SPF, DKIM und DMARC einrichten: So landen Mails nicht im Spam

Damit Ihre Mails nicht im Spam landen, richten Sie drei DNS-Einträge ein: SPF nennt die Server, die für Ihre Domain senden dürfen, DKIM versieht jede Mail mit einer prüfbaren Signatur und DMARC sagt empfangenden Servern, wie sie mit Mails umgehen sollen, die diese Prüfungen nicht bestehen. Die sinnvolle Reihenfolge ist: alle Versanddienste erfassen, SPF und DKIM einrichten, DMARC mit Berichten starten und dann schrittweise verschärfen. Wo diese Einträge im Zusammenspiel von Domain und Hosting liegen, zeigt der Bereich Domain und Webhosting.

Wie die drei Verfahren zusammenspielen

Verfahren	Prüft	DNS-Eintrag	Schwachstelle allein
SPF	Darf dieser Server für die Domain senden?	TXT an der Domain	Bezieht sich nicht auf die sichtbare Absenderadresse, bricht bei Weiterleitungen
DKIM	Ist die Mail unverändert und von der Domain signiert?	TXT unter selektor._domainkey	Sagt nicht, was bei fehlender Signatur passieren soll
DMARC	Passt SPF oder DKIM zur sichtbaren Absenderdomain, und was passiert sonst?	TXT unter _dmarc	Wirkt nur, wenn SPF oder DKIM korrekt eingerichtet sind

Der Schlüsselbegriff bei DMARC ist Ausrichtung (Alignment): Eine Mail besteht DMARC, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur Absenderadresse passt, die Empfänger im Mailprogramm sehen. Eine korrekte Signatur eines Newsletter-Dienstes mit dessen eigener Domain reicht also nicht. Sie muss auf Ihre Domain lauten.

Schritt 1: Alle Versanddienste erfassen

Bevor Sie einen Eintrag setzen, sammeln Sie alle Systeme, die Mails mit Ihrer Domain als Absender verschicken. Häufig sind das mehr, als man denkt:

• Postfächer beim Mail-Anbieter oder Webhoster
• Kontaktformulare und Shop-Benachrichtigungen der Website
• Newsletter-Dienst
• Buchhaltungs- oder Rechnungssoftware
• Ticketsystem, CRM oder Terminbuchung
• Geräte wie Multifunktionsdrucker, die Scans per Mail verschicken

Jeder dieser Dienste muss später in SPF stehen oder mit DKIM für Ihre Domain signieren.

Schritt 2: SPF einrichten

Der SPF-Eintrag ist ein TXT-Record an der Domain selbst:

@  TXT  "v=spf1 include:_spf.mailanbieter.example include:spf.newsletter.example -all"

Die wichtigsten Bausteine:

Mechanismus	Bedeutung
v=spf1	Kennzeichnet den Eintrag als SPF, steht immer am Anfang
include:	Übernimmt die erlaubten Server eines anderen Dienstes
ip4: / ip6:	Erlaubt eine bestimmte IP-Adresse oder einen Bereich
a / mx	Erlaubt die Server aus A- oder MX-Record der Domain
-all	Alle übrigen Server sind nicht berechtigt
~all	Alle übrigen Server sind vermutlich nicht berechtigt (weicher)

Zwei Regeln sind entscheidend:

1. Nur ein SPF-Eintrag pro Domain. Mehrere Dienste werden in einem Eintrag zusammengeführt, nicht in getrennten Einträgen.
2. Höchstens zehn DNS-Abfragen. Mechanismen wie include, a und mx lösen Abfragen aus, auch verschachtelt. Wird das Limit überschritten, schlägt SPF fehl. Entfernen Sie Dienste, die Sie nicht mehr nutzen.

Schritt 3: DKIM einrichten

Bei DKIM erzeugt der Versanddienst ein Schlüsselpaar. Der private Schlüssel bleibt beim Dienst und signiert jede ausgehende Mail, den öffentlichen Schlüssel veröffentlichen Sie im DNS. Der Dienst nennt Ihnen dafür einen Namen mit Selektor und den Wert:

mail2026._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Manche Dienste geben stattdessen CNAME-Einträge vor, die auf ihre eigenen Schlüssel zeigen. Das hat den Vorteil, dass der Dienst Schlüssel wechseln kann, ohne dass Sie etwas ändern müssen.

Worauf Sie achten sollten:

• Für jeden Versanddienst einzeln aktivieren, jeder bekommt einen eigenen Selektor.
• Schlüssellänge: Verwenden Sie, wo möglich, 2048 Bit. Kürzere Schlüssel gelten als nicht mehr zeitgemäß.
• Lange Werte: Ein 2048-Bit-Schlüssel ist länger als die 255 Zeichen, die ein einzelner Textabschnitt im DNS erlaubt. Gute DNS-Oberflächen teilen ihn automatisch auf; bei manchen müssen Sie ihn selbst in Abschnitte trennen.
• Aktivierung nicht vergessen: Viele Dienste signieren erst, nachdem Sie den DNS-Eintrag gesetzt und DKIM im Dienst eingeschaltet haben.

