Zwei Dinge entstehen am Anfang jeder betrieblichen Onlinepräsenz in wenigen Minuten und begleiten den Betrieb danach über Jahre: der Domainname und die geschäftliche E-Mail-Adresse. Beide werden häufig nebenbei angelegt — beim Anbieterwechsel schnell mitbestellt, von einem Bekannten registriert, aus einer privaten Freemail-Adresse herausgewachsen. Genau deshalb sind es die zwei Bausteine, deren Korrektur später den größten Aufwand verursacht. Ein Domainname, den am Telefon niemand auf Anhieb versteht, kostet jede Woche ein paar verlorene Kontakte. Eine Domain, die auf den Namen eines früheren Dienstleisters läuft, wird beim Wechsel zum Verhandlungsgegenstand. Und Angebote, die im Spam-Ordner des Empfängers liegen bleiben, fehlen im Umsatz, ohne dass jemand die Ursache bemerkt. Dieser Beitrag geht beide Bausteine der Reihe nach durch: von der Namenswahl über Marken- und Namensrecht und die Frage der Inhaberschaft bis zu den drei Einträgen, die über die Zustellbarkeit entscheiden.
Warum die Basis später so viel Arbeit macht
Der Namensraum ist gut gefüllt. Derzeit sind 18.053.047 (DENIC) .de-Domains registriert; zum Jahresende 2025 waren es rund 17,7 Millionen (DENIC). Ein erheblicher Teil des Zuwachses kommt aus dem Ausland: Etwa 2,15 Millionen und damit 12,2 Prozent (DENIC) der .de-Domains gehören Haltern außerhalb Deutschlands, mit den Vereinigten Staaten als größter Gruppe von 31,3 Prozent (DENIC) der ausländischen Registrierungen. Für den einzelnen Betrieb heißt das im Alltag: Der naheliegende, kurze, sprechende Name für das eigene Gewerk am eigenen Ort ist mit einiger Wahrscheinlichkeit vergeben. Und genau in dieser Suche nach der noch freien Variante fallen die meisten Fehlentscheidungen.
Wie dicht besiedelt der Raum ist, zeigt der Blick auf die Regionen. In Hamburg kommen 329 (DENIC) .de-Domains auf 1.000 Einwohnerinnen und Einwohner, in Berlin 246 (DENIC) und in Hessen 203 (DENIC). Absolut führt Berlin die Liste mit 929.612 (DENIC) Domains an, vor Hamburg mit 627.674 (DENIC) und München mit 524.028 (DENIC). Wer heute registriert, sucht also nicht in einem leeren Regal, sondern in einem sehr gut sortierten.
Zugleich ist eine Domain weit mehr als eine Adresszeile. Das Bundesamt für Sicherheit in der Informationstechnik zählte im zweiten Quartal 2025 rund 13,2 Millionen (BSI) aus dem Internet erreichbare .de-Domains und beschreibt sie ausdrücklich als Angriffsfläche; 61 Prozent (BSI) davon waren ausschließlich über das ältere IPv4-Protokoll erreichbar. Eine Domain trägt die Website, die Postfächer, den Rechnungsversand und häufig auch die Zugänge zu Portalen. Sie ist damit der einzige technische Baustein, der praktisch jeden Kundenkontakt berührt — und der einzige, den ein Betrieb nur einmal wirklich bequem festlegen kann.
Der Unterschied zwischen Ärgernis und Schaden
Den Domainnamen wählen: der Telefontest
Der belastbarste Test für einen Domainnamen ist kein Tabellenblatt, sondern ein Telefonat. Sagen Sie den Namen laut, so wie Sie ihn am Ende eines Gesprächs nennen würden: „Schreiben Sie mir einfach an ...". Wenn Ihr Gegenüber nachfragen muss, ob das mit Bindestrich, mit doppeltem N oder mit „ph" geschrieben wird, hat der Name den Test nicht bestanden. Dieser Test ist deshalb so aussagekräftig, weil er die drei Anforderungen gleichzeitig prüft, die im Alltag zählen: Länge, Aussprechbarkeit und Eindeutigkeit.
Am Telefon buchstabierbar
Der Name sollte sich in einem Atemzug diktieren lassen, ohne Rückfrage und ohne Eselsbrücke. Wortkombinationen aus zwei bekannten deutschen Wörtern funktionieren gut, Kunstwörter mit englischer Schreibung und deutscher Aussprache selten. Wer einen Namen nur mit dem Zusatz „mit ck am Ende" weitergeben kann, verliert bei jedem Gespräch ein paar Sekunden und gelegentlich einen Kontakt.
