SPF, DKIM und DMARC erklärt – damit deine E-Mails ankommen und niemand in deinem Namen schreibt

Wenn eine E-Mail im Spam landet, ist selten der Text schuld. Meist fehlt ein Nachweis, den der empfangende Mailserver verlangt: Er will wissen, ob die Nachricht wirklich von der Domain kommt, die im Absender steht. Dafür gibt es drei Einträge im DNS, die fast jeder schon einmal gehört und kaum jemand wirklich verstanden hat – SPF, DKIM und DMARC.

Dieser Artikel erklärt sie ohne Fachjargon, zeigt die Reihenfolge der Einrichtung und beschreibt, wie du die Berichte liest, die DMARC liefert. Er setzt den Artikel über den Mailversand aus WordPress fort, in dem ich dieses Thema angekündigt hatte.

Das Bild dahinter: Brief, Siegel, Hausordnung

Stell dir deine Domain als Firmenadresse vor, unter der Post verschickt wird. Jeder kann einen Umschlag mit deinem Absender beschriften – deshalb prüft der Empfänger drei Dinge:

• SPF ist die Liste der Postboten, die in deinem Namen Briefe abgeben dürfen. Steht ein Server nicht darauf, ist das verdächtig.
• DKIM ist das Siegel auf dem Brief. Es belegt, dass der Inhalt von deinem Haus stammt und unterwegs nicht verändert wurde.
• DMARC ist die Hausordnung: Sie sagt dem Empfänger, was bei Zweifeln geschehen soll, und schickt dir Berichte darüber, wer sonst noch Briefe mit deinem Absender aufgibt.

Alle drei sind kurze Textzeilen im DNS deiner Domain. Du änderst sie dort, wo die Domain verwaltet wird – beim Registrar oder beim Hoster. In der Website selbst steht davon nichts.

Warum das heute Pflicht ist

Google und Yahoo verlangen seit Anfang 2024 von Absendern eine nachweisbare Authentifizierung; bei größeren Mengen gehören alle drei Einträge dazu. Auch kleine Versender spüren die Folgen: Ohne Nachweise wandern Mails häufiger in den Spam-Ordner, und niemand sagt dir Bescheid. Dazu kommt der Schutz nach innen. Ohne DMARC kann jeder Betrüger Rechnungen mit deiner Absenderadresse verschicken, und deine Kunden sehen keinen Unterschied.

Schritt 1: Bestandsaufnahme – wer versendet eigentlich?

Bevor du einen Eintrag änderst, schreib auf, welche Systeme Mails mit deiner Domain verschicken. Die Liste ist fast immer länger als gedacht:

1. das Firmenpostfach (Hoster, Microsoft 365 oder Google Workspace)
2. die Website mit Formularen und Benachrichtigungen
3. das Newsletter-System
4. Buchhaltung, Terminbuchung, CRM, Shop
5. Dienste, die nur selten etwas verschicken – Zeiterfassung, Ticketsystem, Umfragetool

Genau die vergessenen Quellen sind der Grund, warum Mails nach einer Umstellung plötzlich verschwinden. Der kostenlose E-Mail-Check zeigt dir, was auf deiner Domain heute eingetragen ist – ein guter Startpunkt, bevor du etwas veränderst.

Schritt 2: SPF – eine Zeile, alle Absender

Der SPF-Eintrag ist ein TXT-Eintrag auf der Hauptdomain und sieht typischerweise so aus:

v=spf1 include:_spf.beispiel-hoster.de include:spf.newsletter-dienst.example ~all

Jedes include: erlaubt die Server eines Dienstes, das Ende steht für den Rest: ~all bedeutet „verdächtig, aber nicht ablehnen", -all bedeutet „ablehnen". Welche include-Angabe zu welchem Dienst gehört, steht in der Anleitung des jeweiligen Anbieters – du erfindest sie nicht selbst.

Drei Regeln verhindern die meisten Fehler:

• Pro Domain genau ein SPF-Eintrag. Wer beim Anbieterwechsel einen zweiten anlegt, macht beide ungültig. Neue Quellen kommen in dieselbe Zeile.
• Höchstens zehn Abfragen. Jedes include: kostet eine Abfrage, und mehr als zehn sind nicht erlaubt. Wer über die Jahre immer weiter ergänzt, reißt die Grenze irgendwann, ohne dass es jemand bemerkt.
• Erst ~all, dann später -all. Beginn vorsichtig und verschärfe, wenn alle Quellen sauber eingetragen sind.

