SPF, DKIM und DMARC einrichten: E-Mails Ihrer Domain gelangen nicht in den Spam-Ordner

SPF, DKIM und DMARC sind drei DNS-Einträge, die E-Mail-Anbietern nachweisen, dass E-Mails, die im Namen Ihrer Domain versendet werden, tatsächlich von Ihnen stammen. Ohne sie landen Ihre Nachrichten – darunter Rechnungen, Bestellbestätigungen oder Passwort-Zurücksetzungen – im Spam-Ordner oder werden gänzlich abgelehnt.

1. Warum dies zur Pflicht geworden ist

Seit Februar 2024 verlangen Gmail und Yahoo, dass jeder Absender seine E-Mails mit SPF oder DKIM authentifiziert und dass Absender mit hohem Versandvolumen – d. h. mehr als 5.000 Nachrichten pro Tag an Gmail – alle drei Verfahren, einschließlich DMARC, implementieren. Microsoft folgte 2025 für Outlook und Hotmail. In der Praxis sinkt die Zustellbarkeit einer Domain ohne diese Einträge drastisch, selbst bei nur wenigen Nachrichten pro Tag.

2. Eine Bestandsaufnahme dessen erstellen, was versendet wird

Bevor Sie etwas schreiben, listen Sie bitte alle Dienste auf, die E-Mails über Ihre Domain versenden: Ihr E-Mail-Dienst (Google Workspace, Microsoft 365, Ihr Webhost), Ihre Website, Ihr Newsletter-Tool, Ihre Rechnungssoftware sowie Ihre Server, die über einen SMTP-Relay versenden. Jeder dieser Dienste muss in der SPF-Eintragung aufgeführt sein und sollte idealerweise mit DKIM signiert werden. Bei einem vergessenen Dienst werden dessen Nachrichten abgelehnt, sobald DMARC verschärft wird.

3. SPF

SPF ist ein TXT-Eintrag, der im Stammverzeichnis der Domain hinterlegt ist. Beispiel für eine Domain, die E-Mails über Google Workspace und einen SMTP-Relay versendet:

votredomaine.fr.  TXT  "v=spf1 include:_spf.google.com include:spf.fournisseur.com ~all"

• include: erlaubt die Server eines Anbieters; jeder Anbieter gibt in seiner Dokumentation den zu verwendenden Wert an.
• ip4:203.0.113.10 erlaubt eine bestimmte Adresse, beispielsweise einen VPS, der direkt versendet.
• ~all Beendet die Registrierung: Die anderen Server gelten als verdächtig. Bei aktivem DMARC ist dies der empfohlene Wert; -all lehnt diese rundweg ab.

Eine Domain, die niemals E-Mails versendet, muss dies angeben, um zu verhindern, dass sie missbraucht wird: "v=spf1 -all".

4. DKIM

Bei DKIM signiert der Absenderserver jede Nachricht mit einem privaten Schlüssel; der entsprechende öffentliche Schlüssel wird im DNS unter einem „Selektor“ veröffentlicht. Sie müssen den Schlüssel so gut wie nie selbst generieren: Jeder Anbieter generiert ihn und teilt Ihnen den einzutragenden Eintrag mit, zum Beispiel:

google._domainkey.votredomaine.fr.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Jeder Dienst, der in Ihrem Namen E-Mails versendet, verfügt über einen eigenen Selektor und somit über einen eigenen Eintrag: Diese können problemlos nebeneinander bestehen. Aktivieren Sie anschließend die Signatur in der Benutzeroberfläche des Dienstes – häufig über eine Schaltfläche mit der Bezeichnung „Domäne authentifizieren“ oder „Signatur starten“.

Einige Anbieter verlangen eine Registrierung CNAME anstelle einer TXT-Datei: In diesem Fall verwalten sie den Schlüssel und dessen Rotation selbst. Befolgen Sie einfach deren Anweisungen.

5. DMARC in drei Schritten

DMARC basiert auf SPF und DKIM und fügt eine weitere Anforderung hinzu: Die validierte Domain muss mit der Domain übereinstimmen, die im Feld „Von“ der Nachricht angezeigt wird. Außerdem legt es fest, wie mit Nachrichten verfahren werden soll, die die Validierung nicht bestehen. Führen Sie die Einführung schrittweise durch:

1. Beobachten, über einen Zeitraum von zwei bis vier Wochen:

   _dmarc.votredomaine.fr.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

   Es ist nichts gesperrt, aber die Anbieter senden Ihnen täglich Berichte, aus denen hervorgeht, welche Server in Ihrem Namen E-Mails versenden und ob diese die SPF- und DKIM-Prüfung bestehen. Auf diese Weise entdecken Sie den vergessenen Dienst.
2. In Quarantäne stellen Nicht authentifizierte Nachrichten, sobald alle Ihre legitimen Dienste durchgelassen wurden: p=quarantine.
3. Ablehnen : p=reject. Niemand kann mehr E-Mails versenden, als käme er von Ihrer Domain.

Die Berichte sind schwer lesbare XML-Dateien: Ein DMARC-Analyse-Tool – von denen viele eine kostenlose Version anbieten – wandelt sie in eine Tabelle um.

6. Reverse-DNS, falls Ihr VPS direkt sendet

Wenn ein Server seine IP-Adresse selbst und ohne Weiterleitung übermittelt, muss diese Reverse-DNS (PTR-Eintrag), der auf einen Namen verweist, der wiederum auf diese Adresse verweist. Ohne diesen Eintrag lehnen viele empfangende Server die Nachricht ab. Die Reverse-DNS-Einrichtung erfolgt beim Inhaber der IP-Adresse, also bei Ihrem Hosting-Anbieter: Wenden Sie sich an den Support, falls die Option in Ihrem Kundenbereich nicht angezeigt wird. Dies ist ein weiterer Grund, einen Relay-Server zu nutzen, wie in Postfix konfigurieren.

7. Testen

Überprüfen Sie zunächst, was der DNS tatsächlich veröffentlicht:

dig +short TXT votredomaine.fr
dig +short TXT _dmarc.votredomaine.fr
dig +short TXT google._domainkey.votredomaine.fr

Senden Sie anschließend eine E-Mail an ein Gmail-Postfach und öffnen Sie die Option Original anzeigen: Die SPF-, DKIM- und DMARC-Zeilen müssen alle folgenden Angaben enthalten: PASS. Online-Dienste wie „mail-tester“ vergeben ebenfalls eine Note auf einer Skala von 1 bis 10 und führen die Probleme im Detail auf. Grundlegende Informationen zu Registrierungen finden Sie unter DNS konfigurieren.

Häufig gestellte Fragen