Kurz genug zum Merken
Technisch sind bei .de zwischen einem und 63 Zeichen (DENIC) möglich, praktisch endet die Merkfähigkeit deutlich früher. Als Faustregel hat sich bewährt, unter 20 Zeichen zu bleiben und höchstens zwei Wortbestandteile zu verwenden. Jede weitere Silbe erhöht die Zahl der Tippfehler auf Fahrzeugbeschriftungen, Visitenkarten und Rechnungen.
Ohne Verwechslungsgefahr
Prüfen Sie, welche Domains entstehen, wenn ein Zeichen abweicht: der Singular statt des Plurals, das fehlende Bindestrich-Zeichen, die andere Endung. Existiert dort ein anderer Betrieb, wandert ein Teil Ihrer Anrufe und Ihrer Post dauerhaft dorthin. Diese Prüfung dauert wenige Minuten und lässt sich später kaum nachholen.
Ein zweiter Gedanke betrifft die Haltbarkeit. Ein Name, der die aktuelle Leistung sehr eng beschreibt, wird zur Fessel, sobald der Betrieb sein Angebot erweitert. „Fliesen" im Namen ist unpraktisch, wenn in fünf Jahren Bad und Heizung dazukommen. Der Ortsbezug ist dagegen meist unkritisch und sogar hilfreich, solange die Region gleich bleibt. Wer ohnehin gerade überlegt, wie das Angebot künftig strukturiert wird, findet in unserem Beitrag zu den Seiten, die eine Unternehmenswebsite wirklich braucht, eine passende Gegenprobe.
- Der Name lässt sich am Telefon einmal sagen, ohne buchstabiert zu werden
- Er ist kürzer als 20 Zeichen und besteht aus höchstens zwei Bestandteilen
- Er enthält keine Ziffern, die als Wort oder als Zahl geschrieben werden könnten
- Er beschreibt nicht so eng, dass eine spätere Erweiterung des Angebots daneben wirkt
- Die naheliegenden Tippfehler-Varianten gehören keinem anderen Betrieb
- Er lässt sich in einer Fahrzeugbeschriftung lesen, ohne dass man näher herangeht
- Er klingt in einer Sprachnachricht und in einem Diktat gleich
Der Test mit fremden Ohren
Bindestriche, Umlaute und andere Stolpersteine
Sobald der Wunschname vergeben ist, beginnt die Phase der Notlösungen. Ein Bindestrich hier, ein „24" dort, ein Umlaut ausgeschrieben, ein Zusatz wie „-gmbh" angehängt. Jede dieser Varianten ist technisch zulässig, und jede hat im Alltag ihren Preis. Bei .de gilt: Ziffern, Bindestriche und Buchstaben sind erlaubt, ein Bindestrich darf aber weder am Anfang noch am Ende stehen und nicht gleichzeitig an dritter und vierter Position; Groß- und Kleinschreibung wird nicht unterschieden (DENIC).
| Notlösung | Was im Alltag passiert | Der bessere Weg |
|---|---|---|
| Bindestrich-Ketten wie „meister-betrieb-hildesheim" | Am Telefon müssen drei Trennstellen angesagt werden; in Sprachnachrichten und Diktaten gehen sie regelmäßig verloren | Ein einziger Bindestrich, wenn er die Lesbarkeit spürbar erhöht — oder ein zusammengeschriebener Kurzname |
| Umlaut ausgeschrieben, etwa „muellermetall" | Ein Teil der Anrufer schreibt „müller", landet im Leeren und versucht es nicht erneut | Die Umlautvariante zusätzlich registrieren und dauerhaft auf die Hauptadresse weiterleiten |
| Umlautdomain als Hauptadresse | In manchen älteren Systemen, Formularen und Adressfeldern wird sie unvollständig übernommen | Die ASCII-Schreibweise als Hauptadresse führen, die Umlautvariante als Zubringer |
| Zusätze wie „-online", „24" oder „-gmbh" | Der Zusatz wird beim Merken weggelassen, die Anfrage landet bei einem anderen Betrieb | Auf den Zusatz verzichten und lieber einen zweiten Wortbestandteil wählen, der zum Betrieb gehört |
| Englische Kunstwörter mit deutscher Aussprache | Jede Weitergabe braucht eine Buchstabierung, jede Buchstabierung kostet Aufmerksamkeit | Deutsche Wörter, die auch am Telefon eindeutig sind |
Der pragmatische Umgang mit Schreibvarianten ist unspektakulär: Man legt eine Hauptadresse fest, registriert die zwei bis drei naheliegenden Abweichungen dazu und leitet sie mit einer dauerhaften Weiterleitung auf die Hauptadresse um. Wichtig ist die Richtung — alle Nebenformen zeigen auf eine einzige Adresse, nicht umgekehrt. Wie eine solche Weiterleitungsstruktur sauber gebaut wird, ohne Rankings zu verlieren, beschreibt der Beitrag über Weiterleitungen beim Relaunch im Detail.
