SPF, DKIM und DMARC einrichten

Ohne SPF, DKIM und DMARC landen Mails immer öfter im Spam oder werden abgewiesen. Gmail, Microsoft und Yahoo verlangen sie inzwischen von allen, die größere Mengen versenden. So richtest du sie Schritt für Schritt ein.

Prüfen kannst du jeden Schritt mit dem Mail-Check.

1. SPF: Wer darf für die Domain senden?

SPF ist ein TXT-Eintrag auf der Domain selbst. Er listet die Server, die Mails im Namen der Domain verschicken dürfen.

example.de.  TXT  "v=spf1 mx include:_spf.google.com -all"

• mx: die eigenen Mailserver aus dem MX-Eintrag
• include:…: Server eines Dienstleisters (Microsoft 365: include:spf.protection.outlook.com, Google: include:_spf.google.com)
• ip4:203.0.113.10: eine einzelne IP, z. B. für einen Drucker oder ein Shopsystem
• -all: alles andere ist nicht erlaubt. ~all (Softfail) ist die weichere Variante für die Umstellungsphase.

Fallstricke:

• Nur ein SPF-Eintrag pro Domain. Zwei Einträge machen beide ungültig.
• Höchstens 10 DNS-Lookups (jedes include, a, mx zählt, auch verschachtelt). Der Mail-Check zählt sie für dich.

2. DKIM: Mails signieren

Der Mailserver signiert jede ausgehende Mail. Der öffentliche Schlüssel liegt im DNS unter <selektor>._domainkey.<domain>.

• Microsoft 365: im Defender-Portal unter E-Mail-Authentifizierung DKIM aktivieren, dann die zwei angezeigten CNAME-Einträge (selector1, selector2) anlegen.
• Google Workspace: Admin-Konsole → Apps → Gmail → E-Mails authentifizieren, Schlüssel erzeugen, TXT-Eintrag google._domainkey anlegen, dann „Authentifizierung starten“.
• Eigener Server (Postfix mit OpenDKIM, Stalwart, Mailcow …): Schlüssel im Server erzeugen lassen und den angezeigten TXT-Eintrag übernehmen.

Den Selektor einer echten Mail findest du im Header DKIM-Signature hinter s=.

3. DMARC: Was passiert mit Fälschungen?

DMARC verbindet SPF und DKIM mit der Absenderadresse, die der Empfänger sieht, und legt fest, was mit Mails passiert, die durchfallen.

Fang beobachtend an:

_dmarc.example.de.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.de"

• p=none: nur beobachten, nichts blockieren
• rua=: Adresse für tägliche Sammelberichte der großen Anbieter

Nach zwei bis vier Wochen Berichte auswerten. Tauchen dort nur noch deine eigenen Dienste auf, verschärfst du schrittweise:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.de
v=DMARC1; p=reject; rua=mailto:dmarc@example.de

4. Prüfen

1. Mail-Check für die Domain laufen lassen, alles sollte grün sein.
2. Eine Testmail an ein Gmail-Konto schicken und dort „Original anzeigen“: SPF, DKIM und DMARC sollten PASS zeigen.
3. Die IP des Mailservers im Blacklist-Check prüfen.

Domains, die gar keine Mails senden

Auch die solltest du absichern, damit niemand sie fälscht:

example.de.          TXT  "v=spf1 -all"
_dmarc.example.de.   TXT  "v=DMARC1; p=reject"