E-Mail-Zustellbarkeit verbessern: SPF, DKIM und DMARC einfach erklärt

Geschäftliche E-Mails, die im Spam-Ordner landen, kosten Aufträge und Vertrauen, oft ohne dass der Absender überhaupt bemerkt, dass etwas nicht ankommt. Die Ursache liegt in den meisten Fällen bei drei technischen Einträgen, die zusammen die Vertrauenswürdigkeit einer Domain gegenüber E-Mail-Anbietern bestimmen.

SPF: Wer darf im Namen der Domain versenden

Der SPF-Eintrag ist ein DNS-Eintrag, der festlegt, welche Server berechtigt sind, E-Mails im Namen einer Domain zu versenden. Empfangende Mailserver prüfen diesen Eintrag und können E-Mails von nicht autorisierten Servern als verdächtig einstufen. Ein fehlender oder zu weit gefasster SPF-Eintrag ist eine der häufigsten Ursachen für schlechte Zustellbarkeit.

DKIM: Eine digitale Signatur für jede E-Mail

DKIM fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu, die belegt, dass die Nachricht tatsächlich von der angegebenen Domain stammt und auf dem Weg nicht verändert wurde. Der öffentliche Schlüssel zur Überprüfung liegt im DNS, der private Schlüssel bleibt beim sendenden Server. Ohne DKIM können empfangende Server nicht zuverlässig unterscheiden, ob eine E-Mail authentisch ist oder gefälscht wurde.

• SPF: legt fest, welche Server im Namen der Domain senden dürfen
• DKIM: signiert jede E-Mail kryptografisch und belegt Unverändertheit
• DMARC: definiert, was mit E-Mails passiert, die SPF oder DKIM nicht bestehen
• Alle drei Einträge werden als TXT-Einträge im DNS der Domain hinterlegt

DMARC: Die Regel, die alles zusammenführt

DMARC baut auf SPF und DKIM auf und legt fest, wie ein empfangender Server mit E-Mails umgehen soll, die eine oder beide Prüfungen nicht bestehen. Die Optionen reichen von reiner Beobachtung über Quarantäne bis zur vollständigen Ablehnung. DMARC liefert außerdem Berichte darüber, wer im Namen der eigenen Domain E-Mails versendet, was auch beim Aufspüren von Missbrauch hilft.

Warum alle drei zusammen wirken müssen

SPF allein lässt sich relativ leicht umgehen, DKIM allein sagt nichts darüber aus, ob der Absender berechtigt ist. Erst das Zusammenspiel aller drei Mechanismen ergibt ein belastbares Bild für empfangende Mailserver. Große E-Mail-Anbieter bewerten Domains ohne vollständige Konfiguration zunehmend strenger, unabhängig vom Inhalt der einzelnen Nachricht.

Häufige Fehler bei der Einrichtung

Ein klassischer Fehler ist ein SPF-Eintrag, der nicht alle tatsächlich genutzten Versanddienste enthält, etwa ein externes Marketing-Tool oder einen Rechnungsdienst. Ein weiterer häufiger Fehler ist ein DMARC-Eintrag, der direkt auf strenge Ablehnung gestellt wird, ohne vorher die Berichte im Beobachtungsmodus ausgewertet zu haben. Beide Fehler führen dazu, dass legitime E-Mails plötzlich nicht mehr ankommen.

Der praktische Einstieg

Der sinnvollste Ablauf ist, zunächst SPF und DKIM korrekt einzurichten und über einige Wochen zu prüfen, ob alle legitimen E-Mails weiterhin zugestellt werden. Erst danach wird DMARC ergänzt, zunächst im Beobachtungsmodus, und die Regel schrittweise verschärft, sobald die Berichte zeigen, dass alle Versandwege erfasst sind.