Vor der Registrierung: Marken- und Namensrecht prüfen
Eine Domain zu registrieren ist ein technischer Vorgang von zwei Minuten. Ob sie behalten werden darf, ist eine rechtliche Frage. Der Namensraum wird dabei nicht nur durch andere Domains enger, sondern auch durch Marken: 93.291 (DPMA) nationale Markenanmeldungen zählte das Deutsche Patent- und Markenamt im Jahr 2025, nach 77.224 (DPMA) im Vorjahr — ein Zuwachs von rund 20,8 Prozent (DPMA). 55.863 (DPMA) Marken wurden 2025 eingetragen, und der Bestand lag zum Jahresende bei 909.659 (DPMA) Marken.
Der Domaininhaber versichert, dass die Registrierung und die beabsichtigte Nutzung der Domain keine Rechte Dritter verletzen und nicht gegen allgemeine Gesetze verstoßen.
Dieser Satz verschiebt die Verantwortung eindeutig: Die Registrierungsstelle prüft keine Rechte, sie vergibt Namen der Reihe nach. Ebenso prüft das Deutsche Patent- und Markenamt bei einer Markenanmeldung nur absolute Schutzhindernisse wie fehlende Unterscheidungskraft, nicht aber die Verwechslungsgefahr mit älteren Marken (DPMA). Wer sich also darauf verlässt, dass eine erfolgreiche Registrierung oder Eintragung schon in Ordnung sein wird, verlässt sich auf eine Prüfung, die niemand vorgenommen hat.
- Im Markenregister des Deutschen Patent- und Markenamts nach dem Wunschnamen und nach ähnlich klingenden Schreibweisen suchen, jeweils in den Waren- und Dienstleistungsklassen, die zum eigenen Angebot passen
- Auch das Unionsmarkenregister einbeziehen, weil Unionsmarken in Deutschland ebenso wirken
- Im Handelsregister und in den Branchenverzeichnissen prüfen, ob ein Unternehmen gleichen Namens bereits am Markt ist — Namensrecht entsteht auch ohne Eintragung im Markenregister
- Prüfen, ob der Name als geschäftliche Bezeichnung bereits benutzt wird, etwa als Ladenname oder als eingeführte Kurzform
- Bei erkennbarer Nähe zu einem bestehenden Zeichen anwaltlichen Rat einholen, bevor Fahrzeuge beschriftet und Drucksachen bestellt werden
- Das Ergebnis der Recherche mit Datum dokumentieren und zu den Unterlagen der Domain legen
Der DISPUTE-Eintrag geht in beide Richtungen
Ob eine eigene Marke sinnvoll ist, hängt vom Geschäft ab. Die elektronische Anmeldung beim Deutschen Patent- und Markenamt kostet 290 Euro (DPMA) einschließlich bis zu drei Klassen, in Papierform 300 Euro (DPMA), jede weitere Klasse 100 Euro (DPMA). Der Schutz gilt zehn Jahre (DPMA) und lässt sich für 750 Euro (DPMA) verlängern; nach fünf Jahren (DPMA) ohne Benutzung wird eine Marke angreifbar. Für einen regional tätigen Betrieb ist das selten der erste Schritt — für einen Namen, der auf Fahrzeugen, Arbeitskleidung und einer wachsenden Website steht, wird es mit der Zeit eine ernsthafte Überlegung.
