SPF, DKIM und DMARC erklärt

E-Mail wurde ohne eingebaute Möglichkeit entworfen, den Absender zu überprüfen: Jeder kann eine Nachricht senden, die vorgibt, von Ihrer Domain zu stammen. SPF, DKIM und DMARC sind die drei DNS-Einträge, die diese Lücke schließen. Zusammen lassen sie einen empfangenden Server feststellen, dass eine E-Mail wirklich von Ihnen kommt — und was passieren soll, wenn das nicht stimmt.

Sie sind kein Luxus mehr. Die großen Mailbox-Anbieter gewichten diese Prüfungen stark, und eine Domain ohne korrekte Authentifizierung sieht einen Teil ihrer Mails im Spam-Ordner landen.

SPF DKIM DMARC In welcher Reihenfolge?

Möchten Sie zuerst prüfen, wie SPF, DKIM und DMARC heute bei Ihrer Domain stehen? Unsere kostenlose Prüfung liest die drei Einträge aus und sagt pro Eintrag, was fehlt oder kollidiert.

Prüfen Sie Ihre Domain DMARC-Eintrag zusammenstellen

Was ist SPF?

Sender Policy Framework

SPF ist ein DNS-Eintrag, in dem der Inhaber einer Domain festlegt, welche Server im Namen dieser Domain E-Mails senden dürfen. Der empfangende Server vergleicht die IP-Adresse des Absenders mit dieser Liste.

Vergleichen Sie es mit einer Gästeliste an der Tür: Steht die IP-Adresse des sendenden Servers darauf, darf die Nachricht im Namen Ihrer Domain gesendet werden.
Wo es schiefgeht

Eine Domain darf nur einen einzigen SPF-Eintrag haben. Wer im Laufe der Zeit mehrere Dienste hinzufügt — einen Mailanbieter, eine Newsletter-Plattform, einen Onlineshop — endet manchmal mit zwei Einträgen, und dann schlägt die Prüfung komplett fehl. Alle sendenden Parteien gehören in diesen einen Eintrag.

Eine zweite Falle ist das Limit für die Anzahl der Abfragen, die ein SPF-Eintrag auslösen darf. Stapeln Sie viele Dienste übereinander, wird dieses Limit überschritten und SPF schlägt trotzdem fehl.

Was ist DKIM?

DomainKeys Identified Mail

DKIM ist eine digitale Signatur, die der sendende Server jeder ausgehenden E-Mail hinzufügt und die der Empfänger mit einem öffentlichen Schlüssel aus dem DNS überprüft. Sie beweist, dass die Nachricht unterwegs nicht verändert wurde und wirklich von der Domain stammt.

Wo SPF prüft, wer die Nachricht zustellt, prüft DKIM das Siegel auf dem Umschlag: Stimmt die Signatur, wurde der Inhalt unterwegs nicht verändert.
Wo es schiefgeht

DKIM ist robuster als SPF, weil es nicht an einer IP-Adresse hängt: Eine weitergeleitete Nachricht bleibt gültig, während SPF dabei oft fehlschlägt. Der klassische Fehler ist ein nicht veröffentlichter Schlüssel — der Server signiert zwar, aber der DNS-Eintrag fehlt, sodass niemand die Signatur prüfen kann.

Was ist DMARC?

Domain-based Message Authentication, Reporting and Conformance

DMARC ist ein DNS-Eintrag, der angibt, was ein empfangender Server tun soll, wenn SPF und DKIM fehlschlagen, und wohin Berichte über diese Prüfungen gesendet werden dürfen.

SPF und DKIM stellen fest, ob etwas stimmt. DMARC bestimmt, was dann passiert — und sorgt dafür, dass Sie davon erfahren.
Die Richtlinie
Richtlinie Was der Empfänger tut Wann verwenden
p=none Nichts — die Nachricht wird normal behandelt, aber Sie erhalten Berichte. Zu Beginn, um zu sehen, wer alles im Namen Ihrer Domain sendet.
p=quarantine Verdächtige Nachrichten landen im Spam-Ordner statt im Posteingang. Sobald Sie sicher wissen, dass alle Ihre legitimen Absender bestehen.
p=reject Nachrichten, die fehlschlagen, werden abgelehnt und kommen nirgendwo an. Als Endzustand, wenn monatelang alles fehlerfrei läuft.
Wo es schiefgeht

Sofort auf p=reject setzen. Vergessen Sie einen Absender — die Buchhaltung, die aus einem Programm heraus Rechnungen verschickt, ein alter Onlineshop, der noch Mails sendet — dann kommt diese Mail ab diesem Moment nirgendwo mehr an, ohne Warnung. Beginnen Sie mit p=none, lesen Sie die Berichte und verschärfen Sie erst danach.

