SPF, DKIM und DMARC verständlich erklärt

Veröffentlicht am 28.07.2026 · Sicherheit

E-Mail wurde ohne Absenderprüfung entworfen. Wer eine Nachricht verschickt, darf in das Absenderfeld schreiben, was er möchte — auch Ihre Domain. Drei DNS-Einträge schließen diese Lücke: SPF, DKIM und DMARC. Sie greifen ineinander, und in dieser Reihenfolge werden sie auch eingerichtet.

SPF: Wer darf für Sie senden?

Das Sender Policy Framework ist ein TXT-Eintrag in Ihrer Zone, der die Server benennt, die im Namen Ihrer Domain E-Mails versenden dürfen. Der empfangende Server schlägt diesen Eintrag nach und vergleicht ihn mit der IP-Adresse, von der die Nachricht tatsächlich kam.

Ein Eintrag besteht aus Mechanismen — meist include: für die Systeme Ihres Anbieters, dazu gegebenenfalls a, mx oder ip4: — und endet mit einer Angabe, wie mit allem Übrigen zu verfahren ist. Üblich ist -all (zurückweisen) oder ~all (als verdächtig markieren).

Wichtig ist die Grenze des Verfahrens: SPF prüft die Absenderdomain aus dem Briefumschlag, nicht die im Postfach sichtbare Von-Adresse. Und SPF überlebt keine Weiterleitung — leitet ein Empfänger Ihre Nachricht weiter, stimmt die sendende IP-Adresse nicht mehr. Deshalb reicht SPF allein nicht.

DKIM: Ist die Nachricht unterwegs unverändert geblieben?

DomainKeys Identified Mail setzt beim Versand eine kryptografische Signatur über den Kopf und den Inhalt der Nachricht. Der öffentliche Schlüssel liegt als TXT-Eintrag im DNS, unter einem sogenannten Selektor. Der Empfänger holt ihn dort ab und prüft die Signatur.

Zwei Aussagen ergeben sich daraus: Die Nachricht wurde tatsächlich von einem System signiert, das den privaten Schlüssel Ihrer Domain besitzt, und sie wurde seither nicht verändert. Anders als bei SPF bleibt das auch nach einer Weiterleitung gültig, solange die Nachricht nicht umgeschrieben wird. Nutzen Sie Schlüssel mit mindestens 2048 Bit und vergeben Sie je System einen eigenen Selektor — dann lässt sich später ein einzelner Dienst austauschen, ohne alles anzufassen.

DMARC: Was soll mit Fehlschlägen geschehen?

DMARC verbindet die beiden Verfahren und ergänzt das, was beiden fehlt. Erstens verlangt es Übereinstimmung: Die von SPF oder DKIM bestätigte Domain muss zu der Domain passen, die der Empfänger im Absenderfeld sieht („Alignment"). Genau dort setzen Fälschungen an. Zweitens legt DMARC fest, was bei einem Fehlschlag passieren soll. Und drittens richtet es einen Rückkanal ein: Empfangende Server schicken Ihnen Berichte darüber, wer in Ihrem Namen sendet.

Der Eintrag liegt unter _dmarc.ihre-domain.de und enthält im Kern eine Richtlinie — p=none, p=quarantine oder p=reject — sowie eine Adresse für die Sammelberichte (rua).

Die Reihenfolge der Einrichtung

Halten Sie diese Abfolge ein; sie erspart Ihnen den Ausfall Ihres Mailverkehrs:

1. Bestandsaufnahme. Listen Sie jedes System auf, das in Ihrem Namen sendet: Mailserver, Newsletter-Dienst, CRM, Shop, Buchhaltung, Ticketsystem, Formularversand der Website. Genau die vergessenen Systeme fallen später aus.
2. SPF setzen — zunächst mit ~all, wenn Sie sich der Vollständigkeit nicht sicher sind.
3. DKIM einrichten, für jedes sendende System einzeln.
4. DMARC mit p=none und rua starten. In dieser Stufe wird nichts blockiert; Sie sammeln nur Berichte.
5. Berichte auswerten, mindestens zwei bis vier Wochen. Ordnen Sie jede sendende Quelle zu und ergänzen Sie fehlende Systeme in SPF und DKIM.
6. Schrittweise verschärfen: erst p=quarantine, gern über den Anteil pct gestaffelt, und erst danach p=reject.

Häufige Fehler

• Mehrere SPF-Einträge. Pro Domain ist genau ein SPF-TXT-Eintrag zulässig. Zwei Einträge führen dazu, dass die Prüfung als fehlerhaft endet — der zweite Dienst gehört in denselben Eintrag, nicht in einen neuen.
• Zu viele DNS-Abfragen. SPF erlaubt höchstens zehn auflösende Mechanismen. Wer mehrere Dienste per include: aufnimmt, überschreitet das schnell; die Prüfung schlägt dann dauerhaft fehl.
• +all. Damit erklären Sie jeden Server der Welt für berechtigt. Das ist schlechter als gar kein Eintrag, weil es die Fälschung ausdrücklich legitimiert.
• DMARC ohne rua. Ohne Berichtsadresse verzichten Sie auf die einzige Rückmeldung, mit der sich eine Verschärfung gefahrlos vorbereiten lässt.
• Zu früh auf p=reject. Die häufigste Ursache für plötzlich verschwundene Rechnungen und Newsletter. Erst auswerten, dann verschärfen.
• Subdomains vergessen. Ohne eigene Regel erben sie die Richtlinie der Hauptdomain — oder werden übersehen, wenn ein Dienst von einer Subdomain sendet.

Warum sich der Aufwand lohnt

Ohne diese Einträge kann jeder in Ihrem Namen Rechnungen mit geänderter Bankverbindung, Zahlungsaufforderungen oder Anweisungen an Ihre Mitarbeiter verschicken. Der Schaden trifft zuerst Ihre Kunden und dann Ihren Ruf. Nebenbei verbessert eine saubere Authentifizierung die Zustellbarkeit Ihrer eigenen Post — große Anbieter setzen sie inzwischen für den Massenversand voraus.

SPF und DMARC prüfen wir bei jedem Durchlauf automatisch und bewerten dabei nicht nur das Vorhandensein, sondern auch, wie streng die Einträge gefasst sind.