SPF, DKIM und DMARC sind drei DNS-Einträge, die über zwei Dinge entscheiden: ob die E-Mails, die Sie versenden, im Posteingang ankommen, und ob jemand anderes E-Mails verschicken kann, die so aussehen, als kämen sie von Ihnen. Gmail, Yahoo und Outlook.com verlangen inzwischen alle drei von jedem, der Massen-E-Mails versendet, und auch bei allen anderen landen Nachrichten ohne sie eher im Spam.
Die Einträge sind kurz, aber kleine Fehler schleichen sich leicht ein, und sie brechen ohne Vorwarnung, sobald ein neues Tool in Ihrem Namen sendet. Dieser Leitfaden erklärt, was jeder Eintrag bewirkt, in welcher Reihenfolge Sie sie einrichten und wie sie dauerhaft funktionieren.
Wie die drei zusammenspielen
Jede E-Mail hat zwei Absenderadressen: den Envelope-Absender, an den Mailserver Bounces zurückschicken, und die From-Adresse, die der Empfänger sieht. Betrüger nutzen genau diese Lücke aus: Jeder kann eine beliebige From-Adresse eintragen. Die drei Einträge schließen diese Lücke.
SPF (Sender Policy Framework) listet die Server auf, die für Ihre Domain E-Mails senden dürfen.
DKIM (DomainKeys Identified Mail) versieht jede Nachricht mit einer kryptografischen Signatur, die Empfänger anhand eines öffentlichen Schlüssels in Ihrem DNS prüfen.
DMARC (Domain-based Message Authentication, Reporting and Conformance) verknüpft beide mit der sichtbaren From-Adresse und sagt Empfängern, was mit E-Mails geschehen soll, die durchfallen.
SPF: Wer senden darf
Ein SPF-Eintrag ist ein TXT-Eintrag auf Ihrer Domain. Er listet die Dienste und Server auf, die für Sie E-Mails senden, und legt am Ende fest, was mit allen anderen geschieht:
example.com. TXT „v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.25 ~all“
include: bindet den SPF-Eintrag einer anderen Domain ein – der übliche Weg, einen E-Mail-Dienst zuzulassen.
ip4: und ip6: erlauben bestimmte Adressen, etwa Ihren eigenen Mailserver.
~all (Soft Fail) oder -all (Fail) legt fest, was mit allen nicht aufgeführten Absendern passiert. Verwenden Sie niemals +all – damit erlauben Sie dem gesamten Internet, in Ihrem Namen zu senden.
An zwei Regeln scheitern die meisten Domains:
Nur ein Eintrag. Eine Domain darf genau einen SPF-Eintrag haben. Bei zwei Einträgen melden Empfänger einen permanenten Fehler, und SPF schlägt für jede Nachricht fehl. Wenn ein neuer Dienst Sie auffordert, „diesen SPF-Eintrag hinzuzufügen“, ergänzen Sie stattdessen sein include in Ihrem bestehenden Eintrag.
Höchstens 10 DNS-Abfragen. Jedes include, a, mx und redirect kostet eine Abfrage, und auch includes innerhalb von includes zählen mit. Ab der elften schlägt SPF fehl. Ein Eintrag mit Google Workspace, einem Newsletter-Tool, einem CRM und einem Helpdesk kann das Limit überschreiten, ohne dass es jemand merkt.
SPF hat eine Schwäche: Es prüft den Envelope-Absender, nicht die From-Adresse, die der Empfänger sieht, und es bricht, wenn E-Mails weitergeleitet werden. Deshalb reicht es allein nicht aus.
DKIM: Eine Signatur auf jeder Nachricht
Mit DKIM signiert Ihr E-Mail-Dienst jede Nachricht mit einem privaten Schlüssel. Der öffentliche Schlüssel liegt im DNS, unter einem Namen, den man Selektor nennt:
google._domainkey.example.com. TXT „v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…“
Der Empfänger liest den Selektor aus dem DKIM-Signature-Header der Nachricht, ruft den Schlüssel ab und prüft, ob die Nachricht unterwegs verändert wurde. Eine DKIM-Signatur übersteht Weiterleitungen und ist damit die zuverlässigere der beiden Methoden.
Jeder Dienst, der für Sie sendet, braucht eine eigene DKIM-Einrichtung, meist in seinen Admin-Einstellungen unter „Authentifizierung“ oder „verifizierte Domain“. Nutzen Sie 2048-Bit-Schlüssel, wo der Dienst sie anbietet; 1024-Bit-Schlüssel funktionieren noch, sind aber das Minimum, und kürzere werden abgelehnt. Wenn ein Dienst seine Schlüssel rotiert, muss der neue Selektor in Ihrem DNS stehen, bevor er verwendet wird – sonst schlagen die Signaturen fehl.
DMARC: Die Verbindung zur From-Adresse
DMARC ist ein TXT-Eintrag unter _dmarc auf Ihrer Domain:
_dmarc.example.com. TXT „v=DMARC1; p=none; rua=mailto:dmarc@example.com“
Er leistet zwei Dinge, die SPF und DKIM allein nicht können.
Erstens verlangt er Alignment. Eine Nachricht besteht DMARC nur, wenn SPF oder DKIM für dieselbe Domain bestanden wird, die in der sichtbaren From-Adresse steht. Ein Newsletter, der über einen Dienst verschickt wird, der mit seiner eigenen Domain signiert, besteht zwar DKIM, aber nicht für Ihre Domain – und fällt deshalb bei DMARC durch. Darum muss jeder Dienst mit Ihrer Domain signieren.
