SPF, DKIM und DMARC verständlich erklärt – warum Ihre Mails im Spam landen
Die Angebotsmail kommt nie an. Der Kunde sagt, er habe nichts bekommen, und findet sie zwei Tage später im Spam-Ordner. Die Bestellbestätigung aus dem Webshop verschwindet spurlos. Und geändert hat sich – angeblich – gar nichts.
In den allermeisten Fällen liegt das nicht am Text der Mail und auch nicht an einem überempfindlichen Spamfilter. Es liegt an drei Einträgen im DNS Ihrer Domain, die dem Empfänger beweisen, dass die Mail wirklich von Ihnen stammt: SPF, DKIM und DMARC. Fehlen sie oder sind sie fehlerhaft, wird Ihre Mail behandelt wie ein Brief ohne Absender.
Warum das inzwischen zwingend ist
E-Mail wurde ohne jede Absenderprüfung erfunden. Wer eine Mail verschickt, kann als Absender hineinschreiben, was er will – deshalb funktionieren gefälschte Rechnungen und Chef-Betrugsmaschen technisch so mühelos.
Die großen Anbieter haben darauf reagiert. Seit Anfang 2024 verlangen Google und Yahoo von Absendern eine nachweisbare Authentifizierung, Microsoft ist mit vergleichbaren Anforderungen nachgezogen. Für Massenversender gelten die strengsten Regeln, aber auch normale Geschäftspost wird heute anders bewertet als früher: Eine Domain ohne gültige Einträge war vor Jahren unauffällig und ist heute ein Negativmerkmal.
Genau deshalb tritt das Problem oft scheinbar aus dem Nichts auf. Bei Ihnen hat sich nichts geändert – beim Empfänger schon.
Die drei Verfahren in einem Satz
| Eintrag | Beantwortet die Frage | Bildlich |
|---|---|---|
| SPF | Darf dieser Server überhaupt in meinem Namen versenden? | Die Liste der Poststellen, die Briefe mit meinem Absender aufgeben dürfen |
| DKIM | Ist die Mail unterwegs unverändert geblieben und wirklich von mir signiert? | Ein fälschungssicheres Siegel auf dem Kuvert |
| DMARC | Was soll passieren, wenn die Prüfung fehlschlägt – und wer sagt mir Bescheid? | Die Hausordnung samt Meldeweg |
SPF – die Liste der erlaubten Absender
SPF ist ein einzelner TXT-Eintrag auf Ihrer Domain, der auflistet, welche Server Mails mit Ihrer Adresse verschicken dürfen. Er sieht ungefähr so aus:
v=spf1 include:spf.beispiel-anbieter.at include:spf.newsletter-dienst.com -allJedes include steht für einen Dienst, der in Ihrem Namen versenden darf. Das -all am Ende bedeutet: alles andere ist nicht erlaubt. Die mildere Variante ~all („verdächtig, aber durchlassen") ist ein sinnvoller Zwischenschritt, solange Sie noch nicht sicher sind, ob die Liste vollständig ist.
DKIM – das Siegel
Beim Versand hängt Ihr Mailserver eine kryptografische Signatur an jede Nachricht. Der passende öffentliche Schlüssel liegt im DNS, und zwar unter einem sogenannten Selektor: selector1._domainkey.ihre-domain.at. Der Empfänger holt sich den Schlüssel dort ab und prüft damit die Signatur.
DKIM hat einen entscheidenden Vorteil gegenüber SPF: Das Siegel überlebt Weiterleitungen. Genau deshalb sollten immer beide Verfahren eingerichtet sein.
DMARC – die Anweisung an den Empfänger
DMARC liegt unter _dmarc.ihre-domain.at und legt fest, was mit Mails geschehen soll, die die Prüfung nicht bestehen:
v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.atp=none– nur beobachten, nichts blockierenp=quarantine– im Zweifel in den Spam-Ordnerp=reject– im Zweifel gar nicht erst annehmen
Der rua-Eintrag ist der eigentlich wertvolle Teil: An diese Adresse schicken die großen Anbieter täglich Berichte darüber, wer in Ihrem Namen versendet hat und ob die Prüfung geklappt hat. Damit sehen Sie zum ersten Mal, was tatsächlich unter Ihrer Domain unterwegs ist – oft inklusive vergessener Dienste, an die niemand mehr gedacht hat.
