SPF, DKIM, DMARC korrekte DNS-Einträge für sichere E-Mail-Zustellung

So gelangen E-Mails sicher in den Posteingang – statt im Spam zu landen. SPF, DKIM und DMARC richtig einrichten: sichere E-Mail-Zustellung durch korrekte Authentifizierung.

Viele Unternehmen bemerken es erst, wenn Kunden oder Partner plötzlich keine E-Mails mehr erhalten: Fehlende oder falsch konfigurierte DNS-Einträge führen dazu, dass E-Mails blockiert oder als Spam eingestuft werden. Besonders Gmail, Outlook und andere große Anbieter verlangen heute eine eindeutige Authentifizierung des Absenders. Die wichtigsten Verfahren dafür heißen SPF, DKIM und DMARC.

SPF – der Absendernachweis

Das Sender Policy Framework (SPF) überprüft, ob der sendende Mailserver berechtigt ist, im Namen einer Domain E-Mails zu versenden. Ohne korrekten SPF-Eintrag lehnen viele Provider eingehende Nachrichten ab.

Ein typischer SPF-Eintrag im DNS kann zum Beispiel so aussehen:

v=spf1 ip4:85.13.137.187 mx a ~all

Mit dieser Regel wird festgelegt, welche Server (in diesem Fall die IP-Adresse 85.13.137.187) Mails für die Domain verschicken dürfen. Wichtig ist, dass nur ein SPF-Record pro Domain existiert, da doppelte Einträge zu sogenannten „permerror“-Fehlern führen.

DKIM – die digitale Signatur

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu, die der empfangende Server anhand des öffentlichen Schlüssels im DNS überprüft. So kann sichergestellt werden, dass die Nachricht unterwegs nicht verändert wurde.

Längere DKIM-Schlüssel müssen in Gruppen von maximal 255 Zeichen unterteilt werden, wobei jeder Abschnitt in Anführungszeichen steht:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0B..."
"KZdVSC9+XAP+fq3trbOmhCVhL1GvMw/bpT/F5LH..."
"ux6Gttq+rUElQIDAQAB"

Ist DKIM korrekt eingerichtet, erscheinen im E-Mail-Header Prüfergebnisse wie „DKIM=pass“ – ein Zeichen für eine erfolgreiche Authentifizierung.

DMARC – der Wächter über SPF und DKIM

DMARC (Domain-based Message Authentication, Reporting and Conformance) kombiniert SPF und DKIM und definiert, wie Empfänger mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen. Gleichzeitig liefert DMARC tägliche Berichte darüber, welche Server E-Mails im Namen einer Domain verschicken.

Ein einfacher DMARC-Eintrag im Beobachtungsmodus kann so aussehen:

_dmarc  TXT  "v=DMARC1; p=none; rua=mailto:postmaster@domain.tld"

Mit p=none werden keine E-Mails blockiert, sondern lediglich Reports erstellt. Diese Reports werden in der Regel von Absendern wie noreply-dmarc-support@google.com versendet und enthalten als ZIP-Datei eine XML-Statistik. Darin sind Informationen enthalten, welche IPs E-Mails im Namen der Domain verschickt haben und ob SPF sowie DKIM erfolgreich geprüft wurden.

SPF, DKIM und DMARC testen

Nach der Einrichtung empfiehlt es sich, die E-Mail-Konfiguration zu testen. Eine der zuverlässigsten Plattformen dafür ist mail-tester.com. Nach dem Versand einer Testmail an die dort angegebene Adresse wird ein vollständiger Zustellungsbericht erstellt, der SPF-, DKIM- und DMARC-Ergebnisse sowie Spam-Bewertungen übersichtlich darstellt.

Best Practices

Nach Domainumzügen sollten SPF-, DKIM- und DMARC-Einträge immer überprüft werden.
Nur ein SPF-Record pro Domain – doppelte Einträge führen zu Fehlern.
DKIM-Schlüssel in 255-Zeichen-Blöcken mit Anführungszeichen speichern.
DMARC-Berichte helfen, Missbrauch oder Spoofing frühzeitig zu erkennen.
Die Konfiguration regelmäßig mit mail-tester.com überprüfen.

Fazit

Eine korrekt eingerichtete E-Mail-Authentifizierung ist heute unverzichtbar. SPF, DKIM und DMARC schützen nicht nur vor Spam und Phishing, sondern sorgen auch für eine bessere Zustellrate und ein professionelles Auftreten. Wer diese Standards richtig konfiguriert und regelmäßig mit Tools wie mail-tester.com überprüft, stellt sicher, dass geschäftliche E-Mails dort ankommen, wo sie hingehören – im Posteingang.