Du verschickst Angebote und Rechnungen, und ein Teil davon kommt nie an. Oder jemand verschickt Phishing-Mails mit deiner Absenderadresse, und du erfährst erst davon, wenn sich ein Kunde beschwert. Beides verhinderst du mit drei DNS-Einträgen: SPF, DKIM und DMARC. Hier steht, was sie tun und wie du sie einrichtest.
Warum Mails ohne Authentifizierung nicht mehr ankommen
Kunden reagieren nicht auf Angebote, Rechnungen sind angeblich „nie angekommen“? Dann lohnt sich ein Blick auf die Authentifizierung. Google verlangt seit Februar 2024 von allen Absendern mindestens SPF oder DKIM, von Massenversendern alle drei Einträge. Microsoft hat 2025 für Outlook.com ähnliche Regeln eingeführt. Mails, die die Prüfung nicht bestehen, landen im Spam oder werden abgewiesen. Der Absender bekommt dann eine Fehlermeldung zurück, die im Alltag oft übersehen wird.
E-Mail-Spoofing ist leicht
Die Absenderadresse einer E-Mail zu fälschen, ist ungefähr so schwer, wie einen fremden Absender auf ein Kuvert zu schreiben. Ohne Authentifizierung kann jeder Mails verschicken, die aussehen, als kämen sie von dir. Ziel sind dann deine Kunden und Partner. Abhilfe schafft nur eine vollständige Kette aus SPF, DKIM und DMARC.
Was dabei auf dem Spiel steht
Jede nicht zugestellte Mail kann ein verlorener Auftrag oder eine liegen gebliebene Rechnung sein. Schwerer wiegt der Missbrauch deiner Domain: Verschicken Betrüger in deinem Namen Mails, leidet das Vertrauen deiner Kunden, und deine Domain kann auf Blacklists landen. Von dort wieder herunterzukommen, kostet Zeit.
SPF: Wer darf für deine Domain Mails verschicken?
Der erste Eintrag ist das Sender Policy Framework (SPF). Darin listest du alle Server auf, die im Namen deiner Domain Mails verschicken dürfen. Alle anderen fallen bei der Prüfung durch.
Wie ein SPF-Record funktioniert
Ein SPF-Record ist ein TXT-Eintrag im DNS deiner Domain. Bekommt ein Mailserver eine Mail von deiner Domain, schaut er dort nach und prüft, ob die IP-Adresse des sendenden Servers auf der Liste steht. Wenn ja, passt es. Wenn nicht, gilt die Mail als verdächtig.
So erstellst du deinen SPF-Record
Programmierkenntnisse brauchst du dafür nicht. Du zählst die Server auf, die für dich senden: die deines Hosters, deines Newsletter-Tools oder deines CRM. Ein typischer Eintrag sieht so aus:
v=spf1 a mx include:sendgrid.net include:_spf.google.com ~all
Was bedeutet das?
v=spf1: kennzeichnet den Eintrag als SPF-Record der Version 1.a: erlaubt den Server, auf den dein A-Record (deine Website) zeigt.mx: erlaubt die Mailserver aus deinen MX-Records.include:: bindet die Server eines Drittanbieters ein (z. B. SendGrid für Newsletter oder Google Workspace).~all: markiert Mails von allen anderen Quellen als „Soft Fail“ (verdächtig, aber nicht sofort blockiert). Für den Anfang die sichere Wahl. Wenn alles passt, wechselst du auf-all(Hard Fail).
Diesen Eintrag legst du als TXT-Record für deine Domain (z. B. deinedomain.at) im DNS-Panel an.
DKIM: das Siegel auf jeder Mail
SPF allein reicht nicht, denn der Absender, den der Empfänger im Mailprogramm sieht, lässt sich trotzdem fälschen. Deshalb gibt es DomainKeys Identified Mail (DKIM), eine Art Siegel auf jeder Mail.
Was eine DKIM-Signatur ist
Mit DKIM bekommt jede ausgehende Mail eine kryptografische Signatur im Header. Die Mail selbst wird dabei nicht verschlüsselt. Der empfangende Server holt sich den öffentlichen Schlüssel aus deinem DNS und prüft damit die Signatur. Passt sie, weiß er zweierlei: Die Mail kommt von einem Server, der für deine Domain signieren darf, und der Inhalt wurde unterwegs nicht verändert.
