SPF, DKIM und DMARC gehören zu den wichtigsten technischen Verfahren für den sicheren und zuverlässigen Versand von E-Mails. Sie helfen empfangenden Mailservern dabei zu prüfen, ob eine Nachricht tatsächlich von einem berechtigten Absender stammt und wie mit Nachrichten umgegangen werden soll, die diese Prüfungen nicht bestehen.

Gerade bei geschäftlich genutzten E-Mail-Domains sollten diese Einstellungen korrekt eingerichtet sein. Eine fehlerhafte oder fehlende Konfiguration kann die Zustellbarkeit von E-Mails beeinträchtigen und die missbräuchliche Verwendung der eigenen Domain erleichtern.

Was sind SPF, DKIM und DMARC?

SPF, DKIM und DMARC erfüllen unterschiedliche Aufgaben, arbeiten aber zusammen. Vereinfacht lässt sich ihre Funktion folgendermaßen zusammenfassen:

Verfahren	Aufgabe
SPF	Legt fest, welche Mailserver für eine Domain E-Mails versenden dürfen.
DKIM	Versieht E-Mails mit einer kryptografischen Signatur, die vom Empfänger geprüft werden kann.
DMARC	Legt fest, wie SPF und DKIM für die Absenderdomain bewertet werden und was bei fehlgeschlagenen Prüfungen geschehen soll.

Die Einstellungen werden in der Regel über DNS-Einträge der verwendeten Domain konfiguriert.

Was ist SPF?

SPF steht für Sender Policy Framework. Der Domaininhaber veröffentlicht über einen DNS-Eintrag, welche Server beziehungsweise Dienste berechtigt sind, E-Mails für die Domain zu versenden.

Ein empfangender Mailserver kann diesen Eintrag abfragen und überprüfen, ob der versendende Server laut SPF-Konfiguration für die Domain zugelassen ist.

Wie sieht ein SPF-Eintrag aus?

Ein SPF-Eintrag wird als TXT-Eintrag im DNS hinterlegt. Ein stark vereinfachtes Beispiel kann folgendermaßen aussehen:

v=spf1 mx -all

Die konkrete Konfiguration hängt jedoch davon ab, welche Mailserver und externen Dienste tatsächlich für die Domain E-Mails versenden.

Verwendet ein Unternehmen beispielsweise zusätzlich Newsletter-Systeme, CRM-Lösungen, Buchhaltungssoftware oder andere Dienste zum E-Mail-Versand, müssen diese gegebenenfalls ebenfalls berücksichtigt werden.

Warum sollte ein SPF-Eintrag nicht einfach kopiert werden?

Ein SPF-Eintrag muss zur tatsächlichen Mail-Infrastruktur der jeweiligen Domain passen. Eine Konfiguration aus einer fremden Anleitung sollte deshalb nicht ungeprüft übernommen werden.

Werden benötigte Mailserver nicht berücksichtigt, können legitime E-Mails die SPF-Prüfung nicht bestehen. Werden dagegen unnötig viele Systeme autorisiert, wird die Schutzwirkung der Konfiguration reduziert.

Kann eine Domain mehrere SPF-Einträge haben?

Für einen Domainnamen sollte nicht einfach für jeden verwendeten Maildienst ein eigener SPF-Eintrag angelegt werden. Die benötigten Absender müssen innerhalb einer gültigen SPF-Konfiguration zusammengeführt werden.

Werden mehrere voneinander unabhängige SPF-Einträge für denselben Namen veröffentlicht, kann die SPF-Auswertung fehlschlagen.

Was ist DKIM?

DKIM steht für DomainKeys Identified Mail. Beim Versand wird die E-Mail mit einer kryptografischen Signatur versehen.

Der versendende Mailserver verwendet dafür einen privaten Schlüssel. Der dazugehörige öffentliche Schlüssel wird über einen DNS-Eintrag der Domain veröffentlicht.

Der empfangende Mailserver kann damit überprüfen, ob die DKIM-Signatur gültig ist und die signierten Bestandteile der Nachricht seit dem Signieren unverändert geblieben sind.

Was bringt DKIM?

DKIM unterstützt die technische Authentifizierung von E-Mails und hilft dem empfangenden System bei der Bewertung einer Nachricht.

Anders als SPF betrachtet DKIM nicht primär die IP-Adresse des versendenden Servers. Stattdessen wird eine kryptografische Signatur geprüft, die einer Domain zugeordnet ist.

Was ist DMARC?

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. DMARC baut auf SPF und DKIM auf und ergänzt diese Verfahren um Regeln für die Behandlung von Nachrichten sowie eine Berichtsfunktion.

Ein Domaininhaber kann damit festlegen, wie empfangende Systeme mit E-Mails umgehen sollen, die die erforderlichen Prüfungen nicht bestehen.

Welche DMARC-Richtlinien gibt es?

Bei DMARC gibt es drei grundlegende Richtlinien:

Richtlinie	Bedeutung
p=none	Keine von DMARC verlangte besondere Behandlung; die Ergebnisse können zunächst beobachtet werden.
p=quarantine	Fehlgeschlagene Nachrichten sollen als verdächtig behandelt werden.
p=reject	Fehlgeschlagene Nachrichten sollen abgewiesen werden.

Eine strengere DMARC-Richtlinie sollte nicht unüberlegt aktiviert werden. Zunächst muss sichergestellt sein, dass alle legitimen Versandwege der Domain korrekt berücksichtigt werden.

Was bedeutet Alignment bei DMARC?

