SPF, DKIM & DMARC: Funktion & Einrichtung im Überblick

Was sind SPF, DKIM und DMARC?

SPF, DKIM und DMARC sind drei Verfahren zur E-Mail-Authentifizierung. Sie wurden unabhängig voneinander entwickelt, erfüllen ihren vollen Zweck aber erst im Zusammenspiel: Gemeinsam weisen sie nach, dass eine E-Mail tatsächlich von der angegebenen Domain stammt, und legen fest, was mit nicht authentifizierten Nachrichten geschehen soll.

Dass diese Verfahren überhaupt nötig sind, liegt an einer grundlegenden Schwäche des E-Mail-Protokolls SMTP. Es wurde in den 1980er-Jahren entworfen und sieht keinerlei Prüfung der Absenderadresse vor. Technisch kann daher jeder eine Nachricht im Namen einer beliebigen Domain verschicken. SPF, DKIM und DMARC schließen diese Lücke auf unterschiedlichen Ebenen.

SPF (Sender Policy Framework)

SPF legt fest, welche Server E-Mails im Namen einer Domain ersenden dürfen. Der Domaininhaber hinterlegt dazu einen TXT-Record im DNS seiner Domain (Was ist DNS?), der die autorisierten IP-Adressen auflistet. Wenn eine E-Mail beim Empfänger eintrifft, gleicht dessen Mailserver die IP-Adresse des sendenden Servers mit diesem Eintrag ab. Stimmt die Adresse mit einer der hinterlegten IPs überein, gilt die SPF-Prüfung als bestanden.

Ein typischer SPF-Eintrag sieht wie folgt aus:

v=spf1 include:_spf.google.com include:mail.beispiel.de -all

Dieser Eintrag autorisiert die Mailserver von Google und den Server mail.beispiel.de zum Versand. Das -all am Ende weist empfangende Server an, E-Mails von allen anderen Quellen abzulehnen.

SPF prüft allerdings nur den technischen Absender (die sogenannte Envelope-From-Adresse), also die Adresse, die im Hintergrund für die Zustellung verwendet wird. Die Absenderadresse, die der Empfänger in seinem Postfach tatsächlich sieht, bleibt dabei unberücksichtigt.

DKIM (DomainKeys Identified Mail)

DKIM ergänzt jede ausgehende E-Mail um eine kryptografische Signatur. Damit lässt sich überprüfen, ob die Nachricht tatsächlich von der angegebenen Domain autorisiert wurde und ob ihr Inhalt auf dem Transportweg unverändert geblieben ist.

Das Verfahren arbeitet mit einem Schlüsselpaar. Der sendende Mailserver signiert bestimmte Bestandteile der E-Mail mit einem privaten Schlüssel. Der zugehörige öffentliche Schlüssel wird als TXT-Record im DNS veröffentlicht. Der empfangende Server ruft diesen öffentlichen Schlüssel ab und prüft die Signatur. Stimmt alles überein, ist sichergestellt, dass die Nachricht authentisch ist und unterwegs nicht manipuliert wurde.

DKIM schützt also die Integrität einer Nachricht. Es gibt dem empfangenden Server allerdings keine Anweisung, wie er mit einer fehlgeschlagenen Prüfung umgehen soll. Diese Aufgabe übernimmt DMARC.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC baut auf SPF und DKIM auf und fügt zwei entscheidende Funktionen hinzu: eine Richtlinie (Policy) und ein Berichtswesen (Reporting).

Die Policy legt fest, wie empfangende Mailserver mit Nachrichten verfahren sollen, die weder die SPF- noch die DKIM-Prüfung bestehen. Drei Stufen stehen zur Auswahl:

• none: Die E-Mail wird normal zugestellt. Der Domaininhaber erhält lediglich Berichte über die Prüfergebnisse.
• quarantine: Die E-Mail wird als verdächtig eingestuft und in den Spam-Ordner verschoben.
• reject: Die E-Mail wird vom empfangenden Server abgewiesen und gar nicht erst zugestellt.

Zusätzlich verlangt DMARC ein sogenanntes Domain Alignment. Das bedeutet, dass die Domain im sichtbaren Absenderfeld (die From-Adresse) mit der Domain übereinstimmen muss, die bei der SPF- oder DKIM-Prüfung herangezogen wurde. Erst diese Verknüpfung verhindert, dass ein Angreifer zwar eine SPF-Prüfung mit seiner eigenen Domain besteht, im sichtbaren Absenderfeld aber eine fremde Domain angibt.

