SPF, DKIM en DMARC uitgelegd: wat doen ze voor uw e-mail?

Sie schicken ein Angebot, der Kunde sieht nichts, und nach zwei Tagen stellt sich heraus, dass die E-Mail im Spam gelandet ist. Oder schlimmer: Jemand anderes verschickt E-Mails, die aussehen, als kämen sie von Ihnen. Meistens liegt das dann an drei kleinen Texten in der DNS Ihrer Domain: SPF, DKIM und DMARC.

In dieser Erklärung zu SPF, DKIM und DMARC lesen Sie, was jeder Record bewirkt, wie sie zusammenarbeiten und wie Sie selbst prüfen, ob sie stimmen. Wo möglich ohne Fachjargon und mit Beispielen, die Sie wiedererkennen.

Sie müssen dafür kein Technikexperte sein. Etwas Geduld und eine Viertelstunde Zeit genügen.

Was SPF, DKIM und DMARC gemeinsam bewirken

E-Mail ist alt und hat eine Schwäche: Jeder kann als Absender info@jouwbedrijf.nl eintragen. Die Absenderzeile ist nicht abgesichert. Ein empfangender Mailserver (Gmail, Outlook und so weiter) muss also selbst entscheiden, ob eine Nachricht wirklich von Ihnen stammt.

Dabei helfen die drei Records. Ein Vergleich mit einem Brief auf Papier:

• SPF ist die Liste der Postboten, die in Ihrem Namen Briefe zustellen dürfen.
• DKIM ist das Siegel auf dem Umschlag. Es zeigt, dass der Inhalt unterwegs nicht verändert wurde und dass das Siegel von Ihnen stammt.
• DMARC ist Ihre Anweisung an den Empfänger: Was soll mit einem Brief geschehen, der die Prüfung nicht besteht, und senden Sie mir einen Bericht.

Alle drei stehen als Text-Record (meist TXT) in der DNS Ihrer Domain. Sie sehen sie nicht in Ihrem Mailprogramm, aber empfangende Server lesen sie bei jeder Nachricht.

SPF: Welche Server im Namen Ihrer Domain E-Mails senden dürfen

SPF steht für Sender Policy Framework. Der Record ist eine Liste von Servern oder Diensten, die von Ihrer Domain aus versenden dürfen. Kommt eine Nachricht von einem Server, der nicht auf der Liste steht, ist das verdächtig.

Ein Beispiel für eine Domain, die Google Workspace nutzt:

v=spf1 include:_spf.google.com ~all

So lesen Sie das: v=spf1 besagt, dass es sich um einen SPF-Record handelt. include:_spf.google.com bedeutet, dass die Server von Google versenden dürfen. ~all bedeutet: Alles, was nicht aufgeführt ist, ist verdächtig, soll aber noch nicht sofort abgelehnt werden. Mit -all legen Sie strenger fest: Den Rest ablehnen.

Woran SPF oft scheitert

• Zwei SPF-Records. Eine Domain darf nur einen haben. Nutzen Sie zusätzlich einen Newsletter-Dienst, fügen Sie ein include: zum bestehenden Record hinzu, statt einen zweiten anzulegen.
• Zu viele Dienste. SPF erlaubt nur eine begrenzte Anzahl an DNS-Abfragen (zehn). Wer Buchhaltungssoftware, Webshop, Newsletter und CRM alle dort einträgt, überschreitet das schnell.
• Weiterleitung. Leitet jemand Ihre E-Mails automatisch weiter, kommt die Nachricht von einem anderen Server und SPF schlägt fehl. Darum reicht SPF allein nicht aus.

DKIM: Eine Signatur, die zeigt, dass die E-Mail echt ist

DKIM arbeitet mit einem Schlüsselpaar. Ihr Mailserver setzt unter jede ausgehende Nachricht eine digitale Signatur, erstellt mit einem geheimen Schlüssel, den nur er kennt. In Ihrer DNS steht der zugehörige öffentliche Schlüssel. Der Empfänger ruft ihn ab und prüft, ob die Signatur stimmt.

Stimmt sie, weiß der Empfänger zwei Dinge: Die Nachricht kommt tatsächlich über den Dienst, den Ihre Domain nutzt, und unterwegs wurde nichts verändert. Letzteres ist der große Vorteil gegenüber SPF. DKIM übersteht eine Weiterleitung meistens.

