SPF, DKIM und DMARC: Warum Ihre E-Mails im Spam landen

„Haben Sie unser Angebot bekommen?“ – „Nein, nichts angekommen.“ Wenn dieser Dialog öfter vorkommt, liegt es selten am Kunden. Meist hat das Postfach des Empfängers die Nachricht als verdächtig eingestuft, weil die Absenderdomain nicht sauber abgesichert ist. Für einen Sanitärbetrieb, der Angebote per E-Mail verschickt, oder eine Steuerkanzlei, die Unterlagen anfordert, ist das ein echtes Geschäftsrisiko.

Drei Einträge in den DNS-Einstellungen Ihrer Domain entscheiden maßgeblich darüber, ob Ihre E-Mails als vertrauenswürdig gelten: SPF, DKIM und DMARC. Wir erklären, was jeder davon macht, was die großen Postfach-Anbieter verlangen und wie Sie die Einrichtung angehen, ohne dabei eigene E-Mails zu blockieren.

Warum landen E-Mails überhaupt im Spam?

Das E-Mail-Protokoll stammt aus einer Zeit, in der sich alle Beteiligten kannten. Die Absenderadresse lässt sich deshalb technisch beliebig eintragen, ähnlich wie der Absender auf einem Briefumschlag. Betrüger nutzen das, um im Namen echter Firmen gefälschte Rechnungen oder Phishing-Mails zu verschicken.

Empfangende Postfächer prüfen daher bei jeder eingehenden Nachricht: Darf dieser Server im Namen dieser Domain senden? Wurde die Nachricht unterwegs verändert? Was wünscht der Domaininhaber, wenn die Prüfung fehlschlägt? Fehlen die Antworten, weil die Einträge nicht existieren, fällt die Einstufung schlechter aus. Neben der Authentifizierung spielen auch Inhalt, Versandmenge und Beschwerden eine Rolle. Ohne SPF, DKIM und DMARC haben Sie aber schon vor dem ersten Wort einen Nachteil.

Die drei Verfahren im Überblick

SPF: Wer darf für Ihre Domain senden?

Mit SPF (Sender Policy Framework) veröffentlichen Sie eine Liste der Server, die E-Mails mit Ihrer Domain verschicken dürfen. Ein typischer Eintrag sieht so aus:

v=spf1 include:_spf.ihr-mailanbieter.de include:_spf.ihr-newsletter-tool.de ~all

• v=spf1 kennzeichnet den Eintrag als SPF.
• include: übernimmt die Serverliste eines Dienstleisters, etwa des E-Mail-Anbieters oder Newsletter-Tools. Die korrekten Werte nennt der jeweilige Anbieter.
• ~all bedeutet: Alle anderen Server sind verdächtig („Softfail“). Mit -all („Fail“) sind sie ausdrücklich nicht erlaubt.

Zwei Regeln, die oft verletzt werden

Nur ein SPF-Eintrag pro Domain. RFC 7208 schreibt vor, dass eine Domain nicht mehrere SPF-Einträge haben darf. Wer für jeden neuen Dienst einen weiteren Eintrag anlegt, macht SPF ungültig. Richtig ist, alle Dienste in einem Eintrag zusammenzufassen.

Höchstens zehn DNS-Abfragen. Jedes include, a, mx oder redirect löst Abfragen aus. Laut RFC 7208 muss die Prüfung nach zehn solchen Abfragen mit einem Fehler („permerror“) abbrechen. Bei Betrieben mit vielen Diensten ist diese Grenze schneller erreicht, als man denkt, weil auch die eingebundenen Einträge der Anbieter mitzählen.

SPF hat eine Schwäche: Es prüft den technischen Absender im Hintergrund, nicht die Adresse, die Ihr Kunde im Mailprogramm sieht. Und bei weitergeleiteten E-Mails schlägt es oft fehl, weil dann ein fremder Server zustellt. Deshalb braucht es DKIM und DMARC.

DKIM: die digitale Unterschrift

Bei DKIM (DomainKeys Identified Mail) unterschreibt der sendende Server jede E-Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem sogenannten Selektor, zum Beispiel mail2026._domainkey.ihrefirma.de. Der Empfänger holt sich den Schlüssel und prüft, ob die Signatur stimmt.

Damit belegt DKIM zweierlei: Die Nachricht stammt von einem Server, der den Schlüssel der Domain besitzt, und Inhalt sowie wichtige Kopfzeilen wurden unterwegs nicht verändert. Anders als SPF übersteht DKIM in der Regel auch eine einfache Weiterleitung.

