SPF, DKIM und DMARC einrichten: die Anleitung für 2026

Wenn eine E-Mail ankommt, fragt sich der Empfangsserver als Erstes: Darf dieser Absender überhaupt im Namen dieser Domain senden? Drei DNS-basierte Verfahren beantworten diese Frage – SPF, DKIM und DMARC. Seit Gmail und Yahoo sie 2024 für Massenversender verpflichtend gemacht haben, sind sie keine Kür mehr. Diese Anleitung erklärt, was die drei prüfen, wie die Einträge aussehen und in welcher Reihenfolge du sie einführst, ohne legitime Mails zu verlieren.

SPF: Wer darf für die Domain senden?

Das Sender Policy Framework ist ein TXT-Eintrag, der auflistet, welche Server Mails für eine Domain verschicken dürfen. Ein typischer Eintrag:

v=spf1 include:_spf.example-provider.com ip4:203.0.113.10 -all

Wichtig ist eine Eigenheit, die oft übersehen wird: SPF prüft nicht die sichtbare Absenderadresse im From-Feld, sondern die Envelope-Adresse (Return-Path), an die Bounces zurückgehen. Viele Dienste verwenden dafür eine eigene Subdomain, etwa send.deine-domain.de.

• Nur ein SPF-Eintrag pro Name. Zwei v=spf1-Einträge machen SPF ungültig.
• Maximal 10 DNS-Abfragen. Jedes include, a und mx zählt. Wer viele Dienste einbindet, überschreitet die Grenze schnell – dann schlägt SPF mit „permerror“ fehl.
• -all (hart) oder ~all (weich) am Ende legt fest, wie streng nicht gelistete Server behandelt werden. Mit DMARC zusammen ist ~all meist ausreichend.

DKIM: Ist die Mail unverändert und von der Domain signiert?

DomainKeys Identified Mail signiert jede Mail kryptografisch. Der versendende Server hält den privaten Schlüssel; den öffentlichen veröffentlichst du als TXT-Eintrag unter einem Selektor:

ridu-6fe0._domainkey.deine-domain.de  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBg…"

Der Empfänger liest den Selektor aus der Signatur, holt den Schlüssel per DNS und prüft, ob Kopfzeilen und Inhalt seit dem Versand verändert wurden. Weil die Signatur am Inhalt hängt und nicht am Server, übersteht DKIM in der Regel auch Weiterleitungen – anders als SPF.

• Verwende RSA-Schlüssel mit 2048 Bit. 1024 Bit gelten als zu schwach.
• Lange Schlüssel überschreiten die 255-Zeichen-Grenze eines DNS-Strings. Gute DNS-Oberflächen teilen den Wert automatisch auf; prüfe nach dem Speichern, dass nichts abgeschnitten wurde.
• Jeder Dienst bekommt einen eigenen Selektor. So kannst du Schlüssel einzeln austauschen.

DMARC: Was passiert, wenn die Prüfung scheitert?

DMARC verbindet SPF und DKIM mit der sichtbaren Absenderadresse. Eine Mail besteht DMARC, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur From-Domain passt („Alignment“). Bei der üblichen lockeren Ausrichtung genügt dieselbe Organisationsdomain: send.deine-domain.de passt zu deine-domain.de.

_dmarc.deine-domain.de  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de"

Die Richtlinie p sagt Empfängern, was mit Mails geschehen soll, die DMARC nicht bestehen: none (nur berichten), quarantine (Spam-Ordner) oder reject (ablehnen). Über rua bekommst du tägliche Sammelberichte, welche Server in deinem Namen gesendet haben.

Die sichere Reihenfolge

1. Bestandsaufnahme: Welche Systeme senden mit deiner Domain? Newsletter-Tool, Shop, CRM, Helpdesk, Büro-Postfächer.
2. DKIM für jeden Dienst einrichten – das ist der robusteste Baustein.
3. SPF zusammenführen, ohne die 10-Abfragen-Grenze zu reißen.
4. DMARC mit p=none und Berichtsadresse veröffentlichen. Zwei bis vier Wochen Berichte auswerten.
5. Wenn alle legitimen Quellen bestehen: p=quarantine, später p=reject. Mit pct=25 lässt sich die Strenge schrittweise anheben.

Häufige Fehler

• Ein zweiter SPF-Eintrag, weil ein Dienst seine eigene Vorlage mitbringt.
• Bei Cloudflare ist der Proxy (orange Wolke) für einen CNAME aktiv – Mail-Einträge müssen „Nur DNS“ sein.
• Der DKIM-Schlüssel wurde beim Kopieren gekürzt oder mit Zeilenumbrüchen eingefügt.
• Subdomains senden ohne eigene Authentifizierung und scheitern, sobald DMARC streng wird. Mit sp= legst du eine eigene Richtlinie für Subdomains fest.

So prüfst du das Ergebnis

Schick dir eine Testmail an ein Gmail-Postfach und öffne „Original anzeigen“. Dort stehen SPF: PASS, DKIM: PASS und DMARC: PASS, jeweils mit der geprüften Domain. Fehlt eines davon, verrät die Kopfzeile Authentication-Results, warum.