Rechnungen per E-Mail senden: Was SPF, DKIM und DMARC leisten

Answer first: Wenn Sie Rechnungen per E-Mail versenden, sollten SPF, DKIM und DMARC für Ihre Versanddomain eingerichtet sein. Diese drei Verfahren ersetzen keine ordnungsgemäße Rechnung und keine Verschlüsselung sensibler Inhalte. Sie helfen aber dabei, gefälschte Absender zu erkennen, Zustellprobleme zu reduzieren und das Risiko von Phishing im Namen Ihres Unternehmens zu senken.

Für KMU in Österreich und Deutschland ist das besonders relevant, weil Rechnungen regelmäßig personenbezogene Daten, Vertragsdaten und Zahlungsinformationen enthalten. Eine Rechnung als PDF-Anhang oder als Link wirkt auf Empfängerinnen und Empfänger nur dann vertrauenswürdig, wenn Absender, Domain und Inhalt zusammenpassen. Genau hier setzen SPF, DKIM und DMARC an. Das Schwerpunkt-Thema Rechnung E-Mail SPF DKIM DMARC ist daher weniger eine reine IT-Frage als ein Teil sauberer Geschäftsprozesse in Buchhaltung, Vertrieb und Geschäftsführung.

Warum Rechnungen per E-Mail ein besonderes Risiko sind

Rechnungen gehören zu den am häufigsten gefälschten Geschäftsunterlagen. Ein Angreifer muss nicht Ihr E-Mail-Konto übernehmen, um Schaden anzurichten. Häufig reicht es, eine E-Mail mit ähnlich aussehender Absenderadresse zu versenden oder eine fremde Domain technisch zu missbrauchen. Der Empfänger sieht dann eine vermeintlich echte Rechnung, prüft die IBAN nicht genau und zahlt im ungünstigen Fall an ein falsches Konto.

Hinzu kommt: Viele Unternehmen versenden Rechnungen nicht nur aus dem eigenen E-Mail-Programm. Im Einsatz sind häufig Buchhaltungssoftware, Faktura-Lösungen, Kundenportale, Newsletter-Systeme, Warenwirtschaft, Helpdesk-Systeme oder externe Dienstleister. Jede dieser Stellen kann E-Mails im Namen Ihrer Domain versenden. Ohne klare technische Regeln ist für empfangende Mailserver schwer erkennbar, welche Nachricht echt ist.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik beschreibt in der Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung, wie SPF, DKIM und DMARC zusammenspielen. Die zentrale Aussage für die Praxis: Einzelne Maßnahmen helfen, zuverlässig wird es aber erst durch eine abgestimmte Konfiguration und laufende Prüfung.

Auch Datenschutz spielt hinein. Der Europäische Datenschutzausschuss weist in seinen Hinweisen für kleine Unternehmen darauf hin, dass personenbezogene Daten angemessen gesichert werden müssen. Bei Rechnungen können Namen, Adressen, Leistungsbeschreibungen und interne Kundennummern betroffen sein. SPF, DKIM und DMARC schützen nicht den Inhalt vor Mitlesen. Sie verbessern aber die Vertrauenswürdigkeit des Absenders und unterstützen organisatorische Sicherheitsmaßnahmen.

SPF, DKIM und DMARC verständlich erklärt

SPF steht für Sender Policy Framework. Damit veröffentlichen Sie im DNS Ihrer Domain, welche Mailserver E-Mails für diese Domain versenden dürfen. Ein empfangender Mailserver prüft dann, ob die technische Versandquelle zur Domain passt. Ein vereinfachtes Beispiel:

example.at. TXT 'v=spf1 include:_spf.mailanbieter.example -all'

In der Praxis bedeutet das: Wenn Ihre Domain example.at heißt und Ihr Mailanbieter über bestimmte Server sendet, nehmen Sie diese Server in den SPF-Eintrag auf. Nicht autorisierte Quellen werden je nach Einstellung und Empfängersystem abgewertet oder abgelehnt.

