SPF, DKIM und DMARC: warum Ihre Mails im Spam landen

Warum das überhaupt wichtig ist

E-Mail entstand, als sich alle kannten, und hatte ursprünglich keine Möglichkeit, den Absender zu prüfen. Deshalb lässt sich die „Von"-Adresse bis heute leicht fälschen. SPF, DKIM und DMARC sind drei Schichten, die dem empfangenden Server beweisen, dass eine Nachricht wirklich von Ihrer Domain stammt.

Fehlen sie, passiert zweierlei: Ihre legitimen Mails landen im Spam, und Angreifer können Betrug in Ihrem Namen versenden. Google und Microsoft verlangen Authentifizierung inzwischen zwingend.

SPF — wer für Ihre Domain senden darf

SPF ist eine Liste der Server, die für Ihre Domain senden dürfen. Ein einzelner TXT-Eintrag. Für Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Weitere Dienste über include: ergänzen. Das abschließende -all bedeutet „alles andere ablehnen".

DKIM — die digitale Signatur der Nachricht

DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu. Der Server prüft über den öffentlichen Schlüssel in Ihrem DNS, dass unterwegs nichts verändert wurde. In Microsoft 365 aktivieren Sie DKIM und fügen zwei CNAME-Einträge hinzu.

DMARC — was bei Fehlern geschehen soll

DMARC verbindet SPF und DKIM, legt das Verhalten bei Fehlern fest und sendet Ihnen Berichte. Ein reiner Überwachungs-Eintrag zum Start:

v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de

• none — nur beobachten. Hier immer beginnen.
• quarantine — Verdächtiges in den Spam.
• reject — Verdächtiges ablehnen. Der Zielzustand.

DMARC nie direkt auf reject stellen. Erst überwachen, um alle legitimen Dienste zu erkennen, die für Sie senden.

Empfohlenes Vorgehen

1. Korrekten SPF-Eintrag für alle Ihre Absender setzen.
2. DKIM aktivieren und die erzeugten Einträge hinzufügen.
3. DMARC im Modus p=none ergänzen.
4. Nach einigen Wochen Berichte auswerten, fehlende Quellen ergänzen.
5. Auf quarantine und schließlich reject wechseln.