SPF, DKIM und DMARC: der komplette Leitfaden zur E-Mail-Authentifizierung

E-Mail entstand in einer Zeit, in der niemand damit rechnete, dass die Absenderadresse eine Lüge sein könnte. Nichts im ursprünglichen Protokoll hindert einen beliebigen Rechner im Internet daran, sich mit einem Mailserver zu verbinden und zu behaupten, er sei Sie. Genau diese Lücke macht Phishing möglich, und deshalb entscheiden heute drei DNS-basierte Standards, SPF, DKIM und DMARC, ob Ihre E-Mail im Posteingang oder im Spam-Ordner landet.

Alle drei liegen in den DNS-Einträgen Ihrer Domain. Sie können die E-Mail-Authentifizierung jeder Domain, auch Ihrer eigenen, mit nichts weiter als einer DNS-Abfrage prüfen. Dieser Leitfaden erklärt, was jeder Eintrag leistet, wie man ihn liest und wie Sie zu einer strengen DMARC-Richtlinie kommen, ohne versehentlich Ihre eigenen Rechnungen zu blockieren.

Um alle drei Einträge auf einmal zu prüfen, einschließlich der SPF-Abfragen und der Länge deines DKIM-Schlüssels, nutze unseren SPF-, DKIM- und DMARC-Checker.

Warum E-Mail-Authentifizierung zählt

Zwei Dinge haben sich in den letzten Jahren geändert. Angreifer imitieren vertraute Marken deutlich besser, und die großen Mailbox-Anbieter haben reagiert, indem sie Authentifizierung faktisch verpflichtend gemacht haben. Gmail und Yahoo verlangen von Massenversendern SPF, DKIM und DMARC, Microsoft ist gefolgt. Fehlen Ihre Einträge oder sind sie fehlerhaft, sind die Folgen unmittelbar und sehr praktisch:

• Ihre E-Mails werden gefiltert. Nicht authentifizierte Nachrichten landen weit häufiger in der Quarantäne und werden teils abgewiesen, bevor sie ein Postfach erreichen.
• Jeder kann Ihre Domain fälschen. Ohne DMARC-Richtlinie hat ein empfangender Server keine Anweisung, gefälschte Mail mit Ihrem Namen abzulehnen.
• Sie sehen Missbrauch nicht. DMARC-Berichte sind die einzige Möglichkeit zu erfahren, dass jemand in Ihrem Namen Phishing verschickt.
• Abschlüsse stocken. Sicherheitsfragebögen und Lieferantenprüfungen fragen regelmäßig nach einer DMARC-Richtlinie, und „none“ gilt zunehmend als Mangel.

Die drei Einträge auf einen Blick

Es sind Schichten, keine Alternativen. SPF prüft den sendenden Server, DKIM prüft die Nachricht, und DMARC verbindet beides mit der Domain, die ein Mensch tatsächlich im From-Header sieht, und legt fest, was im Fehlerfall geschieht. Sie brauchen alle drei.

SPF: Wer für Ihre Domain senden darf

Das Sender Policy Framework ist eine veröffentlichte Liste der Server, die für Ihre Domain senden dürfen. Der empfangende Server nimmt die IP-Adresse, die sich verbunden hat, ruft Ihren SPF-Eintrag ab und prüft, ob die Adresse auf der Liste steht.

Einen SPF-Eintrag lesen

Ein typischer Eintrag sieht so aus:

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 ~all

Gelesen wird von links nach rechts. v=spf1 ist die Version und muss zuerst stehen. Jedes include: zieht den SPF-Eintrag einer anderen Domain heran; so autorisieren Sie einen Anbieter wie Google Workspace oder einen Transaktionsmaildienst. ip4: und ip6: erlauben bestimmte Adressen oder Bereiche, typischerweise Ihren eigenen Server. Der letzte Mechanismus ist die Auffangregel, und genau die wird oft falsch gesetzt:

• -all ist ein harter Fehlschlag. Alles, was nicht gelistet ist, gilt als unerlaubt, und Empfänger sollen es abweisen.
• ~all ist ein weicher Fehlschlag. Nicht gelistete Absender gelten als verdächtig, werden aber angenommen, meist mit Spam-Abzug.
• ?all ist neutral und sagt dem Empfänger nichts, was den Sinn des Eintrags zunichtemacht.

Beginnen Sie mit ~all, während Sie prüfen, ob jeder legitime Absender gelistet ist, und verschärfen Sie auf -all, sobald Ihre DMARC-Berichte sauber sind.