Schritt 3: DKIM – das Siegel einrichten

DKIM richtest du beim Versender ein, nicht im DNS allein. Der Anbieter erzeugt ein Schlüsselpaar, behält den privaten Schlüssel und nennt dir einen öffentlichen, den du im DNS hinterlegst. Der Eintrag liegt unter einem Namen mit sogenanntem Selector, etwa standard._domainkey.deine-firma.de.

Wichtig: Jeder Versender bringt seinen eigenen Selector mit. Firmenpostfach, Newsletter-System und Shop haben also jeweils einen eigenen DKIM-Eintrag, und die stehen friedlich nebeneinander. Zwei typische Stolperfallen:

• Beim Kopieren schleichen sich Leerzeichen oder Zeilenumbrüche ein. Der lange Schlüssel ist dann ungültig. Manche DNS-Oberflächen verlangen außerdem, dass er in mehrere Teile gesplittet wird – die Anleitung deines Anbieters zeigt, wie.
• Alte Einträge bleiben nach einem Wechsel stehen. Sie schaden nicht, gehören aber aufgeräumt.

Danach schickst du dir selbst eine Testmail und schaust in die Kopfzeilen. Dort muss bei dkim= ein pass stehen.

Schritt 4: DMARC – erst beobachten, dann verschärfen

DMARC ist der Eintrag, der die beiden anderen zusammenhält. Er liegt als TXT-Eintrag unter _dmarc.deine-firma.de:

v=DMARC1; p=none; rua=mailto:berichte@deine-firma.de

p=none heißt: nichts verändern, nur berichten. Mit rua= gibst du an, wohin die Berichte gehen sollen. Dazu kommt eine Besonderheit: DMARC verlangt nicht nur, dass SPF oder DKIM bestehen, sondern dass die geprüfte Domain zur sichtbaren Absenderadresse passt. Eine Mail kann also SPF bestehen und trotzdem bei DMARC durchfallen, wenn ein Dienst unter seiner eigenen Domain versendet.

Der vernünftige Weg in drei Stufen:

1. p=none und mehrere Wochen Berichte lesen.
2. Alle gefundenen eigenen Quellen sauber eintragen, bis sie bestehen.
3. p=quarantine, später gegebenenfalls p=reject. Wer sofort auf reject springt, blockiert zuverlässig die eigenen Rechnungen.

DMARC-Berichte lesen, ohne zu verzweifeln

Die Berichte kommen als komprimierte XML-Dateien von den Empfängern, in der Regel einmal täglich. Wer sie roh öffnet, sieht ein Wirrwarr aus Zeilen. Praktisch liest sie deshalb niemand von Hand: Entweder du nutzt ein Auswertungswerkzeug, das sie sammelt und aufbereitet, oder du schaust bei kleinen Domains stichprobenweise hinein. Gesucht wird dabei immer dasselbe:

• Absender-IP-Adressen, die du nicht kennst. Sie gehören entweder zu einem vergessenen Dienst oder zu jemandem, der deine Domain missbraucht.
• Quellen, die durchfallen. Ein eigenes System mit Ergebnis „fail" musst du nachziehen, bevor du die Regel verschärfst.
• Mengen. Wenige Mails pro Quelle sind harmlos, große Mengen unbekannter Herkunft verdienen Aufmerksamkeit.

Die Berichte enthalten keine Mail-Inhalte, aber IP-Adressen und Zählwerte. Halte das bei der Auswahl eines externen Werkzeugs im Blick – es gelten die üblichen Fragen zum Datenschutz.

Was das kostet

Die Einträge selbst kosten nichts. Als Orientierung: Für eine kleine Domain mit Postfach, Website und Newsletter ist die Ersteinrichtung typischerweise eine Sache von ein bis zwei Stunden, das Mitlesen der Berichte kommt über einige Wochen dazu. Der eigentliche Engpass ist oft der Zugang zum DNS, wenn die Domain bei einem Dienstleister liegt.

Fazit

SPF, DKIM und DMARC sind keine Spezialisten-Disziplin, sondern Hausaufgaben: erst aufschreiben, wer versendet, dann die Erlaubnis eintragen, dann beobachten, dann verschärfen. Der Lohn ist doppelt – deine Mails kommen verlässlicher an, und dein Name lässt sich schwerer missbrauchen. Starte mit dem E-Mail-Check, und wenn du die Umstellung nicht selbst machen möchtest: Ich helfe dir dabei.