SPF, DKIM und DMARC: So kommen geschäftliche E-Mails zuverlässig an

Geschäftliche E-Mails, die im Spam-Ordner landen, kosten Aufträge und Vertrauen. Häufig liegt das nicht am Inhalt, sondern an fehlenden oder fehlerhaften DNS-Einträgen. Drei Verfahren entscheiden maßgeblich darüber, ob E-Mails Ihrer Domain zuverlässig ankommen: SPF, DKIM und DMARC. Große E-Mail-Anbieter verlangen seit 2024 zunehmend eine korrekte Authentifizierung.

SPF: Wer darf für Ihre Domain senden?

Das Sender Policy Framework (SPF) ist ein TXT-Eintrag im DNS Ihrer Domain. Er legt fest, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Empfangende Server vergleichen den tatsächlichen Absender mit dieser Liste.

example.com.  TXT  "v=spf1 include:_spf.mailprovider.example ~all"

Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben, und bei der Auswertung sind höchstens zehn DNS-Abfragen erlaubt. Werden zu viele Dienste eingebunden, wird der Eintrag ungültig.

DKIM: die digitale Signatur

Bei DomainKeys Identified Mail (DKIM) signiert der versendende Server jede E-Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem sogenannten Selektor. Der Empfänger prüft die Signatur und erkennt so, ob die Nachricht unterwegs verändert wurde und tatsächlich von Ihrer Domain stammt.

selektor1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBg…"

DKIM muss in der Regel beim E-Mail-Anbieter aktiviert werden, der auch den öffentlichen Schlüssel bereitstellt.

DMARC: die Richtlinie

DMARC verbindet SPF und DKIM und legt fest, wie Empfänger mit E-Mails umgehen sollen, die die Prüfungen nicht bestehen. Zusätzlich können Sie Berichte anfordern, die zeigen, wer in Ihrem Namen E-Mails verschickt.

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.com"

• p=none – nur beobachten, keine Auswirkung auf die Zustellung
• p=quarantine – verdächtige E-Mails in den Spam-Ordner
• p=reject – verdächtige E-Mails ablehnen

Schrittweise einführen

1. SPF und DKIM für alle legitimen Absender einrichten.
2. DMARC mit p=none starten und die Berichte auswerten.
3. Fehlende Absender ergänzen – etwa Newsletter-Dienste, CRM oder Website-Formulare.
4. Die Richtlinie schrittweise auf quarantine und schließlich reject verschärfen.

Häufige Fehler

• mehrere SPF-Einträge für dieselbe Domain
• vergessene Absender: Newsletter, Ticketsystem, Buchhaltungssoftware oder das Kontaktformular der Website
• zu viele DNS-Abfragen im SPF-Eintrag
• DKIM beim Anbieter nicht aktiviert
• DMARC direkt mit reject eingeführt, ohne vorher Berichte auszuwerten

Und das Kontaktformular der Website?

Website-Formulare verschicken E-Mails oft über die Standard-Mailfunktion des Webservers. Diese Nachrichten scheitern häufig an SPF und DMARC, weil der Webserver nicht als Absender hinterlegt ist. Zuverlässiger ist der Versand per SMTP über ein authentifiziertes Postfach der eigenen Domain – so, wie es auch auf dieser Website umgesetzt ist.

Fazit

SPF, DKIM und DMARC sind wenige DNS-Einträge mit großer Wirkung: Ihre E-Mails kommen zuverlässiger an, und Dritte können Ihre Domain schwerer missbrauchen. Wer sie schrittweise einführt und die DMARC-Berichte auswertet, behält dabei die Kontrolle.