SPF, DKIM und DMARC erklärt: Wer darf in Ihrem Namen E-Mails senden?

Ein Kunde bekommt eine E-Mail von Ihrer Geschäftsadresse. Das Logo stimmt, die Signatur stimmt, und eine Rechnung hängt an. Nur die Kontonummer ist eine andere. Der Kunde zahlt, und Sie erfahren es zwei Wochen später, wenn er fragt, warum Sie ihn an eine Rechnung erinnern, die er längst beglichen hat.

Eine fremde Adresse in das Feld „Von“ zu schreiben ist technisch trivial. E-Mail wurde zu einer Zeit entworfen, als niemand damit rechnete, dass sich Menschen als jemand anderes ausgeben. Die Schutzmechanismen mit den kurzen Namen SPF, DKIM und DMARC kamen später hinzu, damit Mailserver prüfen können, ob eine Nachricht wirklich von Ihnen stammt. Sie wirken aber erst, wenn jemand sie für Ihre Domain einrichtet.

Die drei Schutzmechanismen in einfachen Worten

Alle drei sind Einträge im DNS Ihrer Domain, also dort, wo auch festgelegt wird, auf welchen Server Ihre Website zeigt. Auf keinem Computer wird etwas installiert.

SPF ist eine Gästeliste. Sie sagt: E-Mails meiner Domain dürfen diese Server senden und keine anderen. Auf die Liste gehören Ihr geschäftliches E-Mail-Konto, Ihre Rechnungssoftware, Ihr Newsletter-Tool und alles andere, was mit Ihrer Adresse E-Mails verschickt. Ein Eintrag sieht ungefähr so aus: v=spf1 include:_spf.google.com ~all.

DKIM ist ein Siegel. Ihr Mailserver signiert jede ausgehende Nachricht, und der Schlüssel zur Prüfung dieser Signatur liegt im DNS. So kann der Empfänger bestätigen, dass die Nachricht von Ihnen kommt und unterwegs niemand sie verändert hat.

DMARC ist eine Anweisung an den Empfänger. Sie sagt, was mit einer Nachricht geschehen soll, die angeblich von Ihnen kommt, aber die Prüfungen nicht besteht. Sie prüft außerdem etwas, das SPF allein nicht prüft: ob die per SPF oder DKIM bestätigte Domain mit der Adresse übereinstimmt, die der Kunde im Feld „Von“ tatsächlich sieht. Ohne das kann ein Betrüger SPF mit seiner eigenen Domain bestehen und trotzdem Ihre auf dem Bildschirm anzeigen. DMARC kann empfangende Server auch bitten, Ihnen Berichte zu schicken, damit Sie erfahren, wer in Ihrem Namen E-Mails versendet. Der Eintrag liegt unter _dmarc.ihredomain.de.

Es gibt einen zweiten Grund, sich darum zu kümmern. Seit 2024 verlangen Gmail und Yahoo und seit 2025 Microsoft für Outlook.com-Postfächer von Massenversendern funktionierendes SPF, DKIM und mindestens einen einfachen DMARC-Eintrag. Fehlende Einträge schaden also auch Ihren echten E-Mails.

So prüfen Sie, ob Ihre Domain sie hat

Es gibt zwei einfache Wege, und keiner braucht Zugang zu den Einstellungen Ihrer Domain.

Der erste ist ein kostenloses DNS-Prüftool, etwa unser SPF, DKIM and DMARC check (auf Englisch). Geben Sie Ihre Domain ein, ohne www und ohne https://. Bei DMARC sehen Sie eines von drei Ergebnissen:

• kein Eintrag, also kein Schutz,
• ein Eintrag mit p=none, der beobachtet, aber nichts blockiert,
• ein Eintrag mit p=quarantine oder p=reject, bei dem gefälschte Nachrichten im Spam landen oder abgewiesen werden.

Bei SPF prüfen Sie vor allem, dass es genau einen Eintrag gibt. Zwei getrennte SPF-Einträge auf derselben Domain sind ein Fehler, der dazu führen kann, dass empfangende Server Ihr SPF als ungültig behandeln.