Punkt de, Punkt com oder Branchenendung
Die Diskussion über Domainendungen wird oft mit mehr Leidenschaft geführt, als die Sache verdient. Für einen Betrieb mit deutschen Kundinnen und Kunden ist .de die naheliegende Wahl, weil sie erwartet wird: Wer den Namen hört und ihn selbst eintippt, ergänzt in Deutschland fast selbstverständlich .de. Alles andere muss ausdrücklich mitgesagt werden. Das ist der eigentliche Unterschied zwischen den Endungen — nicht die Technik, sondern die Erwartung.
| Endung | Spricht dafür | Zu bedenken |
|---|---|---|
| .de | Wird in Deutschland automatisch ergänzt; 18.053.047 (DENIC) registrierte Domains zeigen die Verankerung im Markt; klare Regeln zu Inhaberschaft und Umzug | Bei Sitz im Ausland kann die Registrierungsstelle die Benennung eines Zustellungsbevollmächtigten in Deutschland verlangen (DENIC) |
| .com | Sinnvoll, wenn Kundschaft oder Lieferanten international sind oder der Name ohnehin englisch gebildet ist | Muss am Telefon ausdrücklich genannt werden; die gute Kurzform ist häufig belegt und wird gehandelt |
| Branchen- und Themenendungen | Können den Zweck im Namen tragen und sind bei kurzen Wörtern oft noch frei | Weniger vertraut, werden beim Merken durch .de ersetzt; die Preisgestaltung liegt beim jeweiligen Betreiber |
| Regionale Endungen | Betonen die örtliche Verankerung, was für lokal arbeitende Betriebe passen kann | Zusätzlicher Erklärungsbedarf am Telefon und in gedruckten Unterlagen |
Das Angebot an Endungen wird eher größer als kleiner. Die Internet Corporation for Assigned Names and Numbers hat für ihre nächste Bewerbungsrunde für neue generische Endungen ein Zeitfenster vom 30. April bis 12. August 2026 (ICANN) geöffnet. Für den einzelnen Betrieb ändert das wenig an der Ausgangslage: Eine Hauptadresse, die im Kopf bleibt, schlägt jede Endung mit Erklärungsbedarf. Wer trotzdem mehrere Endungen sichert, sollte sie behandeln wie Schreibvarianten — eine ist die Adresse, alle anderen leiten dorthin.
Eine Adresse ist die richtige Adresse
Wem die Domain gehört
Der teuerste Fehler in diesem Themenfeld hat nichts mit dem Namen zu tun. Er besteht darin, dass der Betrieb nicht Inhaber der eigenen Domain ist. Bei .de ist der Domaininhaber der Vertragspartner der Registrierungsstelle; er stellt den Antrag entweder über ein Mitglied oder unmittelbar, und mit der Registrierung kommt der Vertrag zustande (DENIC). Steht dort der Name einer Agentur, eines Hostinganbieters oder einer Privatperson, dann gehört die Domain formal genau dieser Stelle — mit allen Folgen für Umzug, Verkauf und Streitfall.
Domaininhaber
Hier gehört die Firmierung des Betriebs hin, so wie sie im Handelsregister oder im Gewerbeschein steht, mit ladungsfähiger Anschrift. Die Angaben müssen richtig und vollständig sein und bei Änderungen unverzüglich berichtigt werden (DENIC). Bei einem Sitz außerhalb Deutschlands kann ein in Deutschland ansässiger Zustellungsbevollmächtigter verlangt werden, und zwar binnen zwei Wochen (DENIC).
Administrativer Ansprechpartner
Diese Rolle darf ein Dienstleister ausfüllen, weil sie die technische Betreuung abbildet. Sie ersetzt aber die Inhaberschaft nicht. Sinnvoll ist eine Funktionsadresse des Betriebs als hinterlegte Kontaktadresse, damit Hinweise auch dann ankommen, wenn die betreuende Person wechselt.
Rechnungs- und Zahlungsweg
Die Verlängerung sollte über ein Konto laufen, das der Betrieb kennt und im Blick hat. Läuft die Abbuchung über eine Kreditkarte, die einer ausgeschiedenen Person zugeordnet ist, scheitert die Verlängerung stillschweigend — und die Domain fällt zu einem Zeitpunkt aus, den sich niemand aussuchen kann.