Ein DKIM-Record sieht ungefähr so aus:

selector1._domainkey.jouwbedrijf.nl TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Der erste Teil (selector1) heißt Selector. Jeder Maildienst verwendet einen eigenen Namen, sodass Sie mehrere Dienste nebeneinander signieren lassen können. Der lange Abschnitt nach p= ist der öffentliche Schlüssel. Den schreiben Sie nie aus dem Kopf ab. Sie erhalten ihn von Ihrem Mailanbieter und fügen ihn exakt so ein.

Hinweis: Bei manchen Diensten ist DKIM nicht automatisch aktiviert. Bei Google Workspace erstellen Sie den Schlüssel in der Admin-Konsole und müssen das Signieren noch einschalten. Bei Microsoft 365 verwenden Sie zwei CNAME-Records. Eine Anleitung finden Sie in unserem Artikel DMARC einrichten für Microsoft 365 und Google.

DMARC: Was geschehen soll, wenn die Prüfung fehlschlägt

SPF und DKIM liefern nur ein Ergebnis. DMARC legt fest, was Empfänger damit tun. Der Record steht immer unter _dmarc.jouwbedrijf.nl und erfüllt drei Aufgaben:

1. Er verlangt, dass SPF oder DKIM nicht nur bestanden werden, sondern auch zur Domain passen, die in der Absenderzeile steht. Das nennt man Alignment. So kann ein Betrüger nicht seine eigene Domain die Prüfung bestehen lassen und gleichzeitig Ihren Namen anzeigen.
2. Er legt eine Richtlinie (Policy) fest: nichts tun, in den Spam verschieben oder ablehnen.
3. Es fordert Berichte an, damit Sie sehen, wer in Ihrem Namen E-Mails versendet.

Ein Start-Eintrag:

v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl

Mit p=none ändert noch nichts daran, wie E-Mails behandelt werden. Sie sammeln nur Berichte. Danach können Sie die Richtlinie verschärfen:

Die Berichte (rua) kommen als XML-Dateien an. Diese sind nicht für Menschen gedacht. Für ein kleines Unternehmen mit ein oder zwei E-Mail-Strömen ist das meist kein Problem: Beginnen Sie mit p=none, prüfen Sie, ob Ihre eigenen E-Mails bestehen, und verschärfen Sie danach die Richtlinie. Wenn viele Dienste in Ihrem Namen E-Mails versenden, lassen Sie die Berichte von jemandem lesen, der das öfter macht.

So prüfen Sie, ob Ihre Domain richtig eingerichtet ist

Sie müssen hier nichts installieren. Gehen Sie in dieser Reihenfolge vor:

1. Starten Sie den Website-Check. Der kostenlose Website-Check prüft unter anderem die E-Mail-Einstellungen Ihrer Domain, etwa SPF und DMARC. Sie sehen sofort, ob ein Eintrag fehlt oder falsch aufgebaut ist.
2. Zählen Sie Ihre SPF-Einträge. Es darf genau einer vorhanden sein. Keiner oder zwei sind ein Fehler.
3. Prüfen Sie, ob alle Ihre Dienste enthalten sind. Denken Sie an Ihren E-Mail-Anbieter, Newsletter-Dienst, Webshop, Rechnungsprogramm und CRM. Alles, was in Ihrem Namen E-Mails versendet, gehört in SPF und möglichst auch in DKIM.
4. Senden Sie eine Test-E-Mail an sich selbst. Öffnen Sie die Nachricht bei einer anderen E-Mail-Adresse (zum Beispiel einem privaten Gmail-Konto) und sehen Sie sich den vollständigen Nachrichtenkopf (Header) an. Suchen Sie nach spf=pass, dkim=pass und dmarc=pass. Steht überall pass, funktioniert es.
5. Testen Sie auch E-Mails über Ihre anderen Dienste. Versenden Sie zum Beispiel eine Rechnung oder eine Bestellbestätigung. Gerade dort geht oft etwas schief, weil dieser Dienst nie hinzugefügt wurde.

DNS-Änderungen sind nicht immer sofort sichtbar. Es kann einige Stunden dauern, bis überall alles aktualisiert ist. Testen Sie nach einer Änderung also nicht gleich dreimal hintereinander.

