SPF, DKIM und DMARC sind drei DNS-basierte Verfahren, mit denen Empfängerserver prüfen, ob eine E-Mail wirklich von Ihrer Domain stammt. SPF legt fest, welche Server senden dürfen, DKIM signiert jede Nachricht, und DMARC bestimmt, was bei einer fehlgeschlagenen Prüfung geschieht. Ohne diese Einträge landen auch seriöse E-Mails häufig im Spam.
Dieser Artikel erklärt die drei Verfahren ohne Fachjargon, zeigt typische Einträge und gibt eine Reihenfolge für die Einrichtung vor.
Was bedeuten SPF, DKIM und DMARC?
- SPF
- Sender Policy Framework (RFC 7208). Ein TXT-Eintrag, der die Server nennt, die für Ihre Domain senden dürfen.
- DKIM
- DomainKeys Identified Mail (RFC 6376). Eine digitale Signatur in jeder E-Mail, geprüft mit einem öffentlichen Schlüssel im DNS.
- DMARC
- Domain-based Message Authentication, Reporting and Conformance (RFC 7489). Eine Richtlinie für fehlgeschlagene Prüfungen, mit Berichten an Sie.
- Ausrichtung
- DMARC verlangt, dass die geprüfte Domain zur sichtbaren Absenderdomain passt (Alignment). Ein bestandener SPF-Test für eine fremde Domain reicht nicht.
Warum prüfen Postfachanbieter die Absenderdomain?
Das E-Mail-Protokoll stammt aus einer Zeit, in der niemand Absender überprüfte; das Feld „Von“ lässt sich beliebig füllen. Jeder könnte also im Namen Ihrer Domain senden. Um solche Fälschungen auszusortieren, prüfen Gmail, Outlook und andere Anbieter eingehende E-Mails mit diesen drei Verfahren.
Seit Februar 2024 verlangen Google und Yahoo von allen Absendern mindestens SPF oder DKIM und von Massenversendern alle drei Verfahren, dazu eine Ein-Klick-Abmeldung. Microsoft hat 2025 für Outlook.com vergleichbare Anforderungen an Absender großer Mengen eingeführt.
Wie funktioniert SPF?
Erhält ein Server eine E-Mail, fragt er im DNS der Absenderdomain nach, ob der sendende Server dort als berechtigt eingetragen ist. Ist er es nicht, schlägt die Prüfung fehl. Ein SPF-Eintrag ist ein einzelner TXT-Eintrag und sieht etwa so aus: v=spf1 include:_spf.versanddienst.example ~all
Zwei Fehler sind besonders häufig: mehrere SPF-Einträge für dieselbe Domain (erlaubt ist nur einer) und vergessene Versanddienste. Außerdem darf die Prüfung nicht mehr als zehn DNS-Abfragen auslösen; zu viele include-Angaben führen sonst zu einem Fehler.
Wie funktioniert DKIM?
Der sendende Server signiert jede E-Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem Selektor, etwa s1._domainkey.ihre-domain.de. Stimmt die Signatur, ist zweierlei belegt: Die E-Mail stammt von Ihrer Domain, und sie wurde unterwegs nicht verändert.
Den Schlüssel erhalten Sie von Ihrem Versanddienst, als TXT- oder CNAME-Eintrag. Üblich sind heute Schlüssel mit 2048 Bit.
Wie funktioniert DMARC?
DMARC baut auf SPF und DKIM auf und erfüllt zwei Aufgaben: Es teilt dem Empfängerserver mit, was mit E-Mails geschehen soll, die die Prüfung nicht bestehen, und es sorgt dafür, dass Sie regelmäßig Berichte über den Versand unter Ihrer Domain erhalten. Der Eintrag liegt unter _dmarc.ihre-domain.de.
| Richtlinie | Was mit fehlgeschlagenen E-Mails geschieht |
|---|---|
| p=none | Nichts; Sie erhalten nur Berichte (Beobachtung) |
| p=quarantine | Die E-Mail wird als verdächtig behandelt, meist Spamordner |
| p=reject | Die E-Mail wird abgelehnt |
Üblich ist der Start mit p=none. Wenn die Berichte zeigen, dass alle legitimen Quellen bestehen, wird die Richtlinie schrittweise verschärft.
In welcher Reihenfolge richten Sie die Einträge ein?
- 1. SPF: ein TXT-Eintrag mit den Servern Ihres Versanddienstes.
- 2. DKIM: den Schlüssel des Dienstes im DNS veröffentlichen und die Signatur aktivieren.
- 3. DMARC: zunächst mit p=none, die Berichte auswerten.
- 4. Prüfen: eine Test-E-Mail an sich selbst senden und in den Kopfzeilen dreimal „pass“ kontrollieren.
- 5. Reputation aufbauen: erst wenn die Einträge gültig sind, mit kleinen Mengen beginnen und schrittweise steigern.
Die Reihenfolge zählt
Wer vor der Einrichtung der Einträge mit dem Versand beginnt, verschenkt Zeit: Eine E-Mail, die sich nicht authentifizieren lässt, baut keine Reputation auf, so vorsichtig die Menge auch gesteigert wird. Erst die Authentifizierung, dann die Vorbereitungszeit.
Sollten Sie die Einträge selbst einrichten?
Das ist möglich, aber Fehler in der DNS-Syntax sind häufig und schwer zu finden; ein fehlendes Zeichen genügt, damit die Prüfung scheitert. Systeme, die für den Versand eine separate Domain verwenden, richten SPF, DKIM, DMARC und eine eigene Tracking-Domain deshalb meist automatisch ein. Bei Sichere E-Mail in Expomatik gilt eine Absenderadresse erst dann als bereit, wenn die DNS-Prüfung bestanden ist.
Wie es danach weitergeht, beschreibt der Artikel Versandreputation einer neuen Domain aufbauen; weitere Gründe für den Spamordner nennt der Artikel Warum landen E-Mails im Spam?
Häufige Fragen
- Brauche ich alle drei Einträge?
- Für regelmäßigen Versand ja. Google und Yahoo verlangen seit 2024 von Massenversendern SPF, DKIM und DMARC, Microsoft für Outlook.com seit 2025. Auch bei kleinen Mengen verbessern alle drei die Zustellbarkeit und schützen Ihre Domain vor Missbrauch.
- Welche DMARC-Richtlinie sollte ich wählen?
- Beginnen Sie mit p=none und werten Sie die Berichte einige Wochen aus. Wenn alle legitimen Versandquellen SPF oder DKIM bestehen, verschärfen Sie schrittweise auf p=quarantine und später auf p=reject.
- Wie prüfe ich, ob die Einträge funktionieren?
- Senden Sie eine Test-E-Mail an ein eigenes Postfach bei Gmail oder Outlook und öffnen Sie die Kopfzeilen (bei Gmail: Original anzeigen). Dort sollten spf=pass, dkim=pass und dmarc=pass stehen.
Dieser Artikel dient der allgemeinen Information. Die Schritte im DNS-Bereich unterscheiden sich je nach Anbieter Ihrer Domain; sichern Sie Ihre bestehenden Einträge, bevor Sie etwas ändern.