SPF, DKIM und DMARC in zehn Minuten

Du kannst die beste E-Mail deines Lebens schreiben, und niemand liest sie. Nicht, weil der Betreff schwach ist, sondern weil der empfangende Server nicht weiß, ob sie wirklich von dir kommt – und sie im Zweifel in den Spam schiebt.

Um diesen Zweifel auszuräumen, gibt es drei Einträge, die im DNS deiner Domain veröffentlicht werden: SPF, DKIM und DMARC. Seit 2024 verlangen Gmail und Yahoo sie von allen, die E-Mails an ihre Nutzer schicken, und seit 2025 auch Outlook. Die gute Nachricht: Du richtest sie einmal ein, in etwa zehn Minuten, und musst sie danach nicht mehr anfassen. In diesem Artikel erklären wir, was jeder davon macht, wie du sie in Google Workspace und Microsoft 365 einrichtest und wie du prüfst, ob sie funktionieren.

Das Problem: Jeder kann deine Adresse hinschreiben

Die E-Mail wurde in einer Zeit entworfen, in der niemand an Identitätsbetrug dachte. Das Protokoll erlaubt jedem Server, eine Nachricht zu verschicken, in der „Von: anna@deinefirma.de“ steht – so wie jeder deine Adresse als Absender auf die Rückseite eines Briefumschlags schreiben kann.

SPF, DKIM und DMARC sind der Weg, zu beweisen, dass der Umschlag wirklich von dir ist. Jeder beantwortet eine andere Frage:

• SPF: Darf dieser Server E-Mails für diese Domain verschicken?
• DKIM: Trägt die Nachricht die Signatur der Domain, und wurde sie unterwegs nicht verändert?
• DMARC: Wenn etwas davon fehlschlägt, was soll der Empfänger tun? Und wem meldet er es?

Ein guter Vergleich ist ein Einschreiben: SPF ist die Liste der Postfilialen, die in deinem Namen verschicken dürfen, DKIM ist das Wachssiegel, und DMARC sind die Anweisungen, die du bei der Zielfiliale hinterlegst, was mit einem Brief ohne Siegel passieren soll.

SPF: Wer in deinem Namen senden darf

SPF (Sender Policy Framework) ist ein Texteintrag (TXT) in deiner Domain mit der Liste der Server, die in ihrem Namen E-Mails verschicken dürfen. Kommt eine Nachricht an, schaut der Zielserver, woher sie kommt, und vergleicht das mit dieser Liste.

Ein SPF-Eintrag sieht so aus:

v=spf1 include:_spf.google.com ~all

• v=spf1 zeigt an, dass es sich um einen SPF-Eintrag handelt.
• include:_spf.google.com autorisiert die Server von Google Workspace. Bei Microsoft 365 wäre es include:spf.protection.outlook.com.
• ~all besagt, dass jeder andere Server „wahrscheinlich nicht“ autorisiert ist (Softfail). Mit -all ist der Fehler strikt.

Drei häufige Fehler:

1. Zwei SPF-Einträge haben. Pro Domain darf es nur einen geben. Nutzt du Google Workspace und zusätzlich ein Rechnungstool, das E-Mails verschickt, kommen beide include in denselben Eintrag: v=spf1 include:_spf.google.com include:andererdienst.de ~all.
2. Mehr als zehn Abfragen. Jedes include zählt als DNS-Abfrage, und manche enthalten weitere. Der Standard legt ein Maximum von zehn fest; darüber schlägt die Prüfung fehl.
3. Einen Dienst vergessen. Verschickst du über einen Server, der nicht auf der Liste steht (deine Website, dein CRM, ein Akquise-Tool mit eigenem SMTP), fallen diese E-Mails bei SPF durch.

DKIM: Die Signatur jeder E-Mail

DKIM (DomainKeys Identified Mail) fügt jeder E-Mail eine digitale Signatur hinzu. Dein Anbieter signiert die Nachricht mit einem privaten Schlüssel, den nur er hat, und du veröffentlichst im DNS den öffentlichen Schlüssel, damit jeder die Signatur prüfen kann. Ändert jemand unterwegs auch nur ein Komma in der Nachricht, passt die Signatur nicht mehr.

Anders als bei SPF denkst du dir den DKIM-Schlüssel nicht selbst aus: Dein E-Mail-Anbieter erzeugt ihn, und du kopierst ihn nur ins DNS.

