Ihre E-Mails landen im Spam: SPF, DKIM und DMARC der Reihe nach einrichten

Das Ergebnis im Header der Nachricht lesen

Jeder E-Mail-Dienst, der eine Nachricht empfängt, prüft ihre Herkunft und vermerkt das Ergebnis im Header der Nachricht. Um es zu lesen, senden Sie von Ihrer geschäftlichen Adresse eine E-Mail an eine Gmail-Adresse, öffnen sie, klicken neben „Antworten“ auf das Dreipunkt-Menü und dann auf Original anzeigen. Suchen Sie die Zeile Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@ihre-domain.com header.s=google;
       spf=pass (google.com: domain of kontakt@ihre-domain.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@ihre-domain.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=ihre-domain.com

Diese drei Einstellungen sind ungleich verbreitet. Von den 1.730 Domains von KMU, die E-Mails empfangen, in unserer monatlichen Erhebung veröffentlichen 96 % einen SPF-Eintrag, und 71 % haben keine DMARC-Richtlinie, die auf das Ergebnis wirkt.

1. SPF: die Liste der erlaubten Server

SPF ist ein TXT-Eintrag im Stamm der Domain. Er beginnt mit v=spf1, nennt die Server, die für die Domain senden dürfen, und endet mit der Angabe, was von allen anderen zu halten ist. Die beiden verbreitetsten E-Mail-Anbieter veröffentlichen den zu verwendenden Wert:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Jeder weitere Dienst, der mit Ihrer Domain sendet, kommt in denselben Eintrag: Newsletter-Werkzeug, Rechnungsprogramm, CRM und der Server Ihrer Website, wenn deren Formulare selbst senden. Jeder Dienst nennt in seiner Dokumentation das hinzuzufügende include:; ein Server wird über seine Adresse eingetragen, mit ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Ein einziger SPF-Eintrag pro Domain. Zwei Einträge, die mit v=spf1 beginnen, machen SPF ungültig (permerror): führen Sie sie zu einem zusammen.
• Höchstens zehn DNS-Abfragen. Jedes include, a, mx, ptr, exists und redirect zählt, auch die in den include enthaltenen. Über zehn ist SPF ungültig. ip4 und ip6 zählen nicht.
• Das Ende des Eintrags. -all erklärt jeden anderen Server für nicht berechtigt, ~all markiert ihn, ohne ihn für illegitim zu erklären. Google schlägt in seiner Dokumentation ~all vor, Microsoft -all. Ist DMARC eingerichtet, entscheidet dessen Richtlinie, was mit einer Nachricht geschieht, die die Prüfung nicht besteht.

2. DKIM: die Signatur jeder Nachricht

DKIM versieht jede Nachricht mit einer Signatur, die der E-Mail-Dienst des Empfängers mit einem öffentlichen Schlüssel aus Ihrem DNS prüft, unter einem Namen der Form selektor._domainkey.ihre-domain.com. Die Signatur entsteht beim sendenden Dienst; Ihre Aufgabe ist es, den Schlüssel zu veröffentlichen, den er Ihnen gibt.

• Google Workspace: in der Admin-Konsole über das Dreistrich-Menü Apps > Google Workspace > Gmail > E-Mail authentifizieren, dann „Neuen Eintrag erstellen“. Das Standardpräfix ist google, und Google empfiehlt einen Schlüssel mit 2.048 Bit. Veröffentlichen Sie den TXT-Eintrag google._domainkey und klicken Sie danach auf „Authentifizierung starten“.
• Microsoft 365: im Microsoft Defender-Portal, auf der Seite mit den Einstellungen zur E-Mail-Authentifizierung, Registerkarte DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM beruht dort auf zwei CNAME-Einträgen, selector1._domainkey und selector2._domainkey, deren genaue Werte das Portal für Ihre Domain anzeigt: übernehmen Sie sie unverändert und aktivieren Sie dann die Signatur.
• Die anderen Dienste (Newsletter, Rechnungen, CRM) haben jeweils eine Seite zur Domain-Authentifizierung, die ihre eigenen DKIM-Einträge nennt.

Gmail akzeptiert Schlüssel ab 1.024 Bit; 2.048 Bit ist die vom Standard empfohlene Länge. Rechnen Sie mit bis zu 48 Stunden, bis der veröffentlichte Schlüssel überall sichtbar ist.

