Eine E-Mail, die nicht ankommt, kostet mehr als eine schlecht geschriebene. Seit Februar 2024 verlangen Google und Yahoo von Massenversendern eine vollständige Authentifizierung und einen DMARC-Eintrag; Microsoft zog 2025 für Outlook.com nach. Authentifizierung ist keine gute Praxis unter vielen mehr, sondern die Eintrittsbedingung. Hier steht, was SPF, DKIM und DMARC abdecken und in welcher Reihenfolge sie eingerichtet werden.
Drei Mechanismen, drei verschiedene Fragen
| Mechanismus | Beantwortete Frage | Wo er lebt |
|---|---|---|
| SPF | Darf dieser Server für diese Domain senden? | DNS-TXT-Eintrag |
| DKIM | Wurde die Nachricht seit dem Versand verändert? | Signatur im Header + öffentlicher Schlüssel im DNS |
| DMARC | Was geschieht bei einem Fehlschlag von SPF oder DKIM, und wer erfährt davon? | DNS-TXT-Eintrag |
Die verbreitetste Verwechslung besteht darin, diese Mechanismen für austauschbar zu halten. Sie ergänzen einander: DMARC funktioniert nur aufbauend auf SPF und DKIM, und sein wichtigster Nutzen — die Berichte — existiert ohne sie nicht.
SPF: die zugelassenen Server benennen
SPF ist ein TXT-Eintrag an der Domainwurzel, der die Server auflistet, die in ihrem Namen senden dürfen. Eine selbst gehostete Website, die ihren Versand an eine E-Mail-Plattform delegiert, muss diese aufnehmen.
; TXT-Eintrag auf beispiel.de
"v=spf1 include:spf.brevo.com include:_spf.ovh.net -all"Zwei Punkte entscheiden über das Ergebnis:
- Der Abschluss.
-all(harte Ablehnung) ist die richtige Wahl, sobald die Liste der Versender geprüft ist.~all(weicher Fehlschlag) ist eine Übergangsstufe, kein Ziel. - Die Grenze von zehn DNS-Abfragen. Jedes
include:löst eine Auflösung aus; über zehn hinaus liefert die Prüfung einen dauerhaften Fehler und SPF schützt nichts mehr. Über die Jahre angesammelte Einträge sind die häufigste Ursache dieser Überschreitung.
Ein SPF-Eintrag mit mehr als zehn DNS-Auflösungen schützt nichts mehr: Er scheitert lautlos, und niemand merkt es, bevor die Zustellbarkeit einbricht.
DKIM: signieren, um Integrität zu belegen
DKIM fügt den Kopfzeilen eine kryptografische Signatur hinzu. Der Empfänger holt den öffentlichen Schlüssel aus dem DNS des Absenders und prüft, dass der signierte Inhalt unterwegs nicht verändert wurde.
; öffentlicher Schlüssel auf einem eigenen Selektor
mail._domainkey.beispiel.de. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."In der Praxis erzeugt die Versandplattform den Schlüssel und liefert den zu veröffentlichenden Eintrag. Aufmerksamkeit verdient der Selektor: Jeder Dienst nutzt seinen eigenen, wodurch mehrere Versender konfliktfrei auf einer Domain koexistieren. Ein Schlüsselwechsel beim Anbieter erfordert eine erneute Veröffentlichung des Eintrags — ein häufiges Versäumnis beim Plattformwechsel.
DMARC: Richtlinie und Berichte
DMARC sagt empfangenden Servern, was bei fehlgeschlagener Authentifizierung zu tun ist, und wohin Berichte gehen. Es erzwingt außerdem die Ausrichtung: Die im Feld From: sichtbare Domain muss mit der von SPF oder DKIM bestätigten übereinstimmen. Eine für eine Fremddomain einwandfrei signierte Nachricht, die Ihren Namen zeigt, scheitert an DMARC — genau dieser Mechanismus blockiert Identitätsmissbrauch.
; Start im Beobachtungsmodus
_dmarc.beispiel.de. TXT "v=DMARC1; p=none; rua=mailto:[email protected]; fo=1"
; Ziel nach Auswertung der Berichte
_dmarc.beispiel.de. TXT "v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]; adkim=s; aspf=s"Die empfohlene Abfolge
p=none— keine Wirkung auf die Zustellung, aber die Berichte beginnen einzutreffen. Zwei bis vier Wochen einplanen, um alle legitimen Versender zu erfassen: Rechnungswerkzeug, CRM, Formular der Website, E-Mail-Plattform.p=quarantine— nicht authentifizierte Nachrichten landen im Spam-Ordner. Zu aktivieren, sobald die Berichte sauber sind, gegebenenfalls anteilig überpct=.p=reject— nicht authentifizierte Nachrichten werden abgewiesen. Das ist das Ziel und das, was große Anbieter von Massenversendern erwarten.
p=reject zu gehen, obwohl die Domain über mehrere Werkzeuge versendet, kappt die Zustellung derer, die man vergessen hatte. Genau dafür gibt es die aggregierten Berichte.Was Authentifizierung nicht löst
SPF, DKIM und DMARC beantworten die Frage, ob eine Nachricht wirklich von dieser Domain stammt. Über ihre Qualität sagen sie nichts. Eine einwandfrei authentifizierte Domain, die unerwünschte Inhalte versendet, landet wie jede andere im Spam: IP-Reputation, Beschwerdequote, Abmeldequote und Interaktion entscheiden danach. Authentifizierung öffnet die Tür; sie garantiert keinen Empfang.
Zwei Ergänzungen lohnen sich im selben Zug: BIMI, das in kompatiblen Clients das Logo des Absenders anzeigt und mindestens p=quarantine voraussetzt, und ein Ein-Klick-Abmeldelink gemäß RFC 8058, der von Massenversendern inzwischen erwartet wird.
Prüfen, bevor man schließt
| Prüfung | Methode |
|---|---|
| Einträge veröffentlicht | dig +short TXT beispiel.de und dig +short TXT _dmarc.beispiel.de |
| Anzahl SPF-Auflösungen | Ein SPF-Validator; über 10 die include:-Einträge reduzieren |
| Tatsächliche Ausrichtung | Testnachricht an eine Gmail-Adresse, dann „Original anzeigen“: alle drei Zeilen müssen PASS zeigen |
| Abdeckung der Versender | Lektüre der aggregierten DMARC-Berichte über zwei bis vier Wochen |
Was bleibt
Die Reihenfolge steht fest: zuerst SPF, dann DKIM, dann DMARC im Beobachtungsmodus, danach schrittweise Verschärfung der Richtlinie. Jede Stufe wird vor der nächsten geprüft. Die Abkürzung — alle drei Einträge am selben Tag mit p=reject zu veröffentlichen — ist der schnellste Weg, legitime Zustellungen zu kappen, ohne zu wissen welche.
Auf jeder Domain, die ich betreue, brachte der Wechsel auf p=reject einen vergessenen Versender zum Vorschein: ein Rechnungswerkzeug, eine Backup-Benachrichtigung, ein altes Formular. DMARC-Berichte unter p=none dienen nicht dazu, ein Häkchen zu setzen — sie zeigen, was in Ihrem Namen versendet, ohne dass Sie davon wissen. — Simon Janvier
Weiterführend
Die Anforderungen der Anbieter sind bei Google Workspace dokumentiert. Die DMARC-Spezifikation ist RFC 7489.
