Die beste Phishing-Mail ist die, die nie ankommt

Zweimal Hall of Fame und warum dein Postfach davon profitiert.

Es gibt Post, auf die man sich mehr freut als auf andere. Diese gehört definitiv dazu: Nach 2025 wurde Mailculture erneut in die „Hall of Fame der E-Mail-Sicherheit 2026“ von BSI und seinen Partnern, der Verband Bitkom e.V. und eco – Verband der Internetwirtschaft e.V. Nach der Aufnahme mit Goldstatus im vergangenen Jahr ist das die Bestätigung, dass E-Mail-Sicherheit bei uns kein einmaliges Projekt, sondern Alltag ist.

Feierliche Ehrung
v.l.: Fabian Zacharias (bitkom), Claudia Plattner (BSI), Philipp Zöld (Mailculture), Prof. Dr. Norbert Pohlmann (eco), Foto: Mailculture

Ich freue mich ehrlich darüber. Noch mehr freut mich allerdings, dass sechs meiner Kunden dieses Jahr ebenfalls auf dieser Liste stehen. Die Auszeichnung ist für meine Kunden der eigentliche Beweis, dass die Arbeit wirkt.

Worum es bei der Hall of Fame 2026 geht

Das E-Mail-Sicherheitsjahr 2025 hatte ein klares Ziel: Menschen entlasten und Phishing technisch abwehren, bevor es überhaupt zum Problem wird. Das hat einiges bewegt. Trotzdem stellt das BSI nüchtern fest, dass Phishing weiterhin zu den größten Bedrohungen für Unternehmen genauso wie für Behörden und Privatleute zählt.

Deshalb setzt die Hall of Fame 2026 den nächsten Schritt: Ausgezeichnet werden Organisationen, die DNSSEC tatsächlich umgesetzt haben und sich zur Technischen Richtlinie TR-03108 „Sicherer E-Mail-Transport“ bekennen.

Die Grundidee des BSI teile ich zu hundert Prozent: Der beste Schutz vor Phishing ist nicht die fünfte Awareness-Schulung. Es ist die Phishing-Mail, die gar nicht erst in einem digitalen Postfach landet.

Ein Blick auf die Liste spricht Bände

Wer sich die Hall of Fame anschaut, findet dort die Deutsche Lufthansa, die Deutsche Telekom, Henkel und Vodafone. Direkt daneben stehen ein Garten- und Landschaftsbauer, ein Hörakustiker, ein Trachtenmodegeschäft und ein Hundetrainer. Dazu kommen Kliniken, Stadtwerke, Bistümer und kommunale IT-Dienstleister.

Genau das ist die Botschaft: E-Mail-Sicherheit ist keine Frage der Unternehmensgröße. Sie ist eine Frage der Entscheidung, mehr Sicherheit in das Kommunikationsmittel E-Mail zu bringen.

Warum das auch Solo-Selbstständige betrifft

Ich höre oft von Solo-Selbständigen: „Ich bin doch nur eine Person, wer soll mich schon angreifen?“ Meine Antwort ist immer: Wahrscheinlich greift niemand dich an. Aber womöglich nutzt jemand deine Domain für einen Betrug..

Ohne SPF, DKIM und eine durchgesetzte DMARC-Richtlinie kann praktisch jeder E-Mails verschicken, die aussehen, als kämen sie von dir. Das passiert dann bpsw. an deine Kunden mit einer gefälschten Rechnung und einer neuen Bankverbindung. Der Schaden entsteht bei deinen Kunden und das Misstrauen dir gegenüber.

Dazu kommt ein ganz noch kritischerer Punkt: Google, Yahoo und Microsoft verlangen inzwischen eine saubere Authentifizierung. Wer sie nicht hat, landet im Spam oder wird gar nicht erst zugestellt. E-Mail-Sicherheit und -Zustellbarkeit sind längst zwei Seiten derselben Medaille.