3. DMARC: die Anweisung an die E-Mail-Dienste

DMARC verknüpft SPF und DKIM mit der Adresse, die der Empfänger sieht, der im Feld From. Eine Nachricht besteht DMARC, wenn SPF oder DKIM für die Domain dieser Adresse gültig ist: das ist die Ausrichtung (Alignment). Der Eintrag legt außerdem fest, was mit einer Nachricht geschieht, die die Prüfung nicht besteht, und wohin die Berichte gehen.

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.com

1. Veröffentlichen Sie p=none mit einer Adresse rua. Die großen E-Mail-Dienste schicken dorthin täglich einen Sammelbericht, eine komprimierte XML-Datei, die die Server auflistet, die mit Ihrer Domain gesendet haben, samt ihrem Ergebnis.
2. Lesen Sie die Berichte zwei bis vier Wochen lang. Jede legitime Quelle, die durchfällt (ein vergessenes Newsletter-Werkzeug, das Rechnungsprogramm), wird in SPF oder DKIM korrigiert.
3. Wechseln Sie zu p=quarantine und nach einigen Wochen ohne Verluste zu p=reject. Schreibt Ihr Team in Mailinglisten, bleiben Sie bei quarantine: der Standard rät für solche Domains von reject ab, weil Mailinglisten die weitergeleiteten Nachrichten verändern.

Ältere Anleitungen schlagen eine schrittweise Einführung mit dem Tag pct vor. Die aktuelle Fassung des DMARC-Standards, RFC 9989, veröffentlicht im Mai 2026, kennt dieses Tag nicht mehr: die Steigerung erfolgt über die Richtlinie selbst.

Der Sonderfall Kontaktformular

Viele Website-Formulare verschicken die Nachricht mit der Adresse des Besuchers als Absender. Der Server der Website hat keine Berechtigung für die Domain dieses Besuchers: SPF und DKIM können sich nicht ausrichten, und DMARC scheitert. Veröffentlicht der E-Mail-Dienst des Besuchers eine strenge Richtlinie (yahoo.com veröffentlicht p=reject), wird die Nachricht abgewiesen oder landet im Spam, bevor sie Sie erreicht.

• Absender: eine Adresse Ihrer Domain, zum Beispiel formular@ihre-domain.com.
• Antwortadresse (Reply-To): die Adresse des Besuchers, damit ein Klick auf Antworten direkt an ihn schreibt.
• Versand: über ein authentifiziertes SMTP-Konto Ihres E-Mail-Dienstes, in SPF eingetragen und mit DKIM signiert, statt über die Standard-Versandfunktion des Servers.

Wenn alles besteht und die Nachricht trotzdem im Spam landet

• Sperrlisten: das Werkzeug von Spamhaus, https://check.spamhaus.org/, prüft kostenlos eine IP-Adresse oder eine Domain.
• Der Reverse-DNS-Eintrag: Gmail verlangt von allen Absendern einen Versandserver, dessen IP-Adresse einen gültigen Reverse-Namen (PTR) hat, der seinerseits auf diese Adresse zeigt. Bei einem E-Mail-Anbieter ist das bereits erledigt; auf einem Server, den Sie selbst betreiben, lohnt die Prüfung.
• Massenversand: ab etwa 5.000 Nachrichten pro Tag an Gmail-Adressen verlangt Google SPF und DKIM, DMARC mindestens mit p=none, die Ausrichtung, die Abmeldung mit einem Klick und eine gemeldete Spamrate unter 0,3 %. Seit November 2025 weist Gmail einen Teil der Nachrichten ab, die diese Regeln nicht einhalten. Yahoo stellt ähnliche Anforderungen, ohne einen Schwellenwert zu veröffentlichen, und Outlook.com weist seit dem 5. Mai 2025 Nachrichten von Domains ab, die mehr als 5.000 Nachrichten pro Tag ohne SPF, DKIM und DMARC senden.
• Google Postmaster Tools (postmaster.google.com) zeigt die Reputation Ihrer Domain und die Spamrate bei Gmail, sobald die Domain per DNS-Eintrag bestätigt ist. Die Übersichten füllen sich ab einem ausreichenden Versandvolumen.