SPF, DKIM und DMARC verständlich erklärt: Welche DNS-Einträge Sie setzen, damit Sie nicht mehr im Spam landen

Sie haben Ihre eigene Domain und eine Adresse der Form name@firma.de, aber Nachrichten an Kunden landen im Spam oder kommen gar nicht erst an. Weder Sie noch der Kunde sind schuld daran. Das Problem ist fast immer, dass die empfangenden Server keine Möglichkeit haben zu prüfen, dass Sie es wirklich sind.

Gmail, Outlook und die anderen prüfen jede eingehende Nachricht über drei Mechanismen: SPF, DKIM und DMARC. Das sind drei Einträge, die Sie im DNS Ihrer Domain hinzufügen — eine Liste öffentlicher Regeln, die den Servern sagen „diese Server dürfen in meinem Namen versenden“. Ohne sie startet Ihre E-Mail mit einem Nachteil. In diesem Artikel gehe ich sie der Reihe nach durch, verständlich, und zeige Ihnen genau, was Sie in welcher Reihenfolge einrichten, ohne unnötigen Fachjargon.

Warum Ihre E-Mails tatsächlich im Spam landen

Wenn Sie eine E-Mail versenden, hat der Server des Empfängers keine Möglichkeit zu wissen, ob sie wirklich von Ihnen kommt oder von jemandem, der Ihren Domainnamen missbraucht hat. Es ist wie ein Brief, auf dessen Umschlag jeder „von firma.de“ schreiben kann.

Um sich nicht täuschen zu lassen, verlangen die großen Provider Beweise. Sie schauen im DNS Ihrer Domain nach drei öffentlichen Signaturen:

• SPF — welche Server in Ihrem Namen versenden dürfen
• DKIM — eine Signatur, die belegt, dass die Nachricht unterwegs nicht verändert wurde
• DMARC — was der Server tun soll, wenn eine Nachricht SPF oder DKIM nicht besteht

Fehlen diese, wird die E-Mail nicht zwingend blockiert, landet aber leicht im Spam. Sind sie korrekt gesetzt, überstehen Sie den Filter mit deutlich mehr Vertrauen. Die gute Nachricht: Sie richten sie einmal ein, und sie bleiben bestehen.

SPF — die Liste der Server, die versenden dürfen

SPF (Sender Policy Framework) ist ein einzelner TXT-Eintrag im DNS. Er listet die Server auf, die berechtigt sind, von Ihrer Domain zu versenden: Google Workspace, Microsoft 365, ein Newsletter-Tool, der Server Ihres Hosters.

Ein typischer Wert sieht so aus:

v=spf1 include:_spf.google.com ~all

• v=spf1 gibt an, dass es sich um eine SPF-Richtlinie handelt
• include:... fügt die Server eines Anbieters hinzu (hier Google)
• ~all bedeutet „der Rest ist verdächtig, wird aber nicht hart abgelehnt“

Zwei Fallstricke, die Sie vermeiden sollten: Sie dürfen nur einen einzigen SPF-Eintrag pro Domain haben (nutzen Sie mehrere Anbieter, setzen Sie alle in dieselbe Zeile, mit mehreren include-Angaben), und SPF erlaubt höchstens zehn „Lookups“ — stopfen Sie also nicht Dutzende Dienste hinein. Versenden Sie nur über Google oder nur über Microsoft, reicht der obige, angepasste Wert vollkommen aus.

DKIM — die Signatur, die die Echtheit der Nachricht belegt

DKIM (DomainKeys Identified Mail) fügt jeder E-Mail eine digitale Signatur hinzu, unsichtbar für den Empfänger. Der empfangende Server nutzt einen öffentlichen Schlüssel aus Ihrem DNS, um zu prüfen, dass die Nachricht wirklich von Ihnen stammt und unterwegs nicht verändert wurde.

In der Praxis schreiben Sie den Schlüssel nicht selbst. Ihr E-Mail-Anbieter (Google, Microsoft, das Newsletter-Tool) generiert ihn, und Sie tragen ihn nur ins DNS ein — meist als TXT- oder CNAME-Eintrag, mit einem Namen der Form selector._domainkey.firma.de.

• In Google Workspace aktivieren Sie das im Admin-Bereich unter Apps > Gmail > Authenticate email
• In Microsoft 365 im Defender, im Bereich der E-Mail-Richtlinien

Wichtig ist, DKIM auch für die Tools zu aktivieren, über die Sie Massen-E-Mails versenden (Newsletter, Rechnungsstellung), nicht nur für den Haupt-Posteingang. Jedes hat seinen eigenen Selector, also seinen eigenen Eintrag.

DMARC — die Regel, die alles verbindet und Ihnen Berichte liefert

DMARC verwandelt SPF und DKIM von isolierten Prüfungen in eine echte Richtlinie. Es teilt den empfangenden Servern mit, was zu tun ist, wenn eine Nachricht die Authentifizierung nicht besteht — und schickt Ihnen zusätzlich Berichte darüber, wer von Ihrer Domain aus versendet.

Der Eintrag ist ebenfalls ein TXT, mit dem Namen _dmarc.firma.de:

v=DMARC1; p=none; rua=mailto:berichte@firma.de

• p=none — Sie überwachen nur, es wird nichts abgelehnt (so starten Sie)
• p=quarantine — Nachrichten, die durchfallen, landen im Spam
• p=reject — Nachrichten, die durchfallen, werden vollständig abgelehnt
• rua= — die Adresse, an die Sie die Berichte erhalten

Die goldene Regel: Starten Sie einige Wochen mit p=none, lesen Sie die Berichte, um zu sehen, dass Ihre legitimen E-Mails durchkommen, und gehen Sie erst dann schrittweise zu quarantine und zuletzt zu reject über. Springen Sie direkt zu reject, ohne zu prüfen, riskieren Sie, Ihre eigenen E-Mails zu blockieren.

Die richtige Reihenfolge und wer sie für Sie einrichten kann

Kurz gesagt lautet die gesunde Reihenfolge: zuerst SPF, dann DKIM, dann DMARC mit p=none, und erst wenn Sie in den Berichten sehen, dass alles sauber ist, gehen Sie mit DMARC zu quarantine und reject über. Sie tragen sie im DNS-Panel Ihrer Domain ein (beim Registrar oder Hoster), und die Änderungen können sich von wenigen Minuten bis zu einem Tag verbreiten.

Testen Sie, indem Sie eine E-Mail an eine Gmail-Adresse senden: Öffnen Sie die Nachricht, klicken Sie auf „Original anzeigen“ und suchen Sie nach PASS bei SPF, DKIM und DMARC.

Wirkt das kompliziert, ist das normal — ein Fehler bei einem einzigen Komma kann alles zunichtemachen. Bei MPO Web Studio konfigurieren wir SPF, DKIM und DMARC als Teil der Website-Lieferung, komplett remote, ohne dass Sie irgendwohin kommen müssen. Möchten Sie nur eine schnelle Überprüfung Ihrer Domain, schreiben Sie uns auf WhatsApp, und wir schauen gemeinsam, was fehlt.