- Der öffentliche Datenbankeintrag der Domain nennt den Betrieb als Inhaber, nicht den Dienstleister
- Die hinterlegte Anschrift ist die aktuelle Geschäftsanschrift, nicht die Privatadresse einer ausgeschiedenen Person
- Die hinterlegte Kontaktadresse ist eine Funktionsadresse des Betriebs, die jemand regelmäßig liest
- Die Zugangsdaten zum Verwaltungsbereich der Domain liegen im Betrieb, nicht nur beim Dienstleister
- Der AuthInfo-Code ist bekannt oder lässt sich jederzeit selbst anfordern
- Das Ablaufdatum der Domain steht als wiederkehrender Termin im Kalender
- Zahlungsweg und Rechnungsempfänger sind eindeutig dem Betrieb zugeordnet
Die Frage, die alles klärt
AuthInfo, Umzug und Verlängerung
Der Wechsel der Domain zu einem anderen Anbieter ist bei .de bewusst einfach gehalten: Der Inhaber kann die Verwaltung von der Registrierungsstelle zu einem Mitglied, zurück oder von einem Mitglied zu einem anderen übertragen; dafür wird ein zuvor hinterlegtes oder angefordertes Passwort benötigt (DENIC). Dieses Passwort ist der AuthInfo-Code. Er ist der Schlüssel zur eigenen Domain, und er sollte an derselben Stelle liegen wie der Gewerbeschein: greifbar, aktuell und nicht ausschließlich im Postfach einer einzelnen Person.
- Beim bisherigen Anbieter den AuthInfo-Code anfordern; er wird an die hinterlegte Kontaktadresse des Inhabers gesendet
- Beim neuen Anbieter den Umzug mit Domainnamen und AuthInfo-Code beauftragen und die Inhaberangaben unverändert übernehmen
- Vor dem Wechsel prüfen, welche Einträge derzeit gesetzt sind — insbesondere die Einträge für Website und für den E-Mail-Empfang
- Diese Einträge beim neuen Anbieter vorbereiten, damit sie unmittelbar nach dem Wechsel wieder greifen
- Den Wechsel bestätigen und nach Abschluss stichprobenartig prüfen, ob Website, Postfächer und Formularversand arbeiten
- Erst danach den alten Vertrag beenden, damit in der Zwischenzeit kein Postfach abgeschaltet wird
Kündigen ist einfacher als reparieren
Ein Sonderfall verdient Aufmerksamkeit: Wenn eine Domain im Zuge einer Übergabe den Inhaber wechselt, etwa bei einer Betriebsnachfolge, ist das ein eigener Vorgang und kein technischer Umzug. Inhaberwechsel und Anbieterwechsel sollten nacheinander erfolgen und einzeln dokumentiert werden. Wer beides gleichzeitig anstößt, verliert im Zweifel den Überblick darüber, welcher Vertrag gerade wo liegt.
Die eigene E-Mail-Adresse als Vertrauensfaktor
Der zweite Baustein hängt am ersten: Sobald die Domain steht, steht auch die E-Mail-Adresse. Der Unterschied zwischen einer Adresse auf der eigenen Domain und einer Freemail-Adresse ist dabei weniger technisch als geschäftlich. Eine Adresse auf der eigenen Domain sagt in vier Zeichen, dass es diesen Betrieb wirklich gibt, dass er über eine eigene Infrastruktur verfügt und dass die Anfrage nicht bei einer Privatperson landet. Bei Angeboten mit vierstelligen Beträgen ist dieses Signal seinen Aufwand wert.
| Merkmal | Freemail-Adresse | Adresse auf der eigenen Domain |
|---|---|---|
| Erster Eindruck | Wirkt privat; bei Ausschreibungen und Anfragen von Unternehmen ein Nachteil | Passt zur Firmierung und bestätigt die Angaben auf der Website |
| Verbindlichkeit | Die Adresse gehört der Person, die das Konto angelegt hat | Die Adresse gehört zum Betrieb und bleibt bei Personalwechseln bestehen |
| Absenderprüfung | Der Betrieb hat keinen Einfluss auf die Einträge der fremden Domain | SPF, DKIM und DMARC lassen sich für die eigene Domain setzen und prüfen |
| Aufteilung nach Aufgaben | Alles läuft in einem Postfach zusammen | Getrennte Adressen für Anfragen, Buchhaltung und Bewerbungen sind ohne Zusatzkosten möglich |
| Übergabe | Bei Krankheit oder Ausscheiden fehlt der Zugriff | Zugriffsrechte lassen sich vergeben, entziehen und dokumentieren |
In der Praxis ist der Umstieg weniger aufwendig als befürchtet. Die alte Adresse bleibt eine Zeit lang als Weiterleitung erreichbar, die neue Adresse steht ab sofort in Signatur, Kontaktformular, Angeboten und Verzeichnissen. Nach einigen Monaten läuft praktisch der gesamte Verkehr über die neue Adresse. Wichtig ist nur, die alte Adresse nicht stillschweigend abzuschalten, solange sie noch auf gedruckten Unterlagen steht.