In welcher Reihenfolge gehen Sie vor?

Schritt Was Warum in dieser Reihenfolge
1Inventarisieren Sie Ihre AbsenderNotieren Sie jedes System, das im Namen Ihrer Domain Mails sendet: Mailanbieter, Onlineshop, Buchhaltung, CRM, Newsletter-Tool. Was Sie hier übersehen, bricht später.
2Richten Sie SPF korrekt einEin Eintrag, mit allen Absendern darin. Prüfen Sie sofort, dass kein zweiter SPF-Eintrag existiert.
3Veröffentlichen Sie DKIMPro sendendem Dienst ein Schlüssel. Prüfen Sie, dass der öffentliche Schlüssel tatsächlich im DNS steht.
4Starten Sie DMARC mit p=noneSie ändern noch nichts an der Zustellung, erhalten aber Berichte darüber, wer in Ihrem Namen sendet.
5Lesen Sie die BerichteHier entdecken Sie den Absender, den Sie in Schritt 1 vergessen haben — und manchmal, dass jemand Ihre Domain missbraucht.
6Verschärfen Sie auf quarantine, dann rejectErst wenn alle legitimen Absender bestehen. Eile in diesem Schritt kostet Sie Mails.

Wie 2mail das für Sie regelt

Sie verbinden Ihre Domain und 2mail konfiguriert SPF, DKIM und DMARC für die Mails, die über uns verschickt werden. Damit ist die Einrichtung Ihres Versandkanals in Ordnung — die anderen Dienste, die im Namen Ihrer Domain senden, bleiben Ihr eigenes Inventar. Genau dafür sind die DMARC-Berichte aus Schritt 5 da.

2mail ansehen Über Zustellbarkeit Hilfe bei der Einrichtung

Häufige Fragen zu SPF, DKIM und DMARC

SPF (Sender Policy Framework) ist ein DNS-Eintrag, in dem der Inhaber einer Domain festlegt, welche Server im Namen dieser Domain E-Mails senden dürfen. Der empfangende Server vergleicht die sendende IP-Adresse mit dieser Liste. Vergleichbar mit einer Gästeliste am Eingang.
DKIM (DomainKeys Identified Mail) ist eine digitale Signatur, die der sendende Server jeder ausgehenden E-Mail hinzufügt und die der Empfänger mit einem öffentlichen Schlüssel aus dem DNS prüft. Sie belegt, dass die Nachricht unterwegs nicht verändert wurde und tatsächlich von der Domain stammt.
DMARC ist ein DNS-Eintrag, der angibt, was ein empfangender Server tun soll, wenn SPF und DKIM fehlschlagen, und wohin Berichte über diese Prüfungen gesendet werden können. SPF und DKIM stellen fest, ob etwas in Ordnung ist; DMARC bestimmt, was dann passiert.
Ja. SPF und DKIM prüfen jeweils etwas anderes, und DMARC verknüpft damit eine Richtlinie und Berichte. Die großen Postfachanbieter messen diesen Prüfungen großes Gewicht bei: Bei einer Domain ohne korrekte Authentifizierung landet ein Teil der E-Mails im Spam-Ordner.
So ist der Standard konzipiert: Mit zwei SPF-Einträgen schlägt die Prüfung komplett fehl. Wer im Laufe der Zeit mehrere Dienste hinzufügt — einen E-Mail-Anbieter, eine Newsletter-Plattform, einen Onlineshop — landet manchmal bei zwei Einträgen. Alle sendenden Parteien müssen in diesem einen Eintrag stehen.
Mit p=none. Damit ändern Sie noch nichts an der Zustellung, erhalten aber Berichte über alle, die im Namen Ihrer Domain senden. Verschärfen Sie erst auf quarantine und dann auf reject, wenn alle legitimen Absender die Prüfungen bestehen.
Dann kommen die E-Mails jedes Absenders, den Sie vergessen haben, nirgends mehr an, ohne Warnung. Denken Sie an die Buchhaltung, die aus einer Software heraus Rechnungen stellt, oder an einen alten Onlineshop, der noch E-Mails sendet. Beginnen Sie mit p=none, lesen Sie die Berichte und verschärfen Sie danach.
Sie verbinden Ihre Domain, und wir richten SPF, DKIM und DMARC für die E-Mails ein, die über uns hinausgehen. Die anderen Dienste, die im Namen Ihrer Domain senden, bleiben Ihre eigene Inventur — genau dafür sind die DMARC-Berichte da.
Jetzt anrufen
E-Mail senden