SPF, DKIM und DMARC: E-Mail-Absender absichern

Wie viele Betriebe das wirklich eingerichtet haben, haben wir an 69.947 Betriebswebsites gemessen: 48,3 % ohne DMARC-Eintrag, weitere 29,2 % mit einem wirkungslosen — zusammen 77,5 % ohne wirksamen Schutz. Bei bekannteren deutschen Websites ist es etwas besser, aber auch dort fehlt er bei jeder dritten. Zur Studie 2026.

Eine E-Mail-Adresse als Absender einzutragen ist so einfach wie einen falschen Absender auf einen Briefumschlag zu schreiben. Ohne die folgenden drei DNS-Einträge kann jeder Nachrichten im Namen deiner Domain verschicken — und der Empfänger hat keine Möglichkeit, das zu erkennen.

Die drei Einträge im Überblick

Die drei bauen aufeinander auf. DMARC ohne SPF und DKIM ist wirkungslos, SPF und DKIM ohne DMARC bleiben eine Empfehlung ohne Konsequenz.

1. SPF: erlaubte Versandserver

SPF ist ein TXT-Eintrag auf der Domain, der die zum Versand berechtigten Server auflistet.

v=spf1 include:_spf.example-hoster.de ~all

• include: übernimmt die Serverliste deines E-Mail-Anbieters. Die genaue Angabe steht in dessen Dokumentation.
• ~all (Tilde) bedeutet „alles andere ist verdächtig", -all (Minus) bedeutet „alles andere ablehnen". Beginne mit ~all und stelle später um.

Wichtig: Alle versendenden Systeme müssen aufgeführt sein — auch der Newsletter-Dienst, das Shopsystem und das Kontaktformular der Website. Sonst landen ausgerechnet die eigenen Mails im Spam.

2. DKIM: digitale Signatur

Beim Versand signiert der Mailserver die Nachricht mit einem privaten Schlüssel. Der passende öffentliche Schlüssel steht im DNS. Der Empfänger prüft damit, ob die Nachricht unterwegs verändert wurde.

Den Schlüssel erzeugt in aller Regel der E-Mail-Anbieter — bei Microsoft 365, Google Workspace oder einem Plesk-Server genügt es meist, DKIM in der Oberfläche zu aktivieren und den angezeigten Eintrag im DNS zu hinterlegen. Er liegt unter einem Namen dieser Form:

selector1._domainkey.deine-domain.de

Der Teil vor ._domainkey ist der Selector und frei wählbar. Das hat eine praktische Folge: Von außen lässt sich nicht zuverlässig feststellen, ob eine Domain DKIM nutzt — man kann nur die üblichen Namen durchprobieren. Ein Prüfbericht, der bei fehlendem Fund behauptet „DKIM fehlt", behauptet mehr, als er weiß.

3. DMARC: die Regel, die wirkt

DMARC verknüpft SPF und DKIM mit der Adresse, die der Empfänger tatsächlich sieht, und legt fest, was bei einer fehlgeschlagenen Prüfung passieren soll.

v=DMARC1; p=quarantine; rua=mailto:dmarc@deine-domain.de; adkim=s; aspf=s

rua= gibt an, wohin die täglichen Auswertungsberichte gehen. Sie zeigen, wer im Namen deiner Domain versendet — regelmäßig taucht dort ein vergessener Dienst auf.

Der Teil, den fast niemand versteht: das Alignment

SPF und DKIM prüfen nicht die Adresse, die der Empfänger im Mailprogramm sieht. Jede E-Mail hat zwei Absenderangaben:

• den Envelope-Absender (technisch MAIL FROM) — den prüft SPF. Der Empfänger sieht ihn normalerweise nicht.
• den From-Header — den zeigt das Mailprogramm an, und nur der zählt für den Menschen davor.

Genau hier setzt DMARC an: Es verlangt, dass mindestens eine der beiden Prüfungen bestanden wurde und die dabei geprüfte Domain zu der im From-Header passt. Ohne diese Kopplung könnte jemand eine Mail von seiner eigenen, SPF-korrekten Domain versenden und trotzdem deinen Namen ins Absenderfeld schreiben.

Fang mit der lockeren Variante an. Strikt einzustellen ist der letzte Schritt und bricht gern Newsletter-Dienste, die über eine eigene Unterdomain versenden.

Warum SPF allein nicht reicht

SPF hat eine eingebaute Schwäche: Weiterleitungen brechen es. Leitet jemand deine Mail von seiner Firmenadresse an ein privates Postfach weiter, kommt sie beim Ziel von einem Server, der in deinem SPF-Eintrag nicht steht — die Prüfung schlägt fehl, obwohl alles legitim ist.

DKIM übersteht Weiterleitungen dagegen meist, weil die Signatur an der Nachricht hängt und nicht am Server. Das ist der eigentliche Grund, beides einzurichten: DMARC lässt eine Mail durch, wenn eine der beiden Prüfungen passt. Wer nur SPF hat, produziert bei jeder Weiterleitung einen Fehlalarm — und traut sich dann nie auf p=reject.