• Google Workspace: Geh in der Admin-Konsole zu Apps › Google Workspace › Gmail › Authenticate email, erzeuge einen 2048-Bit-Schlüssel und kopiere den TXT-Eintrag, den du bekommst, mit dem Namen google._domainkey. Geh danach zurück in die Konsole und klick auf Start authentication.
• Microsoft 365: Im Microsoft Defender-Portal werden dir in den DKIM-Einstellungen deiner Domain zwei CNAME-Einträge angezeigt (selector1._domainkey und selector2._domainkey). Du legst sie in deinem DNS an und aktivierst die Signatur.

Der Teil vor ._domainkey heißt Selektor. Er sorgt dafür, dass eine Domain mehrere Schlüssel haben kann, zum Beispiel einen für Google und einen für dein Rechnungstool.

DMARC: Was tun, wenn etwas fehlschlägt

SPF und DKIM prüfen etwas, sagen aber nicht, was passieren soll, wenn die Prüfung fehlschlägt. Das sagt DMARC (Domain-based Message Authentication, Reporting and Conformance), und es fügt eine wichtige Bedingung hinzu: die Ausrichtung (Alignment). Es reicht nicht, dass die E-Mail SPF oder DKIM besteht; die Domain, die sie besteht, muss dieselbe sein wie die im „Von:“, das der Empfänger sieht.

Der DMARC-Eintrag ist ein weiterer TXT-Eintrag, mit dem Namen _dmarc in deiner Domain:

v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de

• p= ist die Richtlinie: none (nichts tun, nur berichten), quarantine (in den Spam verschieben) oder reject (ablehnen).
• rua= ist die Adresse, an die die großen Anbieter dir tägliche Berichte schicken: wer in deinem Namen E-Mails verschickt und ob diese die Prüfungen bestehen.

So gehst du vor, ohne etwas kaputt zu machen:

1. Fang mit p=none und einer rua-Adresse an. Das ist das Minimum, das Google, Yahoo und Microsoft verlangen.
2. Schau dir ein paar Wochen lang die Berichte an (es gibt kostenlose Dienste, die sie lesbar machen). Such nach legitimen Diensten, die durchfallen: die Website, die Formulare verschickt, das Rechnungstool, der Newsletter.
3. Wenn alles Legitime besteht, stell auf p=quarantine um und später auf p=reject. Ab dann hat es jeder, der deine Domain fälschen will, sehr schwer.

Was Gmail, Yahoo und Outlook verlangen

Seit Februar 2024 verlangen Google und Yahoo von allen Absendern SPF oder DKIM. Wer mehr als 5.000 E-Mails pro Tag an Gmail-Konten schickt, braucht zusätzlich SPF, DKIM und DMARC (p=none reicht), Ausrichtung auf die Domain im „Von:“, eine Ein-Klick-Abmeldung und eine Spam-Beschwerderate unter 0,3 %. Seit Mai 2025 verlangt Outlook dasselbe von Absendern mit hohem Volumen.

Wenn du aus deinem Postfach heraus akquirierst, kommst du wahrscheinlich nicht auf 5.000 pro Tag. Aber die Filter wenden nicht nur Regeln an: Sie bewerten auch Vertrauen. Eine Domain mit allen drei Einträgen, sauber eingerichtet, hat einen Vorsprung gegenüber einer ohne – auch wenn sie wenig verschickt.

So prüfst du, ob es funktioniert

Der einfachste Weg braucht keine Tools:

1. Schick dir von deinem Postfach aus eine E-Mail an ein Gmail-Konto.
2. Öffne sie, klick auf die drei Punkte und wähle Original anzeigen.
3. Oben siehst du drei Zeilen: SPF: PASS, DKIM: PASS und DMARC: PASS. Steht bei einer FAIL oder fehlt sie, weißt du, was du prüfen musst.

Denk daran, dass Änderungen im DNS zwischen ein paar Minuten und ein paar Stunden brauchen können, bis sie sich verbreitet haben. Hast du gerade einen Eintrag angelegt und die Prüfung schlägt fehl, warte eine Weile, bevor du noch etwas änderst.

Die Zehn-Minuten-Checkliste

• Ein einziger SPF-Eintrag mit allen Diensten, die in deinem Namen versenden.
• DKIM bei deinem Anbieter erzeugt (Google Workspace oder Microsoft 365), im DNS veröffentlicht und aktiviert.
• DMARC-Eintrag unter _dmarc mit p=none und einer rua-Adresse für die Berichte.
• Test mit „Original anzeigen“ in Gmail: dreimal PASS.
• In ein paar Wochen die Berichte prüfen und auf quarantine umstellen.

Damit hat die E-Mail, die dich so viel Mühe gekostet hat, wenigstens die Chance, gelesen zu werden.