SPF, DKIM und DMARC einrichten: So schützen Sie Ihre Firmen-E-Mails

Das BSI hat am 26. Mai 2025 die Cyber-Sicherheitsempfehlung „Upgrade für die E-Mail-Sicherheit“ veröffentlicht. Sie richtet sich an „alle Unternehmen, die E-Mails mit einer eigenen Domain senden und empfangen“, und nennt als typischen Schritt „eine sorgfältigere Umsetzung der Standards SPF, DKIM und DMARC“. „Sorgfältiger“ ist gut gewählt: In der Praxis existieren die Einträge oft — nur eben halb, veraltet oder widersprüchlich.

Das Grundproblem: Das Von-Feld ist nur Text

Eine E-Mail hat zwei Absenderangaben. Die eine steht im technischen Umschlag; Microsoft nennt sie die MAIL-FROM-Adresse oder den P1-Absender. Die andere ist die Von-Adresse im Nachrichtenkopf, die Ihr Empfänger sieht — der P2-Absender.

Beide müssen nicht übereinstimmen. Das ist Absicht, denn Newsletter-Dienste, Ticketsysteme und Weiterleitungen brauchen diese Trennung. Es ist aber auch der Grund, warum jemand eine Mail mit Ihrer Firmenadresse im Von-Feld verschicken kann, ohne je Zugriff auf Ihr Postfach gehabt zu haben — die Grundlage gefälschter Rechnungen und angeblicher Chef-Anweisungen an die Buchhaltung. Wie solche Angriffe im Detail ablaufen, beschreibt der Beitrag Phishing, Spam und Betrugsanrufe.

SPF: Welche Server dürfen in Ihrem Namen senden?

SPF (Sender Policy Framework) ist eine Liste erlaubter Versandserver, veröffentlicht als DNS-Eintrag auf Ihrer Domain. Laut RFC 7208 müssen SPF-Einträge ausschließlich als DNS-TXT-Record veröffentlicht werden. Ein typischer Eintrag für eine Domain, die nur über Google Workspace versendet, sieht laut Googles eigener Anleitung so aus:

Typ TXT, Name @ (also die Domain selbst), Wert:

v=spf1 include:_spf.google.com ~all

Die Bestandteile: v=spf1 kennzeichnet den Eintrag. include: übernimmt die Serverliste eines Anbieters — für jeden weiteren Dienst, etwa Newsletter-Tool oder Shop, kommt ein include: dazu. ip4: und ip6: erlauben einzelne Adressen. ~all regelt den Umgang mit allen übrigen Servern; RFC 7208 definiert die Qualifier als + pass (erlaubt), - fail (ausdrücklich nicht erlaubt), ~ softfail („vermutlich nicht erlaubt“) und ? neutral (keine Aussage).

Zwei harte Regeln aus dem Standard, an denen die meisten kaputten Einträge scheitern: Eine Domain darf nicht mehrere SPF-Records haben — findet die Prüfung mehr als einen, ist das Ergebnis laut RFC ein permerror, also ein dauerhafter Fehler. Und die Zahl der DNS-abfragenden Begriffe ist auf 10 begrenzt; darüber ebenfalls permerror. Gezählt werden include, a, mx, ptr, exists und redirect — nicht ip4, ip6 und all.

Wichtig: SPF prüft die Domain aus dem Umschlag, nicht das sichtbare Von-Feld. SPF allein verhindert Absenderfälschung deshalb nicht.

DKIM: Die kryptografische Signatur

DKIM (DomainKeys Identified Mail) arbeitet mit einem Schlüsselpaar: Ihr Mailserver signiert jede ausgehende Nachricht mit dem privaten Schlüssel, der öffentliche liegt im DNS und der empfangende Server prüft damit die Signatur. Der DNS-Eintrag hängt an einem sogenannten Selektor:

Typ TXT, Name google._domainkey (der Selektor heißt hier „google“), Wert ist der öffentliche Schlüssel:

v=DKIM1; k=rsa; p=MIIBIjANBgkqh…

Google nennt google als Standard-Selektor und empfiehlt: „If your domain provider supports 2048-bit keys, select this option. Longer keys are more secure than shorter keys.“ 1024 Bit ist die Rückfallebene, nicht die Wunschlösung.

In der Signatur stehen zwei Angaben, die für DMARC entscheidend werden: d= nennt die signierende Domain, s= den Selektor. Der Vorteil gegenüber SPF: Die Signatur übersteht laut Microsoft auch eine Weiterleitung, solange der Nachrichtentext unverändert bleibt. SPF geht dabei regelmäßig kaputt, weil sich der Umschlagabsender ändert.

