# haveibeenhacked.de

> Ratgeber zu E-Mail-Sicherheit mit eigener Domain: SPF, DKIM, DMARC einrichten, E-Mail-Spoofing stoppen, Datenlecks prüfen und richtig reagieren.

haveibeenhacked.de ist ein zweisprachiger Ratgeber (Deutsch/Englisch) der OnlineBuilders LLC. Domain-Preise auf dieser Website stammen aus dem Live-Preis-Feed des Registrars betadomain.de (https://betadomain.de/preise/), der ebenfalls zu OnlineBuilders gehört. Alle Preise sind Jahrespreise inklusive Verlängerung, ohne Lockangebote.

## SPF, DKIM, DMARC / SPF, DKIM, DMARC

- [BIMI: Logo im Posteingang mit VMC oder CMC einrichten](https://haveibeenhacked.de/e-mail-authentifizierung/bimi-logo/): BIMI (Brand Indicators for Message Identification) ist ein DNS-Eintrag unter default._bimi.deinedomain.de, der auf ein SVG-Logo und meist auf ein Zertifikat verweist. Postfächer wie Gmail, Apple Mail und Yahoo zeigen das Logo dann neben deinen Mails. Voraussetzung ist DMARC mit p=quarantine oder p=reject, für Gmail zusätzlich ein VMC oder CMC.
- [DKIM einrichten: Selector, 2048-Bit-Schlüssel, DNS-Eintrag](https://haveibeenhacked.de/e-mail-authentifizierung/dkim-einrichten/): Um DKIM einzurichten, erzeugst du beim Mail-Dienst ein Schlüsselpaar und veröffentlichst den öffentlichen Schlüssel als TXT- oder CNAME-Record unter selector._domainkey.deinedomain.de. Danach schaltest du die Signierung im Dienst ein. Nimm 2048-Bit-RSA, wenn der Anbieter es kann, und richte für jeden Versender einen eigenen Selector ein.
- [DMARC-Bericht lesen: XML-Aggregat-Reports Zeile für Zeile](https://haveibeenhacked.de/e-mail-authentifizierung/dmarc-berichte-lesen/): Einen DMARC-Bericht liest du, indem du die XML-Datei entpackst und für jeden record-Block drei Dinge prüfst: die source_ip, wie viele Mails von dort kamen (count) und ob DKIM und SPF im policy_evaluated-Teil pass oder fail ergeben. Bekannte IPs mit fail sind Konfigurationsfehler, unbekannte IPs mit fail meist Spoofing.
- [DMARC einrichten: von p=none bis p=reject in 4 Stufen](https://haveibeenhacked.de/e-mail-authentifizierung/dmarc-einrichten/): Um DMARC einzurichten, legst du einen TXT-Record unter _dmarc.deinedomain.de an, etwa v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de. Damit sammelst du zwei bis vier Wochen Berichte, bringst alle Versender auf SPF oder DKIM mit passender Domain und erhöhst dann die Richtlinie auf quarantine und schließlich reject.
- [E-Mail-Spoofing verhindern: was wirklich gegen Fälschung hilft](https://haveibeenhacked.de/e-mail-authentifizierung/e-mail-spoofing-verhindern/): E-Mail-Spoofing mit deiner exakten Domain verhinderst du mit DMARC auf p=reject, gestützt von SPF und DKIM. Dann lehnen große Postfach-Anbieter gefälschte Mails ab. Gegen Lookalike-Domains und gefälschte Anzeigenamen hilft DMARC nicht, dafür brauchst du Monitoring, eigene Tippfehler-Domains und geschulte Empfänger.
- [SPF-Record einrichten: Syntax, Beispiele, 10-Lookup-Limit](https://haveibeenhacked.de/e-mail-authentifizierung/spf-record-einrichten/): Ein SPF-Record ist ein TXT-Eintrag auf deiner Domain, der mit v=spf1 beginnt und alle Server auflistet, die Mails in deinem Namen verschicken dürfen, etwa include:_spf.google.com. Er endet mit ~all oder -all. Pro Domain darf es nur einen SPF-Record geben, und er darf höchstens 10 DNS-Lookups auslösen.
- [BIMI: Getting Your Logo in the Inbox with a VMC or CMC](https://haveibeenhacked.de/en/email-authentication/bimi-logo/): BIMI (Brand Indicators for Message Identification) is a DNS record at default._bimi.yourdomain that points to an SVG logo and usually a mark certificate. Supporting mailbox providers such as Gmail, Apple Mail and Yahoo then show that logo beside your messages. It requires DMARC at p=quarantine or p=reject, and Gmail also needs a VMC or CMC.
- [Prevent Email Spoofing: What Actually Stops Forged Senders](https://haveibeenhacked.de/en/email-authentication/prevent-email-spoofing/): To prevent email spoofing of your own domain, publish SPF and DKIM for every legitimate sender and enforce DMARC with p=reject. Major mailbox providers then refuse messages that forge your From address. DMARC cannot stop lookalike domains or fake display names; those need monitoring, defensive registrations and user training.
- [Read DMARC Reports: Aggregate XML Explained Field by Field](https://haveibeenhacked.de/en/email-authentication/read-dmarc-reports/): To read DMARC reports, unzip the XML attachment and look at each record block: source_ip shows who sent, count shows how many messages, and policy_evaluated shows whether DKIM and SPF passed with alignment to your domain. Known IPs that fail point to misconfiguration; unknown IPs that fail are usually spoofing.
- [DKIM Setup: Selectors, 2048-bit Keys and DNS Records](https://haveibeenhacked.de/en/email-authentication/set-up-dkim/): DKIM setup means generating a key pair with your sending service, publishing the public key as a TXT or CNAME record at selector._domainkey.yourdomain, and then switching signing on. Use 2048-bit RSA where your DNS host allows it, give every sending service its own selector, and check that the signature's d= domain is yours.
- [DMARC Setup: From p=none to p=reject Without Losing Mail](https://haveibeenhacked.de/en/email-authentication/set-up-dmarc/): DMARC setup starts with a TXT record at _dmarc.yourdomain such as v=DMARC1; p=none; rua=mailto:dmarc@yourdomain. Collect aggregate reports for two to four weeks, make every legitimate sender pass SPF or DKIM with your own domain, then raise the policy to p=quarantine and finally p=reject, which tells receivers to refuse forged mail.
- [SPF Record Setup: Syntax, Examples and the 10-Lookup Limit](https://haveibeenhacked.de/en/email-authentication/set-up-spf-record/): An SPF record is a single TXT record on your domain that starts with v=spf1, lists every service allowed to send mail for you (for example include:_spf.google.com) and ends with ~all or -all. You may publish only one per hostname, and evaluating it must not take more than 10 DNS lookups, or receivers return permerror.

