SPF, DKIM & DMARC: E-Mail-Authentifizierung einrichten

Zwei Probleme treffen heute auf viele Unternehmensdomains zu – und beide kosten bares Geld:

1. Jeder kann E-Mails unter Ihrem Namen versenden. Solange Sie keine DMARC-Policy auf quarantine oder reject gesetzt haben, haben Empfängerserver keine Handhabe, gefälschte E-Mails in Ihrem Namen abzuweisen. Rechnungsbetrug an Ihren Kunden funktioniert genau so.
2. Ihre legitimen E-Mails landen im Spam. Seit Februar 2024 fordern Google und Yahoo zwingend Authentifizierungsnachweise für Versender; Microsoft zieht nach. Domains ohne korrektes SPF, DKIM und DMARC werden zunehmend gefiltert oder komplett abgewiesen.

Das ist kein reines IT-Thema. Wer Bestellbestätigungen, Rechnungen, Login-Codes oder Marketing-E-Mails versendet, betreibt geschäftskritische Infrastruktur.

Hier erfahren Sie, wie die drei Einträge zusammenwirken und wie Sie diese fehlerfrei einrichten.

SPF: Welche Server in Ihrem Namen senden dürfen

SPF ist ein DNS-TXT-Eintrag, der alle Server auflistet, die zum Mailversand für Ihre Domain berechtigt sind.

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Das bedeutet: SPF Version 1; Server von Google Workspace autorisieren; Mailchimp-Server autorisieren; alles andere als Soft-Fail werten.

Die drei häufigsten SPF-Fehler

1. Mehr als 10 DNS-Lookups: Jeder include, a, mx, ptr, exists und redirect Mechanismus zählt als DNS-Lookup – inklusive verschachtelter Einträge der Anbieter. Das RFC-Limit liegt strikt bei 10. Wird es überschritten, meldet SPF einen permerror. Die Folge: Empfänger stufen Ihre Mails als fehlerhaft ein und weisen sie ab.

Dies geschieht schleichend: Google Workspace plus CRM plus Marketing-Tool plus Ticketsystem überschreiten das Limit schnell.

Lösung: Nicht mehr genutzte Anbieter konsequent entfernen oder IP-Netze direkt angeben (Flattening).

2. Mehrere SPF-Records: Eine Domain darf exakt einen SPF-Eintrag besitzen. Zwei TXT-Records, die mit v=spf1 beginnen, erzeugen einen permerror. Führen Sie alle Absender in einem einzigen Eintrag zusammen.

3. Endung mit +all: Dies autorisiert das gesamte Internet, in Ihrem Namen zu senden – gefährlicher als gar kein SPF.

Nutzen Sie ~all (Soft Fail) während der Bestandsaufnahme und wechseln Sie auf -all (Hard Fail), sobald alle Versender erfasst sind.

DKIM: Der kryptografische Echtheitsnachweis

DKIM signiert ausgehende E-Mails mit einem privaten Schlüssel Ihres Mailproviders. Der passende öffentliche Schlüssel liegt in Ihrem DNS. Empfangende Server prüfen die Signatur und stellen sicher, dass die E-Mail unterwegs nicht manipuliert wurde.

Der Eintrag liegt unter selektor._domainkey.ihredomain.de.

Wichtig: Jeder Dienst, der Mails für Sie versendet (Google Workspace, Newsletter-Tools, Transaktionsmail-Dienste), benötigt seinen eigenen DKIM-Schlüssel.

DMARC: Die verbindliche Durchsetzungsrichtlinie

SPF und DKIM liefern Prüfergebnisse. DMARC bestimmt, was bei einem Fehlschlag geschehen soll – und erzwingt das entscheidende Alignment: Die Domain im sichtbaren From:-Header muss mit der durch SPF oder DKIM validierten Domain übereinstimmen.

v=DMARC1; p=reject; rua=mailto:dmarc@ihredomain.de; pct=100; adkim=s; aspf=s

• p= — Die Richtlinie: none (nur Protokoll), quarantine (Spam-Ordner) oder reject (Abweisung)
• rua= — E-Mail-Adresse für automatisierte XML-Zusammenfassungen
• pct= — Prozentsatz der Mails, auf die die Regel angewendet wird (für schrittweise Einführung)

Die Falle von p=none

Viele Domains verharren dauerhaft auf p=none. Das bedeutet: Es wird nur protokolliert, gefälschte Mails werden trotzdem ungehindert zugestellt.

p=none ist ein wichtiger Startpunkt zur Analyse, bietet aber keinen aktiven Schutz.

Sichere Einführung in 5 Schritten

1. DMARC mit p=none und rua= aktivieren. 2 bis 4 Wochen Berichte sammeln.
2. Berichte auswerten: Unbekannte oder fehlerhafte Absenderquellen identifizieren.
3. Legitime Absender legitimieren: SPF ergänzen oder DKIM einrichten.
4. Auf p=quarantine; pct=10 umstellen. Prozentsatz schrittweise auf 50 und 100 anheben.
5. Auf p=reject scharfschalten. Sobald keine Fehlalarme mehr auftreten.

Was oft vergessen wird

Subdomains schützen: Angreifer weichen oft auf Subdomains wie mail.ihredomain.de aus. Nutzen Sie den Tag sp=reject im Hauptdomain-Eintrag, um alle Subdomains pauschal abzusichern.

Inaktive und geparkte Domains: Auch Domains, die keine E-Mails versenden, sollten defensiv mit v=spf1 -all und v=DMARC1; p=reject; geschützt werden.

Eigene Konfiguration prüfen

Prüfen Sie Ihre DNS-Einträge jederzeit mit unserem kostenlosen E-Mail-Zustellbarkeits-Checker. Das Tool analysiert SPF, DKIM, DMARC und MX live direkt aus Ihrem Browser.

Alternativ über die Konsole:

dig +short TXT ihredomain.de          # SPF-Eintrag
dig +short TXT _dmarc.ihredomain.de   # DMARC-Richtlinie
dig +short MX ihredomain.de           # Mailserver