SPF, DKIM und DMARC einrichten: So geht es
Wir zeigen, wie Sie SPF-, DKIM- und DMARC-Einträge anlegen und testen, damit Ihre E-Mails nicht im Spam landen und Ihre Domain nicht gefälscht werden kann.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
SPF-, DKIM- und DMARC-Einträge werden im DNS-Bereich Ihrer Domain als TXT-Eintrag (bei manchen Anbietern als CNAME) hinzugefügt. SPF legt fest, welche Server in Ihrem Namen E-Mails senden dürfen, DKIM liefert die digitale Signatur, die zeigt, dass die Nachricht nicht verändert wurde, und DMARC bestimmt, was mit Nachrichten geschieht, die diese Prüfungen nicht bestehen. Zuerst richten Sie SPF und DKIM ein, dann DMARC mit p=none.
Warum landen Mails im Spam?
Empfangende Server wie Gmail, Outlook und Yahoo prüfen bei jeder eingehenden Nachricht, ob sie wirklich von der angegebenen Absender-Domain stammt. Nachrichten ohne Authentifizierung landen entweder im Spam-Ordner oder werden gar nicht zugestellt. Die häufigste Ursache für die Klage Mails landen im Spam sind fehlende oder fehlerhafte Einträge dieser drei Arten.
Diese Einträge sind zugleich eine Sicherheitsmaßnahme. Sind sie nicht richtig eingerichtet, können Betrüger Ihre Domain nutzen, um Ihren Kunden gefälschte Rechnungen oder Zahlungsaufforderungen zu senden. Die Kontosicherheit gegen Phishing behandeln wir in den Beiträgen Sicheres Passwort erstellen und Was ist ein Passkey.
Google und Yahoo erwarten von Massenversendern, die mehr als 5.000 Nachrichten pro Tag senden, alle drei Verfahren SPF, DKIM und DMARC, von allen Absendern mindestens SPF oder DKIM. Auch wenn Sie weniger E-Mails versenden, verbessert die Einrichtung aller drei die Zustellrate spürbar.
Vorbereitung vor der Einrichtung
Erstellen Sie vor dem Anlegen der Einträge eine Liste aller Dienste, die im Namen Ihrer Domain E-Mails versenden. In dieser Liste sollten nicht nur Ihr Anbieter für Firmen-E-Mail stehen, sondern auch die Formularbenachrichtigungen Ihrer Website, Ihr Newsletter-Tool und Software, die Rechnungen und Bestellbenachrichtigungen versendet.
- Zugang zum DNS-Bereich der Domain (beim Domain-Anbieter oder bei einem DNS-Dienst wie Cloudflare)
- Ihr Anbieter für Firmen-E-Mail: Google Workspace, Microsoft 365 oder die E-Mail Ihres Hosting-Anbieters
- Die Server, von denen Ihre Website sowie Newsletter- und Benachrichtigungs-Tools senden
- Eine E-Mail-Adresse für den Empfang der DMARC-Berichte (z. B. dmarc@ornek.com)
Wie schreibt man einen SPF-Eintrag?
Der SPF-Eintrag ist ein TXT-Eintrag, der an die Stammadresse (@) Ihrer Domain gesetzt wird und mit v=spf1 beginnt. Er enthält die Adressen der Server, denen Sie das Senden in Ihrem Namen erlauben, und am Ende eine Angabe, was mit allen übrigen geschehen soll.
Eine Domain darf nur einen einzigen SPF-Eintrag haben. Wenn Sie einen neuen Dienst hinzufügen, legen Sie keinen zweiten Eintrag an, sondern ergänzen den bestehenden um eine include-Angabe; zwei getrennte SPF-Einträge lassen die Prüfung komplett scheitern.
- ~all (Softfail): Server, die nicht in der Liste stehen, gelten als verdächtig; in der Übergangszeit die sichere Wahl.
- -all (Fail): Server, die nicht in der Liste stehen, werden abgelehnt; nutzen Sie das, wenn Sie sich bei allen Versandquellen sicher sind.
- Die SPF-Prüfung erlaubt höchstens 10 DNS-Abfragen; jedes include verbraucht davon einen Teil. Wird die Grenze überschritten, ist der Eintrag ungültig.
