E-Mail-Sicherheit · Grundlagen
SPF, DKIM und DMARC erklärt: E-Mail-Sicherheit für Ihre Domain
Drei Abkürzungen, die entscheiden, ob Ihre Mails im Posteingang landen und ob jemand in Ihrem Namen Betrugsmails verschicken kann. Wie SPF, DKIM und DMARC zusammenarbeiten.
Kurz beantwortet
SPF, DKIM und DMARC sind drei Einträge im DNS einer Domain, die gemeinsam belegen, dass eine Mail wirklich von dieser Domain stammt. SPF legt fest, welche Server senden dürfen. DKIM versieht jede Mail mit einer digitalen Signatur. DMARC verbindet beide mit der sichtbaren Absenderadresse und legt fest, was mit Mails passiert, die die Prüfung nicht bestehen.
Das Problem: Absender lassen sich fälschen
Das E-Mail-Protokoll stammt aus einer Zeit, in der niemand an Betrug dachte. Die Absenderadresse einer Mail lässt sich deshalb beliebig eintragen, ähnlich wie der Absender auf einem Briefumschlag. Betrüger nutzen das, um Mails im Namen bekannter Unternehmen zu verschicken, etwa gefälschte Rechnungen.
Gleichzeitig prüfen die großen Postfachanbieter immer strenger, ob eine Mail wirklich vom angegebenen Absender stammt. Wer die drei Einträge nicht gesetzt hat, landet häufiger im Spam oder wird abgewiesen. Mehr dazu im Artikel Warum landen meine Mails im Spam?.
Die drei Einträge im Überblick
| Merkmal | SPF | DKIM | DMARC |
|---|---|---|---|
| Frage | Darf dieser Server für die Domain senden? | Ist die Mail unverändert und von der Domain signiert? | Passt das zur sichtbaren Absenderadresse, und was tun, wenn nicht? |
| Wie | Liste erlaubter Server im DNS | digitale Signatur, öffentlicher Schlüssel im DNS | Richtlinie und Berichtsadresse im DNS |
| Eintrag | TXT auf der Domain | TXT oder CNAME unter selektor._domainkey | TXT unter _dmarc |
| Schwäche allein | prüft nicht die sichtbare Absenderadresse, bricht bei Weiterleitung | sagt nicht, was bei fehlender Signatur passieren soll | braucht SPF oder DKIM als Grundlage |
Wie die drei zusammenspielen
Wenn ein empfangender Server eine Mail von info@example.de erhält, prüft er nacheinander:
SPF
Steht der sendende Server in der SPF-Liste der Domain, die im technischen Umschlag der Mail angegeben ist? Mehr im Artikel Was ist SPF?
DKIM
Ist die Mail mit einem Schlüssel signiert, dessen öffentlicher Teil im DNS der signierenden Domain steht, und ist sie unterwegs unverändert geblieben? Mehr im Artikel Was ist DKIM?
DMARC
Passt mindestens eine der beiden bestandenen Prüfungen zur Domain in der sichtbaren Absenderadresse? Wenn nicht, gilt die Richtlinie der Domain: zustellen, in den Spam oder ablehnen. Mehr im Artikel Was ist DMARC?
Erst DMARC schließt die Lücke, die SPF und DKIM allein offen lassen: Beide prüfen technische Domains, die der Empfänger nie sieht. DMARC verlangt, dass sie zur Adresse passen, die im Postfach als Absender angezeigt wird.
Was die großen Anbieter inzwischen verlangen
Seit Februar 2024 verlangen Google und Yahoo von allen Absendern, die an ihre Postfächer schicken, mindestens SPF oder DKIM. Wer täglich mehr als 5.000 Mails an Gmail-Adressen versendet, braucht SPF, DKIM und DMARC. Microsoft stellt seit Mai 2025 vergleichbare Anforderungen an Absender mit hohem Volumen für Outlook.com. Für kleine Unternehmen gelten die strengsten Regeln also nicht unmittelbar, die Richtung ist aber klar.
In welcher Reihenfolge einrichten
Alle Absender erfassen
Welche Dienste verschicken Mails im Namen Ihrer Domain? Postfachanbieter, Newsletter-Werkzeug, Shop, Buchhaltung, Kontaktformular der Website.
SPF setzen
Alle diese Dienste in einen einzigen SPF-Eintrag aufnehmen.
DKIM aktivieren
Bei jedem Dienst, der es unterstützt, die Signatur einschalten und die DNS-Einträge setzen.
DMARC mit p=none beginnen
Erst beobachten, mit Berichtsadresse, damit sichtbar wird, wer im Namen der Domain sendet.
Schrittweise verschärfen
Wenn die Berichte sauber sind, auf
quarantineund späterrejectumstellen.
Wie KKM-Design Domains einrichtet
Häufige Fragen
Brauche ich alle drei?
Ja. Jeder Eintrag schließt eine Lücke, die die anderen offen lassen. Erst zusammen schützen sie zuverlässig vor gefälschten Absendern und verbessern die Zustellbarkeit.
Wo richte ich die Einträge ein?
Im DNS Ihrer Domain, also dort, wo die Domain verwaltet wird, meist beim Domainanbieter oder Hoster. Die genauen Werte liefert Ihr Mailanbieter.
Kann ich durch falsche Einträge meine Mails blockieren?
Ja. Ein fehlerhafter SPF-Eintrag oder eine zu früh verschärfte DMARC-Richtlinie kann dazu führen, dass eigene Mails abgewiesen werden. Deshalb mit p=none beginnen und Berichte auswerten.
Kay Strack · Webdesigner und Cloud Engineer · KKM-Design