Über das Reporting versendet DMARC regelmäßig Berichte an den Domaininhaber. Diese Berichte zeigen, welche Server im Namen der Domain E-Mails verschicken, ob die Authentifizierung erfolgreich war und ob Missbrauchsversuche stattgefunden haben.

Vergleich: Unterschiede zwischen SPF, DKIM und DMARC im Überblick

Wie arbeiten SPF, DKIM und DMARC zusammen?

Einzeln betrachtet deckt jedes Verfahren nur einen Teilaspekt der E-Mail-Authentifizierung ab. SPF prüft den sendenden Server, DKIM sichert die Integrität der Nachricht, und DMARC liefert die Richtlinie für den Umgang mit Fehlschlägen. Ihren vollen Schutz entfalten die drei Verfahren erst im Zusammenspiel, weil dabei jede Lücke eines einzelnen Protokolls durch die anderen aufgefangen wird.

Wenn eine E-Mail beim Empfänger eintrifft, durchläuft sie im Wesentlichen vier Prüfschritte:

1. SPF-Prüfung: Der empfangende Mailserver liest die IP-Adresse (Was ist eine IP-Adresse?) des sendenden Servers aus und vergleicht sie mit dem SPF-Eintrag der Absenderdomain. Ist die Adresse dort als autorisiert hinterlegt, gilt die Prüfung als bestanden.

2. DKIM-Prüfung: Der empfangende Server sucht im E-Mail-Header nach einer DKIM-Signatur. Falls vorhanden, ruft er den öffentlichen Schlüssel aus dem DNS der Absenderdomain ab und prüft, ob die Signatur gültig ist. Eine gültige Signatur bestätigt, dass die Nachricht seit dem Versand nicht verändert wurde.

3. DMARC-Auswertung: Anschließend prüft der Server, ob mindestens eine der beiden vorangegangenen Prüfungen bestanden wurde und ob die dabei verwendete Domain mit der sichtbaren Absenderadresse übereinstimmt (Domain Alignment). Nur wenn beides zutrifft, gilt die DMARC-Prüfung als erfolgreich. Schlägt sie fehl, wendet der Server die im DMARC-Eintrag hinterlegte Richtlinie an: zustellen, in den Spam verschieben oder ablehnen.

4. Reporting: Unabhängig vom Ergebnis dokumentiert der empfangende Server die Prüfergebnisse und übermittelt sie in Form von DMARC-Berichten an die im DNS hinterlegte Adresse des Domaininhabers. Diese Berichte machen sichtbar, welche Server im Namen der Domain versenden, wo Konfigurationsfehler vorliegen und ob Dritte versuchen, die Domain zu fälschen.

Ohne DMARC als verbindendes Element könnte ein Angreifer die SPF-Prüfung mit einer eigenen Domain bestehen und trotzdem im sichtbaren Absenderfeld eine fremde Adresse angeben. Der Empfänger würde die Fälschung nicht erkennen. Erst das Domain Alignment in Kombination mit einer klaren Richtlinie schließt diese Lücke.

Warum verlangen E-Mail-Provider eine Authentifizierung?

Seit Februar 2024 verlangen Google und Yahoo von allen Absendern, die große Mengen an E-Mails verschicken, eine vollständige Authentifizierung. Konkret gelten für Absender mit mehr als 5.000 Nachrichten pro Tag folgende Vorgaben:

• SPF und DKIM müssen korrekt konfiguriert sein.
• Ein DMARC-Eintrag mit mindestens der Policy p=none muss im DNS veröffentlicht sein.
• Die sichtbare Absenderdomain muss per Domain Alignment mit der SPF- oder DKIM-Domain übereinstimmen.
• Die Verbindung zwischen Mailservern muss per TLS verschlüsselt sein.
• Marketing-E-Mails müssen eine Ein-Klick-Abmeldung (One-Click Unsubscribe) im Header enthalten, und Abmeldungen müssen innerhalb von zwei Tagen verarbeitet werden.
• Die Spam-Beschwerderate darf bei Gmail 0,3 % nicht überschreiten.