Typ: TXT Name: @
v=spf1 include:_spf.google.com ~allTyp: TXT Name: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allWas ist DKIM, und wie richtet man es ein?
DKIM ist eine digitale Signatur, die jeder gesendeten Nachricht hinzugefügt wird. Der sendende Server signiert die Nachricht mit einem privaten Schlüssel, der empfangende Server prüft die Signatur mit dem öffentlichen Schlüssel, den Sie im DNS veröffentlichen. So ist belegt, dass die Nachricht unterwegs nicht verändert wurde und wirklich von Ihrer Domain stammt.
Den DKIM-Schlüssel erzeugen Sie nicht selbst; er wird im Dashboard Ihres E-Mail-Anbieters erstellt. Das Dashboard gibt Ihnen einen Selector-Namen und den Wert, den Sie im DNS hinterlegen müssen. Wählen Sie nach Möglichkeit einen 2048-Bit-Schlüssel. Vergessen Sie nach dem Hinzufügen des Eintrags nicht, im Dashboard des Anbieters den Schritt zum Starten bzw. Aktivieren der Signierung durchzuführen; andernfalls werden Nachrichten nicht signiert, selbst wenn der Eintrag veröffentlicht ist.
| Anbieter | Eintragstyp und Name |
|---|---|
| Google Workspace | TXT, google._domainkey (Standard-Selector Google) |
| Microsoft 365 | Zwei im Dashboard angezeigte CNAMEs: selector1._domainkey und selector2._domainkey |
| Hosting-E-Mail | TXT-Eintrag mit dem im Dashboard angezeigten Selector |
| Newsletter-Tools | Die vom Tool vorgegebenen CNAME- oder TXT-Einträge |
Typ: TXT Name: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...DMARC-Eintrag und Policy-Wahl
Der DMARC-Eintrag ist ein TXT-Eintrag, der an den Unternamen _dmarc gesetzt wird. Er verlangt, dass mindestens eine der SPF- und DKIM-Prüfungen besteht und die bestandene Prüfung mit der Domain in der From-Zeile übereinstimmt (ausgerichtet ist). Was der empfangende Server tut, wenn diese Bedingung nicht erfüllt ist, legt die Policy fest.
DMARC gleich mit der strengsten Policy zu aktivieren, kann dazu führen, dass die E-Mails einer vergessenen Versandquelle (z. B. des Website-Formulars) verloren gehen. Deshalb empfehlen wir eine schrittweise Umstellung: Zunächst nur beobachten, und wenn die Berichte zeigen, dass alle legitimen Quellen bestehen, die Policy verschärfen.
Die DMARC-Policy der Hauptdomain gilt auch für Subdomains, die keinen eigenen Eintrag haben. Wünschen Sie für Subdomains eine andere Policy, können Sie das sp-Tag verwenden oder der jeweiligen Subdomain einen eigenen _dmarc-Eintrag hinzufügen. Wenn Sie während der Umstellung in jeder Phase mindestens einige Wochen lang die Berichte beobachten, übersehen Sie keine legitime Versandquelle. Weitere Ratgeber zu DNS-Einträgen finden Sie beim Schlagwort DNS.
- p=none: Nachrichten bleiben unbeeinflusst, es werden nur Berichte gesammelt.
- p=quarantine: Nachrichten, die die Prüfung nicht bestehen, werden in den Spam-Ordner verschoben.
- p=reject: Nachrichten, die die Prüfung nicht bestehen, werden abgelehnt; der stärkste Schutz gegen Domain-Fälschung.
- Die Sammelberichte, die an die rua-Adresse gehen, liegen im XML-Format vor; ein DMARC-Berichtstool erleichtert das Lesen.
Typ: TXT Name: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.comWie teste ich die Einträge?