Warum der Mittelstand besonders gefragt ist

Mittelständische Unternehmen sind selten das eigentliche Ziel großer Angriffe. Sie sind der Weg dorthin, denn Angreifer suchen sich das schwächste Glied in einer Lieferkette. Und das ist erschreckend oft ein Zulieferer, dessen Domain sich problemlos fälschen lässt oder dessen Mailserver Nachrichten unverschlüsselt weiterreicht.

Mit der EU NIS2-Richtlinie wird Informationssicherheit für viele Unternehmen zur Pflicht. Und auch wer nicht direkt reguliert ist, bekommt die Anforderungen über seine Kunden zu spüren. Wer heute in DNSSEC, DANE, MTA-STS und DMARC investiert, beantwortet morgen entspannt die Sicherheitsfragebögen seiner Großkunden.

Warum auch Konzerne nicht fertig sind

Große Organisationen haben entsprechende Budgets und IT-Security-Teams. Sie haben aber auch Dutzende Domains, Marketing-Tools, CRM-Systeme, Newsletter-Dienstleister und Tochtergesellschaften, die alle im Namen der Marke E-Mails verschicken. Jede vergessene Subdomain ist eine offene Tür.

Die Konzerne in der Hall of Fame zeigen, dass es geht. Sie zeigen aber auch, wie viel Koordination dahintersteckt.

Der eigentliche Grund: E-Mail-Sicherheit ist Teamsport

Hier liegt der Punkt, der mir am wichtigsten ist. Viele Sicherheitsmaßnahmen schützen nicht in erster Linie dich selbst, sondern die Menschen, die deine E-Mails empfangen.

• Deine DMARC-Richtlinie schützt deine Kunden vor Fälschungen.
• Dein DNSSEC schützt jeden, der deine Domain abfragt, vor manipulierten Antworten.
• Deine Transportverschlüsselung schützt die Vertraulichkeit jeder Nachricht, die du verschickst oder empfängst.

Dein E-Mail-Ökosystem ist nur so sicher wie die Summe seiner Teilnehmer.

Vor meiner Zeit in der Zustellbarkeit habe ich vier Jahre als Usability Engineer gearbeitet. Dort lernt man vor allem eins: Die gefährlichsten Probleme entstehen dort, wo ein System etwas anderes tut, als Menschen annehmen. Die meisten Menschen glauben, eine E-Mail sei ein verschlossener Brief. Ohne die richtigen Einstellungen ist sie eher eine Postkarte, deren Inhalt man mitlesen und den Absender jeder selbst ausfüllen kann.

Was das BSI konkret erwartet

Ohne zu tief in die Technik einzusteigen, geht es im Kern um drei Bereiche:

Echtheit des Absenders mittels Authentifizierung: SPF, DKIM und DMARC stellen sicher, dass nur berechtigte Systeme in deinem Namen senden dürfen und sagen Empfängern, was mit Fälschungen passieren soll.

Sicherer Transport: moderne TLS-Verschlüsselung, abgesichert durch DANE oder MTA-STS, verhindert, dass E-Mails unterwegs mitgelesen oder umgeleitet werden.

Vertrauenswürdiges DNS: DNSSEC sorgt dafür, dass die Einträge, auf denen all das beruht, nicht manipuliert werden können. Es ist das Fundament, auf dem der Rest steht.

Das klingt nach viel. In der Praxis ist es für die meisten Organisationen ein überschaubares Projekt, wenn man weiß, in welcher Reihenfolge man vorgeht und wo die typischen Stolperfallen liegen.

Wo stehst du?

Seit ich Mailculture 2020 gegründet habe, begleite ich Unternehmen genau auf diesem Weg: vom ersten Blick auf die DNS-Einträge bis zur Aufnahme in die Hall of Fame. Mein Ziel ist, dass sichere E-Mails im DACH-Raum nicht die Ausnahme sind, sondern der Normalfall.

Wenn du wissen willst, wie gut deine Domain heute aufgestellt ist, mach den kostenlosen Email Security Check. Du bekommst in wenigen Sekunden einen Score und siehst, wie anfällig deine Domain für Phishing und  Spoofing ist

Und wenn du nächstes Jahr selbst auf dieser Liste stehen willst, schreib mir. Sechs meiner Kunden haben es dieses Jahr geschafft.