E-Mail-Sicherheit in Kanzleien: Warum die Branche bei DMARC und DKIM hinterherhinkt

Die kurze Antwort

Kanzleien und Steuerberater in Deutschland, Österreich und der Schweiz liegen bei der grundlegenden E-Mail-Authentifizierung hinter anderen Branchen. In unserem Scan von 530 Domains haben 64,9 % DMARC und 34,2 % setzen es durch, bei 57,9 % ist ein DKIM-Schlüssel erkennbar, und nur 44,2 % erfüllen alle drei Grundanforderungen. Eine Domain ohne durchgesetzte DMARC-Richtlinie lässt sich leichter fälschen, weil empfangende Server keine Anweisung bekommen, gefälschte Mails abzuweisen. Die meisten Kanzleien können das in etwa vier Wochen beheben.

Was die Daten zeigen

Die Zahlen stammen aus unserer DMARC-Studie, einem DNS-Scan von 23.488 Firmendomains im DACH-Raum vom Oktober 2026. Die Branche "Recht und Steuern" umfasst Anwaltskanzleien, Steuerberater und ähnliche Praxen.

Drei Punkte fallen auf. Bei vorhandenem DMARC, bei DKIM und beim Gesamtwert liegen Recht und Steuern auf dem letzten der zehn Plätze. Bei durchgesetztem DMARC ist es der vorletzte Platz, knapp vor Gesundheit und Medizintechnik, einer deutlich kleineren Gruppe mit 151 Domains. Und bei SPF ist die Branche mit 99,1 % sogar die beste. SPF allein reicht aber nicht, denn ein gefälschter Absender kann es bestehen oder umgehen, solange DMARC es nicht an die sichtbare Adresse bindet.

DKIM lässt sich von außen nur erkennen, wenn der Selektor erratbar ist. Die tatsächliche DKIM-Quote liegt also etwas höher, als ein solcher Scan zeigt. Diese Grenze gilt für alle Branchen gleich.

Warum das für Kanzleien mehr zählt als für die meisten

Eine gefälschte Mail von einer Kanzlei oder einem Steuerberater wirkt besonders glaubwürdig. Mandanten erwarten Anweisungen per E-Mail, reagieren auf Fristen und hinterfragen ihre Berater selten.

Der klassische Fall ist eine gefälschte Nachricht mit neuer Bankverbindung für einen Vergleich, ein Anderkonto oder eine Steuerzahlung. Ein anderer ist die falsche Anforderung von Unterlagen. Ein durchgesetztes DMARC erschwert die erste Variante: Empfangende Server, die es prüfen, weisen Mails ab, die angeblich von der genauen Domain der Kanzlei stammen.

Dazu kommt die berufsrechtliche Seite. Kanzleien unterliegen Verschwiegenheitspflichten, in Deutschland unter anderem nach § 43a Abs. 2 BRAO und § 203 StGB, und nach Art. 32 DSGVO müssen sie geeignete technische Maßnahmen treffen. Ob ein fehlender DMARC-Eintrag dagegen verstößt, ist eine Frage des Einzelfalls, und die beantworten wir hier nicht. Das ist keine Rechtsberatung. Nach einem Vorfall lässt sich aber schwer erklären, warum eine kostenlose Standardeinstellung nie aktiviert wurde.

Was diese Einstellungen leisten und was nicht

DMARC ersetzt also keine verschlüsselten Wege für sensible Inhalte, es löst ein anderes Problem. Die Kommunikation mit Gerichten über eigene Kanäle wie das beA läuft getrennt davon und ist nicht betroffen.

Ein Vier-Wochen-Plan für die Kanzlei

Woche 1: Stand klären. Geben Sie die Domain der Kanzlei in unseren kostenlosen E-Mail-Check ein. Erfassen Sie dann alles, was im Namen der Kanzlei sendet: Postfächer, Kanzleisoftware, Scanner, das Kontaktformular der Website, Newsletter-Tools und externe Abrechnungsdienste.

Woche 2: Lücken schließen. Bitten Sie Ihren IT-Dienstleister, DKIM für die Hauptpostfächer und alle weiteren Absender der Liste zu aktivieren. Genaue Einträge für die gängigen Systeme stehen in SPF, DKIM und DMARC einrichten. Wenn Ihre Kanzlei auf Hoster-Paketen läuft, lohnt zuerst ein Blick auf die Voreinstellungen bei IONOS, Strato und All-Inkl.

Woche 3: Berichte beobachten. Veröffentlichen Sie einen DMARC-Eintrag mit p=none und Berichtsadresse und sehen Sie sich an, was zurückkommt. Wie das geht, erklärt DMARC-Berichte lesen. Berichte enthalten Absenderdaten, legen Sie also fest, wer in der Kanzlei oder beim Dienstleister sie erhält.

Ab Woche 4: Durchsetzen. Gehen Sie zu p=quarantine und, sobald keine legitimen Mails mehr durchfallen, zu p=reject. Die Schritte stehen in Von p=none auf reject umstellen.

Das meiste davon kostet ein bis zwei Stunden Ihres IT-Dienstleisters, verteilt über einige Wochen. Sorgfalt braucht vor allem die Suche nach allen Absendern.

Fragen an Ihren IT-Dienstleister

• Ist DKIM für unsere Domain in jedem System aktiv, das in unserem Namen sendet?
• Wie lautet unsere DMARC-Richtlinie, und wer liest die Berichte?
• Welche externen Dienste senden Mails mit unserer Adresse?
• Wann stellen wir auf p=reject um, und was könnte dabei ausfallen?
• Was tun wir, wenn ein Mandant eine gefälschte Nachricht meldet?

Eine Anmerkung dazu, wie wir das nutzen

Wir sind weder Kanzlei noch IT-Sicherheitsfirma. Wir betreiben Outbound-Kampagnen, deshalb gehört E-Mail-Authentifizierung zu unserer täglichen Arbeit, und wir haben die Studie veröffentlicht, weil es diese Zahlen sonst nirgends gab. Alle Werte sind aggregiert, keine Kanzlei wird genannt. Den Datensatz können Sie unter CC BY 4.0 frei nutzen, Sie finden ihn auf der Studienseite.