Die vier Fehler, die in der Praxis am häufigsten vorkommen
1. Zwei SPF-Einträge – und damit gar keiner
Der mit Abstand häufigste Fehler. Über die Jahre kommt ein Dienst dazu, jemand legt dafür einen zweiten TXT-Eintrag an, und schon stehen zwei SPF-Zeilen auf derselben Domain. Nach RFC 7208 ist das ein PERMERROR: Die Prüfung bricht ab, SPF wirkt gar nicht mehr – auch nicht für den Dienst, der vorher funktioniert hat.
Das Tückische daran: Nichts bricht sofort zusammen. Solange DKIM stimmt, kommt Post weiter an, und der Fehler bleibt monatelang unentdeckt. Richtig ist immer genau ein SPF-Eintrag, in dem alle Dienste als include stehen.
2. Der vergessene Absender – Empfang und Versand verwechselt
Fast jeder Betrieb verschickt Mails über mehrere Wege, ohne das so zu sehen. Das Postfach liegt beim einen Anbieter, die Bestellbestätigungen aus dem Shop gehen über einen Versanddienst, das Rechnungsprogramm verschickt über einen dritten Weg, und der Multifunktionsdrucker schickt Scans über einen vierten.
Der klassische Denkfehler dabei: „Unsere Mail läuft doch komplett über Anbieter X." Gemeint ist damit meist der Empfang – wo die Postfächer liegen, also der MX-Eintrag. Für SPF und DKIM zählt aber ausschließlich der Versand, und das sind fast nie dieselben Systeme.
Ein typisches Beispiel: Die Postfächer liegen bei Microsoft 365, die automatischen Mails aus Shop oder Kundenportal gehen über einen spezialisierten Versanddienst. Beide müssen im SPF-Eintrag stehen. Wer beim Aufräumen Microsoft herausnimmt, weil „ohnehin alles über den Versanddienst läuft", sperrt damit die persönliche Geschäftskorrespondenz aus – die Bestellbestätigungen kommen weiterhin an, die Angebotsmail aus Outlook nicht mehr. Und man merkt es nicht sofort, sondern erst daran, dass Antworten ausbleiben. Umgekehrt gilt dasselbe: Ein Versanddienst, der nicht im Eintrag steht, versendet ab dem Moment auf eigenes Risiko.
Deshalb steht am Anfang jeder Umstellung eine vollständige Liste aller versendenden Systeme – keine Ausnahme.
3. Der falsche DKIM-Selektor
Jeder Dienst benutzt seinen eigenen Selektornamen, und die sind alles andere als einheitlich. Microsoft 365 etwa verwendet selector1 und selector2, andere Dienste hängen eine Ziffer an ihren Firmennamen, wieder andere verwenden eine zufällige Zeichenfolge. Wer mehrere Versandwege hat, hat entsprechend auch mehrere Selektoren nebeneinander im DNS – das ist richtig so und kein Fehler.
Wer den Namen rät und danebenliegt, bekommt bei der Abfrage eine leere Antwort – exakt dasselbe Bild, als wäre DKIM überhaupt nicht eingerichtet. Daraus wird dann geschlossen, es fehle, und man richtet es ein zweites Mal ein. Der Selektorname steht immer in der Einrichtungsanleitung des jeweiligen Dienstes.
4. DMARC zu früh verschärft
Ein p=reject gleich zu Beginn wirkt gründlich und ist der schnellste Weg, echte Post zu verlieren. Jeder Dienst, der noch nicht sauber eingerichtet ist, wird ab diesem Moment hart abgewiesen – und der Absender erfährt davon nichts Brauchbares, während der Empfänger gar nichts bekommt.
Ebenfalls typisch: DMARC verschärfen, obwohl DKIM erst für einen Teil der Versandwege eingerichtet ist. Bei p=none fällt das nicht auf, weil nichts blockiert wird. Beim Umstellen auf quarantine verschwindet dann plötzlich die Post genau jenes Systems, das man übersehen hat.
Ein Plan, der ohne Ausfall funktioniert
- Alle Versandwege auflisten. Postfachanbieter, Newsletter-Tool, Webshop, Rechnungsprogramm, CRM, Kontaktformular der Website, Drucker mit Scan-to-Mail, Monitoring-Systeme. Was nicht auf der Liste steht, fällt später durch.
- DKIM überall aktivieren, bei jedem einzelnen dieser Dienste. Das ist der Teil, der die meiste Arbeit macht – und der, der am meisten bringt.