Für DMARC reicht es nicht aus, dass SPF oder DKIM isoliert erfolgreich geprüft werden. Entscheidend ist zusätzlich die Zuordnung zur Domain, die für den Empfänger als Absender sichtbar ist. Dieses Prinzip wird als Alignment bezeichnet.

DMARC prüft vereinfacht gesagt, ob die über SPF beziehungsweise DKIM authentifizierte Domain ausreichend mit der sichtbaren Absenderdomain übereinstimmt.

Brauche ich SPF, DKIM und DMARC gleichzeitig?

Die drei Verfahren ersetzen sich nicht gegenseitig. Für eine professionell genutzte E-Mail-Domain ist eine aufeinander abgestimmte Konfiguration von SPF, DKIM und DMARC sinnvoll.

• SPF autorisiert Versandserver.
• DKIM ermöglicht die Prüfung einer kryptografischen Signatur.
• DMARC verbindet die Authentifizierung mit der sichtbaren Absenderdomain und definiert eine Richtlinie.

Verbessern SPF, DKIM und DMARC die Zustellbarkeit?

Eine korrekte Authentifizierung ist ein wichtiger Bestandteil eines seriösen E-Mail-Versands. Sie garantiert jedoch nicht, dass jede Nachricht im Posteingang landet.

Mailanbieter berücksichtigen bei der Zustellung zahlreiche weitere Faktoren. Dazu können beispielsweise die Reputation des Absenders, Inhalt und Versandverhalten gehören.

SPF, DKIM und DMARC sollten deshalb nicht als Methode verstanden werden, mit der sich Spamfilter einfach umgehen lassen.

Schützen SPF, DKIM und DMARC vor gefälschten Absendern?

Eine korrekt eingerichtete E-Mail-Authentifizierung kann es empfangenden Mailservern erleichtern, nicht autorisierte Nachrichten zu erkennen, die eine geschützte Domain als Absender verwenden.

Besonders DMARC ermöglicht dem Domaininhaber, eine Richtlinie für Nachrichten festzulegen, die die erforderliche Authentifizierung nicht bestehen.

Ein vollständiger Schutz vor Phishing oder ähnlich aussehenden fremden Domains entsteht dadurch allerdings nicht.

Was passiert bei einer falschen Konfiguration?

Fehlerhafte SPF-, DKIM- oder DMARC-Einstellungen können dazu führen, dass auch legitime Nachrichten Authentifizierungsprüfungen nicht bestehen.

Das ist besonders kritisch, wenn eine strenge DMARC-Richtlinie eingesetzt wird. Vor Änderungen sollten deshalb sämtliche Systeme bekannt sein, die im Namen der Domain E-Mails versenden.

Welche Dienste müssen berücksichtigt werden?

Neben dem normalen Mailserver können zahlreiche weitere Systeme E-Mails im Namen einer Domain versenden. Typische Beispiele sind:

• Microsoft 365 oder andere Maildienste,
• Webhosting- und Mailserver,
• Newsletter-Systeme,
• CRM- und Warenwirtschaftssysteme,
• Onlineshops,
• Cloud-Dienste und
• Websites und Kontaktformulare.

Die vollständige Mail-Infrastruktur sollte deshalb bekannt sein, bevor SPF oder DMARC verschärft werden.

WordPress und SPF, DKIM und DMARC

Auch automatisch von einer WordPress-Website erzeugte Nachrichten müssen bei der Mailkonfiguration berücksichtigt werden. Dazu gehören beispielsweise Nachrichten aus Kontaktformularen, Benutzerbenachrichtigungen oder Bestellinformationen eines Shops.

Probleme mit dem WordPress-Mailversand behandeln wir ausführlicher unter WordPress Kontaktformular sendet keine E-Mails: Ursachen und Lösungen.

SMTP und E-Mail-Authentifizierung sind nicht dasselbe

SMTP beschreibt die technische Übertragung beziehungsweise den Versand von E-Mails. SPF, DKIM und DMARC dienen dagegen der Authentifizierung und Bewertung von Nachrichten beziehungsweise Absenderdomains.

Die Grundlagen zum E-Mail-Versand finden Sie unter SMTP-Server: Was ist das und wofür wird er benötigt?.

E-Mails werden versendet, kommen aber nicht an?

Werden Nachrichten vom eigenen Mailserver angenommen, erreichen den Empfänger aber nicht oder landen regelmäßig im Spam-Ordner, sollten neben der eigentlichen SMTP-Konfiguration auch die Authentifizierung der Domain und weitere Faktoren der Zustellbarkeit überprüft werden.

Wenn der Versand bereits auf dem eigenen Gerät scheitert, hilft dagegen unser Beitrag E-Mails können nicht gesendet werden: Ursachen und Lösungen.

SPF, DKIM und DMARC richtig konfigurieren

Die richtigen DNS-Einträge hängen immer von der tatsächlich verwendeten Mail-Infrastruktur ab. Es gibt deshalb keine universelle SPF-, DKIM- oder DMARC-Konfiguration, die für jede Domain einfach übernommen werden kann.

Vor der Einrichtung sollte geklärt werden, welche Mailserver und externen Dienste Nachrichten für die Domain versenden. Anschließend können die DNS-Einstellungen passend zu diesen Systemen konfiguriert und überprüft werden.

Unterstützung bei E-Mail und DNS

OS Media unterstützt Selbstständige, kleine Unternehmen und Vereine bei E-Mail-, Hosting- und Domain-Konfigurationen sowie bei der Analyse von Zustellungsproblemen.

Sie möchten SPF, DKIM und DMARC für Ihre Domain überprüfen oder haben Probleme mit der Zustellung Ihrer E-Mails? Über Projekt anfragen können Sie uns Ihr Anliegen direkt beschreiben.