Zum Inhalt
pandaworks

E-Mails der Kita: wenn sie im Spam landen oder gefälscht werden

Woran es liegt, woran Sie es merken und was Sie Ihren Dienstleister fragen sollten, ohne Technik im Detail. Nach den Regeln von Google, Microsoft und Yahoo und den Empfehlungen des BSI, Stand: 31. Oktober 2026.

Zwei Folgen derselben Lücke

  • Ihre Mails landen im Spam. Große Postfächer wie Gmail und Outlook prüfen, ob eine Mail wirklich von Ihrer Domain kommt. Fehlt der Nachweis, landen Bestätigungen an Eltern oder Zusagen an Bewerber im Spam oder kommen gar nicht an.
  • Betrüger nutzen Ihren Absender. Ohne Schutz kann jemand Mails verschicken, die von Ihrer Adresse zu kommen scheinen, etwa eine gefälschte Rechnung an Eltern oder eine neue Kontonummer an einen Lieferanten.

Woran Sie es merken

  • Eltern oder Bewerber sagen, Ihre Mails seien im Spam gelandet.
  • Mails kommen mit einer Fehlermeldung zurück, obwohl die Adresse stimmt.
  • Jemand bekommt eine Mail von Ihrer Adresse, die bei Ihnen niemand geschickt hat.
  • Niemand bei Ihnen oder Ihrem Dienstleister kann sagen, ob SPF, DKIM und DMARC eingerichtet sind.

Was SPF, DKIM und DMARC tun

Drei Einträge zu Ihrer Domain, die jeder Mailserver lesen kann:

  • SPF nennt die Server, die Mails für Ihre Domain verschicken dürfen.
  • DKIM setzt eine digitale Unterschrift unter jede Mail, die der Empfänger prüfen kann.
  • DMARC sagt dem Empfänger, was mit Mails geschehen soll, die das nicht bestehen: zustellen, in den Spam legen oder abweisen. Dazu bekommt der Inhaber der Domain regelmäßig Berichte.

Ähnlich aussehende Adressen, etwa mit einem Buchstaben mehr, verhindert das nicht. Ob eine Mail abgewiesen wird, entscheidet am Ende der Empfänger.

Was die großen Postfächer verlangen

Seit Februar 2024 verlangt Google von jedem, der an Gmail schickt, mindestens SPF oder DKIM. Fehlt beides, landen Mails im Spam oder werden abgelehnt.

Wer rund 5.000 Mails am Tag oder mehr schickt, braucht alle drei. Yahoo verlangt dasselbe, Microsoft seit Mai 2025 für Outlook.com.

Was das BSI empfiehlt

Das BSI empfiehlt jeder Organisation, die Mails mit eigener Domain verschickt, SPF, DKIM und DMARC. Fehler darin bleiben oft unbemerkt, weil empfangende Server sie meist dulden.

Für DMARC rät das BSI, nicht bestandene Mails abweisen zu lassen und die Berichte regelmäßig auszuwerten. Wer keine eigene IT hat, überlässt das seinem IT-Dienstleister.

Ist eine gefälschte Mail eine Datenpanne?

Nicht unbedingt. Verschickt jemand nur Mails mit Ihrem Absender, ohne in Ihre Systeme zu kommen, hat eine Aufsichtsbehörde das in einem Fall nicht als Datenpanne gewertet. Hatte jemand Zugang zu einem Postfach, ist es eine; dann gilt, was im Ratgeber „Website gehackt“ steht. Klären Sie das mit Ihrem Datenschutzbeauftragten.

Was Sie Ihren Dienstleister fragen

  • Ob SPF, DKIM und DMARC für Ihre Domain eingerichtet sind, auch für jede Domain einer Kita.
  • Ob DMARC so steht, dass gefälschte Mails abgewiesen werden, und wer die Berichte liest.
  • Welche Dienste Mails in Ihrem Namen verschicken, etwa Kontaktformular, Newsletter oder Bewerberportal, und ob alle eingetragen sind.
  • Wer zuständig ist, wenn eine neue Adresse oder ein neuer Dienst dazukommt.

Was Ihr Dienstleister sonst für die Sicherheit leisten sollte, steht im Ratgeber „Website-Sicherheit“.

In Österreich

Für Kindergärten in Österreich gilt dasselbe: Die Regeln von Google, Microsoft und Yahoo sind dieselben, und CERT.at empfiehlt für die eigenen Domains SPF, DKIM und DMARC mit „reject“.

Hilfe von pandaworks

In jeder Stufe der Betreuung richte ich Ihre Mail-Adresse so ein, dass Betrüger sie kaum fälschen können.

Ich halte Ihre Website auf dem Stand, wenn sich Gesetze, Google oder Software ändern, und entwickle sie weiter, wenn Sie Neues brauchen.

Ob jemand Mails mit Ihrer Adresse fälschen kann, zeigt auch die Prüfung für 790 €.

Zur Prüfung

Quellen

Stand: 31. Oktober 2026

Weitere Ratgeber

Wie steht es um Ihre Website?

Erstgespräch vereinbaren

hallo@pandaworks.de