Postfächer, Aliase und Weiterleitungen ordnen
Ein häufiges Missverständnis: Für jede Adresse brauche es ein eigenes Postfach. Das ist selten der Fall. Ein Alias ist lediglich ein weiterer Name für ein bestehendes Postfach — er kostet in der Regel nichts, lässt sich in Minuten anlegen und ebenso schnell wieder entfernen. Genau deshalb lohnt es sich, von Anfang an mit klaren Funktionsadressen zu arbeiten statt mit einer Sammeladresse für alles.
info@ für den ersten Kontakt
Die Adresse, die auf Website, Fahrzeug und Visitenkarte steht. Sie sollte von mindestens zwei Personen gelesen werden, damit Urlaub und Krankheit keine Lücke reißen. Wer Anfragen sammelt, sollte hier auch eine Eingangsbestätigung vorsehen — sie senkt die Zahl der Nachfassanrufe spürbar.
buchhaltung@ für Belege
Rechnungen, Mahnungen und Belege gehören in einen eigenen Eingang, weil sie anderen Fristen folgen als Anfragen. Diese Adresse taucht auf Rechnungen und in Lieferantenstammdaten auf und wird damit zum festen Bestandteil der Ablage — ein Wechsel ist später aufwendig, deshalb lohnt sich die saubere Wahl am Anfang.
bewerbung@ für Personal
Bewerbungen enthalten besonders schutzwürdige Daten und sollten getrennt von der allgemeinen Post liegen. Eine eigene Adresse macht die Zugriffsberechtigung eindeutig und die Löschfristen nachvollziehbar. Sie gehört auf die Karriereseite, nicht in die Fußzeile jeder Seite.
- Jede öffentlich genannte Adresse ist einer Aufgabe zugeordnet, nicht einer Person
- Für jede Funktionsadresse ist festgelegt, wer sie liest und wer im Vertretungsfall einspringt
- Weiterleitungen sind dokumentiert: Welche Adresse zeigt auf welches Postfach, seit wann und warum
- Persönliche Adressen im Format vorname@ existieren zusätzlich, ersetzen aber keine Funktionsadresse
- Beim Ausscheiden einer Person wird die persönliche Adresse in eine Weiterleitung überführt, statt sie sofort zu löschen
- Es gibt keine Adresse, die auf ein Postfach zeigt, das niemand mehr öffnet
- Die Adressen auf der Website stimmen mit denen in Angeboten, Rechnungen und Verzeichnissen überein
Weiterleitungen sauber trennen
SPF, DKIM und DMARC in Alltagssprache
Wenn ein sorgfältig geschriebenes Angebot im Spam-Ordner liegen bleibt, liegt das selten am Text. Es liegt fast regelmäßig daran, dass die empfangende Seite nicht prüfen konnte, ob die Nachricht wirklich von der angegebenen Domain stammt. Genau dafür gibt es drei Einträge, die zur Domain gehören und nicht zum Postfach. Das Bundesamt für Sicherheit in der Informationstechnik führt sie in seiner Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung, ergänzt um TR-03108 zum sicheren E-Mail-Transport; erklärtes Ziel ist der Schutz vor Angriffen, bei denen die Identität vertrauenswürdiger Absender vorgetäuscht wird (BSI).
SPF: die Besucherliste
SPF ist eine Liste der Server, die im Namen Ihrer Domain versenden dürfen — vergleichbar mit der Liste am Empfang, auf der steht, wer heute ins Haus darf. Steht der absendende Server nicht darauf, wird die Nachricht als verdächtig behandelt. Wichtig: Auch Newsletter-Versand, Buchhaltungssoftware und das Kontaktformular der Website müssen in dieser Liste auftauchen, sonst fehlen sie beim Abgleich.
DKIM: das Siegel
DKIM setzt eine digitale Signatur auf jede ausgehende Nachricht, ähnlich einem Siegel auf einem Umschlag. Die empfangende Seite prüft das Siegel gegen einen Schlüssel, der in der Domain hinterlegt ist. Stimmt es, ist belegt, dass die Nachricht von der angegebenen Domain kommt und unterwegs nicht verändert wurde. Der Schlüssel gehört zur Domain, nicht zum einzelnen Postfach.
