SPF, DKIM und DMARC einrichten: einfach erklärt, mit Beispielen und Test

Was SPF, DKIM und DMARC tun

Eine E-Mail hat zwei Absenderangaben: die sichtbare Adresse im Feld From und die technische Absenderangabe, mit der der Server die Nachricht einliefert. SPF, DKIM und DMARC prüfen, ob beides zusammenpasst und ob der sendende Server dazu berechtigt ist.

Entscheidend ist die Ausrichtung (englisch Alignment). Nach RFC 9989 setzt ein bestandenes DMARC voraus, dass SPF oder DKIM bestanden haben und die dabei geprüfte Domain zur Absenderdomain im Feld From passt. Im Standardmodus „relaxed“ genügt dieselbe Hauptdomain, etwa mail.ihre-domain.de und ihre-domain.de. Im Modus „strict“ müssen beide identisch sein. Ein Versanddienst, der nur mit seiner eigenen Domain signiert, besteht DMARC für Ihre Domain deshalb nicht.

Vorbereitung: Absender erfassen und vorhandene Einträge prüfen

Bevor Sie etwas ändern, brauchen Sie einen Überblick, wer in Ihrem Namen E-Mails verschickt. Ein vergessener Absender wird später wie ein Fälscher behandelt.

1. Alle Absender sammelnNotieren Sie jeden Dienst, der Nachrichten mit Ihrer Domain verschickt: Postfach-Anbieter, Website und Kontaktformular, Newsletter-Werkzeug, Rechnungsprogramm, CRM, Onlineshop, Terminbuchung. Fragen Sie auch Ihren Hoster und Ihre Webentwicklerin oder Ihren Webentwickler.
2. Vorhandene Einträge abfragenPrüfen Sie, was bereits im DNS steht. Das zeigt zugleich, ob jemand schon SPF oder DKIM eingerichtet hat. Die Befehle finden Sie im Kasten unter diesen Schritten.
3. DNS-Zugang klärenDie DNS-Verwaltung liegt meist beim Domain-Anbieter oder beim Hoster. Sie brauchen dort Zugang und sollten wissen, ob der Anbieter Domainnamen oder Anführungszeichen automatisch ergänzt.
4. Eine Absendeadresse festlegenBestimmen Sie, von welcher Adresse Ihre Formulare und Systeme senden, zum Beispiel formular@ihre-domain.de, und verwenden Sie genau diese Adresse als From. Warum das wichtig ist, erklärt der Ratgeber Kontaktformular funktioniert nicht.

dig +short TXT ihre-domain.de
dig +short TXT _dmarc.ihre-domain.de
dig +short TXT selektor._domainkey.ihre-domain.de

SPF einrichten

Der SPF-Eintrag ist ein TXT-Eintrag bei Ihrer Domain. Er beginnt mit v=spf1, nennt die erlaubten Absender und endet mit einer Regel für alle übrigen. Als Host tragen Sie bei den meisten Anbietern @ ein, also die Domain selbst.

• Nur ein SPF-Eintrag pro Domain. Gibt es mehr als einen, liefert die Prüfung nach RFC 7208 einen Fehler („permerror“). Ergänzen Sie neue Absender im bestehenden Eintrag.
• Höchstens zehn DNS-Abfragen. Die Mechanismen include, a, mx, ptr und exists sowie der Zusatz redirect zählen mit, ip4, ip6 und all nicht. Wird die Grenze überschritten, ist der Eintrag ungültig.
• Die Schlussregel: ~all (Softfail) markiert fremde Server als verdächtig, -all (Fail) weist sie ab. Google empfiehlt ~all, in den Beispielen von Microsoft steht -all. Wer unsicher ist, beginnt mit ~all.
• Nur echte Absender: Tragen Sie nur Dienste ein, die Sie wirklich nutzen. Jeder zusätzliche include verbraucht eine der zehn Abfragen.

Prüfen Sie nach dem Speichern mit dig +short TXT ihre-domain.de, dass genau ein Eintrag mit v=spf1 erscheint.

DKIM einrichten

DKIM signiert ausgehende Nachrichten mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter selektor._domainkey.ihre-domain.de. Der Empfänger liest Selektor und Domain aus der Signatur der Nachricht, holt den Schlüssel und prüft die Signatur.