Im Mai 2025 hat Microsoft nachgezogen. Domains, die mehr als 5.000 Nachrichten pro Tag an Outlook-, Hotmail- oder Live-Postfächer senden, müssen ebenfalls SPF, DKIM und DMARC vorweisen. Nachrichten, die diese Anforderungen nicht erfüllen, werden abgelehnt.

Für Webhosting-Kunden bedeutet das: Auch wer nur einen Newsletter versendet oder ein Kontaktformular mit E-Mail-Benachrichtigung betreibt, sollte seine DNS-Einträge sauber konfigurieren. Schon ein einzelner fehlender Eintrag kann dazu führen, dass E-Mails im Spam-Ordner landen oder vom Empfänger gar nicht erst angenommen werden.

Wie richte ich SPF, DKIM und DMARC ein?

Alle drei Verfahren werden über TXT-Einträge im DNS der jeweiligen Domain konfiguriert. Die Einrichtung erfordert Zugriff auf die DNS-Verwaltung. Beim Webhosting von manitu lassen sich diese Einträge direkt über die Verwaltungsoberfläche anlegen.

SPF-Eintrag erstellen

Im ersten Schritt benötigen Sie einen Überblick über alle Server und Dienste, die E-Mails über Ihre Domain versenden. Dazu zählen Ihr eigener Mailserver, aber auch externe Dienste wie Newsletter-Tools, CRM-Systeme oder Ticketplattformen.

Diese autorisierten Quellen tragen Sie in einem TXT-Record zusammen, den Sie für Ihre Domain im DNS anlegen. Der Hostname bleibt leer (bzw. wird als @ angegeben), weil der Eintrag für die Hauptdomain gilt. Ein typischer SPF-Eintrag sieht so aus:

v=spf1 ip4:203.0.113.5 include:_spf.google.com -all

Achten Sie darauf, dass Ihr SPF-Eintrag nicht mehr als zehn DNS-Lookups auslöst. Jeder include-Mechanismus verursacht mindestens einen Lookup, und bei Überschreitung der Grenze schlägt die gesamte SPF-Prüfung fehl.

DKIM-Eintrag erstellen

Für DKIM benötigen Sie ein Schlüsselpaar aus privatem und öffentlichem Schlüssel. In den meisten Fällen erzeugt Ihr E-Mail-Server oder Ihr Versanddienstleister dieses Schlüsselpaar automatisch und stellt Ihnen den passenden DKIM-DNS-Eintrag bereit, den Sie nur noch in Ihrer DNS-Verwaltung hinterlegen müssen.

Den öffentlichen Schlüssel veröffentlichen Sie als TXT-Record im DNS Ihrer Domain. Der Hostname folgt dem Schema selektor._domainkey, wobei der Selektor ein frei wählbarer Bezeichner ist, über den sich verschiedene Schlüssel unterscheiden lassen. Ein DKIM-Eintrag sieht beispielsweise so aus:

Hostname: mail._domainkey.beispiel.de

Wert: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GN...

Der private Schlüssel verbleibt auf dem sendenden Mailserver und darf niemals veröffentlicht werden. Als Schlüssellänge empfehlen sich mindestens 2.048 Bit, da kürzere Schlüssel als nicht mehr ausreichend sicher gelten.

DMARC-Eintrag erstellen

Der DMARC-Eintrag wird ebenfalls als TXT-Record im DNS hinterlegt. Als Hostname verwenden Sie _dmarc, der vollständige Name lautet also _dmarc.beispiel.de. Ein grundlegender Eintrag sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc-berichte@beispiel.de

DMARC schrittweise verschärfen

Eine DMARC-Richtlinie sollte nie direkt auf reject gestellt werden, weil dabei auch legitime E-Mails verloren gehen können, wenn SPF oder DKIM noch nicht vollständig korrekt konfiguriert sind. Stattdessen empfiehlt sich eine stufenweise Einführung:

1. Start mit p=none: DMARC ist aktiv und sammelt Berichte, nimmt aber keinen Einfluss auf die Zustellung. In dieser Phase analysieren Sie die Berichte und identifizieren alle Server, die im Namen Ihrer Domain E-Mails versenden.
2. Wechsel zu p=quarantine: Nicht authentifizierte E-Mails werden als verdächtig eingestuft und in den Spam-Ordner verschoben. Über den optionalen Parameter pct=10 können Sie die Richtlinie zunächst auf einen kleinen Prozentsatz der Nachrichten beschränken und schrittweise erhöhen.
3. Wechsel zu p=reject: Alle nicht authentifizierten E-Mails werden abgewiesen. Diesen Schritt sollten Sie erst gehen, wenn Sie sicher sind, dass alle legitimen Quellen korrekt authentifizieren.

