Kontakt Analyse starten

SPF, DKIM und DMARC einfach erklärt

SPF legt fest, welche Server für Ihre Domain senden dürfen, DKIM signiert jede E-Mail digital. DMARC verknüpft beide Prüfungen, regelt den Umgang mit Fälschungen und liefert Ihnen Berichte.

Kurzantwort: SPF legt fest, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. DKIM versieht jede E-Mail mit einer digitalen Signatur. DMARC verknüpft beide Prüfungen, sagt dem empfangenden Server, was mit gefälschten E-Mails geschehen soll, und schickt Ihnen Berichte.

Alle drei Verfahren sind Einträge im DNS Ihrer Domain. Das DNS (Domain Name System) ist eine Art Telefonbuch des Internets. Google, Yahoo und Microsoft verlangen diese Einträge inzwischen ausdrücklich von Massenversendern.

Warum E-Mails eine Absenderprüfung brauchen

Das E-Mail-Protokoll prüft von sich aus nicht, ob der angezeigte Absender stimmt. Jeder kann in das Feld „Von“ eine fremde Adresse eintragen. Das nennt man Spoofing. Betrüger nutzen es etwa für gefälschte Rechnungen.

SPF, DKIM und DMARC schließen diese Lücke. Sie helfen dem Empfänger, echte E-Mails von Fälschungen zu unterscheiden.

SPF DKIM DMARC im Überblick

Verfahren Welche Frage es beantwortet Wo der Eintrag steht
SPF Darf dieser Server für die Domain senden? TXT-Eintrag direkt auf der Domain
DKIM Ist die E-Mail von der Domain signiert und unverändert? TXT- oder CNAME-Eintrag unter selektor._domainkey
DMARC Passt das Ergebnis zum sichtbaren Absender, und was passiert sonst? TXT-Eintrag unter _dmarc

SPF: Wer darf für Ihre Domain senden?

SPF steht für Sender Policy Framework. Mit einem SPF-Eintrag veröffentlichen Sie eine Liste der Server, die E-Mails für Ihre Domain verschicken dürfen. Der empfangende Server vergleicht die Herkunft der E-Mail mit dieser Liste.

Ein Beispiel für eine Domain, die über den eigenen Mailserver und Microsoft 365 sendet:

example.de. TXT "v=spf1 mx include:spf.protection.outlook.com -all"

  • v=spf1 kennzeichnet den Eintrag als SPF.
  • mx erlaubt die Mailserver aus dem MX-Eintrag der Domain.
  • include: übernimmt die Liste eines Dienstleisters, hier Microsoft.
  • -all heißt: Alle anderen Server sind nicht erlaubt. Die weichere Variante ~all markiert sie nur als verdächtig.

SPF hat eine Schwäche. Es prüft die technische Absenderadresse im Hintergrund, nicht die Adresse, die Ihre Empfänger sehen. Bei Weiterleitungen schlägt SPF zudem oft fehl. Deshalb braucht es zusätzlich DKIM und DMARC.

DKIM: Die digitale Signatur

DKIM steht für DomainKeys Identified Mail. Ihr Mailserver unterschreibt jede ausgehende E-Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS. Der Empfänger prüft damit, ob die E-Mail von Ihrer Domain stammt und unterwegs nicht verändert wurde.

Der Eintrag liegt unter einem Selektor. Das ist ein frei gewählter Name, damit eine Domain mehrere Schlüssel nutzen kann:

s1._domainkey.example.de. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

Der Wert hinter p= ist der öffentliche Schlüssel, hier gekürzt. Manche Anbieter, zum Beispiel Microsoft 365, geben statt eines TXT-Eintrags CNAME-Einträge vor, die auf ihre Schlüssel verweisen. Google verlangt für Gmail eine Schlüssellänge von mindestens 1.024 Bit und empfiehlt 2.048 Bit.