DKIM steht für DomainKeys Identified Mail. Dabei wird eine E-Mail mit einer digitalen Signatur versehen. Der öffentliche Schlüssel liegt ebenfalls im DNS. Der empfangende Mailserver kann prüfen, ob die Nachricht seit dem Signieren wesentlich verändert wurde und ob die Signatur zu Ihrer Domain passt. Ein DNS-Eintrag kann vereinfacht so aussehen:

selector1._domainkey.example.at. TXT 'v=DKIM1; k=rsa; p=MIIBIjANBgkq...'

DKIM ist besonders wichtig, weil SPF bei Weiterleitungen scheitern kann. Wird eine Rechnung an eine andere Adresse weitergeleitet, kommt sie technisch von einem anderen Server. Die DKIM-Signatur kann trotzdem gültig bleiben, sofern der Inhalt nicht verändert wurde.

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. DMARC baut auf SPF und DKIM auf. Sie legen fest, wie Empfängersysteme mit Nachrichten umgehen sollen, die SPF oder DKIM nicht bestehen oder nicht zur sichtbaren Absenderdomain passen. Außerdem können Sie Berichte erhalten, welche Systeme im Namen Ihrer Domain senden. Ein vorsichtiger Einstieg sieht zum Beispiel so aus:

_dmarc.example.at. TXT 'v=DMARC1; p=none; rua=mailto:[email protected]; adkim=s; aspf=s'

p=none bedeutet: Es wird zunächst nur beobachtet. Später kann die Richtlinie auf quarantine oder reject verschärft werden. Das sollte erst passieren, wenn Sie wissen, dass alle legitimen Versandwege korrekt eingerichtet sind. Sonst riskieren Sie, dass echte Rechnungen nicht mehr zugestellt werden.

Umsetzbarer Ablauf für KMU

Für Inhaberinnen und Inhaber, Geschäftsführung und Buchhaltung ist nicht jedes technische Detail entscheidend. Wichtig ist ein kontrollierter Ablauf. Binden Sie Ihre IT, Ihren Mailanbieter und Ihre Softwareanbieter früh ein. Wenn Sie Rechnungen aus einer Faktura- oder Buchhaltungsplattform wie Claribill versenden oder über einen externen Maildienst zustellen lassen, prüfen Sie, welche Domain tatsächlich als Absender verwendet wird und welche DNS-Einträge der jeweilige Anbieter verlangt.

1. Versandquellen erfassen: Listen Sie alle Systeme auf, die E-Mails mit Ihrer Domain versenden: persönliche Postfächer, Rechnungssoftware, Warenwirtschaft, CRM, Newsletter-System, Scanner, Helpdesk und Webserver.
2. Absenderdomain festlegen: Entscheiden Sie, ob Rechnungen über die Hauptdomain, eine Subdomain wie rechnung.example.at oder eine eigene Versanddomain laufen. Subdomains erleichtern oft die Trennung von Buchhaltung, Marketing und Support.
3. SPF bereinigen: Es darf pro Domain nur einen SPF-TXT-Eintrag geben. Führen Sie alle berechtigten Dienste in diesem einen Eintrag zusammen. Vermeiden Sie veraltete Anbieter und prüfen Sie DNS-Lookup-Grenzen.
4. DKIM aktivieren: Aktivieren Sie DKIM bei jedem Dienst, der im Namen Ihrer Domain sendet. Achten Sie darauf, dass der sichtbare Absender zur signierenden Domain passt oder zumindest organisatorisch sauber dokumentiert ist.
5. DMARC mit Monitoring starten: Beginnen Sie mit p=none. Werten Sie die Berichte aus, identifizieren Sie legitime und unbekannte Quellen und korrigieren Sie Fehlkonfigurationen.
6. Richtlinie schrittweise verschärfen: Erst wenn die Berichte stabil sind, wechseln Sie kontrolliert zu quarantine und später gegebenenfalls zu reject. Stimmen Sie den Zeitpunkt mit Buchhaltung und Kundenservice ab.
7. Regelmäßige Kontrolle einplanen: Prüfen Sie Einträge bei Anbieterwechseln, neuen Softwarelösungen und Domainänderungen. Gerade Rechnungsversand ist ein Kernprozess und sollte nicht nebenbei geändert werden.