• Jeder Versanddienst hat eigene Schlüssel. Google, Microsoft, Ihr Hoster, der Newsletter- und der Rechnungsdienst erzeugen jeweils einen Selektor und nennen Ihnen den Eintrag, den Sie anlegen müssen.
• Schlüssellänge: Google empfiehlt 2.048 Bit und bietet 1.024 Bit nur an, wenn der Domain-Anbieter keine längeren Einträge zulässt.
• TXT oder CNAME: Google verwendet einen TXT-Eintrag (google._domainkey, der Wert beginnt mit v=DKIM1). Microsoft 365 verwendet zwei CNAME-Einträge, selector1._domainkey und selector2._domainkey.
• Wartezeit: Bis die Signatur funktioniert, kann es laut Google bis zu 48 Stunden dauern.
• Lange Werte: Manche Domain-Anbieter beschränken die Länge von TXT-Einträgen oder ergänzen den Domainnamen automatisch. Prüfen Sie den Eintrag nach dem Speichern.

Name:  selektor._domainkey.ihre-domain.de
Typ:   TXT
Wert:  v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0B… (öffentlicher Schlüssel Ihres Anbieters)

DMARC einrichten: in vier Stufen

DMARC ist ein TXT-Eintrag bei _dmarc.ihre-domain.de. Er sagt Empfängern, wie sie mit Nachrichten umgehen sollen, die weder per SPF noch per DKIM zur Absenderdomain passen, und bittet um Berichte. Google empfiehlt, zuerst SPF und DKIM einzurichten und die Nachrichten mindestens 48 Stunden damit zu authentifizieren, bevor Sie DMARC aktivieren. Wer DMARC zum ersten Mal einsetzt, beginnt laut Google mit p=none.

# Stufe 1: Beobachten
v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de

# Stufe 2: Testen
v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@ihre-domain.de

# Stufe 3: Verschärfen
v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-domain.de

# Stufe 4: Ablehnen
v=DMARC1; p=reject; rua=mailto:dmarc@ihre-domain.de

• v: Version, muss das erste Tag sein und den Wert DMARC1 haben.
• p: Richtlinie für die Domain (none, quarantine, reject). Fehlt p, behandelt RFC 9989 den Eintrag wie p=none.
• sp und np: Richtlinie für Subdomains und für nicht existierende Subdomains. Fehlen sie, gilt p.
• rua: Adresse für Zusammenfassungsberichte. Ohne dieses Tag erhalten Sie keine Berichte.
• adkim und aspf: Ausrichtung r (relaxed, Standard) oder s (strict).
• t: Testmodus y oder n (Standard n).

Zusammenfassungsberichte sind XML-Dateien, oft komprimiert, und für Menschen schwer lesbar. Google empfiehlt, sie nicht an Ihre normale Adresse zu schicken, sondern an ein eigenes Postfach, eine Gruppe oder einen Drittanbieter-Dienst. Soll ein Bericht an eine Adresse bei einer anderen Domain gehen, verlangt der Standard einen zusätzlichen TXT-Eintrag bei dieser Domain, der den Empfang erlaubt; Google beschreibt das in seiner DMARC-Anleitung.

Einrichtung prüfen

1. DNS-Einträge abfragenFragen Sie SPF, DKIM und DMARC mit dig oder nslookup ab. Bei SPF muss genau ein Eintrag mit v=spf1 erscheinen, bei DMARC ein Eintrag, der mit v=DMARC1 beginnt, bei DKIM ein Eintrag unter dem Selektor Ihres Anbieters.
2. Testnachricht an ein Gmail-Postfach sendenSenden Sie eine Nachricht aus dem System, das Sie prüfen wollen, zum Beispiel aus dem Kontaktformular, an eine Gmail-Adresse.
3. Original anzeigenÖffnen Sie die Nachricht in Gmail, wählen Sie „Original anzeigen“ und suchen Sie die Angaben zu SPF, DKIM und DMARC. Sie sollten „PASS“ zeigen.
4. Auf die geprüfte Domain achtenPrüfen Sie, bei welcher Domain SPF und DKIM bestanden wurden. Passt sie nicht zur Absenderdomain, besteht DMARC trotz „PASS“ bei SPF oder DKIM unter Umständen nicht.