Empfohlene Reihenfolge

1. SPF einrichten, alle versendenden Systeme aufnehmen.
2. DKIM beim E-Mail-Anbieter aktivieren, Eintrag im DNS setzen.
3. DMARC mit p=none starten und die Berichte zwei bis vier Wochen beobachten.
4. Wenn keine legitimen Absender mehr auffallen: auf p=quarantine stellen.
5. Nach weiteren Wochen ohne Auffälligkeiten auf p=reject.

Wer den Sprung vorsichtig machen will, nutzt pct=. Damit gilt die Regel zunächst nur für einen Teil der Nachrichten:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@deine-domain.de

Ein Viertel der auffälligen Mails wandert in den Spam-Ordner, der Rest wird weiter zugestellt. Fällt nichts auf, erhöht man auf 50, dann 100. pct wirkt allerdings nicht auf p=none — dort gibt es ohnehin keine Maßnahme zu dosieren.

Und die Unterdomains?

Ohne eigene Angabe gilt die Hauptregel auch für alle Unterdomains. Das ist meistens richtig — denn rechnung.deine-domain.de ist ein beliebtes Ziel für Fälschungen, gerade weil dort nie jemand nachsieht. Wer für Unterdomains etwas anderes will, setzt sp=:

v=DMARC1; p=reject; sp=quarantine; rua=mailto:dmarc@deine-domain.de

Für Domains, die gar keine E-Mails versenden — Parkdomains, alte Schreibweisen, reine Weiterleitungen — gehört dagegen die härteste Einstellung hin, und zwar sofort:

v=spf1 -all
v=DMARC1; p=reject;

Dass eine Domain nicht versendet, hindert niemanden daran, in ihrem Namen zu versenden. Genau solche vergessenen Domains sind ein bevorzugtes Ziel.

Die Berichte lesen

Nach dem Einrichten von rua= kommen täglich E-Mails mit angehängten ZIP- oder GZ-Dateien, darin XML. Von Hand ist das kaum lesbar — es gibt kostenlose Auswertungsdienste, an die man die Berichte direkt schicken lassen kann. Für den Anfang genügt es zu wissen, worauf man schaut:

• Welche IP-Adressen versenden in deinem Namen? Alles, was du nicht zuordnen kannst, ist entweder ein vergessener Dienst oder eine Fälschung.
• Wie viele Nachrichten bestehen die Prüfung? Solange legitime Absender durchfallen, ist es zu früh für quarantine.
• Tauchen Weiterleitungen auf? Sie erkennt man daran, dass SPF fehlschlägt, DKIM aber besteht — kein Grund zur Sorge, sondern der Normalfall.

Ein häufiger Fund in der ersten Woche: das Buchhaltungsprogramm, das Rechnungen im Namen der Firma verschickt, und an das beim SPF-Eintrag niemand gedacht hat.

Es gibt neben rua= noch ruf= für Einzelberichte zu jeder fehlgeschlagenen Nachricht. Davon ist eher abzuraten: Die Berichte enthalten Teile echter Nachrichten, kommen in großer Zahl, und die meisten Anbieter versenden sie ohnehin nicht.

Beim eigenen Anbieter

Wichtig in allen Fällen: Nach dem Setzen dauert es bis zur weltweiten Verbreitung im DNS je nach Einstellung Minuten bis Stunden. Wer sofort testet und nichts sieht, hat meist nur zu früh geschaut.

Selbst testen

Der einfachste Test kostet zwei Minuten: Schick eine Mail von deiner Domain an ein Postfach bei einem großen Anbieter und sieh dir dort die vollständigen Kopfzeilen an (in Gmail: Original anzeigen). Zu finden sein sollte eine Zeile wie:

Authentication-Results: mx.google.com;
       spf=pass ... dkim=pass ... dmarc=pass

Drei Mal pass heißt: alles greift. Steht dort dkim=none, signiert der Mailserver nicht — dann ist der DNS-Eintrag vielleicht gesetzt, aber die Signatur im Postfach nicht aktiviert. Das ist der häufigste Halbzustand.

Auf der DNS-Seite lässt sich alles direkt abfragen:

dig +short TXT deine-domain.de
dig +short TXT _dmarc.deine-domain.de

Die häufigsten Fehler

Was danach noch kommt

Wer die drei Einträge stehen hat, kann zwei weitere ergänzen:

• MTA-STS erzwingt, dass Mails an deine Domain nur verschlüsselt zugestellt werden. Braucht einen TXT-Eintrag und eine Textdatei unter https://mta-sts.deine-domain.de/.well-known/mta-sts.txt.
• TLS-RPT lässt sich melden, wenn eine verschlüsselte Zustellung fehlschlägt — ein einzelner TXT-Eintrag.

