SPF, DKIM und DMARC verständlich erklärt (ohne Fachchinesisch)
SPF, DKIM und DMARC sind die drei Säulen der E-Mail-Authentifizierung. Gemeinsam lassen sie einen empfangenden Server eine Frage beantworten: „Stammt diese Nachricht wirklich von dem, für den sie sich ausgibt?“ Richten Sie sie korrekt ein, schützen Sie sowohl Ihre Zustellbarkeit als auch Ihre Marke vor Spoofing. Hier ist jede einzelne, ohne Fachchinesisch.
SPF: wer senden darf
Das Sender Policy Framework ist ein DNS-Eintrag, der die Server auflistet, die E-Mails für Ihre Domain senden dürfen. Trifft eine Nachricht ein, prüft der Empfänger, ob sie von einem freigegebenen Server kam. Wenn nicht, scheitert SPF.
Der Hauptstolperstein: SPF ist auf 10 DNS-Abfragen begrenzt. Zu viele „include“-Anweisungen (von diversen Versanddiensten) und SPF bricht mit einem Permerror ab — den viele Empfänger als Fehlschlag werten.
DKIM: der Nachweis, dass die Nachricht nicht manipuliert wurde
DomainKeys Identified Mail fügt jeder Nachricht eine kryptografische Signatur hinzu, mit einem privaten Schlüssel, den nur Sie besitzen. Der passende öffentliche Schlüssel liegt in Ihrem DNS. Der Empfänger prüft die Signatur, um zwei Dinge zu bestätigen: Die Post stammt tatsächlich von Ihrer Domain und wurde unterwegs nicht verändert.
DMARC: die Richtlinie, die alles verbindet
SPF und DKIM belegen jeweils etwas, sagen einem Empfänger aber für sich genommen nicht, was zu tun ist, wenn eine Prüfung scheitert. DMARC schon. Es ist eine DNS-Richtlinie, die im Kern sagt: „Scheitert Post, die vorgibt, von meiner Domain zu stammen, an der Authentifizierung, so ist damit umzugehen — und sende mir Berichte.“
- p=none — nur beobachten; Berichte sammeln, keine Maßnahme
- p=quarantine — scheiternde Post in den Spam senden
- p=reject — scheiternde Post rundheraus blockieren (am strengsten)
- rua — die Adresse, an die Sammelberichte gesendet werden
Wie sie zusammenwirken
Stellen Sie es sich als Kette vor: SPF und DKIM liefern jeweils ein überprüfbares Signal, und DMARC prüft, ob mindestens eines davon besteht und mit der sichtbaren „Von“-Domain übereinstimmt. Erst dann verdient die Nachricht volles Vertrauen. Fehlt ein Glied, können Spoofer durchschlüpfen.
DMARC sicher einführen
Springen Sie nicht direkt zu p=reject — Sie riskieren, Ihre eigene legitime Post zu blockieren. Beginnen Sie bei p=none mit einer Berichtsadresse, nutzen Sie die Berichte, um jeden Dienst zu finden und zu authentifizieren, der in Ihrem Namen sendet, und verschärfen Sie dann auf Quarantäne und schließlich auf Ablehnung, während Ihr Vertrauen wächst.
Häufig gestellte Fragen
Brauche ich alle drei, oder reicht eines?
Sie brauchen alle drei. SPF und DKIM belegen jeweils etwas anderes, und DMARC macht aus diesen Nachweisen eine durchsetzbare Richtlinie, die Spoofing stoppt. Moderne Mailbox-Anbieter erwarten zunehmend den vollen Satz.
Blockiert die Einrichtung von DMARC meine legitime E-Mail?
Nicht, wenn Sie es behutsam einführen. Beginnen Sie bei p=none zum Beobachten, nutzen Sie die Berichte, um jeden legitimen Absender zu authentifizieren, und wechseln Sie erst dann zu Quarantäne und Ablehnung. Der direkte Sprung zu Ablehnung verursacht die Probleme.
Was ist ein SPF-Permerror?
Er bedeutet, dass Ihr SPF-Eintrag mehr als die erlaubten 10 DNS-Abfragen ausgelöst hat, sodass die Auswertung scheiterte. Beheben Sie ihn, indem Sie ungenutzte Includes entfernen oder den Eintrag glätten. Ein Checker zeigt Ihnen Ihre aktuelle Abfragezahl.
In Minuten mit dem Versand starten
Kostenloses Konto erstellen, Domain verbinden und Ihre Zielgruppe über alle Kanäle erreichen – ohne Kreditkarte.
Dauerhaft kostenloser Tarif · Keine Kreditkarte · In Minuten startklar