- SPF zu genau einem Eintrag zusammenführen. Alte Provider entfernen, alle aktiven Dienste aufnehmen. Vorerst mit
~allabschließen. - DMARC mit
p=noneund Report-Adresse setzen. Für die Zustellung ändert sich nichts, aber die Berichte beginnen zu laufen. - Zwei bis vier Wochen die Berichte lesen. Hier tauchen die Systeme auf, die auf der Liste in Schritt 1 gefehlt haben.
- Erst dann verschärfen: SPF auf
-all, DMARC aufquarantine, später aufreject– jeweils mit ein paar Wochen Abstand.
include zählt, und manche verweisen intern weiter. Wer fünf Dienste einträgt, kann die Grenze reißen; das Ergebnis ist wieder ein PERMERROR. Und: Die Einträge gehören zum DNS-Anbieter Ihrer Domain, nicht auf den Webserver. Das sind bei den meisten Betrieben zwei verschiedene Stellen mit zwei verschiedenen Zugängen.
Wie Sie den aktuellen Stand selbst prüfen
Ein erster Blick geht ohne Spezialwerkzeug. Unter Windows in der Eingabeaufforderung:
nslookup -type=TXT ihre-domain.at
nslookup -type=TXT _dmarc.ihre-domain.atDie erste Abfrage zeigt Ihre TXT-Einträge – erscheint dort mehr als eine Zeile mit v=spf1, haben Sie den Fehler Nummer 1 gefunden. Die zweite zeigt, ob DMARC überhaupt existiert. DKIM lässt sich so nur prüfen, wenn Sie den Selektor kennen.
Der praktischste Test ohne jedes Werkzeug: Schicken Sie eine Mail an ein Gmail-Konto, öffnen Sie sie dort und lassen Sie sich die Original-Nachricht anzeigen. Ganz oben steht, ob SPF, DKIM und DMARC bestanden haben – für genau den Versandweg, den Sie gerade benutzt haben. Wiederholen Sie das für jedes System, das in Ihrem Namen versendet.
Häufige Fragen
Kostet das etwas?
Die DNS-Einträge selbst sind kostenlos. DKIM ist bei praktisch allen gängigen Anbietern im Tarif enthalten und muss nur aktiviert werden. Aufwand entsteht durch die Bestandsaufnahme und das Auswerten der Berichte, nicht durch Lizenzen.
Wir verschicken nur ein paar Mails am Tag – betrifft uns das überhaupt?
Ja. Die strengsten Regeln gelten zwar für Massenversender, aber die Bewertung einzelner Nachrichten hat sich für alle verschärft. Für einen Kleinbetrieb ist der Schaden sogar größer: Wenn von zwanzig Mails am Tag drei nicht ankommen, sind das drei verlorene Aufträge, die niemand als Zustellproblem erkennt.
Schützt DMARC davor, dass jemand in unserem Namen Rechnungen fälscht?
Gegen die Fälschung Ihrer exakten Domain: ja, sobald die Richtlinie auf reject steht. Nicht schützen kann es gegen ähnlich aussehende Domains – jemand registriert eine Schreibvariante Ihres Namens und verschickt von dort. Dagegen hilft nur Aufmerksamkeit, nicht das DNS.
Wir wechseln gerade den Hosting- oder Mailanbieter. Wann ist das dran?
Am besten beim Wechsel selbst. Die DNS-Einträge werden dabei ohnehin angefasst, und alte Provider-Reste fliegen genau dann auf. Nachträglich ist es die deutlich mühsamere Reihenfolge.
Was ist mit Subdomains?
Eine DMARC-Richtlinie auf der Hauptdomain gilt standardmäßig auch für Subdomains. Mit dem Parameter sp= lässt sich für Subdomains eine eigene, oft strengere Regel festlegen – sinnvoll, wenn von dort gar nichts versendet werden soll.
Wenn Sie das nicht selbst machen möchten
Die Einträge sind schnell gesetzt – die Arbeit steckt darin, wirklich alle Versandwege zu finden und die Reihenfolge einzuhalten. Wir übernehmen das komplett: Bestandsaufnahme, DKIM bei allen Diensten, ein sauber zusammengeführter SPF-Eintrag, DMARC schrittweise verschärft und die Berichte über die ersten Wochen ausgewertet.
Wer seine Website ohnehin bei uns hat, bekommt das bei der Einrichtung mitgemacht – siehe Webhosting mit persönlichem Support. Für alle anderen ist es ein überschaubarer eigener Auftrag im Rahmen unseres IT-Service für Tulln und Krems.