DMARC: Die Regel und der Bericht

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. DMARC prüft, ob SPF oder DKIM bestanden wurde und ob die geprüfte Domain zum sichtbaren Absender passt. Diese Übereinstimmung heißt Ausrichtung (englisch Alignment). Erst dadurch ist die Adresse geschützt, die Ihre Empfänger tatsächlich sehen.

_dmarc.example.de. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.de"

Mit p= legen Sie fest, was mit E-Mails geschieht, die die Prüfung nicht bestehen. Unter rua= nennen Sie eine Adresse, an die empfangende Server Sammelberichte schicken.

Richtlinie Bedeutung Wann sinnvoll
p=none Nur beobachten, keine Auswirkung auf die Zustellung Einstieg und Bestandsaufnahme
p=quarantine Nicht bestandene E-Mails landen im Spam-Ordner Wenn alle echten Absender sauber bestehen
p=reject Nicht bestandene E-Mails werden abgewiesen Ziel für vollen Schutz vor Spoofing

Wie die drei zusammenspielen

  1. Eine E-Mail mit dem Absender @example.de kommt beim Empfänger an.
  2. Der Server prüft SPF: Ist der sendende Server erlaubt?
  3. Er prüft DKIM: Ist die Signatur gültig?
  4. Er prüft DMARC: Hat SPF oder DKIM bestanden, und zwar für dieselbe Domain wie im Feld „Von“?
  5. Fällt DMARC durch, wendet der Server Ihre Richtlinie an und vermerkt das Ergebnis im Bericht an Sie.

Für DMARC genügt es, wenn eines der beiden Verfahren ausgerichtet besteht. Robuster ist es, wenn beide funktionieren.

Was Google, Yahoo und Microsoft verlangen

Google hat zum 1. Februar 2024 neue Regeln für Absender an Gmail-Konten eingeführt. Yahoo setzt vergleichbare Anforderungen seit Februar 2024 schrittweise durch. Microsoft folgte für seine Verbraucherpostfächer zum 5. Mai 2025. Die strengeren Regeln gelten jeweils für Massenversender.

Anbieter Seit Für wen Anforderungen
Google (Gmail) 1. Februar 2024 Absender von mehr als 5.000 Nachrichten pro Tag an Gmail-Konten SPF und DKIM, DMARC mindestens p=none, Ausrichtung mit SPF oder DKIM, Abmeldung mit einem Klick bei Werbe-E-Mails, Spamrate unter 0,3 %
Yahoo Februar 2024 Massenversender (Bulk Sender) SPF und DKIM, DMARC mindestens p=none mit Ausrichtung, Abmeldung mit einem Klick, Abmeldungen innerhalb von 2 Tagen umsetzen, Spamrate unter 0,3 %
Microsoft (Outlook.com, Hotmail.com, Live.com) 5. Mai 2025 Absender von mehr als 5.000 E-Mails pro Tag SPF und DKIM bestehen, DMARC mindestens p=none, Ausrichtung mit SPF oder DKIM

Für alle übrigen Absender verlangen Google und Yahoo mindestens SPF oder DKIM. Microsoft weist nicht konforme E-Mails von Massenversendern mit dem Fehler „550 5.7.515“ ab. Ursprünglich hatte Microsoft zunächst eine Einsortierung in den Junk-Ordner angekündigt.

Was ohne diese Einträge passiert

  • Spam-Ordner oder Ablehnung: Erfüllen Ihre E-Mails die Anforderungen nicht, können Gmail, Yahoo und Outlook.com sie aussortieren oder abweisen.
  • Spoofing: Ohne DMARC mit quarantine oder reject können Betrüger E-Mails mit Ihrer Domain im Feld „Von“ verschicken.
  • Keine Übersicht: Ohne DMARC-Berichte wissen Sie nicht, wer in Ihrem Namen sendet.

