Prüfprogramm E-Mail-Sicherheit.
Wie Sie prüfen, ob die E-Mail-Domänen gegen Fälschung geschützt sind, Nachrichten verschlüsselt transportiert werden und Phishing und Schadprogramme wirksam abgefangen werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation ihre E-Mail-Kommunikation technisch und organisatorisch absichert: Absenderauthentifizierung der eigenen Domänen, verschlüsselter Transport, Filterung von Schadprogrammen und Phishing, sichere Konfiguration der Mailplattform wie Exchange Online und ein funktionierender Meldeweg für verdächtige Nachrichten. Sie beurteilt außerdem, ob die Aufbewahrung geschäftlicher E-Mails geregelt ist.
Geltungsbereich
- Alle E-Mail-Domänen der Organisation, auch solche, die nicht zum Versand genutzt werden
- Mailplattform (zum Beispiel Exchange Online oder Exchange Server) und vorgelagerte Filterdienste
- Externe Dienste, die im Namen der Organisation E-Mails versenden, etwa Newsletter oder Ticketsysteme
- Nicht Gegenstand: Ende-zu-Ende-Verschlüsselung einzelner Fachverfahren, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie regelt die dienstliche Nutzung von E-Mail, den Versand vertraulicher Informationen und die Weiterleitung nach extern. | BSI APP.5.3; ISO/IEC 27001:2022 Anhang A 5.14 | Richtlinie lesen, Freigabe prüfen und mit den technischen Einstellungen zur Weiterleitung abgleichen. | E-Mail-Richtlinie, Regelungen zum Informationsaustausch |
| 2 | Für jede Domäne ist ein SPF-Eintrag veröffentlicht, der nur berechtigte Versender zulässt; nicht versendende Domänen schließen Versand aus. | RFC 7208 | DNS-Einträge aller Domänen abfragen und die genannten Versender mit der Liste der tatsächlichen Versanddienste vergleichen. | Domänenliste, DNS-Abfrage, Liste der Versanddienste |
| 3 | Ausgehende Nachrichten werden mit DKIM signiert; Schlüssel haben eine angemessene Länge und werden gewechselt. | RFC 6376 | Kopfzeilen von Testnachrichten aller Versandwege auswerten und Schlüssellänge sowie letzten Schlüsselwechsel erfragen. | Kopfzeilen der Testnachrichten, DKIM-Konfiguration |
| 4 | Eine DMARC-Richtlinie ist veröffentlicht und auf Ablehnung oder Quarantäne gestellt; die Berichte werden ausgewertet. | RFC 9989; RFC 9990 | DMARC-Eintrag abfragen, Richtlinienstufe feststellen und die Auswertung der Berichte der letzten drei Monate ansehen. | DNS-Abfrage, Auswertung der DMARC-Berichte, Maßnahmen zu Fehlkonfigurationen |
| 5 | Der Transport zwischen Mailservern ist verschlüsselt und gegen Herabstufung abgesichert, etwa über DANE oder MTA-STS mit TLS-Berichten. | BSI TR-03108 | Konfiguration des Transports prüfen und mit einem externen Prüfwerkzeug die Verschlüsselung der eigenen Mailserver testen. | Testergebnis des Prüfwerkzeugs, Konfiguration der Konnektoren, TLS-Berichte |
| 6 | Eingehende Nachrichten werden auf Schadprogramme geprüft; gefährliche Anhänge werden blockiert oder isoliert geöffnet. | ISO/IEC 27001:2022 Anhang A 8.7; BSI APP.5.3 | Filterregeln und gesperrte Dateitypen ansehen und die Statistik der Funde der letzten drei Monate auswerten. | Filterkonfiguration, Liste gesperrter Dateitypen, Fundstatistik |
| 7 | Links in Nachrichten werden beim Aufruf geprüft, externe Absender sind gekennzeichnet und Absenderfälschungen werden erkannt. | ISO/IEC 27001:2022 Anhang A 8.7 und 8.23 | Einstellungen zu Linkprüfung, Kennzeichnung externer Nachrichten und Schutz vor Identitätsfälschung ansehen und an einer Testnachricht nachvollziehen. | Konfiguration des Phishing-Schutzes, Testnachricht mit Kennzeichnung |
| 8 | Die Mailplattform ist gehärtet: automatische Weiterleitung nach extern ist eingeschränkt, veraltete Anmeldeverfahren sind abgeschaltet. | BSI APP.5.3 | Einstellungen zu Weiterleitungen, Postfachregeln und Anmeldeverfahren auslesen und Postfächer mit externer Weiterleitung auflisten. | Auszug der Mandantenkonfiguration, Liste der Postfächer mit Weiterleitung |
| 9 | Anmeldungen an Postfächern und an der Verwaltung der Plattform sind mit mehreren Faktoren geschützt. | § 30 Abs. 2 Nr. 10 BSIG; ISO/IEC 27001:2022 Anhang A 8.5 | Regeln für Mehrfaktor-Authentifizierung ansehen und Konten ohne zweiten Faktor mit Begründung auflisten lassen. | Richtlinien für bedingten Zugriff, Bericht zur Registrierung der Faktoren, Ausnahmeliste |
| 10 | Zugriffe auf Postfächer und administrative Änderungen werden protokolliert und die Protokolle ausreichend lange aufbewahrt. | ISO/IEC 27001:2022 Anhang A 8.15 | Aktivierung der Postfachprotokollierung und Aufbewahrungsdauer prüfen und einen Protokollabruf vorführen lassen. | Protokolleinstellungen, Beispiel eines Protokollabrufs |
| 11 | Mitarbeitende können verdächtige Nachrichten einfach melden; Meldungen werden ausgewertet und beantwortet. | ISO/IEC 27001:2022 Anhang A 6.8 | Meldeweg vorführen lassen und für fünf Meldungen Bearbeitung, Bewertung und Rückmeldung nachvollziehen. | Beschreibung des Meldewegs, bearbeitete Meldungen |
| 12 | Die Aufbewahrung geschäftlicher E-Mails, die als Handels- oder Geschäftsbriefe gelten, ist geregelt und technisch umgesetzt. | § 147 Abs. 1 Nr. 2 und 3 AO | Aufbewahrungsregeln und Archivierungslösung ansehen und prüfen, ob Postfachlöschungen die Aufbewahrung unterlaufen können. | Aufbewahrungsrichtlinie, Konfiguration der Archivierung |
Unterlagen zur Anforderung
- E-Mail-Richtlinie
- Liste aller Domänen und der Dienste, die im Namen der Organisation versenden
- DNS-Einträge zu SPF, DKIM und DMARC sowie Auswertung der DMARC-Berichte
- Konfiguration von Transportverschlüsselung, Filter und Phishing-Schutz
- Auszug der Mandanten- oder Serverkonfiguration der Mailplattform
- Bericht zur Mehrfaktor-Authentifizierung mit Ausnahmen
- Beschreibung des Meldewegs für verdächtige Nachrichten
- Aufbewahrungsrichtlinie für E-Mails
Typische Feststellungen
- Die DMARC-Richtlinie steht dauerhaft auf Beobachtung, Berichte werden nicht gelesen.
- Nicht genutzte Domänen haben keinen Eintrag und können zur Fälschung missbraucht werden.
- Externe Versanddienste sind nicht in SPF oder DKIM eingebunden.
- Automatische Weiterleitung an private Adressen ist erlaubt.
- Einzelne Postfächer und Dienstkonten sind ohne zweiten Faktor erreichbar.
- Gemeldete Phishing-Nachrichten bleiben ohne Auswertung und Rückmeldung.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen