E-Mails landen im Spam? So helfen SPF, DKIM und DMARC

Wenn Ihre E-Mails im Spam landen, liegt das oft nicht am Inhalt, sondern an drei fehlenden oder fehlerhaften Einträgen im DNS Ihrer Domain: SPF, DKIM und DMARC. Mit ihnen prüfen empfangende Mailserver, ob eine Nachricht wirklich von Ihnen stammt. Fehlen sie, behandeln Gmail, Outlook und Co. Ihre Angebote und Rechnungen mit Misstrauen – und Betrüger können E-Mails mit Ihrer Absenderadresse verschicken. Dieser Artikel erklärt die drei Einträge, zeigt, wie Sie sie prüfen, und nennt die häufigsten Fehler.

Warum gute E-Mails im Spam landen

Eine E-Mail-Adresse lässt sich so leicht fälschen wie ein Absender auf einem Briefumschlag. Mailanbieter verlassen sich deshalb nicht auf das, was im Feld „Von“ steht, sondern fragen beim DNS der Absenderdomain nach: Darf dieser Server für diese Domain senden? Ist die Nachricht digital unterschrieben? Was soll mit Nachrichten passieren, die durchfallen? Findet der Empfänger keine Antworten, sinkt das Vertrauen – und die Nachricht landet im Spam oder wird abgewiesen.

Was Gmail seit 2024 verlangt

Seit dem 1. Februar 2024 gelten bei Gmail feste Anforderungen an Absender. Wer E-Mails an Gmail-Konten schickt, muss SPF oder DKIM für seine Domain eingerichtet haben. Wer mehr als 5.000 Nachrichten am Tag an Gmail-Konten sendet, braucht SPF, DKIM und zusätzlich DMARC. Auch für kleine Betriebe gilt: Mit allen drei Einträgen sind Sie auf der sicheren Seite, denn andere große Anbieter prüfen nach denselben Verfahren.

SPF: Wer darf in Ihrem Namen senden?

Der SPF-Eintrag ist eine Liste der Server, die E-Mails für Ihre Domain verschicken dürfen. Er steht als TXT-Eintrag im DNS und sieht zum Beispiel so aus:

v=spf1 include:_spf.google.com ~all

„include“ verweist auf die Server Ihres Mailanbieters, „~all“ am Ende sagt: Alle anderen Server sind verdächtig. Die häufigsten Fehler:

• Zwei SPF-Einträge: Wer beim Wechsel des Mailanbieters einen zweiten Eintrag anlegt, statt den alten zu ergänzen, macht die SPF-Prüfung ungültig. Erlaubt ist genau einer.
• „+all“ am Ende: Damit darf jeder Server der Welt in Ihrem Namen senden – der Eintrag schützt dann gar nichts.
• Vergessene Dienste: Verschickt Ihr Newsletter-Tool, Ihre Buchhaltungssoftware oder Ihr Online-Shop E-Mails mit Ihrer Absenderadresse, müssen auch deren Server im SPF stehen.
• Zu viele Verweise: Ein SPF-Eintrag darf höchstens zehn weitere DNS-Abfragen auslösen (RFC 7208). Wer viele Dienste einbindet, stößt schnell an diese Grenze.

DKIM: die digitale Unterschrift

Mit DKIM unterschreibt Ihr Mailserver jede ausgehende Nachricht mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel legen Sie im DNS ab, unter einem sogenannten Selektor – etwa „selector1._domainkey.ihre-firma.de“. Der Empfänger prüft damit, ob die Nachricht wirklich von Ihrem Server stammt und unterwegs nicht verändert wurde.

DKIM schalten Sie im Verwaltungsbereich Ihres Mailanbieters ein; Microsoft 365, Google Workspace und die meisten Hoster zeigen dort die Einträge an, die Sie im DNS hinterlegen müssen. Ob es funktioniert, sehen Sie im Quelltext einer versendeten E-Mail: Steht im Kopf eine Zeile „DKIM-Signature“ und bei den Prüfergebnissen „dkim=pass“, ist alles in Ordnung.

DMARC: die Hausordnung für Ihre Domain

DMARC verbindet SPF und DKIM und legt fest, was mit Nachrichten geschehen soll, die beide Prüfungen nicht bestehen. Der Eintrag steht unter „_dmarc.ihre-firma.de“, zum Beispiel:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.de

Entscheidend ist die Richtlinie „p“:

• p=none – nur beobachten. Gefälschte Nachrichten werden weiter zugestellt, Sie erhalten aber Berichte darüber, wer in Ihrem Namen sendet.
• p=quarantine – verdächtige Nachrichten landen im Spam.
• p=reject – verdächtige Nachrichten werden abgewiesen.

Beginnen Sie mit „none“ und werten Sie die Berichte einige Wochen aus. Tauchen dort nur Ihre eigenen, korrekt eingerichteten Dienste auf, verschärfen Sie schrittweise auf „quarantine“ und schließlich „reject“. Wer sofort mit „reject“ startet, riskiert, dass auch eigene E-Mails – etwa aus dem Newsletter-Tool – nicht mehr ankommen.

So prüfen Sie Ihre Domain

Am schnellsten geht es mit unserem Website-Check: Er liest den Mailserver-Eintrag, SPF, DMARC und die DKIM-Schlüssel unter den gängigen Selektor-Namen aus und bewertet sie. Weil Mailanbieter auch eigene Selektor-Namen verwenden, wertet der Check einen nicht gefundenen DKIM-Schlüssel als Hinweis, nicht als Fehler. Gewissheit bringt dann ein Blick in den Kopf einer versendeten E-Mail: Die Zeile „Authentication-Results“ zeigt das Ergebnis von SPF, DKIM und DMARC auf einen Blick.

Auch wichtig, wenn Sie gar keine E-Mails versenden

Domains ohne E-Mail-Verkehr sind bei Betrügern beliebt, weil niemand ihren Missbrauch bemerkt. Schützen Sie sie mit zwei Einträgen: einem SPF-Eintrag „v=spf1 -all“, der niemandem das Senden erlaubt, und einer DMARC-Richtlinie mit „p=reject“. So weisen Empfänger jede Nachricht ab, die angeblich von dieser Domain kommt.

Bei Websites, die mit Cortexion entstehen, ist der Mailversand der Formular-Anfragen übrigens inklusive – die Nachrichten aus Ihrem Kontaktformular hängen damit nicht davon ab, ob Ihr Webserver selbst E-Mails verschicken darf. Die Einträge Ihrer eigenen Domain bleiben trotzdem wichtig: Sie entscheiden, ob Ihre Antworten an Kunden ankommen. Wie eine neue Webseite mit KI entsteht, zeigt die Seite Neue Website erstellen.