Dieser Prozess dauert je nach Komplexität der genutzten E-Mail-Infrastruktur zwischen wenigen Wochen und mehreren Monaten.

Was passiert ohne SPF, DKIM und DMARC?

Ohne E-Mail-Authentifizierung bleibt Ihre Domain ungeschützt, und die Folgen betreffen gleich mehrere Bereiche.

Ihre E-Mails landen im Spam

Wenn empfangende Mailserver keine gültigen SPF-, DKIM- oder DMARC-Einträge vorfinden, stufen sie Nachrichten von Ihrer Domain als nicht vertrauenswürdig ein. Die Wahrscheinlichkeit steigt deutlich, dass selbst reguläre Geschäftsmails oder Bestellbestätigungen im Spam-Ordner des Empfängers enden. Seit den verschärften Anforderungen von Google, Yahoo und Microsoft kann es auch passieren, dass E-Mails komplett abgewiesen werden, bevor sie den Empfänger überhaupt erreichen.

Ihre Domain kann für Spoofing missbraucht werden

Ohne DMARC gibt es keine Richtlinie, die empfangenden Servern vorschreibt, wie sie mit nicht authentifizierten Nachrichten umgehen sollen. Ein Angreifer kann dadurch E-Mails verschicken, die im Postfach des Empfängers so aussehen, als kämen sie von Ihrer Domain. Solche gefälschten Nachrichten werden häufig für Phishing-Angriffe genutzt, etwa um Kunden zur Eingabe von Zugangsdaten oder zur Überweisung von Geldbeträgen zu bewegen.

Ihre Absender-Reputation leidet

Mailbox-Provider wie Gmail und Outlook bewerten die Vertrauenswürdigkeit einer Domain unter anderem anhand ihrer Authentifizierungskonfiguration. Fehlen die entsprechenden DNS-Einträge, verschlechtert sich die Reputation Ihrer Domain mit der Zeit. Eine beschädigte Reputation wirkt sich direkt auf die Zustellbarkeit aus, und der Wiederaufbau kann Wochen bis Monate dauern.

Sie verlieren den Überblick über Ihren E-Mail-Verkehr

DMARC-Berichte sind die einzige Möglichkeit, systematisch zu erfahren, welche Server im Namen Ihrer Domain E-Mails versenden. Ohne diese Berichte bleiben Fehlkonfigurationen und Missbrauchsversuche unter Umständen über längere Zeit unbemerkt.

Welche Best Practices gelten für die E-Mail-Authentifizierung?

Die Einrichtung von SPF, DKIM und DMARC ist kein einmaliges Projekt. Damit die Authentifizierung langfristig zuverlässig funktioniert, sollten Sie einige Grundregeln beachten:

• SPF-Eintrag aktuell halten: Prüfen Sie den Record bei jeder Änderung an Ihrer E-Mail-Infrastruktur. Ein vergessener Dienst oder ein stillgelegtes Tool führt dazu, dass Nachrichten aus dieser Quelle die Prüfung nicht mehr bestehen. Die Gesamtzahl der DNS-Lookups darf dabei zehn nicht überschreiten.
• DKIM-Schlüssel regelmäßig erneuern: Rotieren Sie Ihre Schlüssel mindestens einmal pro Jahr. Verwenden Sie dabei einen neuen Selektor, den Sie im DNS veröffentlichen, bevor der alte deaktiviert wird. So läuft der Wechsel ohne Unterbrechung ab.
• DMARC-Berichte auswerten: Die XML-Berichte zeigen Ihnen, welche Server im Namen Ihrer Domain versenden und wo Probleme auftreten. Kostenlose Online-Tools bereiten die Rohdaten übersichtlich auf.
• Alle drei Verfahren gemeinsam verwenden: SPF und DKIM allein bieten keinen vollständigen Schutz, weil ohne DMARC keine Richtlinie für fehlgeschlagene Prüfungen existiert. Umgekehrt kann DMARC nur arbeiten, wenn SPF und DKIM als Grundlage vorhanden sind.
• Auch Domains ohne E-Mail-Versand absichern: Veröffentlichen Sie für solche Domains einen DMARC-Eintrag mit p=reject und einen leeren SPF-Record (v=spf1 -all). Ohne diese Einträge können Angreifer die Domain ungehindert für gefälschte Nachrichten verwenden.

