SPF, DKIM und DMARC einfach erklärt (und wie Sie Ihre Einträge in fünf Minuten prüfen)

Drei Kürzel begegnen einem immer wieder, sobald es um Zustellbarkeit geht: SPF, DKIM, DMARC. Man richtet sie meist einmal ein, indem man Zeilen aus der Hilfe seines Hosters kopiert, und vergisst sie dann. Bis zu dem Tag, an dem die E-Mails im Spam landen und niemand mehr so recht weiß, was damals eigentlich eingerichtet wurde.

Dabei beantworten diese drei Mechanismen eine einfache Frage, die sich jeder Server stellt, der Ihre E-Mail empfängt: „Kommt diese Nachricht wirklich von dem, der sie zu sein vorgibt?" Ohne klare Antwort wird die Nachricht als verdächtig behandelt.

Warum es zur Pflicht geworden ist

Lange waren diese Einträge dringend empfohlen. Jetzt sind sie Pflicht. Im Februar 2024 haben Gmail und Yahoo von Versendern mit vielen E-Mails gültige SPF- und DKIM-Einträge verlangt, eine veröffentlichte DMARC-Richtlinie, einen Abmeldelink mit einem Klick und eine niedrige Beschwerderate. Microsoft hat vergleichbare Anforderungen für Outlook.com angekündigt, die ab Mai 2025 gelten.

Die offiziellen Schwellenwerte richten sich an große Versender, aber in der Praxis werden Nachrichten einer Domain ohne korrekte Authentifizierung gefiltert, lange bevor sie diese Mengen erreichen. Für die Kaltakquise sollten Sie die drei Einträge als Minimum betrachten.

SPF: die Liste der autorisierten Server

SPF (Sender Policy Framework) ist eine Zeile, die in den DNS-Einträgen Ihrer Domain veröffentlicht wird. Sie sagt: „E-Mails dieser Domain dürfen nur von diesen Servern aus verschickt werden." Wenn ein Server eine Nachricht mit Ihrer Domain empfängt, prüft er, ob der sendende Server in der Liste steht.

Ein SPF-Eintrag sieht so aus:

v=spf1 include:_spf.mail.hostinger.com ~all

Lesen Sie ihn von links nach rechts: die Version, dann die autorisierten Server (hier die des Hosters), dann das, was mit den anderen geschehen soll. Das abschließende „~all" verlangt, andere Server mit Vorsicht zu behandeln, sie aber nicht abzulehnen, was eine umsichtige Wahl ist.

Die häufigsten Fehler:

• zwei SPF-Einträge auf derselben Domain: das ist nicht zulässig, und das Ergebnis wird ungültig. Die beiden müssen zu einer einzigen Zeile zusammengeführt werden;
• ein vergessener Dienst: Sie versenden auch Rechnungen über eine Drittanbieter-Software, aber der Dienst steht nicht in der Liste;
• zu viele „include": SPF erlaubt maximal zehn DNS-Lookups. Darüber hinaus schlägt der Eintrag fehl.

DKIM: die Signatur der Nachricht

DKIM (DomainKeys Identified Mail) fügt jeder E-Mail eine verschlüsselte Signatur hinzu. Der sendende Server signiert mit einem privaten Schlüssel, und der dazugehörige öffentliche Schlüssel wird in Ihren DNS-Einträgen veröffentlicht. Der Empfänger prüft die Signatur: Ist sie gültig, weiß er, dass die Nachricht tatsächlich von Ihrer Domain stammt und unterwegs nicht verändert wurde.

Der öffentliche Schlüssel liegt unter einer bestimmten DNS-Adresse, die mit einem von Ihrem Hoster gewählten „Selektor" gebildet wird, zum Beispiel:

hostingermail1._domainkey.ihredomain.de

Genau dort verstecken sich die meisten DKIM-Probleme: ein unvollständig kopierter Schlüssel (sie sind lang), ein Selektor, der von dem abweicht, den der Server tatsächlich verwendet, oder ein Schlüssel, der nie veröffentlicht wurde, weil der Hoster auf eine manuelle Aktivierung gewartet hat. Die einzige zuverlässige Prüfung besteht darin, eine echte E-Mail zu senden und sich beim Empfang den Header anzusehen.

DMARC: die Anweisung für den Fehlerfall

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet die beiden vorigen. Er fragt den empfangenden Server: „Wenn eine Nachricht vorgibt, von meiner Domain zu stammen, aber SPF und DKIM nicht besteht, dann sollst du Folgendes damit tun." Außerdem erhält man damit Berichte über Nachrichten, die in Ihrem Namen versendet werden.

Ein DMARC-Eintrag für den Anfang sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de

„p=none" bedeutet: nichts blockieren, aber Berichte senden. Das ist die minimale Richtlinie, die Gmail und Yahoo verlangen, und ein guter Ausgangspunkt. Sobald Sie sicher sind, dass alle Ihre legitimen Sendungen die Authentifizierung bestehen, können Sie zu „p=quarantine" übergehen (nicht authentifizierte Nachrichten in den Spam verschieben) und später eventuell zu „p=reject".

Ein subtiler Punkt: DMARC verlangt, dass die durch SPF oder DKIM authentifizierte Domain dieselbe ist wie die in der Absenderadresse. Das nennt man Alignment. Eine E-Mail, die von paul@ihredomain.de gesendet, aber per DKIM von der technischen Domain Ihres Hosters signiert wird, kann DKIM bestehen und trotzdem an DMARC scheitern.

Ihre Einträge in fünf Minuten prüfen

Sie müssen kein Systemadministrator sein. Drei Prüfungen genügen:

1. Sehen Sie sich die TXT-Einträge Ihrer Domain mit einem Online-Tool zur DNS-Abfrage an. Sie sollten genau eine Zeile finden, die mit „v=spf1" beginnt, und eine Zeile „v=DMARC1" unter der Adresse _dmarc.ihredomain.de.
2. Senden Sie eine E-Mail aus dem betreffenden Postfach an eine private Gmail-Adresse, öffnen Sie sie und lassen Sie sich die Originalnachricht anzeigen. Gmail zeigt klar „SPF: PASS", „DKIM: PASS" und „DMARC: PASS" an, jeweils mit der verwendeten Domain.
3. Prüfen Sie, ob die für DKIM angegebene Domain tatsächlich Ihre ist und nicht die des Hosters.

In SmartOutbound läuft diese Kontrolle automatisch: Jede Domain wird täglich geprüft, eine Test-E-Mail, die beim Verbinden eines Postfachs versendet wird, bestätigt die beim Empfang tatsächlich festgestellte DKIM-Signatur, und die Schaltfläche „DNS prüfen" auf der Seite der Postfächer startet die Prüfung auf Anfrage neu. Fehlt DMARC und Ihre Domain liegt bei Hostinger, kann das Tool ihn sogar für Sie hinzufügen.

Und der Rest?

Diese drei Einträge garantieren nicht, dass Ihre E-Mails im Posteingang landen. Sie garantieren nur, dass sie nicht aus einem vermeidbaren technischen Grund abgelehnt werden. Alles Weitere hängt von der Reputation Ihrer Domain, der Qualität Ihrer Listen und dem Inhalt Ihrer Nachrichten ab. Bei neuen Domains müssen Sie außerdem die Warmup-Zeit einplanen. Und wenn Sie zögern, von Ihrer Hauptdomain aus Kaltakquise zu betreiben, hilft Ihnen unser Artikel zur dedizierten Domain bei der Entscheidung.