Zum Inhalt springen
MARCODES
Abstraktes Relief aus dunklem Papier: ein flaches Plättchen gleitet nacheinander durch drei Lichtebenen

SPF, DKIM und DMARC einrichten: damit Ihre Mails ankommen

SPF nennt die Server, die für Ihre Domain senden dürfen, DKIM signiert jede Mail, und DMARC regelt Mails, bei denen weder SPF noch DKIM besteht und zur sichtbaren Absenderdomain passt. Die DMARC-Regel verschärfen Sie danach in Stufen, von Beobachten bis Ablehnen.

8 min Lesezeit Marketing & SEO

Gmail, Yahoo, Outlook.com und die großen deutschen Postfachanbieter prüfen bei jeder eingehenden Mail, ob der Absender sie wirklich verschicken durfte. Fehlt der Nachweis, landet die Mail im Spam-Ordner oder wird gar nicht angenommen. Den Nachweis liefern Sie über das DNS Ihrer Domain, also über Einträge beim Anbieter, bei dem Ihre Domain verwaltet wird, etwa IONOS, Strato, Hetzner oder Cloudflare.

Dieser Beitrag zeigt die drei Einträge an Beispielen für die Domain example.com, die für Dokumentationen reserviert ist. Warum Zustellbarkeit für Newsletter-Strategie und Listenpflege zählt, steht im Beitrag E-Mail-Marketing ist nicht tot. Hier geht es um die Technik.

Prüfregeln

Warum Postfachanbieter Absender prüfen

Seit dem 01.02.2024 verlangt Google von allen Absendern an private Gmail-Konten mindestens SPF oder DKIM. Wer an einem Tag annähernd 5.000 Mails oder mehr an Gmail-Konten schickt, gilt laut Google dauerhaft als Massenversender und braucht SPF, DKIM und einen DMARC-Eintrag, dazu eine Abmeldung mit einem Klick. Yahoo stellt seit Februar 2024 dieselben Anforderungen. Seit November 2025 setzt Google diese Anforderungen laut eigener Ankündigung strenger durch.

Microsoft verlangt seit dem 05.05.2025 für Outlook.com, Hotmail und Live.com dasselbe von Absendern mit mehr als 5.000 Mails am Tag. Mails, die die Anforderungen nicht erfüllen, weist Outlook.com mit dem Fehler „550 5.7.515“ ab. GMX und WEB.DE verlangen laut ihren Postmaster-Seiten eine gültige DKIM-Signatur; SPF allein genügt dort nicht. Anfang Mai 2026 hat der Betreiber 1&1 Mail & Media außerdem angekündigt, Mails von Domains mit der Regel p=reject schrittweise abzuweisen, wenn sie die Prüfung nicht bestehen.

Die Schwellen betreffen Massenversender, die Prüfung selbst trifft jede Mail. Auch die Rechnung aus der Buchhaltungssoftware oder die Bestätigung aus dem Onlineshop wird geprüft.

Absenderliste

SPF: wer für Ihre Domain senden darf

SPF (Sender Policy Framework, RFC 7208) ist ein TXT-Eintrag auf der Domain. Er zählt alle Server und Dienste auf, die Mails mit Ihrer Domain verschicken dürfen, und endet mit einer Regel für alle anderen.

Ein Eintrag pro Domain

Eine Domain darf nur einen SPF-Eintrag haben. Kommt ein Versanddienst hinzu, ergänzen Sie den vorhandenen Eintrag, statt einen zweiten anzulegen. Zwei Einträge führen laut RFC 7208 zu einem Fehler, und die Prüfung schlägt für alle Mails fehl. Das Beispiel erlaubt die Mailserver aus dem MX-Eintrag und einen fiktiven Newsletter-Dienst, alle anderen Server werden abgelehnt:

example.com dns 
example.com.  3600  IN  TXT  "v=spf1 mx include:spf.newsletterdienst.example -all"

Die Schreibweise oben ist die einer Zonendatei. In den Weboberflächen der Domain-Anbieter tragen Sie nur den Wert ein, ohne Klammern und meist ohne Anführungszeichen: v=spf1 mx include:spf.newsletterdienst.example -all. Den Namen lassen Sie leer oder setzen das Zeichen @, je nach Oberfläche.

Das -all am Ende bittet Empfänger, Mails von nicht genannten Servern abzulehnen. Das wirkt unabhängig von DMARC: Auch solange Ihre DMARC-Regel noch auf p=none steht, kann ein Empfänger eine Mail aus einem vergessenen Versanddienst schon wegen des SPF-Ergebnisses abweisen. Wer seine Absender noch nicht vollständig kennt, beginnt deshalb mit ~all und stellt erst auf -all um, wenn die DMARC-Berichte keine unbekannten eigenen Absender mehr zeigen.

