SPF, DKIM und DMARC einfach erklärt

Im Feld „Von“ einer E-Mail kann alles stehen. Das E-Mail-Protokoll stammt aus einer Zeit, in der niemand an gefälschte Absender dachte, und prüft von sich aus nichts. Genau deshalb gibt es SPF, DKIM und DMARC: drei Einträge im DNS deiner Domain, mit denen empfangende Server erkennen, ob eine Mail wirklich von dir kommt. Fehlen sie, landen deine Mails im Spam – oder jemand anderes verschickt Mails in deinem Namen.

SPF: Wer darf für deine Domain senden?

SPF (Sender Policy Framework) ist eine Liste der Server, die Mails für deine Domain verschicken dürfen. Sie steht als TXT-Eintrag im DNS, zum Beispiel:

example.com.  TXT  "v=spf1 include:_spf.google.com include:mailgun.org ~all"

Der empfangende Server schaut sich an, von welchem Server die Mail kam, und vergleicht ihn mit dieser Liste. include: übernimmt die Liste eines Anbieters, etwa deines Mail-Hosters oder Newsletter-Tools. Das Ende legt fest, was mit allen anderen passiert: ~all heißt „verdächtig“, -all heißt „ablehnen“.

Wichtig zu wissen:

• Pro Domain gibt es genau einen SPF-Eintrag. Zwei Einträge gelten als Fehler, auch wenn beide für sich richtig sind.
• SPF prüft nicht das sichtbare „Von“, sondern die Absenderadresse im Umschlag der Mail (den „Return-Path“). Den sieht man im Mailprogramm normalerweise nicht.
• Höchstens zehn DNS-Abfragen: Jedes include: zählt, auch verschachtelte. Wer viele Dienste einbindet, stößt schnell an diese Grenze.
• +all erlaubt jedem Server alles und macht SPF wertlos.

DKIM: eine Unterschrift, die nicht verloren geht

DKIM (DomainKeys Identified Mail) unterschreibt jede ausgehende Mail digital. Der sendende Server bildet aus Teilen des Headers und des Inhalts eine Signatur und schreibt sie in die Kopfzeile DKIM-Signature. Den passenden öffentlichen Schlüssel veröffentlichst du im DNS, unter einem frei wählbaren Namen (dem „Selector“):

s1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Der empfangende Server holt sich den Schlüssel und prüft, ob die Signatur passt. Stimmt sie, ist sicher, dass die Mail unterwegs nicht verändert wurde und von einem Server stammt, der den privaten Schlüssel der Domain kennt.

Ein Vorteil gegenüber SPF: Die Unterschrift reist mit der Mail. Leitet jemand deine Mail weiter, bleibt sie gültig, solange der Inhalt unverändert bleibt.

DMARC: die Regel, die alles zusammenbindet

SPF und DKIM haben eine Lücke: Sie prüfen Domains, die der Empfänger gar nicht sieht. Eine Betrugsmail kann SPF für betrueger.example bestehen und trotzdem Von: bank.example anzeigen.

DMARC schließt diese Lücke. Es verlangt, dass mindestens eine der beiden Prüfungen besteht und zur Domain im sichtbaren „Von“ passt. Das nennt man Alignment. Außerdem legt DMARC fest, was mit Mails passiert, die durchfallen:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

• p=none: nur beobachten, nichts blockieren.
• p=quarantine: verdächtige Mails in den Spam verschieben.
• p=reject: verdächtige Mails ablehnen.
• rua=: Adresse für tägliche Berichte, welche Server in deinem Namen Mails verschicken.

Fang mit p=none an und lies die Berichte ein paar Wochen lang. So findest du Dienste, die du in SPF oder DKIM vergessen hast, bevor du auf quarantine oder reject umstellst.

Warum das jetzt Pflicht ist

Seit Februar 2024 verlangen Gmail und Yahoo von Absendern, die viele Mails verschicken (bei Gmail mehr als 5.000 am Tag), SPF und DKIM, einen DMARC-Eintrag mit mindestens p=none, eine Abmeldung mit einem Klick und eine niedrige Spam-Beschwerderate. Microsoft hat für Outlook.com 2025 ähnliche Regeln eingeführt.

Auch wer weniger verschickt, profitiert: Mails mit bestandenem SPF, DKIM und DMARC landen deutlich seltener im Spam, und Fremde können deine Domain nicht mehr so leicht für Phishing missbrauchen.

So prüfst du deine Mails

Am einfachsten schickst du eine echte Mail an eine Testadresse und schaust nach, was der empfangende Server notiert hat. Er schreibt das Ergebnis in die Kopfzeile Authentication-Results, etwa:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example.com;
  dkim=pass header.d=example.com;
  dmarc=pass header.from=example.com

Der TossPost Mail-Tester nimmt dir diese Arbeit ab: Du bekommst eine Testadresse, schickst deinen Newsletter oder deine Registrierungsmail dorthin und erhältst einen Bericht mit Note von 0 bis 10. Er zeigt, ob SPF, DKIM und DMARC bestehen, ob sie zur Absender-Domain passen und ob die DNS-Einträge deiner Domain vollständig sind.

Häufige Fehler

• Ein vergessener Dienst: Das Newsletter-Tool oder das Ticketsystem verschickt Mails, steht aber nicht in SPF und signiert nicht mit DKIM.
• Zwei SPF-Einträge, weil ein neuer Dienst seinen eigenen Eintrag verlangt hat. Füge die include: in einem einzigen Eintrag zusammen.
• Zu viele DNS-Abfragen in SPF durch verschachtelte include:.
• DKIM eingerichtet, Schlüssel nicht veröffentlicht: Der Anbieter signiert, aber der Eintrag unter selector._domainkey fehlt.
• DMARC zu früh auf reject: Legitime Mails werden abgelehnt, weil ein Dienst noch nicht passt.

Kurz gesagt

SPF sagt, welche Server senden dürfen. DKIM unterschreibt jede Mail. DMARC verlangt, dass beides zum sichtbaren Absender passt, und legt fest, was sonst passiert. Mit allen dreien kommen deine Mails an, und deine Domain ist vor Missbrauch geschützt.

Teste jetzt, ob deine Mails bestehen