Ein einfaches Beispiel: Ein KMU nutzt Microsoft 365 für die normale Kommunikation, eine Buchhaltungssoftware für Rechnungen und ein separates System für Zahlungserinnerungen. Alle drei Dienste senden mit @example.de. Dann müssen alle drei Versandquellen im SPF-Konzept berücksichtigt werden, alle relevanten Dienste DKIM signieren und DMARC so eingerichtet sein, dass die sichtbare Absenderdomain mit SPF oder DKIM übereinstimmt.

Österreich und Deutschland: Was fachlich zu trennen ist

SPF, DKIM und DMARC sind technische Verfahren und gelten unabhängig davon, ob Ihr Unternehmen in Österreich oder Deutschland sitzt. Die DNS-Konfiguration einer Domain folgt denselben Grundprinzipien. Unterschiede entstehen vor allem bei Rechnungsanforderungen, Aufbewahrung und E-Rechnungsformaten.

In Österreich sind für umsatzsteuerliche Rechnungsangaben insbesondere die Vorgaben des österreichischen UStG relevant. Für die Aufbewahrung geschäftlicher Unterlagen sind unter anderem die BAO und je nach Fall weitere Spezialregeln zu prüfen. Bei elektronischen Rechnungen an den Bund ist der österreichische Standard ebInterface ein wichtiger Begriff. Eine einfache PDF-Rechnung per E-Mail kann daher in bestimmten Beschaffungskonstellationen nicht ausreichen.

In Deutschland sind für Rechnungen insbesondere § 14 UStG und bei elektronischer Aufbewahrung die GoBD zu beachten. Für Rechnungen an öffentliche Auftraggeber ist häufig XRechnung beziehungsweise ein strukturierter elektronischer Rechnungsstandard relevant. Auch hier gilt: SPF, DKIM und DMARC beantworten nicht die Frage, ob eine Rechnung inhaltlich, steuerlich oder formal korrekt ist.

Für beide Länder gilt nach aktueller Praxis: Die Authentizität der Herkunft, die Unversehrtheit des Inhalts und die Lesbarkeit einer Rechnung müssen im Unternehmen nachvollziehbar gewährleistet werden. E-Mail-Authentifizierung kann dazu einen technischen Beitrag leisten, ersetzt aber kein internes Kontrollverfahren, keine ordentliche Archivierung und keine Prüfung der Pflichtangaben. Wenn Sie grenzüberschreitend arbeiten, sollten Sie die Anforderungen je Land und Kundengruppe getrennt prüfen.

Häufige Fehlerquellen und Checkliste

Viele Probleme entstehen nicht durch fehlendes Fachwissen, sondern durch gewachsene Systeme. Ein alter Newsletter-Dienst steht noch im SPF-Eintrag. Ein früherer IT-Dienstleister hat einen zweiten SPF-Eintrag angelegt. Die Rechnungssoftware sendet mit einer anderen technischen Domain als die sichtbare Absenderadresse. Solche Details können dazu führen, dass Rechnungen im Spamordner landen oder DMARC fehlschlägt.

• Mehrere SPF-Einträge: Eine Domain sollte nur einen SPF-Eintrag haben. Mehrere Einträge führen häufig zu ungültigen Ergebnissen.
• Zu viele Weiterverweise: SPF erlaubt nur eine begrenzte Anzahl von DNS-Abfragen. Zu viele include-Einträge können die Prüfung scheitern lassen.
• Fehlende DKIM-Signatur: Manche Systeme versenden zwar E-Mails, signieren aber nicht automatisch. Das muss je Anbieter aktiviert werden.
• DMARC ohne Auswertung: Wer Berichte erhält, sie aber nicht liest, erkennt unbekannte oder falsch konfigurierte Versandquellen nicht.
• Zu schnelle Verschärfung: Ein Wechsel auf reject ohne Testphase kann echte Rechnungen blockieren.
• Unklare Zuständigkeit: Buchhaltung beauftragt ein neues System, IT erfährt erst nach Zustellproblemen davon.
• Veränderte Anhänge: Manche Gateways verändern Nachrichten oder Anhänge. Das kann DKIM-Signaturen beeinträchtigen.

