SPF, DKIM und DMARC einfach erklärt – mit Beispielen und typischen Fehlern

Das Prinzip in einem Bild

Stell dir einen Brief vor. SPF ist die Liste der Postämter, die Briefe mit deinem Absender abgeben dürfen. DKIM ist ein Siegel auf dem Umschlag, das beweist, dass der Inhalt unterwegs nicht verändert wurde. DMARC sagt dem Empfänger, was er tun soll, wenn Absender und Siegel nicht zusammenpassen – und schickt dir auf Wunsch einen Bericht darüber.

SPF: Wer darf für deine Domain senden?

SPF (Sender Policy Framework) ist ein TXT-Eintrag direkt auf deiner Domain. Er listet alle Server und Dienste auf, die Mails für diese Domain verschicken dürfen:

beispiel.de.  TXT  "v=spf1 ip4:203.0.113.10 include:_spf.newsletter-tool.example ~all"

• ip4: und ip6: erlauben einzelne Adressen oder Netze.
• include: übernimmt die Liste eines Dienstes, etwa deines Newsletter-Tools.
• ~all heißt: Alle anderen sind verdächtig. -all heißt: Alle anderen sind nicht erlaubt.

Geprüft wird übrigens nicht die sichtbare Absenderadresse, sondern die technische Rücksendeadresse (Return-Path). Warum das wichtig ist, steht unter Alignment.

DKIM: Die digitale Unterschrift

Bei DKIM (DomainKeys Identified Mail) signiert der versendende Server jede Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel legst du im DNS ab, unter einem Namen, den man Selektor nennt:

s1._domainkey.beispiel.de.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

Das empfangende Postfach liest den Selektor aus der Mail, holt den Schlüssel aus dem DNS und prüft die Signatur. Wurde die Mail unterwegs verändert, schlägt die Prüfung fehl. Jeder Dienst, der für dich sendet, braucht eine eigene Signatur – meist bekommst du dafür vom Dienst einen fertigen Eintrag, oft als CNAME.

Verwende Schlüssel mit 2048 Bit. 1024 Bit gelten als zu schwach und werden zunehmend abgewertet.

DMARC: Die Spielregeln

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein TXT-Eintrag unter _dmarc. Er verbindet SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was mit Mails passiert, die durchfallen:

_dmarc.beispiel.de.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc-berichte@beispiel.de"

Alignment: Der Punkt, an dem es am häufigsten scheitert

Eine Mail besteht DMARC nur, wenn SPF oder DKIM besteht und die geprüfte Domain zur sichtbaren Absenderadresse passt. Genau das fehlt oft:

• Dein Newsletter-Tool verschickt mit der Rücksendeadresse bounce@mail.newsletter-tool.example. SPF besteht – aber für die Domain des Tools, nicht für deine. Das zählt für DMARC nicht.
• Das Tool signiert mit DKIM, aber mit d=newsletter-tool.example. Auch das passt nicht zu From: news@beispiel.de.

Die Lösung ist fast immer, im Tool die eigene Domain zu „authentifizieren“: Du legst die angezeigten DKIM-Einträge (und oft eine eigene Rücksende-Domain) in deinem DNS an. Danach signiert das Tool mit d=beispiel.de, und DMARC besteht.

DMARC einführen in drei Stufen

1. Beobachten: p=none mit rua= anlegen und zwei bis vier Wochen Berichte sammeln. So siehst du alle Dienste, die in deinem Namen senden – auch die vergessenen wie Rechnungsprogramm oder Kontaktformular.
2. Absichern: Wenn alle echten Absender SPF oder DKIM mit passender Domain bestehen, auf p=quarantine umstellen.
3. Abschließen: Nach weiteren Wochen ohne Probleme auf p=reject gehen. Ab jetzt kann niemand mehr glaubwürdig in deinem Namen schreiben.

Die häufigsten Fehler

Du willst wissen, wie es bei dir aussieht? Der Test auf der Startseite prüft alle drei Einträge an einer echten Mail und schlägt die passenden DNS-Einträge direkt vor.