Zweitens legt er eine Richtlinie für E-Mails fest, die durchfallen:
p=none: wie gewohnt zustellen. Es ändert sich nichts, aber Empfänger können Ihnen Berichte schicken.
p=quarantine: in den Spam verschieben.
p=reject: ablehnen.
Mit dem Tag rua bitten Sie Empfänger, tägliche Sammelberichte an eine Adresse Ihrer Wahl zu senden. Darin steht, welche Server E-Mails im Namen Ihrer Domain verschickt haben und ob sie bestanden haben – so finden Sie Absender, die Sie vergessen hatten.
In der richtigen Reihenfolge einrichten
Direkt auf p=reject zu gehen, ist der klassische Weg, um die eigenen Rechnungen oder Passwort-Resets zu blockieren. Gehen Sie schrittweise vor:
Erfassen Sie alles, was im Namen Ihrer Domain sendet. Ihren Postfach-Anbieter, Ihr Newsletter-Tool, CRM, Helpdesk, Buchungssystem, Ihre E-Commerce-Plattform, das Kontaktformular Ihrer Website und jeden Server, der Benachrichtigungen verschickt.
Richten Sie für jeden davon DKIM ein, mit Ihrer eigenen Domain und nach der Anleitung des jeweiligen Dienstes.
Erstellen Sie einen einzigen SPF-Eintrag mit den Diensten, die ihn brauchen, unter 10 Abfragen und mit ~all am Ende.
Veröffentlichen Sie DMARC mit p=none und einer rua-Adresse, und lassen Sie es zwei bis vier Wochen so laufen.
Beheben Sie jeden legitimen Absender, der durchfällt – meist ein Dienst, der noch mit seiner eigenen Domain signiert.
Wechseln Sie zu p=quarantine, optional mit pct=25, um mit einem Viertel der durchfallenden E-Mails zu beginnen, und dann zu p=reject, sobald kein legitimer Absender mehr durchfällt.
Auch Domains, die nie E-Mails versenden, verdienen Schutz, denn sie lassen sich leicht fälschen. Geben Sie ihnen einen Eintrag, der genau das sagt:
example.org. TXT „v=spf1 -all“
_dmarc.example.org. TXT „v=DMARC1; p=reject“
Fehler, die E-Mails unbemerkt lahmlegen
Ein zweiter SPF-Eintrag für einen neuen Dienst statt eines include im ersten.
Ein SPF-Eintrag, der beim Hinzufügen eines weiteren Tools über 10 Abfragen gewachsen ist.
Ein Newsletter-Tool oder CRM, das mit seiner eigenen DKIM-Domain sendet, sodass DMARC trotz gültiger Signatur fehlschlägt.
Ein DKIM-Schlüssel, der beim Anbieter rotiert, aber nie im DNS veröffentlicht wurde.
Ein DMARC-Eintrag mit Tippfehler, etwa p=rejected, den Empfänger ignorieren.
Der Wechsel zu p=reject, bevor geprüft wurde, ob jeder Absender besteht.
Ein geänderter MX-Eintrag oder ein Mailserver auf einer Blocklist – das schadet der Zustellung unabhängig von den Einträgen.
Keiner dieser Fehler erzeugt eine Meldung, die Sie sehen würden. E-Mails landen einfach im Spam, und Sie erfahren es Wochen später, wenn ein Kunde sagt, er habe die Rechnung nie bekommen.
Prüfen Sie Ihre Einträge
Mit unserem kostenlosen SPF-, DKIM- und DMARC-Checker können Sie Ihre Domain sofort prüfen. Er liest die Einträge aus dem DNS, zählt die SPF-Abfragen, sucht DKIM-Schlüssel unter gängigen Selektoren und erklärt, was zu beheben ist – inklusive des Eintrags zum Einfügen.
Einträge, die heute stimmen, brechen, wenn jemand nächsten Monat einen Dienst hinzufügt. Das E-Mail-Authentifizierungs-Monitoring von Uptimecheck prüft SPF, DKIM und DMARC auf Ihren Domain-Monitoren zweimal täglich, erklärt jedes Problem verständlich, liefert Ihnen den DNS-Eintrag, der es behebt, und alarmiert Sie nur, wenn ein neues Problem auftritt. Außerdem prüft es die Mailserver, die Sie selbst betreiben, auf Blocklists, damit ein Eintrag dort nicht unbemerkt bleibt. Ergänzen Sie damit das Domain-Monitoring, das Sie bereits warnt, bevor die Domain selbst abläuft.
Checkliste
Erfassen Sie jeden Dienst, der E-Mails im Namen Ihrer Domain sendet.
Richten Sie in jedem davon DKIM mit Ihrer eigenen Domain ein, wenn möglich mit 2048 Bit.
Behalten Sie einen einzigen SPF-Eintrag, unter 10 Abfragen, mit ~all oder -all am Ende.
Veröffentlichen Sie DMARC mit p=none und einer Berichtsadresse.
Beheben Sie jeden legitimen Absender, der beim Alignment durchfällt.
Wechseln Sie zu p=quarantine, dann zu p=reject.
Schützen Sie Domains, die nicht senden, mit v=spf1 -all und p=reject.
Prüfen Sie die Einträge regelmäßig – und jedes Mal, wenn ein neues Tool in Ihrem Namen sendet.