So richtest du DKIM ein
Die meisten Hoster und Mailanbieter (etwa Google Workspace oder Microsoft 365) erzeugen den DKIM-Schlüssel für dich. Du trägst ihn nur noch im DNS ein. Das ist wieder ein TXT-Record, allerdings unter einem eigenen Namen, dem Selektor.
google._domainkey.deinedomain.at. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9...dein...langer...schluessel...AQAB"
Den langen Wert musst du nicht verstehen. Kopier ihn aus dem Dashboard deines Mailanbieters und leg ihn als TXT-Record unter dem richtigen Selektor-Namen (hier: google._domainkey) in deinem DNS an.
Mehr zum Schutz deiner Postfächer findest du auf unserer Seite zur E-Mail-Sicherheit.
DMARC: Was passiert mit Mails, die durchfallen?
SPF und DKIM prüfen. Was der Empfänger mit einer Mail machen soll, die durchfällt, legt Domain-based Message Authentication, Reporting and Conformance (DMARC) fest.
Warum SPF und DKIM allein nicht reichen
Ohne DMARC entscheidet jeder Empfänger selbst, ob er eine verdächtige Mail zustellt, in den Spam verschiebt oder ablehnt. Mit DMARC gibst du das vor. Dazu bekommst du Berichte, wer alles versucht, in deinem Namen zu senden.
DMARC-Richtlinien: none, quarantine oder reject
Die Richtlinie steht im Tag p=:
p=none: Nur beobachten. Mit den Mails passiert nichts, du bekommst aber Berichte. Damit fängst du an.p=quarantine: Mails, die die Prüfung nicht bestehen, landen im Spam-Ordner. Der zweite Schritt.p=reject: Solche Mails werden abgewiesen. Das ist das Ziel.
So sieht dein DMARC-Eintrag aus
Auch DMARC ist ein TXT-Record, und zwar unter _dmarc.deinedomain.at.
v=DMARC1; p=none; rua=mailto:dmarc-reports@deinedomain.at; pct=100;
Was bedeutet das?
v=DMARC1: kennzeichnet den Eintrag als DMARC-Record.p=none: setzt die Richtlinie auf Beobachten.rua=mailto:dmarc-reports@deinedomain.at: schickt die Sammelberichte an diese Adresse.pct=100: wendet die Richtlinie auf 100 % der Mails an.
Schritt für Schritt: SPF, DKIM und DMARC einrichten
- Schritt 1: SPF-Record erstellen und veröffentlichen. Sammle alle Dienste, die für dich Mails senden, und leg den SPF-TXT-Record an.
- Schritt 2: DKIM-Schlüssel erzeugen und im DNS hinterlegen. Aktiviere DKIM bei deinem Mailanbieter und übernimm den TXT-Record in dein DNS.
- Schritt 3: DMARC-Record mit
p=nonestarten. Leg den DMARC-TXT-Record an, damit du Berichte bekommst und siehst, ob alles passt.
Nach einigen Wochen mit sauberen Berichten verschärfst du die Richtlinie auf quarantine und später auf reject. Erst dann ist deine Domain gegen Fälschungen wirklich geschützt.
Fazit
Ohne SPF, DKIM und DMARC kommen Mails heute oft nicht mehr zuverlässig an, und deine Domain lässt sich leicht für Betrug missbrauchen. Die drei Einträge sind schnell angelegt. Mit etwas Geduld beim Umstellen der DMARC-Richtlinie landen deine Mails dort, wo sie hingehören: im Posteingang.
Du willst dir die Einrichtung abnehmen lassen oder brauchst eine professionelle E-Mail-Adresse? Schreib uns, wir richten das für dich ein.
Zum Weiterlesen
Google Workspace Admin-Hilfe: SPF einrichten
DMARC.org: Offizielle DMARC-Spezifikationen
Geschrieben vom Team der MIKAS ISP Werbe GmbH. Seit über 20 Jahren betreuen wir Kunden in Eugendorf, Salzburg und Umgebung. Siehe auch: Werbeagentur in Eugendorf bei Salzburg.