E-Mail 2 Min. Lesezeit

Jeder kann eine beliebige Adresse in die „From“-Zeile einer E-Mail schreiben (E-Mail-Spoofing). Drei DNS-basierte Standards ermöglichen es empfangenden Servern zu prüfen, ob eine Nachricht wirklich von der Domain stammt, die sie angibt: SPF, DKIM und DMARC. Seit 2024 verlangen Gmail und Yahoo sie von Massenversendern, und fehlende Einträge sind ein häufiger Grund dafür, dass E-Mails im Spam landen.

SPF: welche Server senden dürfen

Sender Policy Framework ist ein TXT-Eintrag, der die Server auflistet, die E-Mails für deine Domain senden dürfen.

example.com.  TXT  "v=spf1 include:_spf.google.com include:sendgrid.net -all"
  • include: fügt die Server eines anderen Anbieters hinzu.
  • ip4: / ip6: fügen bestimmte Adressen hinzu.
  • Das Ende legt die Richtlinie fest: -all (alles andere fail), ~all (softfail: annehmen, aber markieren), ?all (neutral).

Der empfangende Server prüft die IP des verbindenden Servers anhand des Eintrags der Return-Path-Domain.

Grenzen: nur ein SPF-Eintrag pro Domain, höchstens 10 DNS-Lookups, und SPF bricht, wenn E-Mails weitergeleitet werden.

DKIM: eine Signatur auf jeder Nachricht

DomainKeys Identified Mail signiert jede Nachricht mit einem privaten Schlüssel auf dem sendenden Server. Der öffentliche Schlüssel wird im DNS veröffentlicht:

selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Der Empfänger nutzt den Selektor und die Domain aus dem Header DKIM-Signature, um den Schlüssel abzurufen und zu prüfen, dass die signierten Header und der Inhalt nicht verändert wurden. DKIM übersteht Weiterleitungen. Dein E-Mail-Anbieter gibt dir den Eintrag, den du veröffentlichen musst.

DMARC: die Richtlinie, die alles verbindet

Domain-based Message Authentication, Reporting and Conformance sagt Empfängern, was sie tun sollen, wenn eine Nachricht durchfällt, und verlangt, dass SPF oder DKIM für dieselbe Domain wie die From-Adresse besteht (Alignment).

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"
Richtlinie Wirkung
p=none Nur beobachten, Berichte senden
p=quarantine Durchgefallene E-Mails in den Spam verschieben
p=reject Durchgefallene E-Mails ablehnen

Beginne mit p=none, lies ein paar Wochen lang die Berichte, um jeden legitimen Absender zu finden, und wechsle dann zu quarantine und reject.

Ergebnisse, die du sehen wirst

Ergebnis Bedeutung
pass Die Prüfung war erfolgreich
fail Die Prüfung ist fehlgeschlagen; bei DMARC reject wird die Nachricht abgelehnt
softfail SPF ~all: nicht autorisiert, aber nicht direkt abgelehnt
neutral / none Keine Richtlinie oder kein Eintrag
temperror / permerror Ein DNS-Problem oder ein fehlerhafter Eintrag

Die Ergebnisse einer Nachricht prüfst du mit unserer E-Mail-Header-Analyse, die Einträge deiner Domain samt 10-Lookup-Grenze mit dem SPF-, DKIM- & DMARC-Check. Er erzeugt dir außerdem korrekte Einträge.

Checkliste zur Einrichtung für deine Domain

  1. Veröffentliche einen SPF-Eintrag, der jeden Dienst auflistet, der für dich sendet.
  2. Aktiviere DKIM-Signierung in jedem sendenden Dienst und veröffentliche dessen Schlüssel.
  3. Veröffentliche einen DMARC-Eintrag mit p=none und einer Adresse für Berichte.
  4. Wenn du einen eigenen Mailserver betreibst, setz einen passenden Reverse-DNS-Eintrag.
  5. Verschärfe DMARC nach ein paar Wochen auf quarantine und dann auf reject.

Häufige Fragen

Brauche ich alle drei?

Ja. SPF und DKIM liefern die Prüfungen; DMARC sorgt dafür, dass Empfänger danach handeln, und schützt deine Domain vor Spoofing.

Warum schlägt SPF bei weitergeleiteten E-Mails fehl?

Der weiterleitende Server steht nicht in deinem SPF-Eintrag. DKIM besteht meist trotzdem, also besteht auch DMARC.

Können SPF, DKIM und DMARC jedes Phishing verhindern?

Sie verhindern, dass andere genau deine Domain nutzen. Gegen ähnlich aussehende Domains helfen sie nicht, also lies die Absenderadresse genau.