SPF, DKIM und DMARC einfach erklärt für Unternehmer

SPF, DKIM und DMARC sind 3 DNS-Einträge, die dem Rest des Internets mitteilen, welche Server E-Mails für Ihre Domain versenden dürfen und was mit Nachrichten geschehen soll, die diese Prüfungen nicht bestehen. SPF listet die erlaubten Absender auf, DKIM versieht jede Nachricht mit einer kryptografischen Signatur, und DMARC verknüpft beides mit der Adresse, die Empfänger tatsächlich in der From-Zeile sehen, und legt eine Richtlinie für Fehlschläge fest.

Ohne diese Einträge kann jeder eine Nachricht mit From: billing@yourcompany.com versenden, und viele Postfachanbieter haben wenig Grund, daran zu zweifeln. Sind sie korrekt eingerichtet, besteht eine gefälschte Nachricht die Authentifizierung nicht und kann abgelehnt oder in den Spam verschoben werden, bevor Ihr Kunde sie liest.

Die gute Nachricht: Alle 3 sind DNS-Einträge, die jeder abfragen kann. Mit den Befehlen unten prüfen Sie Ihre in wenigen Minuten.

SPF: Wer für Ihre Domain senden darf

SPF (Sender Policy Framework, RFC 7208) ist ein TXT-Eintrag Ihrer Domain, der die Server und Dienste auflistet, die E-Mails für sie versenden dürfen. Ein typischer Eintrag sieht so aus:

example.com.  TXT  "v=spf1 include:_spf.google.com include:sendgrid.net ~all"

Am wichtigsten ist das Ende:

• -all (fail): Alles, was nicht aufgeführt ist, ist nicht autorisiert.
• ~all (softfail): Alles, was nicht aufgeführt ist, ist verdächtig.
• ?all (neutral): Der Eintrag äußert keine Meinung, was Empfängern fast nichts in die Hand gibt.
• +all: Jeder Server im Internet darf in Ihrem Namen senden. Das ist nie richtig.

SPF hat außerdem eine harte Grenze: Ein Empfänger darf bei der Auswertung Ihres Eintrags höchstens 10 DNS-Lookups für Mechanismen wie include, a, mx und redirect durchführen (RFC 7208, Abschnitt 4.6.4). Jedes neue Marketingtool fügt ein include hinzu, und sobald die Zahl 10 übersteigt, liefert SPF einen Fehler statt eines Bestehens.

DKIM: eine Signatur auf jeder Nachricht

Bei DKIM (DomainKeys Identified Mail, RFC 6376) signiert der sendende Server jede Nachricht mit einem privaten Schlüssel. Der passende öffentliche Schlüssel liegt im DNS unter einem Selektornamen, sodass Empfänger bestätigen können, dass die Nachricht nicht verändert und von jemandem signiert wurde, der Ihren Schlüssel besitzt.

Jeder Dienst, der für Sie sendet (Ihr Postfachanbieter, Ihr CRM, Ihr Rechnungstool), sollte mit einem eigenen Selektor signieren. Der DNS-Eintrag sieht so aus:

selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

DKIM scheitert lautlos. E-Mails gehen weiterhin unsigniert hinaus, und niemand bemerkt es, bis Nachrichten im Spam landen oder ein Anbieter seine Regeln verschärft.

DMARC: die Richtlinie, die alles verbindet

DMARC ist inzwischen in RFC 9989 definiert, veröffentlicht im Mai 2026, der den älteren RFC 7489 ersetzt hat. DMARC prüft, ob SPF oder DKIM für eine Domain bestanden hat, die zur sichtbaren From-Adresse passt (Alignment), und teilt Empfängern mit, was zu tun ist, wenn keines von beiden zutrifft:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

• p=none: nur beobachten. Fehlgeschlagene E-Mails werden wie gewohnt zugestellt, Sie erhalten lediglich Berichte.
• p=quarantine: Fehlgeschlagene E-Mails sollen als verdächtig behandelt werden, meist landen sie im Spam.
• p=reject: Fehlgeschlagene E-Mails sollen abgewiesen werden.

Die rua-Adresse erhält Sammelberichte (Aggregate Reports) von großen Postfachanbietern. Diese Berichte zeigen jede Quelle, die E-Mails unter Ihrem Namen versendet, auch solche, die Sie vergessen haben, und solche, die nicht zu Ihnen gehören.

