Anmelden

Microsoft 365: SPF, DKIM und DMARC Schritt für Schritt einrichten

6 Minuten Lesezeit · Stand 29.10.2026 · Timo Kessel

Bei Microsoft 365 sind SPF, DKIM und DMARC nicht von Anfang an eingerichtet, solange du eine eigene Domain nutzt. Du legst drei Einträge im DNS deiner Domain an und schaltest DKIM im Microsoft-Portal ein. Dauert etwa eine halbe Stunde, plus Wartezeit für das DNS.

SPF eintragen

Lege bei deinem DNS-Anbieter einen TXT-Eintrag für die Hauptdomain an (Name @ oder leer):

v=spf1 include:spf.protection.outlook.com -all

DKIM einrichten

DKIM besteht bei Microsoft 365 aus zwei CNAME-Einträgen. Microsoft erzeugt dafür zwei Schlüssel, damit ein Wechsel ohne Ausfall möglich ist.

  1. Öffne das Microsoft Defender Portal (security.microsoft.com) und gehe zu E-Mail & Zusammenarbeit › Richtlinien und Regeln › Bedrohungsrichtlinien › E-Mail-Authentifizierungseinstellungen. Die Menünamen ändern sich gelegentlich. Suche notfalls nach „DKIM“.
  2. Wähle im Reiter DKIM deine Domain aus.
  3. Falls noch keine Schlüssel existieren, wähle DKIM-Schlüssel erstellen. Das Portal zeigt dir danach zwei CNAME-Einträge:
Name (Host)TypWert (Ziel)
selector1._domainkeyCNAMEselector1-beispiel-de._domainkey.deinetenant.onmicrosoft.com
selector2._domainkeyCNAMEselector2-beispiel-de._domainkey.deinetenant.onmicrosoft.com

Die Werte in der Tabelle sind Beispiele. Kopiere deine Werte genau aus dem Portal. Sie enthalten deine Domain mit Bindestrichen statt Punkten und den Namen deines Mandanten.

  1. Lege beide CNAME-Einträge im DNS an und warte, bis sie erreichbar sind (Minuten bis einige Stunden).
  2. Schalte im Portal Nachrichten für diese Domain mit DKIM-Signaturen signieren ein.

Die Standarddomain deinefirma.onmicrosoft.com signiert Microsoft selbst. Für deine eigene Domain musst du das Obige tun.

DMARC ergänzen

Lege einen TXT-Eintrag für _dmarc an, zum Beispiel zum Einstieg:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

Mit p=none passiert noch nichts mit Mails, du bekommst aber Berichte darüber, wer in deinem Namen sendet. Später verschärfst du auf quarantine und reject. Der DMARC-Generator erstellt den Eintrag, und der Artikel DMARC-Berichte auswerten erklärt die nächsten Schritte.

Alles prüfen

  1. Prüfe die Einträge mit dem SPF-Check, dem DKIM-Check (Selektor selector1 und selector2) und dem DMARC-Check.
  2. Schicke dann eine echte Mail aus Outlook an eine Postwacht-Testadresse. Der Bericht zeigt SPF, DKIM und DMARC aus Sicht des Empfängers.

Typische Fehler

Weiterlesen