DMARC: Die Regel — und die Berichte

DMARC verknüpft beides und legt fest, was der Empfänger tun soll. Der Eintrag liegt immer auf dem Hostnamen _dmarc:

Typ TXT, Name _dmarc, Wert (alles in einer Zeile, firma.de durch Ihre Domain ersetzen):

v=DMARC1; p=none; rua=mailto:dmarc@firma.de

Die wichtigsten Angaben:

Eine Nachricht besteht DMARC, wenn mindestens eine der beiden Prüfungen (SPF oder DKIM) besteht und zur Von-Domain passt. Sie fällt nur durch, wenn beide scheitern.

Alignment: der Punkt, an dem es meistens hakt

Alignment ist die Frage, ob die geprüfte Domain zur sichtbaren Absenderdomain gehört. Beide Tags sind laut Microsoft optional und stehen standardmäßig auf r:

• relaxed (r, Standard): Die organisatorische Domain muss übereinstimmen, Subdomains sind erlaubt. Von-Adresse info@ihre-domain.de und Umschlag-Domain bounces.ihre-domain.de passen zusammen.
• strict (s): Die Domains müssen exakt gleich sein. bounces.ihre-domain.de fällt durch.

Der Klassiker sieht im Nachrichtenkopf so aus: spf=pass, dkim=pass — und trotzdem dmarc=fail. Fast immer führt dann ein Versanddienst seine eigene Domain im Umschlag und signiert mit seinem eigenen Schlüssel: Beide Prüfungen bestehen, aber für die falsche Domain. Microsoft nennt zwei Lösungen — die Umschlag-Domain auf Ihre eigene (Sub-)Domain umstellen oder im Dienst eine DKIM-Signatur mit d=ihre-domain.de einrichten. Seriöse Newsletter- und Shopsysteme bieten beides an.

So führen Sie DMARC ein: von p=none zu p=reject

Der Reihenfolge nach, ohne Abkürzung:

1. Inventur. Schreiben Sie auf, was in Ihrem Namen verschickt: Postfachanbieter, Newsletter-Tool, Shopsystem, CRM, Rechnungssoftware, Terminbuchung, Bewertungsanfragen und das Kontaktformular Ihrer Website. Jede vergessene Quelle wird später zu einer blockierten Mail.
2. SPF und DKIM vollständig einrichten. Ein einziger SPF-Record mit allen Diensten, DKIM überall aktiviert und — wo möglich — auf Ihre eigene Domain ausgestellt.
3. DMARC mit p=none und rua= veröffentlichen. Es wird nichts blockiert, Sie sammeln nur Daten. Rechnen Sie mit mehreren Wochen.
4. Auf p=quarantine erhöhen. Microsoft beschreibt hier den schrittweisen Weg über pct=: 10, 25, 50, 75, 100.
5. Auf p=reject erhöhen — erst, wenn in den Berichten nichts Legitimes mehr durchfällt.

Microsofts Reihenfolge lohnt sich zu übernehmen: mit einer Subdomain mit wenig Mailaufkommen beginnen, die Hauptdomain zuletzt. Zwei Besonderheiten: Ein DMARC-Eintrag gilt automatisch auch für alle Subdomains ohne eigenen Eintrag — anders als SPF und DKIM, die jede versendende Subdomain separat braucht. Und registrierte, aber ungenutzte Domains gehören abgesichert; Microsoft empfiehlt dafür schlicht v=DMARC1; p=reject;.

DMARC-Berichte lesen: Was Sie daraus erkennen

Die Sammelberichte (rua) kommen in der Regel einmal täglich als komprimierte XML-Datei. Entscheidend sind vier Angaben pro Eintrag: die Quell-IP, die Anzahl der Nachrichten von dort, das Ergebnis der Alignment-Prüfung für SPF und DKIM und die tatsächliche Behandlung durch den Empfänger. Daraus lesen Sie drei Dinge heraus:

• Versender, von denen Sie nichts wussten. Eine bekannte IP mit hoher Zahl und Fehlern ist meist ein vergessener Dienst, kein Angreifer.
• Den Unterschied zwischen „bestanden“ und „passend“. Microsoft beschreibt das als wichtigste Erkenntnis aus den Berichten: Meldet die Rohprüfung pass, die Alignment-Prüfung aber fail, ist der Absender autorisiert, aber falsch konfiguriert.
• Fälschungsversuche. Unbekannte IPs mit hohem Volumen und durchgängigen Fehlern — genau der Fall, für den Sie am Ende p=reject setzen. Wird dabei der eigene Server missbraucht, gilt die Reihenfolge aus Website gehackt: Erste Hilfe in 10 Schritten.