DMARC: die Hausordnung
DMARC legt fest, was geschehen soll, wenn SPF oder DKIM nicht aufgehen: nur beobachten, in den Spam-Ordner legen oder abweisen. Zusätzlich liefert DMARC Berichte darüber, wer im Namen Ihrer Domain versendet hat. Diese Berichte sind der eigentliche Gewinn — sie zeigen vergessene Versandwege und Missbrauchsversuche, bevor sie zum Problem werden.
Die Reihenfolge der Einführung ist bewährt und unspektakulär: zuerst SPF vollständig aufstellen, dann DKIM aktivieren, danach DMARC zunächst nur beobachtend setzen. Erst wenn die Berichte über mehrere Wochen zeigen, dass alle legitimen Versandwege sauber laufen, wird die Regel verschärft — zunächst auf Einsortierung in den Spam-Ordner, später auf Abweisung. Wer sofort mit der schärfsten Einstellung startet, riskiert, dass eigene Rechnungen nicht ankommen.
Weiterleitungen sind der häufigste Stolperstein
- Mehrere SPF-Einträge nebeneinander: zulässig ist genau ein Eintrag pro Domain, mehrere machen die Prüfung ungültig
- Versandwege, die nach der Einrichtung dazugekommen sind — Rechnungsprogramm, Terminsystem, Newsletter — und im Eintrag fehlen
- DKIM aktiviert, aber der zugehörige Schlüssel wurde bei einem Anbieterwechsel nicht übernommen
- DMARC auf Abweisung gesetzt, ohne die Berichte vorher ausgewertet zu haben
- Der Absendername weicht von der Domain ab, weil eine Software mit einer fremden Adresse versendet
- Die Berichte laufen auf ein Postfach, das seit Monaten niemand geöffnet hat
Der Aufwand für diese drei Einträge liegt bei einem überschaubaren halben Tag, meist verteilt auf wenige Wochen Beobachtung. Der Ertrag ist eine Zustellbarkeit, die planbarer wird, und ein deutlich erschwerter Missbrauch der eigenen Absenderadresse. Wer sich gleichzeitig mit der Angriffsfläche der eigenen Website beschäftigt, arbeitet an derselben Baustelle — beide Themen hängen an der Domain.
Fünf Fallen, die regelmäßig Geld kosten
Die folgenden fünf Konstellationen tauchen in der Projektarbeit auffällig häufig auf (Projekterfahrung). Sie haben gemeinsam, dass sie lange unbemerkt bleiben und dann zu einem denkbar ungünstigen Zeitpunkt sichtbar werden: mitten in einer Ausschreibung, kurz vor einer Saison oder am Tag eines Relaunchs.
| Falle | Wie sie auffällt | Was vorher hilft |
|---|---|---|
| Die abgelaufene Domain | Website und Postfächer sind an einem Morgen ohne Vorwarnung weg; die Domain lässt sich unter Umständen nicht sofort zurückholen | Ablaufdatum als wiederkehrender Kalendereintrag, Zahlungsweg auf ein Firmenkonto, Rechnungen an eine Funktionsadresse |
| Die Kontaktadresse eines ehemaligen Mitarbeiters | Hinweise zu Verlängerung, Umzug und Sicherheit gehen an ein Postfach, das niemand mehr liest | Hinterlegte Kontaktadresse regelmäßig prüfen und auf eine Funktionsadresse umstellen, die im Betrieb gelesen wird |
| Das Postfach ohne Zugriff | Anfragen liegen wochenlang unbeantwortet; Interessenten deuten das Schweigen als Absage | Für jede öffentlich genannte Adresse eine Vertretungsregelung festlegen und den Eingang stichprobenartig prüfen |
| Die Domain beim Dienstleister | Ein Wechsel wird zur Verhandlung, der AuthInfo-Code kommt verzögert oder gar nicht | Inhaberschaft im öffentlichen Datenbankeintrag kontrollieren und den AuthInfo-Code im Betrieb ablegen |
| Der stumme Spam-Ordner | Angebote gelten als ignoriert, obwohl sie versendet wurden; die Ursache bleibt ohne Prüfung unsichtbar | SPF, DKIM und DMARC setzen, Berichte auswerten und den Versandweg jedes Programms erfassen |
Dass diese Nachlässigkeiten nicht folgenlos bleiben, zeigt die Sicherheitslage. Das Bundesamt für Sicherheit in der Informationstechnik zählte im Berichtszeitraum vom 1. Juli 2024 bis 30. Juni 2025 täglich rund 280.000 (BSI) neue Schadprogramm-Varianten und durchschnittlich 119 (BSI) neu bekannt gewordene Schwachstellen pro Tag. Von den angezeigten Ransomware-Angriffen richteten sich 80 Prozent (BSI) gegen kleine und mittlere Unternehmen; insgesamt wurden 950 (BSI) solcher Angriffe angezeigt. 22 Prozent (BSI) der befragten Verbraucherinnen und Verbraucher gaben an, bereits von Cyberkriminalität betroffen gewesen zu sein, 7 Prozent (BSI) innerhalb der letzten zwölf Monate. Eine gepflegte Domain mit sauberer Absenderprüfung ist kein Schutzschild — aber sie nimmt einer der häufigsten Angriffsformen einen Teil der Wirkung.