FAQs rund um SPF, DKIM und DMARC

Was bedeutet SPF?

SPF steht für Sender Policy Framework. Es handelt sich um ein Verfahren zur E-Mail-Authentifizierung, bei dem der Inhaber einer Domain im DNS festlegt, welche Server E-Mails im Namen dieser Domain versenden dürfen. Empfangende Mailserver gleichen die IP-Adresse des sendenden Servers mit diesem Eintrag ab und können so prüfen, ob die Nachricht von einer autorisierten Quelle stammt.

Brauche ich SPF, DKIM und DMARC gleichzeitig?

Ja. Jedes der drei Verfahren deckt einen anderen Aspekt der E-Mail-Authentifizierung ab. SPF prüft den sendenden Server, DKIM schützt die Integrität der Nachricht, und DMARC liefert die Richtlinie für den Umgang mit Fehlschlägen. Ohne DMARC fehlt das verbindende Element, das die Ergebnisse von SPF und DKIM mit der sichtbaren Absenderadresse verknüpft. Seit 2024 verlangen zudem große Provider wie Google, Yahoo und Microsoft von Absendern mit hohem Versandvolumen, dass alle drei Verfahren konfiguriert sind.

Wie kann ich SPF und DKIM überprüfen?

Am einfachsten gelingt das über den E-Mail-Header einer versendeten Testnachricht. Öffnen Sie die Nachricht im Postfach des Empfängers und lassen Sie sich den vollständigen Header anzeigen. Suchen Sie dort nach dem Feld „Authentication-Results“. Ein Eintrag wie spf=pass und dkim=pass bestätigt, dass beide Prüfungen erfolgreich waren. Alternativ stehen kostenlose Online-Tools zur Verfügung, bei denen Sie Ihre Domain eingeben und die Konfiguration automatisch auswerten lassen.

Wie kann ich meinen SPF-Eintrag auslesen?

Ihren aktuellen SPF-Eintrag können Sie über ein DNS-Lookup-Tool abfragen. Geben Sie dort Ihre Domain ein und wählen Sie den Eintragstyp TXT. In der Ergebnisliste suchen Sie nach dem Eintrag, der mit v=spf1 beginnt. Alternativ lässt sich die Abfrage über die Kommandozeile durchführen. Unter Windows verwenden Sie den Befehl nslookup -type=txt beispiel.de, unter macOS und Linux dig beispiel.de TXT. Die Ausgabe zeigt Ihnen alle hinterlegten TXT-Records einschließlich des SPF-Eintrags.

Was ist der Unterschied zwischen SPF und DKIM?

SPF prüft, ob der sendende Server berechtigt ist, E-Mails für eine Domain zu verschicken. Die Grundlage bildet eine im DNS hinterlegte Liste autorisierter IP-Adressen. DKIM hingegen versieht jede ausgehende Nachricht mit einer kryptografischen Signatur und ermöglicht dem Empfänger so die Überprüfung, ob die E-Mail seit dem Versand unverändert geblieben ist. SPF sichert also den Transportweg auf Serverebene ab, während DKIM die Nachricht selbst schützt.

Was bedeutet Domain Alignment?

Domain Alignment bezeichnet die Übereinstimmung zwischen der sichtbaren Absenderadresse (dem From-Feld) und der Domain, die bei der SPF- oder DKIM-Prüfung verwendet wurde. DMARC verlangt diese Übereinstimmung, damit ein Angreifer nicht mit einer eigenen Domain eine SPF-Prüfung bestehen und gleichzeitig im sichtbaren Absenderfeld eine fremde Adresse vortäuschen kann. Stimmen die Domains überein, spricht man von einem erfolgreichen Alignment. Dabei wird zwischen „strict“ (exakte Übereinstimmung) und „relaxed“ (die Organisationsdomain muss übereinstimmen, Subdomains sind erlaubt) unterschieden.