Zwei Praxishinweise von Microsoft: Legen Sie für rua ein eigenes, gemeinsam genutztes Postfach an, nicht das eines Mitarbeiters. Und rechnen Sie nicht mit Vollständigkeit — die Abdeckung liegt laut Microsoft typischerweise bei 70 bis 90 Prozent des Mailvolumens. Fehlerberichte (ruf) verschicken viele Anbieter gar nicht, Microsoft 365 ausdrücklich nicht. Fangen Sie mit rua an.

Die häufigsten Fehler

• Zwei SPF-Einträge. Entsteht, wenn ein neuer Dienst „seinen“ Eintrag zusätzlich anlegt. Ergebnis: permerror, die Prüfung ist wertlos. Alles gehört in einen Record.
• Mehr als zehn DNS-Lookups. Jeder include: zählt und kann intern weitere auslösen. Ab dem elften: permerror.
• Vergessene Dienste. Newsletter-Tool, Shop, Terminbuchung, Bewertungsanfragen, Rechnungsversand — sie fallen bei p=reject als Erstes aus.
• Kein Alignment. SPF und DKIM bestehen, DMARC nicht. Siehe oben.
• Subdomains ohne eigenes SPF und DKIM. Der DMARC-Eintrag vererbt sich, SPF und DKIM nicht.
• p=reject zu früh. Der Weg über p=none dauert Wochen, nicht Tage.
• Berichte, die niemand liest. Ein rua-Eintrag ohne zuständige Person bringt nichts.

Was Google und Yahoo seit Februar 2024 verlangen

Seit dem 1. Februar 2024 gelten bei den beiden größten Freemail-Anbietern verbindliche Absender-Anforderungen. Sie sind der Grund, warum das Thema aus der IT-Ecke in jedes Marketing-Meeting gewandert ist.

Google — für alle Absender: SPF oder DKIM einrichten, gültige Forward- und Reverse-DNS-Einträge (PTR) führen, eine TLS-Verbindung für den Transport nutzen, die in den Postmaster Tools gemeldete Spam-Rate unter 0,3 % halten, Nachrichten nach RFC 5322 formatieren und keine Gmail-Absender im Von-Feld vortäuschen.

Google — zusätzlich für Massenversender: SPF und DKIM sowie ein DMARC-Eintrag, wobei Google ausdrücklich schreibt: „Your DMARC enforcement policy can be set to none“. Dazu Alignment — „For direct email, the domain in the sender’s From: header must be aligned with either the SPF domain or the DKIM domain“ — und eine Ein-Klick-Abmeldung für Marketing- und Abo-Nachrichten über die Kopfzeilen List-Unsubscribe und List-Unsubscribe-Post: List-Unsubscribe=One-Click. Als Massenversender gilt laut Googles FAQ „any email sender that sends close to 5,000 messages or more to personal Gmail accounts within a 24-hour period“ — und wer das einmal erreicht, bleibt es: „Bulk sender status doesn’t have an expiration date.“ Für Abmeldungen nennt Google 48 Stunden als angemessenen Zeitraum.

Yahoo: Das Yahoo Sender Hub nennt für alle Absender „Implement SPF or DKIM at a minimum“, für Massenversender „Implement both SPF & DKIM“ plus „Publish a valid DMARC policy with at least p=none“. Dazu Alignment („Ensure the domain in the From: header is aligned with either the SPF domain or the DKIM domain“), ein funktionierender List-Unsubscribe-Header mit Ein-Klick-Abmeldung — „The Post (RFC 8058) method is highly recommended“ —, „Honor unsubscribes within 2 days“ und „Keep your spam rate below 0.3%“.

Eine Zahl geht dabei häufig unter: Google empfiehlt in derselben Dokumentation, die Spam-Rate unter 0,10 % zu halten und 0,30 % nie zu erreichen. 0,3 % ist die Grenze, nicht das Ziel. Die Vorgaben werden gelegentlich nachgeschärft — prüfen Sie vor einer größeren Aussendung die Originalseiten von Google und Yahoo. Stand dieses Beitrags ist September 2026.

Häufige Fragen

Was ist der Unterschied zwischen SPF, DKIM und DMARC? SPF legt fest, welche Server E-Mails für Ihre Domain verschicken dürfen. DKIM versieht jede Nachricht mit einer kryptografischen Signatur, die der Empfänger über einen öffentlichen Schlüssel im DNS prüfen kann. DMARC ist kein eigenes Prüfverfahren, sondern die Regel darüber: Es legt fest, was passieren soll, wenn SPF und DKIM nicht bestehen, und sorgt dafür, dass Sie Berichte darüber erhalten. Erst alle drei zusammen erschweren es, Mails in Ihrem Namen zu fälschen.

Reicht SPF allein nicht aus? Nein. SPF prüft die Absenderdomain aus dem technischen Umschlag der Nachricht, nicht die Adresse, die der Empfänger im Von-Feld sieht. Beide dürfen sich unterscheiden. Genau diese Lücke schließt DMARC, indem es zusätzlich verlangt, dass die geprüfte Domain zur sichtbaren Absenderdomain passt. Diese Zuordnung heißt Alignment. Ohne DMARC kann SPF also bestehen, obwohl im Von-Feld Ihre Domain missbraucht wird.