Die Verbreitung von DNS-Änderungen kann wenige Minuten bis einige Stunden dauern. Prüfen Sie über die Kommandozeile, ob die Einträge veröffentlicht sind; in der Ausgabe müssen Sie den eingetragenen Wert exakt wiederfinden.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTTest mit einer echten Nachricht
Senden Sie von Ihrer Firmenadresse eine E-Mail an ein privates Gmail-Konto. Öffnen Sie die Nachricht und klicken Sie im Menü oben rechts auf Original anzeigen. Auf der sich öffnenden Seite muss bei allen drei Zeilen SPF, DKIM und DMARC PASS stehen; sehen Sie FAIL oder NEUTRAL, prüfen Sie den betreffenden Eintrag erneut.
Häufige Fehler und Lösungen
Nachrichten, die von Ihrer Website kommen, sind die am häufigsten übersehene Quelle dieser Probleme. Wird das Kontaktformular oder die Bestellbenachrichtigung der Website direkt vom Server ohne Authentifizierung gesendet, besteht sie die SPF- und DKIM-Prüfung nicht. Das Senden der Formulare über Ihr Firmen-E-Mail-Konto per authentifiziertem SMTP löst dieses Problem an der Wurzel. Achten Sie beim Aufbau einer Unternehmenswebsite oder eines Onlineshop-Systems darauf, dass die Benachrichtigungs-E-Mails so konfiguriert sind.
| Symptom | Mögliche Ursache und Lösung |
|---|---|
| SPF PermError | Es gibt zwei SPF-Einträge oder die Grenze von 10 Abfragen wurde überschritten; führen Sie die Einträge zusammen und entfernen Sie überflüssige includes. |
| DKIM FAIL | Der Eintrag wurde unvollständig kopiert oder die Signierung wurde im Dashboard nicht gestartet. |
| DMARC FAIL, SPF PASS | SPF besteht für eine andere Domain; fügen Sie eine DKIM-Signatur hinzu, die mit der From-Domain übereinstimmt. |
| Mails vom Website-Formular landen im Spam | Das Formular sendet mit der nicht authentifizierten Funktion mail(); nutzen Sie authentifiziertes SMTP. |
| Eintrag im Dashboard vorhanden, aber in der Abfrage nicht | Die Domain wurde im Namensfeld doppelt eingetragen (z. B. _dmarc.ornek.com.ornek.com). |
Häufig gestellte Fragen
01Braucht man Einträge auch für eine Domain, die keine E-Mails versendet?
Ja, vor allem gegen Fälschung. Ein SPF-Eintrag der Form v=spf1 -all und ein DMARC-Eintrag mit der Policy p=reject für eine Domain, die nie E-Mails versendet, erschweren es Betrügern, diese Domain zu verwenden.
02Ich habe die Einträge hinzugefügt, die Mails landen trotzdem im Spam. Warum?
Die Authentifizierung ist nur ein Teil der Zustellung. Auch Faktoren wie die Reputation der IP-Adresse, von der Sie senden, die Beschaffenheit des Inhalts, die Quote, mit der Empfänger Nachrichten als Spam markieren, und der Abmeldelink spielen eine Rolle. Bei Massenversand sollten Sie eine Liste mit Einwilligungen nutzen und sie regelmäßig bereinigen.
03In den DMARC-Berichten sehe ich IP-Adressen, die ich nicht kenne. Was tun?
Prüfen Sie zuerst, ob diese IP-Adressen zu einem legitimen Dienst gehören, den Sie vergessen haben. Ist das der Fall, fügen Sie sie den SPF- und DKIM-Einstellungen hinzu; wenn nicht, handelt es sich sehr wahrscheinlich um Sendungen, die Ihre Domain fälschen, und das ist ein guter Grund, die Policy auf quarantine oder reject zu verschärfen.
Wenn SPF, DKIM und DMARC gemeinsam eingerichtet sind, erreichen Ihre E-Mails die Empfänger, und Ihre Domain ist vor Fälschung geschützt. Werfen Sie einen Blick auf die Aurora-Lösungen, die Domain-, E-Mail- und Serverkonfiguration zusammen mit Ihrer Business-Software betrachten, und erreichen Sie uns über die Seite Kontakt, um Ihre Einträge prüfen zu lassen. Für eine bessere Zustellrate bei Massen-E-Mail-Kampagnen können Sie auch mit unserem Team für Online-Marketing zusammenarbeiten.
