Zum Inhalt springen

Ratgeber

SPF, DKIM und DMARC einrichten, damit niemand in deinem Namen E-Mails fälscht

Was die drei Einträge bewirken, wie du sie Schritt für Schritt einrichtest und warum deine E-Mails ohne sie öfter im Spam landen. Mit Beispielen zum Kopieren.

Veröffentlicht am 27. Oktober 2026, 8 Minuten Lesezeit

Ist meine E-Mail-Domain gegen Fälschung geschützt?Mit dem E-Mail-Sicherheits-Check kostenlos prüfen

Die Absenderadresse einer E-Mail lässt sich so leicht fälschen wie der Absender auf einem Briefumschlag. Betrüger nutzen das, um im Namen echter Firmen Rechnungen mit geänderter Kontonummer oder Links zu gefälschten Anmeldeseiten zu verschicken. Drei DNS-Einträge sorgen dafür, dass Empfänger solche Fälschungen erkennen: SPF, DKIM und DMARC.

Ob deine Domain geschützt ist, zeigt dir der E-Mail-Sicherheits-Check in wenigen Sekunden.

Warum das auch deine echten E-Mails betrifft

Seit Februar 2024 verlangen Gmail und Yahoo von allen, die viele E-Mails an ihre Nutzer schicken, dass SPF, DKIM und DMARC eingerichtet sind. Auch bei kleinen Absendern bewerten die großen Anbieter fehlende Einträge negativ. Wenn sich Kunden beschweren, dass deine Angebote im Spam-Ordner landen, ist das einer der häufigsten Gründe.

SPF: Wer darf für dich senden?

SPF (Sender Policy Framework) ist ein TXT-Eintrag bei deiner Domain, der alle Server auflistet, die E-Mails mit deiner Absenderadresse versenden dürfen. Ein typischer Eintrag sieht so aus:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all
  • v=spf1 kennzeichnet den Eintrag als SPF.
  • include: übernimmt die Server eines Anbieters. Den genauen Wert nennt dir dein E-Mail-Anbieter in seiner Hilfe.
  • ~all am Ende bedeutet: Alle anderen Server sind verdächtig. Mit -all werden sie ganz abgelehnt.

Häufige Fehler:

  1. Zwei SPF-Einträge. Pro Domain darf es nur einen geben. Nutzt du zusätzlich einen Newsletter-Dienst oder ein Buchungssystem, das E-Mails verschickt, ergänzt du dessen include: im bestehenden Eintrag.
  2. Dienste vergessen. Verschickt dein Online-Shop, dein CRM oder deine Rechnungssoftware E-Mails mit deiner Adresse, müssen auch diese im SPF stehen.
  3. Mehr als zehn Verweise. SPF erlaubt höchstens zehn DNS-Abfragen. Jedes include: zählt, und Anbieter verschachteln oft weitere. Wird die Grenze überschritten, ist der ganze Eintrag ungültig.

DKIM: die digitale Unterschrift

Bei DKIM (DomainKeys Identified Mail) unterschreibt dein Mail-Server jede ausgehende E-Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichst du als DNS-Eintrag. Der Empfänger kann damit prüfen, dass die E-Mail wirklich von dir stammt und unterwegs nicht verändert wurde.

DKIM richtest du immer beim E-Mail-Anbieter ein, denn dort entsteht der Schlüssel. Im Admin-Bereich findest du meist einen Punkt wie „DKIM“ oder „Domain authentifizieren“. Der Anbieter zeigt dir dann einen oder mehrere Einträge an, die du bei deinem Domain-Anbieter anlegst, zum Beispiel:

Name:  google._domainkey
Typ:   TXT
Wert:  v=DKIM1; k=rsa; p=MIIBIjANBgkqh…

Bei Microsoft 365 und einigen anderen Anbietern sind es stattdessen zwei CNAME-Einträge. Nach dem Anlegen musst du DKIM beim Anbieter meist noch aktivieren.

DMARC: die Anweisung an den Empfänger

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM und sagt dem Empfänger, was er mit E-Mails tun soll, die beide Prüfungen nicht bestehen. Der Eintrag liegt immer unter dem Namen _dmarc:

Name:  _dmarc
Typ:   TXT
Wert:  v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.at

Die wichtigste Einstellung ist p=, die Richtlinie:

Wert Was passiert mit gefälschten E-Mails
p=none Nichts, sie werden zugestellt. Nur zum Beobachten.
p=quarantine Sie landen im Spam-Ordner.
p=reject Sie werden abgelehnt und kommen gar nicht an.

Mit rua= gibst du eine Adresse an, an die große Anbieter täglich Berichte schicken. Darin siehst du, welche Server in deinem Namen E-Mails versenden, auch solche, die du vergessen hast.

In dieser Reihenfolge vorgehen

  1. SPF anlegen mit allen Diensten, die für dich E-Mails verschicken.
  2. DKIM aktivieren bei deinem E-Mail-Anbieter und bei Newsletter-Diensten.
  3. DMARC mit p=none starten und zwei bis vier Wochen die Berichte beobachten.
  4. Auf p=quarantine umstellen, wenn alle echten E-Mails SPF oder DKIM bestehen.
  5. Später auf p=reject umstellen für den vollen Schutz.

Wer direkt mit p=reject startet, riskiert, dass eigene E-Mails verloren gehen, etwa die Bestellbestätigungen eines vergessenen Shop-Systems.

Und wenn meine Domain gar keine E-Mails verschickt?

Auch dann solltest du sie schützen, denn gerade ungenutzte Domains werden gern für Fälschungen missbraucht. Diese beiden Einträge reichen:

TXT  @        v=spf1 -all
TXT  _dmarc   v=DMARC1; p=reject

Damit sagst du allen Empfängern: Von dieser Domain kommen nie E-Mails, alles mit diesem Absender ist gefälscht.

Prüfen, ob alles funktioniert

Nach dem Anlegen dauert es je nach Einstellung einige Minuten bis wenige Stunden, bis die Einträge überall sichtbar sind. Danach zeigt dir der E-Mail-Sicherheits-Check, ob alles richtig erkannt wird. Zusätzlich kannst du dir selbst eine E-Mail an ein Gmail-Konto schicken und dort über „Original anzeigen“ nachsehen: Bei SPF, DKIM und DMARC sollte jeweils „PASS“ stehen.

Weiterlesen