Mit welcher DMARC-Policy fange ich an? Mit p=none und einer Berichtsadresse. In dieser Stufe wird nichts blockiert, Sie bekommen aber täglich Berichte darüber, welche Server in Ihrem Namen senden und ob deren Nachrichten bestehen. Microsoft empfiehlt in seiner DMARC-Anleitung ausdrücklich diesen schrittweisen Weg: erst p=none beobachten, dann p=quarantine, dann p=reject — und dabei mit einer Subdomain mit wenig Mailaufkommen zu beginnen und die Hauptdomain zuletzt umzustellen.

Was verlangen Google und Yahoo von Massenversendern? Laut Googles Absender-Richtlinien gilt seit dem 1. Februar 2024: Alle Absender brauchen mindestens SPF oder DKIM, gültige Forward- und Reverse-DNS-Einträge, TLS beim Transport und eine in den Postmaster Tools gemeldete Spam-Rate unter 0,3 %. Wer rund 5.000 oder mehr Nachrichten innerhalb von 24 Stunden an private Gmail-Konten schickt, gilt dauerhaft als Massenversender und braucht zusätzlich SPF und DKIM, einen DMARC-Eintrag (die Policy darf laut Google auf none stehen), Alignment der Von-Domain mit der SPF- oder DKIM-Domain sowie eine Ein-Klick-Abmeldung. Yahoo nennt dieselben Punkte und ergänzt: Abmeldungen innerhalb von 2 Tagen umsetzen.

Warum bestehen meine Newsletter DMARC nicht, obwohl SPF und DKIM grün sind? Das ist der häufigste Fall überhaupt und fast immer ein Alignment-Problem. Viele Versanddienste setzen ihre eigene Domain in den technischen Umschlag und signieren mit ihrem eigenen DKIM-Schlüssel. SPF und DKIM bestehen dann für die Domain des Dienstleisters, passen aber nicht zu Ihrer Domain im Von-Feld — und DMARC schlägt fehl. Die Lösung ist, im Versandtool die DKIM-Signatur auf Ihre eigene Domain umzustellen oder die Absenderdomain im Umschlag auf eine Subdomain von Ihnen zu ändern.

Was passiert mit Domains, über die gar keine Mails laufen? Die sind ein beliebtes Ziel für Fälschungen, weil niemand sie überwacht. Microsoft empfiehlt für solche registrierten, aber ungenutzten Domains einen DMARC-Eintrag mit dem Inhalt v=DMARC1; p=reject; — die Angabe pct entfällt, weil der Standardwert ohnehin 100 ist, und Berichtsadressen sind hier verzichtbar, weil von dieser Domain keine echte Post kommen soll.

Fazit

SPF, DKIM und DMARC sind kein Projekt, sondern drei DNS-Einträge und eine Inventur. Der Aufwand steckt nicht im Eintragen, sondern darin, alle Versandquellen zu kennen, für jede das Alignment herzustellen und die Berichte einige Wochen zu lesen, bevor Sie von p=none über p=quarantine auf p=reject gehen. Wer abkürzt, blockiert die eigenen Rechnungen. Wer es gar nicht angeht, überlässt seine Domain jedem, der sie missbrauchen will — und riskiert seit Februar 2024, dass sein Newsletter bei Gmail und Yahoo nicht mehr ankommt. Was sonst noch dazu führt, dass Nachrichten im Spam-Ordner landen, steht im Beitrag Ihre Mails landen im Spam.

Wir richten Authentifizierung, DNS und Versand technisch ein — im Rahmen von Hosting und Website-Pflege oder beim Aufsetzen Ihres Verteilers im E-Mail-Marketing. Das Newsletter-Setup inklusive Double-Opt-in und Anmeldeformular kostet 390 € einmalig, das Bereinigen und Importieren einer bestehenden Liste 120 €; alle Pakete stehen unter Preise. Rechtsfragen zu Einwilligung und Werbemails gehören in anwaltliche Hände; was auf der Website selbst zu beachten ist, fasst die DSGVO-Website-Checkliste zusammen, die größeren Zusammenhänge der Beitrag zu rechtssicheren Websites; was bei Werbemails wettbewerbsrechtlich gilt, ordnet der Beitrag Werbeversprechen: Was Sie sagen dürfen ein.

Unsicher, ob Ihre Domain sauber aufgestellt ist? Im kostenlosen Erstgespräch schauen wir gemeinsam auf Ihre DNS-Einträge. Begriffe zum Nachschlagen stehen im Lexikon.