In der Praxis aktivieren Sie DKIM im Verwaltungsbereich Ihres E-Mail-Anbieters. Dort erhalten Sie den Selektor und den Schlüssel, den Sie als TXT- oder CNAME-Eintrag in die DNS-Zone übernehmen. Jeder Dienst, der in Ihrem Namen sendet, braucht seine eigene DKIM-Signatur – also auch Newsletter-Tool und Rechnungsprogramm.

DMARC: Regeln und Berichte für Ihre Domain

DMARC (Domain-based Message Authentication, Reporting and Conformance) bringt SPF und DKIM mit der sichtbaren Absenderadresse zusammen. Eine Nachricht besteht die DMARC-Prüfung, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur Domain im „Von“-Feld passt. Diese Übereinstimmung heißt Alignment. Im Standardmodus („relaxed“) genügt dieselbe Organisationsdomain, also passt etwa news.ihrefirma.de zu ihrefirma.de.

Ein Einstiegs-Eintrag unter _dmarc.ihrefirma.de sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihrefirma.de

Die Richtlinie p kennt drei Stufen:

• none: nur beobachten, keine Vorgabe an den Empfänger.
• quarantine: Nachrichten, die durchfallen, gelten als verdächtig und landen meist im Spam.
• reject: Nachrichten, die durchfallen, sollen abgelehnt werden.

Über rua erhalten Sie Sammelberichte der großen Postfach-Anbieter. Sie zeigen, welche Server in Ihrem Namen gesendet haben und ob die Prüfungen bestanden wurden. Die Berichte kommen als XML-Dateien und sind ohne Auswertungswerkzeug kaum lesbar, aber sie sind die wichtigste Quelle, um vergessene Absender zu finden.

Was sich mit RFC 9989 geändert hat

Im Mai 2026 hat die IETF DMARC als RFC 9989 neu veröffentlicht, die Berichtsformate stehen in RFC 9990 und 9991. Der bisherige Standard RFC 7489 ist damit abgelöst. Für Betriebe ändert sich wenig: Bestehende Einträge funktionieren weiter. Neu sind unter anderem der Parameter np für nicht existierende Subdomains und t=y als Testmodus. Der bisherige Parameter pct für prozentuale Einführung ist im neuen Standard nicht mehr enthalten.

Was Gmail und Outlook verlangen

Die großen Postfach-Anbieter haben die Anforderungen in den letzten Jahren deutlich verschärft. Google schreibt in seinen Richtlinien für E-Mail-Absender seit Februar 2024 vor:

• Alle Absender, die an private Gmail-Konten schreiben, müssen SPF oder DKIM einrichten, gültige DNS-Einträge für ihre Server haben, über TLS senden und die Spamrate unter 0,3 % halten.
• Absender mit mehr als etwa 5.000 Nachrichten pro Tag an Gmail brauchen SPF und DKIM, einen DMARC-Eintrag (mindestens p=none), Übereinstimmung mit der Absenderdomain und bei Werbemails eine Abmeldung per Klick.

Laut Google wird die Durchsetzung seit November 2025 verstärkt: Nachrichten, die die Anforderungen nicht erfüllen, können vorübergehend oder dauerhaft abgelehnt werden. Microsoft hat 2025 für Outlook.com vergleichbare Anforderungen an Absender mit hohem Versandvolumen eingeführt.

Ein Handwerksbetrieb erreicht die 5.000er-Grenze selten. Trotzdem lohnt es sich, alle drei Verfahren einzurichten. Die Anforderungen für Großversender zeigen, wohin die Entwicklung geht, und ein DMARC-Eintrag schützt Ihre Domain gegen Missbrauch durch Betrüger.

SPF, DKIM und DMARC einrichten: Schritt für Schritt

1. Alle Absender auflistenWelche Systeme verschicken E-Mails mit Ihrer Domain? Typisch sind Postfächer, das Kontaktformular der Website, Newsletter-Tool, Rechnungs- oder Buchhaltungssoftware, Terminbuchung, Online-Shop und Ticketsystem.
2. SPF-Eintrag zusammenstellenFür jeden Dienst den vom Anbieter genannten include-Wert übernehmen, alles in einem Eintrag bündeln und die Zahl der Abfragen prüfen.
3. DKIM für jeden Dienst aktivierenIn jedem System die DKIM-Signatur einschalten und die angezeigten DNS-Einträge anlegen.
4. DMARC mit p=none startenEintrag mit Berichtsadresse anlegen. Für die Berichte eignet sich ein eigenes Postfach oder ein Auswertungsdienst.
5. Berichte auswertenEinige Wochen beobachten: Tauchen Absender auf, die durchfallen, aber legitim sind? Diese nachträglich in SPF und DKIM aufnehmen.
6. Richtlinie verschärfenErst wenn alle legitimen Absender bestehen, auf quarantine und später auf reject umstellen.