Die Grenze von zehn Abfragen

RFC 7208 begrenzt die Zahl der DNS-Abfragen, die eine SPF-Prüfung auslösen darf, auf zehn. Jedes include, a, mx, ptr, exists und redirect zählt, auch die verschachtelten Einträge, die ein include des Dienstes selbst wieder enthält. Wer Microsoft 365, ein CRM, einen Newsletter-Dienst und den Onlineshop einträgt, ist schnell darüber. Dann liefert die Prüfung einen permanenten Fehler, und für die Empfänger gilt Ihre Domain als nicht geprüft. Zählen Sie die Abfragen deshalb nach jeder Änderung mit einem SPF-Prüfwerkzeug nach. Dienste, die Sie nicht mehr nutzen, nehmen Sie heraus.

Signatur

DKIM: digitale Signatur

DKIM (DomainKeys Identified Mail, RFC 6376) signiert jede ausgehende Mail mit einem privaten Schlüssel. Den öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem Selektor, einem frei gewählten Namen vor _domainkey. So kann jeder Dienst einen eigenen Schlüssel haben, und Sie können Schlüssel austauschen, ohne den Versand zu unterbrechen.

Newsletter-Dienste wie CleverReach oder rapidmail versenden über ihre eigenen Server. Damit die Signatur zu Ihrer Domain passt, tragen Sie den Schlüssel des Dienstes unter Ihrer Domain ein; die nötigen Einträge zeigt der Dienst in seinen Einstellungen an. Manche Dienste geben einen CNAME vor, der auf ihren Schlüssel zeigt, damit sie ihn selbst erneuern können. Der eigene Mailserver bekommt einen TXT-Eintrag mit dem Schlüssel:

example.com dns 
nl2026._domainkey.example.com.    3600  IN  CNAME  nl2026.dkim.newsletterdienst.example.
mail2026._domainkey.example.com.  3600  IN  TXT    ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
                                                      "...weiterer Teil des Schlüssels...IDAQAB" )

Nach RFC 8301 müssen RSA-Schlüssel mindestens 1.024 Bit lang sein, 2.048 Bit sind empfohlen. Ein Schlüssel mit 2.048 Bit ist länger als die 255 Zeichen, die eine einzelne Zeichenkette in einem TXT-Eintrag haben darf. Er wird deshalb in mehrere Zeichenketten innerhalb desselben Eintrags geteilt, wie im Beispiel. Manche Verwaltungsoberflächen erledigen das selbst, andere schneiden den Schlüssel stillschweigend ab. Prüfen Sie den Eintrag nach dem Speichern mit einer DNS-Abfrage.

Regelwerk

DMARC: Regel und Berichte

DMARC verbindet beide Prüfungen mit der Absenderadresse, die der Empfänger sieht. Eine Mail besteht DMARC, wenn SPF oder DKIM gültig ist und die geprüfte Domain zur Domain im Absenderfeld passt. Dieses Passen heißt Alignment. Ein Newsletter-Dienst, der mit seiner eigenen Domain signiert, besteht DKIM, aber nicht DMARC.

Im Mai 2026 hat die IETF die überarbeitete Fassung als RFC 9989 veröffentlicht, sie ersetzt RFC 7489 und RFC 9091. Nach RFC 9989 besteht eine Mail DMARC, wenn mindestens eine der geprüften Domains aus SPF oder DKIM bestanden hat und zur Domain im Absenderfeld passt. Die Berichte beschreibt RFC 9990. Der Eintrag beginnt weiter mit v=DMARC1, vorhandene Einträge bleiben gültig. Der erste Eintrag beobachtet nur und fordert Sammelberichte an die Adresse hinter rua an:

example.com dns 
_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.com"

Die Sammelberichte kommen als XML-Dateien, meist einmal am Tag von jedem größeren Postfachanbieter. Sie zeigen, welche Server mit Ihrer Domain gesendet haben und ob SPF und DKIM bestanden. Lesbar werden sie mit einem Auswertungsdienst. Das BSI weist in seiner Technischen Richtlinie TR-03182 „E-Mail-Authentifizierung“ (Version 1.0) darauf hin, dass die Berichte personenbezogene Daten enthalten und innerhalb der EU verarbeitet werden müssen. Wählen Sie den Auswertungsdienst entsprechend aus. Wie wir Domain-Einträge, Berichte und Versanddienste für Newsletter prüfen, beschreibt die Seite zum E-Mail-Marketing.

