DMARCGeeks
DMARCGeeks
Banken, Vermögensverwalter, Versicherungs-Broker, Wertschriften-Handelshäuser: FINMA-Rundschreiben 2023/1 (Operative Risiken) und 2018/3 (Outsourcing) fordern explizit „Mail-Authentifizierung als Teil der ICT-Sicherheit". Wenn euer Prüfer kommt, müsst ihr DMARC + SPF + DKIM nachweisen — wir machen den Audit-Lauf inkl. Audit-Brief für ISAE-3402-Prüfung.
Die Rundschreiben sind oft vage formuliert — wir übersetzen sie in konkrete technische Massnahmen:
Punkte zu „Cyberrisiken" (Rn 18-26) und „ICT-Sicherheit" (Rn 31): Schutz vor Identitätsdiebstahl, Phishing-Resistenz, Mail-Authentifizierung. Konkret: DMARC mit p=quarantine oder strenger, vollständige SPF + DKIM. Audit-Trail dokumentiert für 5 Jahre.
Wenn ihr M365, Google Workspace oder einen externen Mailserver nutzt → Outsourcing-Tatbestand. Erfordert: ADV mit dem Anbieter, Standort des Mail-Servers dokumentiert, Recht zur Audits beim Anbieter geklärt, Exit-Strategie definiert.
Bei ISAE-3402-Type-II-Prüfung (oft von Kunden / Banken-Partnern gefordert) gehört Mail-Sicherheit in den Scope: Authentifizierung, Verschlüsselung, Zugriffskontrolle. Audit-Bericht muss vorlagefähig sein für die Prüfgesellschaft.
Drei Phasen über typisch 4-6 Wochen — von Bestandsaufnahme bis Audit-Bericht in deiner Hand.
Pro FINMA-RS-Punkt eine Befund-Zeile (compliant / partial / non-compliant). Mit Evidence-Trail: Screenshots, DNS-Lookups, Konfigurations-Exports.
Kurz-Brief mit Compliance-Status, vorlagefähig bei Prüfgesellschaft oder Kunden-Audits. Signiert + datiert.
Wenn Lücken: priorisierter Plan mit Aufwand, Zeitschiene, Kosten. Optional: wir setzen direkt um (als Folge-Auftrag).
≤25 Mitarbeitende · 1 Domain · 1 Mail-Provider
Audit + DMARC-Implementation + M365-Härtung
Mehrere Mail-Domains · Multi-Provider · Custody
NDA standardmässig · Schweizer Daten-Raum · Vertraulich
Wir prüfen nur technische Konfiguration, keine Kundendaten. Vor jedem Audit wird NDA + Auftragsverarbeitungs-Vertrag unterzeichnet. Alle Audit-Reports werden in CH-Datenraum gespeichert + sind ausschliesslich für den Auftraggeber bestimmt.
Wir machen den Audit-Lauf so dass du Mail-Authentifizierung als „compliant" auf den Tisch legen kannst — mit Audit-Brief, signiert, vorlagefähig.