SPF, DKIM, DMARC einfach erklärt – warum E-Mails abgelehnt werden
Drei Abkürzungen, die darüber entscheiden, ob E-Mails ankommen oder im Spam landen. Hier die einfache, technische Erklärung.
- >SPF legt fest, welche Server E-Mails für eine Domain senden dürfen.
- >DKIM signiert E-Mails kryptografisch, um Manipulationen zu erkennen.
- >DMARC entscheidet, was passiert, wenn SPF oder DKIM fehlschlagen.
Warum SPF, DKIM und DMARC so wichtig sind
Moderne Mailserver vertrauen E-Mails nicht mehr einfach so. Ohne Authentifizierung kann heute praktisch jeder im Namen einer fremden Domain E-Mails versenden. SPF, DKIM und DMARC sind die Schutzmechanismen dagegen.
SPF – Wer darf E-Mails senden?
SPF (Sender Policy Framework) definiert, welche Server berechtigt sind, E-Mails für eine Domain zu versenden. Diese Information wird im DNS hinterlegt.
Sendet ein nicht autorisierter Server eine E-Mail, kann diese abgelehnt oder als Spam markiert werden.
DKIM – Ist die E-Mail unverändert?
DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu. Der empfangende Server prüft diese Signatur über einen DNS-Schlüssel.
Ist die Signatur ungültig oder fehlt, gilt die E-Mail als manipuliert oder nicht vertrauenswürdig.
DMARC – Die Entscheidungsinstanz
DMARC (Domain-based Message Authentication, Reporting & Conformance)legt fest, was passieren soll, wenn SPF oder DKIM fehlschlagen.
Typische DMARC-Richtlinien:
p=none– nur überwachenp=quarantine– Spam-Ordnerp=reject– komplett ablehnen
Warum E-Mails trotz SPF/DKIM scheitern
Häufige Fehler sind mehrere SPF-Einträge, falsche Includes oder fehlende Alignment-Regeln bei DMARC. Schon kleine Abweichungen führen zu Ablehnungen.
Wann professionelle Hilfe sinnvoll ist
Wenn geschäftskritische E-Mails im Spam landen oder abgelehnt werden, sollte die Konfiguration strukturiert überprüft werden. Blindes Ändern von DNS-Einträgen verschärft das Problem oft.
Wir unterstützen Unternehmen bei der Einrichtung und Analyse von SPF-, DKIM- und DMARC-Konfigurationen sowie bei akuten E-Mail-Problemen.
→ Jetzt Kontakt aufnehmen
- SPF, DKIM und DMARC als zusammenhängendes Authentifizierungsmodell verstehen
- Alignment und DMARC-Richtlinien korrekt erklären und planen
- Eine Domain schrittweise überwachen, absichern und fehlerfrei umstellen
Drei Verfahren mit unterschiedlichen Aufgaben
SPF veröffentlicht, welche Systeme für eine Domain senden dürfen, und wird gegen die technische Envelope-From-Domain geprüft. DKIM versieht Nachrichten mit einer kryptografischen Signatur; der öffentliche Schlüssel liegt im DNS. DMARC verbindet beide Verfahren mit der sichtbaren From-Domain und definiert, wie Empfänger mit nicht ausgerichteten Nachrichten umgehen sollen.
Eine Nachricht besteht DMARC, wenn mindestens SPF oder DKIM erfolgreich ist und die jeweilige authentifizierte Domain mit der sichtbaren Absenderdomain ausgerichtet ist. Genau dieses Alignment verhindert, dass ein Angreifer eine beliebige sichtbare Adresse verwendet, obwohl er nur eine fremde technische Versanddomain kontrolliert.
DMARC nicht blind auf reject setzen
Der sichere Rollout beginnt typischerweise mit p=none und einem Reporting-Postfach. Die Berichte zeigen legitime Versandquellen, vergessene Newsletterdienste und Missbrauch. Danach werden Quellen bereinigt, DKIM-Schlüssel eingerichtet und zunächst ein kleiner Prozentsatz mit quarantine oder reject geschützt. Erst wenn legitimer Versand zuverlässig ausgerichtet ist, wird die Richtlinie verschärft.
SPF darf nur einen Datensatz pro Domain besitzen und hat ein Limit für DNS-basierte Auswertungen. Lange Include-Ketten sind deshalb ein Betriebsrisiko. DKIM-Schlüssel sollten ausreichend stark sein und regelmäßig rotiert werden. Subdomains, Weiterleitungen und Drittanbieter benötigen eine bewusste Architektur statt einzelner DNS-Schnellschüsse.
Authentifizierung schützt Marke und Zustellbarkeit
SPF, DKIM und DMARC sind keine Spamfilter, verbessern aber die Vertrauensbasis für Empfänger. Saubere Authentifizierung, konstante Versandmuster, gepflegte Listen und niedrige Beschwerderaten wirken zusammen. Eine technisch bestandene Prüfung garantiert daher keine Inbox-Platzierung, eine fehlerhafte Konfiguration kann legitime Zustellung jedoch deutlich beeinträchtigen.
Der Betrieb benötigt Monitoring für DNS-Änderungen, DKIM-Signaturen und DMARC-Berichte. Neue Versanddienste dürfen erst produktiv gehen, wenn Absenderdomain, Return-Path, DKIM und Rückläufer getestet sind.
- 01
Alle legitimen Versandquellen und verwendeten Absenderdomains inventarisieren.
- 02
SPF auf einen Datensatz konsolidieren und DNS-Lookups kontrollieren.
- 03
DKIM für jeden Versanddienst aktivieren und Schlüsseldrehung planen.
- 04
DMARC mit Reporting starten, Berichte auswerten und Alignment korrigieren.
- 05
Richtlinie stufenweise auf quarantine und anschließend reject erhöhen.
Reicht SPF allein aus?
Nein. SPF kann bei Weiterleitungen brechen und schützt die sichtbare From-Adresse ohne DMARC-Alignment nicht ausreichend. DKIM und DMARC ergänzen die fehlenden Eigenschaften.
Was bedeutet p=none?
Empfänger sollen aufgrund von DMARC noch nicht ablehnen oder quarantänisieren. Die Richtlinie dient der Beobachtung; SPF-, DKIM- und DMARC-Ergebnisse werden dennoch ausgewertet und berichtet.