## Datenlecks / Data leaks

- [Catch-all-E-Mail: eigene Domain als Leak-Detektor nutzen](https://haveibeenhacked.de/datenlecks/catch-all-adressen/): Eine Catch-all-E-Mail-Adresse nimmt alle Mails an deine Domain an, auch an Adressen, die nie angelegt wurden. Gibst du jedem Dienst eine eigene Adresse wie shopname@deinedomain.de, siehst du bei Spam oder einem Datenleck sofort, wer die Adresse weitergegeben hat. Einzelne verbrannte Adressen sperrst du gezielt, ohne dein Hauptpostfach zu wechseln.
- [Datenleck prüfen: Ist meine E-Mail-Adresse betroffen?](https://haveibeenhacked.de/datenlecks/datenleck-pruefen/): Ob deine E-Mail-Adresse in einem Datenleck steckt, prüfst du bei unabhängigen Diensten wie dem Identity Leak Checker des Hasso-Plattner-Instituts oder Have I Been Pwned. Beide gleichen die Adresse mit bekannten, veröffentlichten Leaks ab. Ein Treffer heißt: Ändere das Passwort des betroffenen Dienstes und überall, wo du es wiederverwendet hast.
- [E-Mail in Datenleck: was tun? Die ersten 60 Minuten](https://haveibeenhacked.de/datenlecks/e-mail-in-datenleck/): Steckt deine E-Mail in einem Datenleck, änderst du zuerst das Passwort des Mailkontos, dann das des betroffenen Dienstes und aller Konten mit demselben Passwort. Schalte Zwei-Faktor-Anmeldung ein, beende fremde Sitzungen und prüfe Weiterleitungsregeln im Postfach. War nur die Adresse betroffen, reicht erhöhte Vorsicht bei Phishing.
- [Catch-All Email Address: Your Domain as a Leak Detector](https://haveibeenhacked.de/en/data-leaks/catch-all-email/): A catch-all email address accepts mail sent to any address at your domain, including ones you never created. If you sign up to each service as servicename@yourdomain.com, spam or a breach notice instantly shows which company leaked or shared your address. You can then block that one address without changing your main inbox.
- [Check If Your Email Was in a Data Breach (and What Hits Mean)](https://haveibeenhacked.de/en/data-leaks/check-data-breach/): To check if your email was in a data breach, enter it at an established independent service such as Have I Been Pwned or the Hasso Plattner Institute's Identity Leak Checker. They match the address against breaches that have become public. A hit means you should change that site's password and every password you reused elsewhere.
- [Email in Data Breach: What to Do in the First Hour](https://haveibeenhacked.de/en/data-leaks/email-in-breach-what-to-do/): If your email shows up in a data breach, change your email account's password first, then the breached site's password and every account where you reused it. Turn on two-factor sign-in, sign out unknown sessions and check your mailbox for forwarding rules. If only the address leaked, staying alert to phishing is usually enough.