Kurz-Checkliste für den nächsten Monatsabschluss:

• Alle Systeme dokumentiert, die Rechnungen, Zahlungserinnerungen oder Gutschriften per E-Mail versenden.
• SPF-Eintrag geprüft und veraltete Dienste entfernt.
• DKIM für alle relevanten Versanddienste aktiviert.
• DMARC mindestens im Monitoring eingerichtet.
• Berichte an ein überwachten Postfach oder einen Auswertungsdienst geleitet.
• Testrechnung an externe Adressen gesendet und Kopfzeilen geprüft.
• Prozess für neue Versanddienste schriftlich festgelegt.
• Kundendienst informiert, wie bei Zustellproblemen vorzugehen ist.

FAQ: Rechnung per E-Mail, SPF, DKIM und DMARC

Reicht SPF allein aus?

Nein, in der Regel nicht. SPF prüft die technische Versandquelle, ist aber anfällig bei Weiterleitungen. Für belastbarere E-Mail-Authentifizierung sollten SPF, DKIM und DMARC zusammen eingesetzt werden, wie es auch die BSI TR-03182 beschreibt.

Macht DMARC meine Rechnung rechtssicher?

Nein. DMARC ist ein technisches Verfahren zur Absenderprüfung. Es sagt nichts darüber aus, ob die Rechnung alle Pflichtangaben enthält, richtig archiviert wird oder im jeweiligen Geschäftsfall als zulässiges Format genügt.

Schützt DKIM den Rechnungsinhalt vor Mitlesen?

Nein. DKIM bestätigt, vereinfacht gesagt, die Integrität und Herkunft einer signierten E-Mail. Es verschlüsselt den Inhalt nicht. Wenn Rechnungen besonders sensible Angaben enthalten, sollten zusätzliche Schutzmaßnahmen geprüft werden.

Was ist der beste Startpunkt für kleine Unternehmen?

Beginnen Sie mit einer vollständigen Liste aller Versandquellen. Danach bereinigen Sie SPF, aktivieren DKIM und setzen DMARC zunächst auf Monitoring. Erst nach Auswertung der Berichte sollte die Richtlinie verschärft werden.

Muss ich für Österreich und Deutschland unterschiedliche SPF- oder DKIM-Einträge nutzen?

Nein. Die technischen Verfahren sind nicht länderspezifisch. Unterschiede betreffen vor allem Rechnungsrecht, E-Rechnungsformate, Aufbewahrung und öffentliche Auftraggeber. Diese Punkte sollten Sie getrennt nach Österreich und Deutschland prüfen.

Dieser Beitrag ersetzt keine individuelle Steuerberatung. Für Ihre konkrete Situation wenden Sie sich bitte an Ihre Steuerberaterin oder Ihren Steuerberater.

So unterstützt ein klarer digitaler Ablauf

Wer Zuständigkeiten, Stammdaten und Prüfschritte einheitlich abbildet, reduziert Rückfragen und Medienbrüche. Die passenden Claribill-Funktionen bündeln die dafür relevanten Arbeitsschritte an einem Ort.

Passende Beiträge im Claribill-Blog

• E-Rechnung empfangen: Was KMU jetzt wirklich brauchen
• Zahlungseingänge zuordnen: Warum die Rechnungsreferenz zählt

Quellen und weiterführende Informationen

• BSI: TR-03182 E-Mail-Authentifizierung
• EDPB: Secure personal data for small business