Das Limit von zehn Abfragen

SPF erlaubt bei der Auswertung eines Eintrags höchstens zehn DNS-Abfragen. Jedes include:, a, mx und redirect zählt, auch verschachtelte. Wird das Limit überschritten, ist das Ergebnis ein permanenter Fehler, den die meisten Empfänger wie ein völlig fehlendes SPF behandeln. Drei oder vier Mailanbieter reichen oft schon aus: Prüfen Sie den Eintrag bei jedem neuen Versanddienst und entfernen Sie Anbieter, die Sie nicht mehr nutzen.

Eine weitere Regel überrascht viele: Eine Domain darf nur einen SPF-Eintrag veröffentlichen. Zwei v=spf1-TXT-Einträge auf demselben Namen sind ein permanenter Fehler, keine Zusammenführung.

DKIM: Ihre E-Mails signieren

DomainKeys Identified Mail fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu. Ihr Mailserver hält einen privaten Schlüssel und signiert ausgewählte Header sowie den Nachrichtentext; der passende öffentliche Schlüssel steht im DNS. Ein Empfänger holt den öffentlichen Schlüssel, prüft die Signatur und erfährt zweierlei: Die Nachricht wurde wirklich von Ihrer Domain signiert, und nichts vom Signierten wurde unterwegs verändert.

Der öffentliche Schlüssel liegt unter einem Namen, der aus einem Selector gebildet wird, etwa google._domainkey.example.com oder s1._domainkey.example.com. Selectors erlauben mehrere Schlüssel gleichzeitig, und genau das macht den Schlüsselwechsel schmerzlos: neuen Selector veröffentlichen, Signierung umstellen, den alten später zurückziehen.

Weil die Signatur mit der Nachricht reist, übersteht DKIM Weiterleitungen, bei denen SPF scheitert. Leitet eine Mailingliste Ihre Nachricht weiter, ändert sich die verbindende IP und SPF schlägt fehl, doch die DKIM-Signatur bleibt gültig, solange die Liste weder signierte Header noch den Text umgeschrieben hat. Diese Robustheit ist der Hauptgrund, warum DKIM auch dann zählt, wenn SPF bereits eingerichtet ist.

DMARC: dem Empfänger sagen, was zu tun ist

SPF und DKIM liefern jeweils ein Bestanden oder ein Durchgefallen, aber keiner sagt, was der Empfänger damit anfangen soll, und keiner betrachtet die From-Adresse, die Ihr Gegenüber tatsächlich liest. DMARC schließt beide Lücken. Ein Eintrag sieht so aus:

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100; adkim=s; aspf=r

p= ist die Richtlinie: none (nur beobachten), quarantine (Fehlschläge als Spam behandeln) oder reject (sie direkt abweisen). rua= ist die Adresse für die täglichen Sammelberichte und der wertvollste Teil des Eintrags. Mit pct= wenden Sie die Richtlinie während der Einführung auf einen Prozentsatz der Mail an.

Ausrichtung, der übersehene Teil

DMARC verlangt nicht nur, dass SPF oder DKIM besteht. Es verlangt, dass die bestehende Domain mit der Domain im sichtbaren From-Header ausgerichtet ist. Eine Nachricht kann SPF für mailer.vendor.com bestehen und trotzdem DMARC für example.com nicht bestehen, weil beide nicht übereinstimmen. Das ist mit Abstand der häufigste Grund, warum eine korrekt aussehende Konfiguration dennoch scheitert.

adkim und aspf legen fest, wie streng die Übereinstimmung sein muss. Entspannt (r, die Voreinstellung) akzeptiert eine Subdomain wie mail.example.com, streng (s) verlangt exakte Gleichheit. Beginnen Sie entspannt. DMARC besteht, wenn eines von SPF und DKIM besteht und ausgerichtet ist, eine einzelne ausgerichtete DKIM-Signatur genügt also.

Eine Richtlinie sicher einführen

1. Veröffentlichen Sie p=none mit Berichtsadresse. Am Mailfluss ändert sich nichts, aber es treffen Berichte ein.
2. Lesen Sie die Berichte zwei bis vier Wochen. Sie zeigen vergessene Versanddienste: das CRM, den Helpdesk, das Rechnungstool, die alte Marketingplattform.
3. Schließen Sie die Lücken. Nehmen Sie jeden legitimen Absender in SPF auf, aktivieren Sie DKIM-Signierung mit ausgerichteter Domain und bestätigen Sie die Änderung im nächsten Bericht.
4. Wechseln Sie zu p=quarantine. Bei hohem Volumen steigern Sie mit pct= schrittweise.
5. Enden Sie bei p=reject. Erst wenn die Berichte keine scheiternde legitime Mail mehr zeigen. Das ist die Richtlinie, die Spoofing tatsächlich stoppt.

