Startseite › Ratgeber › SPF, DKIM und DMARC: E-Mail-Absender absichern

SPF, DKIM und DMARC: E-Mail-Absender absichern

Eine E-Mail-Adresse als Absender einzutragen ist so einfach wie einen falschen Absender auf einen Briefumschlag zu schreiben. Ohne die folgenden drei DNS-Einträge kann jeder Nachrichten im Namen deiner Domain verschicken — und der Empfänger hat keine Möglichkeit, das zu erkennen.

Die drei Einträge im Überblick

Eintrag	Beantwortet die Frage
SPF	Welche Server dürfen für meine Domain versenden?
DKIM	Wurde die Nachricht unterwegs verändert, und stammt sie wirklich von dort?
DMARC	Was soll passieren, wenn die Prüfung fehlschlägt?

Die drei bauen aufeinander auf. DMARC ohne SPF und DKIM ist wirkungslos, SPF und DKIM ohne DMARC bleiben eine Empfehlung ohne Konsequenz.

1. SPF: erlaubte Versandserver

SPF ist ein TXT-Eintrag auf der Domain, der die zum Versand berechtigten Server auflistet.

v=spf1 include:_spf.example-hoster.de ~all

include: übernimmt die Serverliste deines E-Mail-Anbieters. Die genaue Angabe steht in dessen Dokumentation.
~all (Tilde) bedeutet „alles andere ist verdächtig", -all (Minus) bedeutet „alles andere ablehnen". Beginne mit ~all und stelle später um.

Zwei häufige Fehler: Pro Domain darf es nur einen SPF-Eintrag geben — zwei Einträge machen beide ungültig. Und die Auflösung darf höchstens zehn DNS-Abfragen auslösen; wer mehrere Dienste per include: einbindet, überschreitet das schnell, und dann gilt der ganze Eintrag als fehlerhaft.

Wichtig: Alle versendenden Systeme müssen aufgeführt sein — auch der Newsletter-Dienst, das Shopsystem und das Kontaktformular der Website. Sonst landen ausgerechnet die eigenen Mails im Spam.

2. DKIM: digitale Signatur

Beim Versand signiert der Mailserver die Nachricht mit einem privaten Schlüssel. Der passende öffentliche Schlüssel steht im DNS. Der Empfänger prüft damit, ob die Nachricht unterwegs verändert wurde.

Den Schlüssel erzeugt in aller Regel der E-Mail-Anbieter — bei Microsoft 365, Google Workspace oder einem Plesk-Server genügt es meist, DKIM in der Oberfläche zu aktivieren und den angezeigten Eintrag im DNS zu hinterlegen. Er liegt unter einem Namen dieser Form:

selector1._domainkey.deine-domain.de

Der Teil vor ._domainkey ist der Selector und frei wählbar. Das hat eine praktische Folge: Von außen lässt sich nicht zuverlässig feststellen, ob eine Domain DKIM nutzt — man kann nur die üblichen Namen durchprobieren. Ein Prüfbericht, der bei fehlendem Fund behauptet „DKIM fehlt", behauptet mehr, als er weiß.

3. DMARC: die Regel, die wirkt

DMARC verknüpft SPF und DKIM mit der Adresse, die der Empfänger tatsächlich sieht, und legt fest, was bei einer fehlgeschlagenen Prüfung passieren soll.

v=DMARC1; p=quarantine; rua=mailto:dmarc@deine-domain.de; adkim=s; aspf=s

Wert	Wirkung
`p=none`	nur beobachten — gefälschte Mails werden weiterhin zugestellt
`p=quarantine`	verdächtige Mails in den Spam-Ordner
`p=reject`	verdächtige Mails werden abgewiesen

rua= gibt an, wohin die täglichen Auswertungsberichte gehen. Sie zeigen, wer im Namen deiner Domain versendet — regelmäßig taucht dort ein vergessener Dienst auf.

Empfohlene Reihenfolge

SPF einrichten, alle versendenden Systeme aufnehmen.
DKIM beim E-Mail-Anbieter aktivieren, Eintrag im DNS setzen.
DMARC mit p=none starten und die Berichte zwei bis vier Wochen beobachten.
Wenn keine legitimen Absender mehr auffallen: auf p=quarantine stellen.
Nach weiteren Wochen ohne Auffälligkeiten auf p=reject.

Der wunde Punkt: Sehr viele Domains bleiben dauerhaft bei p=none stehen. Der Eintrag ist dann vorhanden, jede Prüfliste zeigt einen Haken — und trotzdem kann weiterhin jeder im Namen der Domain versenden. Wer DMARC einrichtet, sollte sich den Schritt auf quarantine gleich als Termin notieren.

Nebeneffekt: bessere Zustellbarkeit

Große E-Mail-Anbieter verlangen von Absendern mit größerem Versandvolumen inzwischen ausdrücklich korrekte Authentifizierung. Wer SPF, DKIM und DMARC sauber gesetzt hat, landet spürbar seltener im Spam-Ordner. Der Sicherheitsgewinn ist also nicht der einzige Grund.

Häufige Fragen

Was passiert, wenn ich gar nichts einrichte?

Dann kann grundsätzlich jeder E-Mails mit deiner Domain als Absender verschicken — für Rechnungsbetrug und Phishing im Namen deines Unternehmens. Zusätzlich landen deine eigenen E-Mails häufiger im Spam, weil große Anbieter fehlende Authentifizierung negativ bewerten.

Reicht SPF allein?

Nein. SPF prüft nur den technischen Absenderpfad, nicht die Adresse, die im Postfach angezeigt wird. Genau die lässt sich fälschen. Erst DMARC verknüpft beides und legt fest, was mit unpassenden Nachrichten geschehen soll.

Warum ist p=none wirkungslos?

p=none bedeutet: melden, aber nichts unternehmen. Gefälschte E-Mails werden weiterhin zugestellt. Der Wert ist als Startphase gedacht, um Berichte zu sammeln — nicht als Dauerzustand. Viele Domains bleiben trotzdem jahrelang darauf stehen.

Wie finde ich meinen DKIM-Eintrag?

DKIM liegt unter einem frei wählbaren Namen, dem Selector, in der Form selector._domainkey.deine-domain.de. Den Namen vergibt der E-Mail-Anbieter — bei Microsoft 365 meist selector1 und selector2, bei Google Workspace google. Von außen lässt sich ein unbekannter Selector nicht erraten.

Prüf deine Website in 30 Sekunden

Ein Scan pro Tag ist kostenlos — ohne Anmeldung, ohne Installation.

Stand: 1. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.