Die Einträge legen Sie dort an, wo die DNS-Zone Ihrer Domain verwaltet wird – meist beim Domain- oder Hosting-Anbieter. Wenn Sie noch keine Adresse mit eigener Domain nutzen, beginnen Sie mit unserem Ratgeber E-Mail-Adresse mit eigener Domain einrichten.

Sonderfall Kontaktformular: der vergessene Absender

In unseren Projekten ist das Kontaktformular der häufigste Grund für verschwundene Anfragen. Viele Websites verschicken Formularmails direkt vom Webserver über die PHP-Funktion mail(). Dieser Server steht in keinem SPF-Eintrag, signiert nicht mit DKIM, und manche Formulare tragen sogar die Adresse des Besuchers als Absender ein. Für den Empfänger sieht das aus wie eine gefälschte Nachricht.

So lösen Sie das Problem:

• Formularmails über ein echtes Postfach Ihrer Domain per SMTP mit Anmeldung versenden, in WordPress etwa mit einem SMTP-Plugin.
• Als Absender immer eine eigene Adresse wie website@ihrefirma.de verwenden.
• Die Adresse des Besuchers nur als „Antwort an“ (Reply-To) eintragen, damit Sie trotzdem direkt antworten können.
• Nach jeder Änderung einen Test an ein externes Postfach schicken.

Wie Sie das Formular selbst so gestalten, dass mehr Anfragen eingehen, zeigt unser Ratgeber Kontaktformular optimieren.

Typische Fehler und wie Sie sie vermeiden

• Zwei SPF-Einträge nach dem Hinzufügen eines neuen Dienstes – macht SPF ungültig.
• +all im SPF-Eintrag: erlaubt jedem Server der Welt, in Ihrem Namen zu senden.
• Zu frühes p=reject: blockiert eigene Rechnungen oder Newsletter, die noch nicht eingebunden sind.
• Verlorene Einträge beim Anbieterwechsel: Wird die Domain zu einem anderen Anbieter übertragen, müssen alle DNS-Einträge vorher gesichert und neu angelegt werden. Darauf gehen wir im Ratgeber zum Domain-Transfer mit Authcode ein.
• Ungenutzte Domains ungeschützt: Auch Domains, die nie E-Mails versenden, können gefälscht werden. Für sie empfiehlt sich v=spf1 -all und ein DMARC-Eintrag mit p=reject.
• Niemand liest die Berichte: Dann bleibt DMARC dauerhaft auf none und schützt kaum. Wer die Auswertung nicht selbst übernehmen möchte, kann sie im Rahmen einer Website-Wartung abgeben.

Checkliste für Ihre Absenderdomain

• Alle Systeme, die mit unserer Domain E-Mails senden, sind aufgelistet.
• Es gibt genau einen SPF-Eintrag mit höchstens zehn DNS-Abfragen.
• Der SPF-Eintrag endet mit ~all oder -all, nie mit +all.
• Jeder Dienst signiert mit DKIM, die öffentlichen Schlüssel stehen im DNS.
• Ein DMARC-Eintrag mit Berichtsadresse ist vorhanden.
• Die DMARC-Berichte werden regelmäßig ausgewertet.
• Das Kontaktformular sendet per SMTP über ein eigenes Postfach.
• Ein Test an Gmail zeigt dreimal „PASS“.
• Ungenutzte Domains sind mit -all und p=reject geschützt.
• Vor jeder Änderung an Domain oder DNS werden alle Einträge gesichert.

Häufige Fragen

Quellen

1. Google Workspace-Hilfe: Richtlinien für E-Mail-Absender – Anforderungen für alle Absender und für Großversender
2. Google Workspace-Hilfe: FAQ zu den Richtlinien für E-Mail-Absender – Durchsetzung ab November 2025, Spamraten
3. Microsoft Tech Community: Outlook’s New Requirements for High-Volume Senders (2025)
4. RFC 7208: Sender Policy Framework (SPF) – Abschnitte 3.2 und 4.6.4
5. RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
6. RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (Mai 2026) – löst RFC 7489 ab