Domains, die nie Mails versenden, etwa Tippfehler-Domains oder alte Markennamen, schützt die TR-03182 mit drei Einträgen: einem leeren MX-Eintrag, einem SPF-Eintrag, der niemanden erlaubt, und DMARC mit p=reject:

example.net dns 
example.net.         3600  IN  MX   0 .
example.net.         3600  IN  TXT  "v=spf1 -all"
_dmarc.example.net.  3600  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-berichte@example.com"

Für die zweite Domain muss example.com Berichte annehmen. Dafür veröffentlicht example.com einen Eintrag unter example.net._report._dmarc.example.com mit dem Inhalt v=DMARC1, so beschreibt es RFC 9990.

Ein Schieberegler mit drei Rasten von Beobachten bis Ablehnen, der orange Knopf steht am strengen Ende.

Einführung

Schrittweise von Beobachten zu Ablehnen

Die Regel p im DMARC-Eintrag verschärfen Sie in drei Stufen. Jede Stufe hat einen eigenen Zweck:

  1. p=none, beobachten. Empfänger behandeln Mails wie bisher, schicken aber Berichte. Bleiben Sie auf dieser Stufe, bis die Berichte mindestens einen vollen Monat lang keine eigenen Absender mehr ohne gültige Prüfung zeigen. Ein Monat, weil Rechnungsläufe, Monatsnewsletter oder Mahnungen oft nur einmal im Monat verschickt werden und sonst in den Berichten fehlen.

  2. p=quarantine, aussortieren. Mails, die DMARC nicht bestehen, landen beim Empfänger im Spam-Ordner. Übersehene Absender fallen auf dieser Stufe auf, ohne dass Mails verloren gehen: Der Empfänger findet sie noch. Bisher konnte man diese Stufe mit pct auf einen Anteil der Mails begrenzen. RFC 9989 hat pct gestrichen, weil Empfänger den Anteil nur bei 0 und 100 verlässlich umsetzten. Als Ersatz gibt es den Testmodus t=y: Der Empfänger soll die veröffentlichte Regel dann nicht anwenden, sondern die nächstmildere, bei p=quarantine also wie bei p=none verfahren. Ältere Empfänger kennen t=y noch nicht. Gehen Sie deshalb erst auf quarantine, wenn die Berichte sauber sind, und nutzen Sie t=y nur als zusätzliche Vorsicht.

  3. p=reject, ablehnen. Empfänger weisen gefälschte Mails schon bei der Annahme zurück. Erst diese Stufe schützt Ihre Kunden vor Mails, die nur so tun, als kämen sie von Ihnen. Die TR-03182 des BSI, die sich an E-Mail-Diensteanbieter richtet, erwartet quarantine oder reject und nennt reject als langfristiges Ziel.

Behalten Sie die Berichte auch nach der letzten Stufe im Blick. Bucht die Vertriebsabteilung ein neues Werkzeug, das Mails mit Ihrer Domain verschickt, zeigt es sich zuerst dort.

Einträge im DNS

Häufige Fragen

  • Ihre Mails werden weiter zugestellt, aber wer größere Mengen an Gmail, Yahoo oder Outlook.com schickt, erfüllt deren Anforderungen nicht und riskiert Spam-Ordner oder Abweisung. Zudem kann jeder Mails mit Ihrer Domain als Absender verschicken, und kein Empfänger erfährt, wie er damit umgehen soll. Berichte über solche Fälschungen bekommen Sie ebenfalls nicht.

  • SPF ist ein TXT-Eintrag direkt auf Ihrer Domain, ohne Präfix. Sie legen ihn in der DNS-Verwaltung des Anbieters an, bei dem Ihre Domain liegt, also dort, wo auch die MX-Einträge stehen. Gibt es schon einen Eintrag, der mit v=spf1 beginnt, ergänzen Sie diesen.

  • Bei DKIM bekommt jeder Dienst einen eigenen Selektor mit eigenem Schlüssel. Für SPF dagegen ergänzen Sie den einen vorhandenen Eintrag um den Dienst und achten auf die Grenze von zehn Abfragen. Der DMARC-Eintrag gilt für die ganze Domain und bleibt einer.

Kommen Ihre Mails an?

Ihre DNS-Einträge und die ersten DMARC-Berichte zeigen, welcher Absender noch fehlt. Diese Prüfung gehört zu unserem E-Mail-Marketing, auch vor einem einzelnen großen Versand.

Zum E-Mail-Marketing

Nachweise

Quellen und Stand

Stand: 02.06.2026. Anforderungen der Postfachanbieter und Standards zu diesem Datum; Domain-Namen in den Beispielen nach RFC 2606 reserviert.

Artikel teilen