Der zweite Weg ist Gmail. Schicken Sie eine E-Mail von Ihrer Geschäftsadresse an ein beliebiges Gmail-Konto, öffnen Sie sie, klicken Sie auf die drei Punkte neben der Schaltfläche zum Antworten und wählen Sie Original anzeigen. Oben sehen Sie getrennte Zeilen für SPF, DKIM und DMARC, jeweils mit PASS oder FAIL. Dreimal PASS ist ein gutes Zeichen. Wiederholen Sie den Test mit einer Rechnung aus Ihrer Buchhaltungssoftware und einer Nachricht aus dem Kontaktformular Ihrer Website, denn jede davon geht auf einem anderen Weg hinaus.

Von p=none zu quarantine, ohne die eigenen E-Mails zu verlieren

Der häufigste Fehler ist der direkte Sprung zu p=reject. Dann stellt sich heraus, dass Rechnungen aus der Buchhaltungssoftware, Shop-Benachrichtigungen oder der Newsletter nie korrektes SPF oder DKIM hatten. Ab diesem Moment landen sie im Spam oder kommen gar nicht an, und es dauert lange, bis jemand versteht, warum.

Eine sicherere Reihenfolge sieht so aus:

1. Setzen Sie DMARC auf p=none mit einer Adresse für Berichte, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de.
2. Sammeln Sie einige Wochen lang Berichte. Sie kommen als XML-Dateien, am einfachsten geben Sie sie in eines der kostenlosen DMARC-Auswertungstools, das daraus eine lesbare Tabelle macht.
3. Listen Sie jeden Dienst auf, der laut den Berichten E-Mails als Ihre Domain verschickt. Richten Sie für jeden, der wirklich Ihrer ist, SPF und DKIM korrekt ein.
4. Wenn die Berichte nur noch Quellen zeigen, die Sie nicht kennen, wechseln Sie zu p=quarantine. Gefälschte Nachrichten landen dann im Spam.
5. Nach einigen weiteren ruhigen Wochen können Sie zu p=reject wechseln, dann weisen empfangende Server Fälschungen direkt ab.

Besitzen Sie Domains, die nie E-Mails senden, etwa einen alten Firmennamen oder eine vorsorglich gekaufte Domain, geben Sie ihnen sofort v=spf1 -all und einen DMARC-Eintrag mit p=reject. Sie verlieren nichts, und ein Betrüger kann sie nicht statt Ihrer Hauptdomain nutzen.

Was diese Einträge nicht leisten

DMARC schützt genau Ihre Domain. Es hält niemanden auf, der eine ähnliche Domain registriert, etwa ihre-domain.de oder ihredomain.co, und dafür einwandfreie eigene Einträge anlegt. Es hilft auch nicht, wenn jemand ein echtes Postfach eines Mitarbeiters übernimmt, denn dann gehen die gefälschten E-Mails von Ihrem eigenen Server aus und bestehen jede Prüfung.

Neben den DNS-Einträgen helfen deshalb zwei einfache Dinge. Erstens die Zwei-Faktor-Anmeldung für jedes Postfach im Unternehmen. Zweitens eine Regel, die Ihre Kunden kennen: Bankverbindungen ändern sich nie per E-Mail, und jede Mitteilung über ein neues Konto wird über einen anderen Kanal bestätigt. Das können Sie offen auf Ihre Rechnungen oder in Ihre E-Mail-Signatur schreiben.

Was Sie den Verwalter Ihrer Domain fragen

Ihre Domain betreut meist Ihr Hoster, der Anbieter, bei dem Sie sie gekauft haben, oder Ihr Entwickler. Schicken Sie ihm diese Fragen:

1. Welche Dienste senden E-Mails von unserer Domain, und stehen alle im SPF-Eintrag?
2. Haben wir genau einen SPF-Eintrag, und bleibt er innerhalb der Grenze von zehn DNS-Abfragen?
3. Ist DKIM für unser geschäftliches E-Mail-Konto, unsere Rechnungssoftware und unser Newsletter-Tool eingeschaltet? In Microsoft 365 und Google Workspace muss es meist von Hand aktiviert werden.
4. Haben wir DMARC, auf welcher Stufe, und wer liest die Berichte?
5. Wann können wir sicher zu p=quarantine wechseln?

Eine gute Antwort muss nicht lang sein. Wichtig ist, dass sie eine Person nennt, die sich die Berichte von Zeit zu Zeit ansieht, und einen Termin für den Wechsel auf die nächste Schutzstufe.