Häufige Fehler und wie Sie sie vermeiden

• Sofort p=reject setzen. Vergessen Sie dann einen Dienst, zum Beispiel Ihre Buchhaltungssoftware, werden diese E-Mails abgewiesen. Beginnen Sie mit none.
• DMARC ohne SPF oder DKIM. DMARC wertet das Ergebnis dieser beiden aus. Ohne diese Einträge schlägt alles fehl.
• Einen alten E-Mail-Anbieter stehen lassen. Eine umgezogene Domain mit noch einem alten include: in SPF ist eine Lücke in Ihrer Liste. Entfernen Sie, was Sie nicht mehr nutzen.
• Tippfehler im Schlüssel. Fehlt ein einziger Buchstabe im DKIM-Schlüssel, stimmt die Signatur nie. Kopieren Sie den gesamten Eintrag und fügen Sie ihn ein.
• Denken, dass man fertig ist. Nehmen Sie einen neuen Dienst in Betrieb, der E-Mails versendet, muss der Eintrag ergänzt werden.

Auch wenn alles in Ordnung ist, kann eine Nachricht im Spam-Ordner landen, zum Beispiel wegen des Inhalts oder einer schlechten Reputation des Absenders. Die drei Einträge sind die Grundlage, keine Garantie. Ohne diese Grundlage ist die Wahrscheinlichkeit von Problemen aber deutlich größer. Ein gut eingerichteter Absender erschwert es Betrügern außerdem, Ihren Namen zu missbrauchen. Wie Sie eine solche gefälschte E-Mail selbst erkennen, lesen Sie in Phishing erkennen: 7 Signale in einer E-Mail, die nicht stimmt.

Was Sie jetzt konkret tun

Beginnen Sie mit dem Ergebnis des kostenlosen Website-Checks für Ihre Domain. Fehlt SPF oder DMARC, wissen Sie, wo Sie anfangen müssen. Erstellen Sie danach eine Liste aller Dienste, die in Ihrem Namen E-Mails versenden, und tragen Sie diese in Ihren SPF-Eintrag ein. Aktivieren Sie DKIM bei jedem Dienst, der das unterstützt, und starten Sie DMARC mit p=none. Prüfen Sie nach einigen Wochen, ob alles besteht, und verschärfen Sie dann die Richtlinie.

Möchten Sie das nicht selbst herausfinden? Bei geschäftlichen Postfächern von Netslim sind MX, SPF, DKIM und DMARC automatisch richtig eingerichtet. Nutzen Sie Google Workspace, lesen Sie in Google Workspace Niederlande: Lizenzen, Preis und DNS, wie die DNS-Einstellungen dazugehören. Die DNS-Einträge Ihrer Domain passen Sie selbst im Netslim-Portal an. Kommen Sie nicht weiter, erreichen Sie uns über die Kontaktseite.

Häufige Fragen

Brauche ich alle drei Einträge, oder reicht SPF?

SPF allein reicht nicht. Es schlägt zum Beispiel fehl, sobald E-Mails weitergeleitet werden. Mit DKIM trägt Ihre Nachricht eine Signatur, und DMARC sorgt dafür, dass Empfänger wissen, was sie bei fehlgeschlagenen Prüfungen tun sollen. Große E-Mail-Anbieter erwarten, dass alle drei zusammen richtig eingerichtet sind.

Warum landet meine E-Mail im Spam, obwohl SPF und DKIM stimmen?

Dann spielen andere Faktoren eine Rolle: die Reputation Ihrer Domain oder Ihres Servers, der Inhalt der Nachricht oder viele Empfänger, die Ihre E-Mail als Spam markieren. Die Einträge belegen nur, dass Sie der Absender sind, nicht dass Ihre E-Mail erwünscht ist. Prüfen Sie auch, ob Ihre Empfängerliste stimmt und ob Sie keine verdächtigen Links oder Anhänge verwenden.

Kann ich DMARC auf reject setzen, ohne dass etwas schiefgeht?

Nur wenn Sie sicher wissen, dass bei allen Ihren Mailströmen SPF oder DKIM mit Ihrer Domain bestehen. Beginnen Sie daher mit p=none, werten Sie einige Wochen lang die Berichte aus und wechseln Sie dann zu quarantine. Erst danach ist reject sinnvoll.

Wie lange dauert es, bis ein neuer SPF-, DKIM- oder DMARC-Eintrag wirkt?

Das hängt von der Cache-Zeit des DNS ab. Oft ist eine Änderung innerhalb einer Stunde sichtbar, manchmal dauert es aber einige Stunden. Testen Sie daher nicht sofort nach dem Speichern, sondern geben Sie ihr etwas Zeit.