Schritt für Schritt: So richten Sie SPF, DKIM und DMARC ein

  1. Absender erfassen. Listen Sie alle Systeme auf, die mit Ihrer Domain E-Mails senden: Mailprogramm, Newsletter-Tool, Shop, CRM, Ticketsystem, Bewerbermanagement, Kopierer mit Scan-to-Mail.
  2. SPF anlegen. Erstellen Sie genau einen SPF-Eintrag mit allen erlaubten Absendern. Die include-Angaben nennt der jeweilige Anbieter.
  3. DKIM aktivieren. Schalten Sie DKIM in jedem Dienst ein, der in Ihrem Namen sendet. Der Anbieter zeigt die DNS-Einträge an. Erst wenn diese gesetzt sind, aktivieren Sie die Signatur im Dienst.
  4. DMARC mit p=none starten. So beobachten Sie zunächst, ohne die Zustellung zu gefährden. Tragen Sie eine Adresse für die Berichte ein.
  5. Berichte auswerten. Die Berichte kommen als XML-Dateien. Prüfen Sie über mehrere Wochen, welche Quellen durchfallen, und beheben Sie die Ursachen.
  6. Richtlinie verschärfen. Bestehen alle echten Absender sauber, wechseln Sie auf p=quarantine. Läuft das ohne Probleme, folgt p=reject.

Typische Fehler

Mehr als 10 DNS-Abfragen bei SPF

Laut SPF-Standard RFC 7208 darf eine Prüfung höchstens 10 DNS-Abfragen auslösen. Jedes include, a, mx, ptr, exists und redirect zählt, auch innerhalb eingebundener Listen. Wird die Grenze überschritten, ist SPF fehlerhaft (permerror). Angaben mit ip4 und ip6 zählen nicht.

Mehrere SPF-Einträge

Eine Domain darf nur einen SPF-Eintrag haben. Gibt es zwei, ist das Ergebnis laut Standard ebenfalls ein Fehler. Neue Dienste ergänzen Sie deshalb im bestehenden Eintrag, statt einen zweiten anzulegen.

Weitere Stolperfallen

  • DKIM steht im DNS, ist im Dienst aber nicht eingeschaltet.
  • Ein Dienstleister sendet mit eigener Domain, dadurch fehlt die Ausrichtung.
  • DMARC wird auf reject gestellt, bevor alle Absender erfasst sind.
  • DMARC bleibt dauerhaft auf p=none. Das erfüllt die Mindestanforderung, schützt aber nicht vor Spoofing.

Unterstützung durch Vektorbit

Wir erfassen Ihre Absender, richten SPF, DKIM und DMARC ein und werten die Berichte mit Ihnen aus. Das ist Teil unserer IT-Betreuung. Außerdem planen wir einen E-Mail-Check, der die Einträge Ihrer Domain auf einen Blick prüft.

Häufige Fragen

Brauche ich SPF, DKIM und DMARC, wenn ich nur wenige E-Mails verschicke?

Ja. Google und Yahoo verlangen von allen Absendern mindestens SPF oder DKIM. DMARC schützt Ihre Domain zusätzlich vor Missbrauch, unabhängig davon, wie viele E-Mails Sie senden.

Was ist der Unterschied zwischen ~all und -all?

Mit -all sagen Sie: Nicht gelistete Server sind verboten. Mit ~all gelten sie nur als verdächtig. Wenn DMARC aktiv ist, entscheidet am Ende Ihre DMARC-Richtlinie über den Umgang.

Kann DMARC meine Zustellung verschlechtern?

Mit p=none nicht, denn die Richtlinie beobachtet nur. Bei quarantine oder reject trifft es auch echte E-Mails, wenn ein Absender falsch eingerichtet ist. Deshalb erhöhen Sie die Stufe erst nach Auswertung der Berichte.

Wo trage ich die Einträge ein?

In der DNS-Verwaltung Ihrer Domain, meist beim Hoster oder Domainanbieter. Die Werte für SPF und DKIM liefert Ihr Maildienst.

Quellen

Wir setzen das um

Sie wollen das nicht selbst machen? Unsere Crew übernimmt es, mit festem Ansprechpartner.

Flugplan erstellen

Weiterlesen