Spam-Filter von Microsoft 365 für ein Unternehmen aus?

Für einige Organisationen ja. Microsoft 365 umfasst Anti-Spam-, Anti-Malware- und Anti-Phishing-Schutz für jedes Cloud-Postfach, und dieser ist standardmäßig aktiviert. Ein separates Gateway fügt eine unabhängige Ebene davor hinzu, mit eigener Erkennung, persönlichen Quarantänen, Outage-Spooling und Steuerung pro Domain. Wenn Sie eines hinzufügen, folgen Sie der dokumentierten Einrichtung von Microsoft: ein abgesicherter Partner-Connector mit aktiviertem Enhanced Filtering for Connectors.

Was ist ein Spam-Filter auf MX-Ebene?

Ein Spam-Filter auf MX-Ebene ist ein Dienst, auf den die MX-Einträge Ihrer Domain verweisen, sodass er alle eingehenden E-Mails erhält, bevor sie Ihren Mailserver erreichen. Er prüft jede Nachricht auf Spam, Phishing, Malware und Spoofing, leitet saubere E-Mails an Ihre bestehende Plattform weiter und hält verdächtige E-Mails in der Quarantäne fest. Ihre Postfächer, Apps und Passwörter bleiben unverändert. Nur der Weg, den die E-Mails nehmen, um sie zu erreichen, ändert sich.

Was ist Enhanced Filtering for Connectors in Exchange Online?

Enhanced Filtering for Connectors, auch Skip Listing genannt, ist eine Microsoft 365-Einstellung für Inbound-Connectoren, die E-Mails von einem Dienst empfangen, der vor Exchange Online geschaltet ist. Es ignoriert die IP-Adresse des Gateways und prüft den ursprünglichen Absender, sodass die SPF-, DKIM-, DMARC- und Anti-Spoofing-Prüfungen von Microsoft die tatsächliche Quelle bewerten. Microsoft empfiehlt dies dringend, wenn Ihr MX-Eintrag auf einen Nicht-Microsoft-Filter verweist.

Verhindern SPF, DKIM und DMARC Phishing-E-Mails?

Sie verhindern eine Art von Phishing: E-Mails, die Ihre exakte Domain fälschen. Mit DMARC im Modus „Quarantäne“ oder „Ablehnen“ können Empfänger Nachrichten blockieren, die fälschlicherweise Ihre From-Adresse verwenden. Sie verhindern keine Lookalike-Domains, kompromittierte Konten bei echten Lieferanten oder Phishing, das von ordnungsgemäß authentifizierten Gratis-Konten versendet wird. Hierfür sind Inbound-Filterung, Impersonation-Prüfungen und Mitarbeiter erforderlich, die Zahlungsänderungen über einen zweiten Kanal verifizieren.

Was hat sich durch die Bulk-Sender-Regeln von Gmail, Yahoo und Outlook.com geändert?

Seit Februar 2024 verlangen Gmail (über 5.000 Nachrichten pro Tag) und Yahoo (Bulk-Sender, ohne veröffentlichte Schwelle) SPF sowie DKIM und DMARC mit mindestens p=none inklusive Alignment, One-Click-Abmeldung und Spam-Raten unter 0,3 %. Seit dem 5. Mai 2025 lehnt Outlook.com nicht konforme E-Mails von High-Volume-Domains mit dem Fehler 550 5.7.515 ab. Jeder Absender benötigt mindestens SPF oder DKIM.

Was ist der Unterschied zwischen Phishing und Business Email Compromise?

Phishing ist der Oberbegriff: unerwünschte Nachrichten, die eine vertrauenswürdige Organisation imitieren, um Zugangsdaten, Geld oder Daten zu stehlen. Business Email Compromise ist ein gezielter Betrug gegen Unternehmen, bei dem kompromittierte oder imitierte E-Mail-Konten genutzt werden, um Zahlungen umzuleiten, indem Lieferanten bezahlt oder Gelder per Überweisung bewegt werden. Der IC3-Bericht des FBI aus dem Jahr 2025 verzeichnete 191.561 Phishing-/Spoofing-Beschwerden und 24.768 BEC-Beschwerden mit BEC-Verlusten in Höhe von 3,05 Mrd. $.

Wird ein E-Mail-Filter legitime Nachrichten blockieren?

Jeder Filter kann eine Nachricht falsch einschätzen, daher ist die Quarantäne anstelle der Löschung die sicherere Maßnahme. Achten Sie auf eine persönliche Quarantäne mit regelmäßigen Zusammenfassungen, damit Benutzer eine zurückgehaltene Nachricht selbst freigeben können, eine gemeinsame Admin-Quarantäne, Listen mit zugelassenen Absendern für bekannte Kontakte und eine Nachrichtenverlauf-Funktion, um nachzuvollziehen, was passiert ist. iBlockSpam bietet beispielsweise all dies und bewahrt den Nachrichtenverlauf für 30 Tage auf.

Wie viel kostet iBlockSpam?

iBlockSpam wird pro Domain mit unbegrenzten Postfächern berechnet. Protect kostet 12 $ pro Domain und Monat bei jährlicher Abrechnung (144 $ pro Jahr) oder 15 $ bei monatlicher Abrechnung. Protect Plus kostet 19 $ bei jährlicher Abrechnung (228 $ pro Jahr) oder 24 $ monatlich und beinhaltet tägliches DNS-Monitoring, einen monatlichen Inhaberbericht sowie eine persönliche Einrichtungssitzung. Die Preise verstehen sich in USD zzgl. Steuern. Es gibt keine kostenlose Testphase, aber für das erste Jahresabonnement gilt eine 30-tägige Geld-zurück-Garantie.

Möchten Sie wissen, wie es um Ihre Domain steht? Führen Sie den kostenlosen Email Health Check auf iBlockSpam durch und vergleichen Sie anschließend die Tarife Protect und Protect Plus. Die Einrichtung erfordert lediglich eine MX-Änderung sowie geführte Schritte auf der Plattform; Ihre Postfächer bleiben unverändert.