BIMI — das eigene Logo neben der Nachricht im Postfach — setzt p=quarantine oder p=reject voraus und verlangt bei den meisten Anbietern zusätzlich ein kostenpflichtiges Markenzertifikat. Als Argument für den Schritt auf reject taugt es trotzdem, weil der Nutzen sichtbar ist.

Nebeneffekt: bessere Zustellbarkeit

Große E-Mail-Anbieter verlangen von Absendern mit größerem Versandvolumen inzwischen ausdrücklich korrekte Authentifizierung. Wer SPF, DKIM und DMARC sauber gesetzt hat, landet spürbar seltener im Spam-Ordner. Der Sicherheitsgewinn ist also nicht der einzige Grund.

Häufige Fragen

Was passiert, wenn ich gar nichts einrichte?

Dann kann grundsätzlich jeder E-Mails mit deiner Domain als Absender verschicken — für Rechnungsbetrug und Phishing im Namen deines Unternehmens. Zusätzlich landen deine eigenen E-Mails häufiger im Spam, weil große Anbieter fehlende Authentifizierung negativ bewerten.

Reicht SPF allein?

Nein. SPF prüft nur den technischen Absenderpfad, nicht die Adresse, die im Postfach angezeigt wird. Genau die lässt sich fälschen. Erst DMARC verknüpft beides und legt fest, was mit unpassenden Nachrichten geschehen soll.

Warum ist p=none wirkungslos?

p=none bedeutet: melden, aber nichts unternehmen. Gefälschte E-Mails werden weiterhin zugestellt. Der Wert ist als Startphase gedacht, um Berichte zu sammeln — nicht als Dauerzustand. Viele Domains bleiben trotzdem jahrelang darauf stehen: In unserer Erhebung an 352 deutschen Websites hatten 32,1 % einen DMARC-Eintrag eingerichtet und ihn auf p=none belassen — die Arbeit war gemacht, es fehlt ein Wort im DNS-Eintrag. Zusammen mit den 34,4 % ganz ohne DMARC sind das zwei Drittel ohne wirksamen Schutz.

Wie verbreitet ist das Problem wirklich?

Wir haben im August 2026 die DNS-Einträge von 69.947 deutschen Betriebswebsites gemessen. Bei 48,3 % fehlte ein DMARC-Eintrag ganz, weitere 29,2 % standen auf der wirkungslosen Stufe p=none — zusammen 77,5 % ohne wirksamen Schutz gegen gefälschte Absender. Bei 352 bekannteren deutschen Websites aus der Tranco-Forschungsliste lagen die Werte bei 34,4 % und 32,1 %. Kleine Betriebe stehen also deutlich schlechter da als große Anbieter. Die Rohdaten sind frei abrufbar, wenn du es nachrechnen willst.

Wie finde ich meinen DKIM-Eintrag?

DKIM liegt unter einem frei wählbaren Namen, dem Selector, in der Form selector._domainkey.deine-domain.de. Den Namen vergibt der E-Mail-Anbieter — bei Microsoft 365 meist selector1 und selector2, bei Google Workspace google. Von außen lässt sich ein unbekannter Selector nicht erraten.

Was ist Alignment und warum reicht ein bestandener SPF-Test nicht?

SPF prüft den technischen Envelope-Absender, nicht die Adresse, die im Mailprogramm steht. DMARC verlangt zusätzlich, dass die geprüfte Domain zu der im sichtbaren From-Header passt. Ohne diese Kopplung könnte jemand von seiner eigenen, SPF-korrekten Domain versenden und trotzdem deinen Namen ins Absenderfeld schreiben.

Warum brauche ich DKIM, wenn SPF doch schon greift?

Weil Weiterleitungen SPF brechen. Wird eine Mail weitergeleitet, kommt sie beim Ziel von einem Server, der nicht in deinem SPF-Eintrag steht. DKIM übersteht das, weil die Signatur an der Nachricht hängt. DMARC lässt eine Mail durch, wenn eine der beiden Prüfungen passt — mit beiden vermeidest du Fehlalarme.

Was ist mit Domains, über die ich gar keine Mails verschicke?

Genau die brauchen den härtesten Eintrag, und zwar sofort: v=spf1 -all und v=DMARC1; p=reject;. Dass eine Domain nicht versendet, hindert niemanden daran, in ihrem Namen zu versenden — vergessene Parkdomains sind ein bevorzugtes Ziel.

Wie steige ich vorsichtig von none auf quarantine um?

Mit pct=. Damit gilt die Regel zunächst nur für einen Teil der Nachrichten, etwa p=quarantine; pct=25. Fällt nichts auf, erhöhst du auf 50 und dann 100.

Wie prüfe ich, ob SPF, DKIM und DMARC wirken?

Eine Mail von deiner Domain an ein Postfach bei einem großen Anbieter schicken und dort die vollständigen Kopfzeilen ansehen. In der Zeile Authentication-Results sollte drei Mal pass stehen. Steht dort dkim=none, ist der Schlüssel zwar im DNS, die Signatur im Postfach aber nicht aktiviert.

Stand: 6. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.