Wenn die eigene Adresse missbraucht wird
In zwölf Schritten aufgeräumt
Die Umsetzung braucht keinen Projektplan und kein Budget. Sie besteht aus einer Reihe kurzer Prüfungen, von denen die meisten in wenigen Minuten erledigt sind. Wer sie einmal vollständig durchgeht und die Ergebnisse an einer Stelle ablegt, hat für die nächsten Jahre Ruhe an einem Ort, der sonst regelmäßig für Überraschungen sorgt.
- Den öffentlichen Datenbankeintrag der eigenen Domain aufrufen und prüfen, wer als Inhaber eingetragen ist
- Die hinterlegte Anschrift und die Kontaktadresse auf den aktuellen Stand bringen
- Den AuthInfo-Code anfordern und zusammen mit den Zugangsdaten an einem Ort ablegen, den mehr als eine Person kennt
- Das Ablaufdatum der Domain als wiederkehrenden Kalendereintrag setzen, mit Vorlauf von vier Wochen
- Den Zahlungsweg prüfen: Läuft die Verlängerung über ein Konto des Betriebs?
- Die naheliegenden Schreibvarianten und die wichtigste zweite Endung registrieren und auf die Hauptadresse weiterleiten
- Alle öffentlich genannten E-Mail-Adressen auflisten und jeder Adresse eine Aufgabe sowie eine verantwortliche Person zuordnen
- Funktionsadressen für Anfragen, Buchhaltung und Bewerbungen anlegen und die Vertretung festlegen
- Bestehende Weiterleitungen aufschreiben, unnötige entfernen und für die verbleibenden ein Ablaufdatum notieren
- Alle Programme erfassen, die im Namen der Domain versenden — Website-Formular, Rechnungsprogramm, Terminsystem, Newsletter
- SPF vollständig aufstellen, DKIM aktivieren und DMARC zunächst beobachtend setzen
- Nach vier bis sechs Wochen die DMARC-Berichte auswerten und die Regel schrittweise verschärfen
Für die Website-Seite dieser Aufgabe ist der Weg in XICflow bewusst kurz gehalten: Eine bestehende Domain wird verbunden, die nötigen Einträge werden Schritt für Schritt angezeigt, das SSL-Zertifikat wird eingerichtet, und die Auslieferung erfolgt statisch. Der Domainvertrag bleibt dabei dort, wo er hingehört — beim Betrieb. Auch vorhandene Postfächer bleiben unberührt, weil nur die Einträge für die Website geändert werden. Was der Funktionsumfang im Einzelnen umfasst, wie der Ablauf von der Anlage bis zur Veröffentlichung aussieht und welche Domains in welchem Tarif enthalten sind, ist jeweils an einer Stelle nachlesbar; die Demo-Websites zeigen das fertige Ergebnis.
Bleibt ein letzter Punkt, der über beide Bausteine hinausreicht: Adresse und Postfach sind nur so gut wie das, was hindurchgeht. Ein präziser Domainname und eine zuverlässig zugestellte Nachricht helfen wenig, wenn im Angebot Fachbegriffe stehen, die niemand auflöst. Wie sich das vermeiden lässt, behandelt der Beitrag über verständliche Website-Texte. Und wenn Sie unsicher sind, ob Ihre bestehende Konstellation tragfähig ist, hilft ein Blick auf den Vergleich der Ansätze oder ein kurzer Austausch über Ihre Ausgangslage.
Zwei Fragen, die den Zustand offenlegen
Quellen und Studien