Zur Kontrolle von MX- und SPF-Einträgen bietet Google außerdem das kostenlose Werkzeug „Check MX“ im Admin Toolbox an.

Typische Fehler und wie Sie sie vermeiden

• Mehrere SPF-Einträge: Das ergibt einen Fehler. Schreiben Sie alle Absender in einen gemeinsamen Eintrag.
• Mehr als zehn DNS-Abfragen in SPF: Streichen Sie Dienste, die Sie nicht nutzen, oder fragen Sie den Anbieter nach einem schlankeren Eintrag.
• Ein Versanddienst fehlt: Newsletter, Rechnungsprogramm, CRM oder Formulardienst. Seine Nachrichten scheitern dann an SPF und oft auch an DMARC.
• DKIM des Dienstes nicht auf Ihre Domain eingerichtet: Signiert der Dienst nur mit seiner eigenen Domain, passt weder SPF noch DKIM zu Ihrer Absenderdomain, und DMARC schlägt fehl.
• Eintrag falsch formatiert: Anführungszeichen, Zeilenumbrüche oder automatisch angehängte Domainnamen beim Domain-Anbieter. Prüfen Sie mit dig nach dem Speichern.
• DMARC zu früh auf „reject“: Legitime Nachrichten gehen verloren. Beobachten Sie zuerst, und verschärfen Sie dann schrittweise.
• Subdomains vergessen: Senden Subdomains E-Mails, gilt sp beziehungsweise p. Prüfen Sie diese Absender gesondert.
• Weiterleitungen: SPF kann beim Weiterleiten scheitern. DKIM ist dafür robuster, solange die Nachricht unverändert bleibt.

Wie streng sind große Anbieter? Unsere Abfrage vom Oktober 2026

Wir haben am 1. Oktober 2026 die öffentlichen DMARC-Einträge einiger verbreiteter Absenderdomains abgefragt (Stand: Oktober 2026). Das ist die Richtlinie für Nachrichten, die in deren Namen verschickt werden, nicht Ihre eigene Einstellung. Sie erklärt, warum Formulare, die die Adresse des Besuchers als Absender eintragen, bei manchen Anbietern ankommen und bei anderen nicht.

Was das für Kontaktformulare bedeutet und wie Sie das Problem beheben, steht im Ratgeber Kontaktformular funktioniert nicht.

Was Google, Yahoo und Microsoft von Absendern verlangen

• Google (Gmail): Seit dem 1. Februar 2024 müssen alle, die an Gmail-Adressen senden, mindestens SPF oder DKIM einrichten. Wer täglich 5.000 oder mehr Nachrichten an Gmail-Adressen sendet, braucht SPF, DKIM und DMARC.
• Yahoo: Seit Februar 2024 gilt für alle Absender mindestens SPF oder DKIM. Massenversender müssen SPF und DKIM einrichten und eine gültige DMARC-Richtlinie mit mindestens p=none veröffentlichen, wobei die Absenderdomain an SPF oder DKIM ausgerichtet sein muss.
• Microsoft (Outlook.com): Für Absender mit mehr als 5.000 Nachrichten pro Tag verlangt Microsoft SPF, DKIM und DMARC, mindestens mit p=none und ausgerichtet an SPF oder DKIM. Nicht konforme Nachrichten können im Junk-Ordner landen oder abgelehnt werden.

Unterhalb dieser Schwellen gelten die Pflichten nicht in gleicher Weise. Google empfiehlt dennoch, SPF, DKIM und DMARC für jede Domain einzurichten, die E-Mails verschickt.

Wann Sie Hilfe holen sollten

Hilfe lohnt sich, wenn Sie keinen Zugang zur DNS-Verwaltung haben, mehrere Versanddienste im Spiel sind, SPF die Grenze von zehn Abfragen überschreitet oder Nachrichten nur bei manchen Empfängern verschwinden.

Die Einrichtung und Prüfung der Einträge gehört zu unserer Schnellreparatur (149 €, 2 Werktage). Kommen weitere Probleme hinzu, passt die Website-Reparatur (349 €). Beide Preise verstehen sich netto zzgl. 19 % USt. Welches Paket passt, sagen wir Ihnen nach der kostenlosen Prüfung.

Häufige Fragen

Weiterlesen