## Kontoschutz / Account security

- [Konto-Wiederherstellung per E-Mail: Risiko eigene Domain](https://haveibeenhacked.de/kontoschutz/konto-wiederherstellung-eigene-domain/): Die Wiederherstellungs-E-Mail ist bei fast jedem Konto der letzte Rettungsweg. Liegt sie auf deiner eigenen Domain, hängt die Sicherheit aller Konten an dieser Domain. Läuft sie aus oder übernimmt jemand dein Registrar-Konto, kann er Mails an deine Adressen empfangen und Passwörter zurücksetzen. Automatische Verlängerung, 2FA beim Registrar und eine zweite Rettungsadresse schützen davor.
- [Passkeys: wie sie funktionieren und wo sie Passwörter ersetzen](https://haveibeenhacked.de/kontoschutz/passkeys/): Passkeys sind Anmeldedaten nach dem FIDO2-Standard, die ein Passwort durch ein Schlüsselpaar ersetzen. Der private Schlüssel bleibt auf deinem Gerät oder im Passwort-Manager, der Dienst kennt nur den öffentlichen. Weil jeder Passkey an die Domain des Dienstes gebunden ist, funktioniert er auf einer Phishing-Seite schlicht nicht.
- [Passwort-Manager: welcher passt und wie du sauber umsteigst](https://haveibeenhacked.de/kontoschutz/passwort-manager/): Ein Passwort-Manager speichert für jedes Konto ein eigenes, zufälliges Passwort in einem verschlüsselten Tresor, den du mit einem einzigen Master-Passwort öffnest. Für die meisten reicht der Manager von Apple, Google oder ein Open-Source-Tool wie Bitwarden oder KeePassXC. Wichtiger als die Marke sind ein langes Master-Passwort und Zwei-Faktor-Schutz für den Tresor.
- [Account Recovery Email on Your Own Domain: The Hidden Risk](https://haveibeenhacked.de/en/account-security/account-recovery-own-domain/): Your account recovery email is the last way back into almost every account. If it sits on your own domain, all those accounts depend on that domain. If it expires, or someone takes over your registrar account, they can receive mail to your addresses and reset your passwords. Auto-renewal, 2FA at the registrar and a second recovery address prevent that.
- [Passkeys: How They Work and Where They Replace Passwords](https://haveibeenhacked.de/en/account-security/passkeys/): Passkeys are FIDO2 credentials that replace a password with a key pair. The private key stays on your device or in your password manager; the website only stores the public key. Because each passkey is bound to the site's domain, it simply won't work on a phishing page, and a server breach exposes nothing an attacker can use.
- [Password Manager: Choosing One and Switching Over Properly](https://haveibeenhacked.de/en/account-security/password-manager/): A password manager stores a unique random password for every account in an encrypted vault that you unlock with one master password. For most people the one built into Apple or Google devices, or an open-source option like Bitwarden or KeePassXC, is enough. A long master password and two-factor protection on the vault matter more than the brand.

## Optional

- [Full text](https://haveibeenhacked.de/llms-full.txt): Alle Artikel als Klartext
- [Sitemap](https://haveibeenhacked.de/sitemap.xml)
- [betadomain.de](https://betadomain.de/llms.txt): Registrar mit Domain-API und MCP-Server