SPF, DKIM und DMARC einrichten: damit E-Mails ankommen

Wenn Angebote, Rechnungen oder Newsletter im Spam-Ordner landen, liegt das häufig nicht am Inhalt, sondern an fehlender Authentifizierung. Google, Yahoo und Microsoft verlangen inzwischen von Absendern, dass sie mit SPF, DKIM und DMARC nachweisen, dass ihre E-Mails echt sind. Dieser Artikel erklärt die drei Verfahren, zeigt Beispiel-Einträge für das DNS und fasst die aktuellen Anforderungen der großen Postfachanbieter zusammen.

Warum E-Mail-Authentifizierung nötig ist

Das E-Mail-Protokoll SMTP stammt aus einer Zeit, in der niemand mit Missbrauch rechnete. Ohne Zusatzverfahren kann jeder Server eine E-Mail mit beliebigem Absender verschicken, auch mit Ihrer Domain. Genau das nutzen Phishing-Angriffe und gefälschte Rechnungen aus.

SPF, DKIM und DMARC sind Einträge im DNS, dem Adressbuch des Internets. Empfangende Server lesen sie aus und prüfen damit, ob eine E-Mail wirklich von Ihnen stammt.

SPF: Wer darf für Ihre Domain senden?

SPF (Sender Policy Framework) ist eine Liste der Server, die E-Mails für Ihre Domain verschicken dürfen. Der Eintrag ist ein TXT-Record direkt auf der Domain.

example.de.  TXT  "v=spf1 mx include:_spf.mailanbieter.example ~all"

Bedeutung der Bestandteile:

• v=spf1 kennzeichnet den Eintrag als SPF.
• mx erlaubt die Mailserver aus dem MX-Eintrag der Domain.
• include: bindet die Liste eines Dienstleisters ein, etwa Ihres E-Mail-Anbieters oder Newsletter-Tools.
• ~all markiert alle anderen Absender als verdächtig. Mit -all werden sie strikt abgelehnt.

Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Zudem begrenzt der Standard die Zahl der DNS-Abfragen bei der Prüfung auf zehn. Wer viele Dienste per include einbindet, stößt schnell an diese Grenze.

DKIM: die digitale Signatur

DKIM (DomainKeys Identified Mail) versieht jede ausgehende E-Mail mit einer kryptografischen Signatur. Der sendende Server signiert mit einem privaten Schlüssel, den öffentlichen Schlüssel veröffentlichen Sie im DNS. Der Empfänger prüft damit, ob die E-Mail unterwegs verändert wurde und ob sie von einem berechtigten System stammt.

mail2026._domainkey.example.de.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Der erste Teil, hier mail2026, ist der Selektor. Er erlaubt mehrere Schlüssel parallel, etwa für Ihren E-Mail-Anbieter und Ihr Newsletter-Tool. Den Schlüssel selbst erzeugt in der Regel der jeweilige Dienst, Sie tragen ihn nur ein. Google verlangt eine Schlüssellänge von mindestens 1.024 Bit und empfiehlt 2.048 Bit.

DMARC: die Richtlinie und der Bericht

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM mit der sichtbaren Absenderadresse. Eine E-Mail besteht die DMARC-Prüfung nur, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur Domain im Absenderfeld passt. Diese Übereinstimmung heißt Alignment.

_dmarc.example.de.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.de"

Die wichtigsten Angaben:

• p= legt fest, was mit nicht bestandenen E-Mails passieren soll: none (nur beobachten), quarantine (in den Spam) oder reject (ablehnen).
• rua= ist die Adresse für tägliche Sammelberichte. Darin sehen Sie, welche Server in Ihrem Namen senden und ob die Prüfungen bestehen.

Beginnen Sie mit p=none und werten Sie die Berichte einige Wochen aus. Erst wenn alle legitimen Absender korrekt authentifiziert sind, verschärfen Sie schrittweise auf quarantine und später reject.

Was Google, Yahoo und Microsoft verlangen

Die großen Postfachanbieter haben ihre Anforderungen in den letzten Jahren verschärft (Stand: November 2026):

Einige Details dazu:

• Google verlangt für alle Absender außerdem gültige Forward- und Reverse-DNS-Einträge für die sendenden IP-Adressen sowie eine Übertragung per TLS. Als Ziel empfiehlt Google eine Spam-Rate unter 0,1 Prozent, 0,3 Prozent oder mehr sollten unbedingt vermieden werden.
• Ein-Klick-Abmeldung bedeutet die Header List-Unsubscribe und List-Unsubscribe-Post: List-Unsubscribe=One-Click nach RFC 8058. Gute Newsletter-Tools setzen diese automatisch.
• Microsoft leitet nicht konforme E-Mails von Massenversendern an Outlook.com, Hotmail.com und Live.com zunächst in den Junk-Ordner. Eine spätere Ablehnung hat Microsoft angekündigt.

Auch wenn Ihr Unternehmen keine 5.000 E-Mails am Tag verschickt, lohnt es sich, alle drei Verfahren einzurichten. Die Anforderungen für Massenversender sind faktisch der Maßstab für gute Zustellbarkeit.

Schritt für Schritt einrichten

1. Absender erfassen: Listen Sie alle Systeme auf, die E-Mails mit Ihrer Domain verschicken: E-Mail-Anbieter, Newsletter-Tool, Onlineshop, CRM, Buchhaltungssoftware, Kontaktformular der Website.
2. SPF anlegen: Fassen Sie alle Absender in einem einzigen SPF-Eintrag zusammen und prüfen Sie die Zahl der DNS-Abfragen.
3. DKIM aktivieren: Aktivieren Sie DKIM in jedem Dienst und tragen Sie die angezeigten Schlüssel im DNS ein.
4. DMARC mit p=none starten: Legen Sie den DMARC-Eintrag mit einer Berichtsadresse an.
5. Berichte auswerten: Prüfen Sie über einige Wochen, ob alle legitimen Quellen SPF oder DKIM mit Alignment bestehen. Für die Auswertung der XML-Berichte gibt es spezialisierte Werkzeuge.
6. Richtlinie verschärfen: Wechseln Sie auf p=quarantine und später auf p=reject.
7. Ungenutzte Domains schützen: Domains, die keine E-Mails versenden, erhalten v=spf1 -all und eine DMARC-Richtlinie mit p=reject.
8. Regelmäßig prüfen: Neue Tools, die E-Mails versenden, müssen vor dem Start in SPF und DKIM aufgenommen werden.

Managed E-Mail mit Simplify Data

Bei unserem Angebot Managed E-Mail & Groupware richten wir SPF, DKIM und DMARC für Ihre Domain ein und behalten die Berichte im Blick. So bleibt die Zustellbarkeit auch dann stabil, wenn neue Systeme hinzukommen. Business-Mail ansehen

Quellen

• Google: Richtlinien für E-Mail-Absender
• Yahoo Sender Hub: Best Practices
• Microsoft: Neue Anforderungen für Massenversender an Outlook.com
• RFC 7489: DMARC