Schritt 4: DMARC mit Berichten starten

Der DMARC-Eintrag liegt unter _dmarc:

_dmarc  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihre-domain.de"

Tag	Bedeutung
p=	Richtlinie: none (nur beobachten), quarantine (Spam-Ordner), reject (ablehnen)
rua=	Adresse für tägliche Sammelberichte
sp=	Abweichende Richtlinie für Subdomains
pct=	Anteil der Mails, auf den die Richtlinie angewendet wird
adkim= / aspf=	Strenge der Ausrichtung, r (locker, Standard) oder s (streng)

Mit p=none ändert sich an der Zustellung zunächst nichts. Sie erhalten aber Berichte von großen Empfangsservern, aus denen hervorgeht, welche Server in Ihrem Namen senden und ob SPF und DKIM passen. Die Berichte sind XML-Dateien; ein Auswertungsdienst oder ein Analyseprogramm macht sie lesbar. Beachten Sie, dass die Berichte IP-Adressen und Absenderdaten enthalten und Sie den Auswertungsdienst datenschutzrechtlich einbinden müssen.

Schritt 5: DMARC schrittweise verschärfen

1. Beobachten: Mit p=none alle legitimen Quellen identifizieren und korrigieren.
2. Quarantäne: Auf p=quarantine wechseln, gegebenenfalls zunächst mit pct= nur für einen Teil der Mails.
3. Ablehnen: Wenn die Berichte über einige Zeit sauber sind, auf p=reject umstellen.

Neue Versanddienste, die später hinzukommen, müssen vor dem ersten Versand in SPF und DKIM eingebunden werden. Sonst werden ihre Mails bei strenger Richtlinie abgelehnt.

Prüfen, ob alles funktioniert

• Schicken Sie eine Testmail an ein Postfach bei einem großen Anbieter und sehen Sie sich die vollständigen Kopfzeilen an. Dort stehen die Ergebnisse als spf=pass, dkim=pass und dmarc=pass.
• Fragen Sie die Einträge direkt ab: dig ihre-domain.de TXT +short und dig _dmarc.ihre-domain.de TXT +short.
• Nutzen Sie ein webbasiertes Prüfwerkzeug, das SPF-Syntax, Anzahl der Abfragen und DKIM-Schlüssel kontrolliert.

Wie TXT-Records aufgebaut sind und wo Sie sie setzen, erklärt der Ratgeber zu den DNS-Einträgen.

Typische Fehler

Fehler	Folge	Lösung
Zwei SPF-Einträge	SPF schlägt komplett fehl	Zu einem Eintrag zusammenführen
Mehr als zehn DNS-Abfragen	SPF-Fehler	Nicht genutzte include entfernen
DKIM nur im DNS, nicht im Dienst aktiviert	Mails unsigniert	DKIM im Versanddienst einschalten
Kontaktformular sendet mit Besucheradresse als Absender	DMARC-Fehler	Eigene Adresse als Absender, Besucheradresse als Antwortadresse
Sofort p=reject gesetzt	Legitime Mails werden abgelehnt	Mit p=none beginnen
Newsletter-Dienst signiert mit eigener Domain	DMARC-Ausrichtung fehlt	Eigene Domain im Dienst authentifizieren

Subdomains und Weiterleitungen

Zwei Sonderfälle sorgen bei der Einrichtung regelmäßig für Fragen:

Subdomains: Eine DMARC-Richtlinie an der Hauptdomain gilt auch für Subdomains, sofern diese keinen eigenen DMARC-Eintrag haben. Mit dem Tag sp= können Sie für Subdomains eine abweichende Richtlinie festlegen. Manche Unternehmen versenden Newsletter bewusst über eine eigene Subdomain wie news.ihre-domain.de, damit eine schlechte Reputation des Massenversands nicht auf die Hauptdomain abfärbt. SPF gilt dagegen immer nur für genau den Namen, an dem der Eintrag steht. Jede versendende Subdomain braucht ihren eigenen SPF-Eintrag.

Weiterleitungen: Wird eine Mail von einem Postfach automatisch an ein anderes weitergeleitet, versendet der weiterleitende Server sie neu. SPF schlägt dann meist fehl, weil dieser Server nicht im SPF-Eintrag des ursprünglichen Absenders steht. DKIM bleibt dagegen in der Regel gültig, solange die Mail unterwegs nicht verändert wird. Das ist einer der Gründe, warum DKIM für eine verlässliche DMARC-Prüfung so wichtig ist. Einige Weiterleitungsdienste nutzen zusätzlich Verfahren wie ARC, um die ursprünglichen Prüfergebnisse weiterzugeben.

Warum das inzwischen Pflicht ist

Große Postfachanbieter haben ihre Anforderungen in den vergangenen Jahren deutlich verschärft. Wer in größerem Umfang an ihre Nutzer sendet, muss SPF, DKIM und DMARC nachweisen; für alle Absender gilt mindestens eine gültige Authentifizierung. Auch wer nur wenige Mails verschickt, profitiert: Gefälschte Mails mit Ihrer Domain werden erschwert, und Ihre eigenen Nachrichten erreichen zuverlässiger den Posteingang. Für Unternehmen gehört die Einrichtung deshalb zur Grundausstattung, wie im Bereich Webhosting für Unternehmen beschrieben. Welche Mail-Optionen es überhaupt gibt, zeigt der Ratgeber E-Mail mit eigener Domain.

Fazit

SPF, DKIM und DMARC sind schnell eingerichtet, wenn Sie Ihre Versanddienste kennen. Der Aufwand liegt in der Bestandsaufnahme und der Geduld bei DMARC: erst beobachten, dann schrittweise verschärfen. Wer so vorgeht, verbessert die Zustellbarkeit und schützt die eigene Domain vor Missbrauch.