So prüfen Sie Ihre eigene Domain

Führen Sie diese Befehle in einem beliebigen Terminal aus (ersetzen Sie example.com durch Ihre Domain):

dig +short TXT example.com | grep spf1
dig +short TXT _dmarc.example.com
dig +short TXT selector1._domainkey.example.com

Für DKIM brauchen Sie den Selektornamen. Öffnen Sie eine beliebige E-Mail, die Ihr Unternehmen versendet hat, lassen Sie sich den Quelltext der Originalnachricht anzeigen und suchen Sie nach DKIM-Signature: und dem Wert s=. In denselben Headern finden Sie auch Authentication-Results: mit spf=pass, dkim=pass und dmarc=pass oder den Fehlschlägen.

Worauf Sie achten sollten:

1. Genau 1 SPF-Eintrag (2 v=spf1-Einträge machen SPF komplett unwirksam).
2. Ein SPF-Ende mit ~all oder -all, nicht ?all oder +all.
3. Eine DKIM-Signatur auf E-Mails von jedem Dienst, der für Sie sendet.
4. Ein DMARC-Eintrag, der existiert und eine rua-Adresse hat, die tatsächlich jemand liest.
5. Ein Plan für den Wechsel von p=none zu p=quarantine oder p=reject.

Häufige Fehler und wie Sie sie beheben

2 SPF-Einträge. Bleiben oft nach einem Anbieterwechsel zurück. Führen Sie sie zu einem Eintrag zusammen.

Zu viele Lookups. Entfernen Sie Dienste, die Sie nicht mehr nutzen, und ersetzen Sie Includes durch die konkreten Adressbereiche, wo Ihr Anbieter das erlaubt.

Vergessene Absender. Ein Newsletter-Tool oder ein Helpdesk, das ohne DKIM sendet, fällt bei DMARC durch, sobald Sie die Richtlinie durchsetzen. Lesen Sie zuerst einige Wochen lang Ihre DMARC-Berichte und aktivieren Sie dann DKIM für jede legitime Quelle.

Für immer bei p=none bleiben. Beobachten ist der richtige erste Schritt, aber p=none bittet Empfänger, gefälschte E-Mails trotzdem zuzustellen. Sobald die Berichte zeigen, dass alle echten E-Mails bestehen, wechseln Sie zu p=quarantine und dann zu p=reject.

Geparkte und ungenutzte Domains. Auch eine Domain, die nie E-Mails versendet, kann gefälscht werden. Veröffentlichen Sie dort v=spf1 -all und einen DMARC-Eintrag mit p=reject.

Diese Einträge sind auch für die Zustellbarkeit wichtig. Gmail, Yahoo und Outlook verlangen sie inzwischen von Absendern mit hohem Versandvolumen, mehr dazu in Absenderanforderungen von Gmail und Yahoo. Außerdem sind sie eine Verteidigungslinie gegen die Betrugsmasche mit gefälschten Rechnungen, die wir in wie Business E-Mail Compromise funktioniert beschreiben.

Kurze Checkliste

• 1 SPF-Eintrag, endend auf ~all oder -all, unter 10 Lookups.
• DKIM-Signatur aktiviert für jeden Dienst, der in Ihrem Namen sendet.
• DMARC veröffentlicht, Berichte gehen an ein Postfach, das jemand betreut.
• Richtlinie bewegt sich Richtung p=reject, sobald die Berichte sauber sind.
• Geparkte Domains mit -all und p=reject abgesichert.

Wie Datahorses hilft

E-Mail-Authentifizierung ist einer der Bereiche, die wir jeden Tag von außen überwachen, zusammen mit Ihren Domains, Zertifikaten und Ihrer Website. Wenn sich ein SPF-Eintrag ändert, ein DKIM-Selektor verschwindet oder DMARC abgeschwächt wird, prüft das ein Mensch, und Sie erhalten die genauen Einträge, die zu korrigieren sind. Die vollständige Liste sehen Sie unter was wir überwachen, und warum dafür kein Zugang zu Ihren Systemen nötig ist. Für das größere Bild lesen Sie, was External Attack Surface Monitoring ist.