So prüfen Sie Ihre eigenen Einträge

Alle drei sind öffentliche TXT-Einträge, die Prüfung dauert Sekunden:

1. SPF. Führen Sie mit dem Werkzeug DNS-Abfrage eine TXT-Abfrage auf Ihre nackte Domain aus und suchen Sie die Zeichenkette, die mit v=spf1 beginnt. Prüfen Sie, dass es genau eine gibt, und zählen Sie die Abfragen.
2. DMARC. Fragen Sie TXT auf _dmarc. plus Ihre Domain ab. Kommt nichts zurück, haben Sie weder Richtlinie noch Berichte.
3. DKIM. Fragen Sie TXT auf selector._domainkey. plus Ihre Domain ab. Die Dokumentation Ihres Anbieters nennt den verwendeten Selector.
4. Prüfen Sie durchgängig. Senden Sie eine Nachricht an ein Konto bei einem großen Anbieter und sehen Sie sich die empfangenen Header an. Gmails Ansicht „Original anzeigen“ nennt SPF-, DKIM- und DMARC-Ergebnisse der gerade gesendeten Nachricht, und das ist der einzige Test, der die gesamte Kette abdeckt.

Wenn Sie schon im DNS sind, bestätigen Sie gleich den Rest Ihrer Mailkonfiguration: Prüfen Sie, dass Ihre MX-Einträge dorthin zeigen, wo Sie es erwarten, und dass der Name im Zertifikat Ihres Servers passt, was Sie mit dem SSL Checker kontrollieren können.

Häufige Fehler, die Sie vermeiden sollten

• Zwei SPF-Einträge. Führen Sie sie zu einem zusammen. Zwei sind ein permanenter Fehler.
• DMARC dauerhaft auf p=none lassen. Beobachten ist ein Anfang, kein Ziel. Nur quarantine oder reject verhindert Spoofing.
• Keine Berichtsadresse. Ein DMARC-Eintrag ohne rua= verschenkt genau die Information, die Sie zum sicheren Verschärfen brauchen.
• Geparkte Domains vergessen. Domains, die keine Mail senden, sollten v=spf1 -all und p=reject veröffentlichen, gerade weil Angreifer ungenutzte Domains bevorzugen.
• Direkt auf strenge Ausrichtung springen. adkim=s und aspf=s vor sauberen Berichten zerstören legitime Mail aus Subdomains.
• Die TTL ignorieren. Eine hohe TTL auf einem TXT-Eintrag bedeutet, dass eine Korrektur Stunden braucht. Senken Sie sie vor einer Migration und erhöhen Sie sie danach.

Authentifizieren Sie Ihre E-Mails

E-Mail-Authentifizierung ist eine der wenigen Sicherheitsaufgaben mit eindeutigem Nutzen: bessere Zustellbarkeit, Sichtbarkeit von Missbrauch und eine Domain, die sich nicht beiläufig fälschen lässt. Sie ist zudem vollständig von außen lesbar, es gibt also keinen Grund, die eigene Konfiguration zu erraten. Beginnen Sie mit einer TXT-Abfrage auf Ihre Domain über das kostenlose Werkzeug DNS-Abfrage, lesen Sie, was tatsächlich veröffentlicht ist, und arbeiten Sie die obige Einführung Schritt für Schritt ab.

Verwandte Werkzeuge und Leitfäden:

• DNS-Abfrage – TXT-, MX-, SPF- und alle anderen Einträge jeder Domain abfragen.
• DNS-Abfrage: der komplette Leitfaden – jeder Eintragstyp verständlich erklärt.
• SSL Checker – das Zertifikat Ihres Mail- oder Webservers prüfen.
• HTTP-Statuscodes – eine schnelle Referenz für jeden Antwortcode.
• Warum Ihr SPF-Eintrag immer wieder scheitert – und wie Sie es beheben - das Zehn-Abfragen-Limit, defekte includes und weitere Gründe, warum SPF scheitert.

Häufige Fragen