SPF, DKIM und DMARC erklärt (und warum Ihre Post im Spam landet)

Wenn Ihre Nachrichten im Spam landen oder jemand Post im Namen Ihrer Domain verschickt, liegt die Antwort fast immer bei denselben drei DNS-Einträgen: SPF, DKIM und DMARC. Zusammen erlauben sie empfangenden Servern zu prüfen, dass eine Nachricht tatsächlich von Ihnen kommt.

SPF: wer senden darf

Ein SPF-Eintrag ist ein TXT-Eintrag mit den Servern, die für Ihre Domain senden dürfen. Der empfangende Server vergleicht den absendenden Server mit dieser Liste und behandelt alles Übrige mit Misstrauen. Minimal sieht das so aus: v=spf1 include:_spf.ihranbieter.de -all.

Zwei Regeln zählen in der Praxis: Veröffentlichen Sie einen SPF-Eintrag pro Domain — zwei heben sich gegenseitig auf. Und nehmen Sie jeden legitimen Absender auf: den Mailanbieter, aber auch Newsletter-Tools, CRM oder Rechnungssoftware, die in Ihrem Namen versenden.

DKIM: Nachweis, dass nichts verändert wurde

DKIM versieht jede ausgehende Nachricht mit einer kryptografischen Signatur. Der private Schlüssel bleibt auf dem Sendeserver, der passende öffentliche steht in Ihrem DNS. Der Empfänger prüft die Signatur und weiß dann zweierlei: Die Nachricht stammt von Ihrer Domain, und der Inhalt wurde unterwegs nicht verändert.

Den Schlüssel erzeugt der Anbieter. Ihre Aufgabe ist nur, den Eintrag unter dem vorgegebenen Selektornamen zu veröffentlichen.

DMARC: was bei Fehlschlägen passiert

SPF und DKIM liefern ein Ergebnis, DMARC legt dessen Bedeutung fest. Ein Einstiegseintrag wie v=DMARC1; p=none; rua=mailto:dmarc@ihrefirma.de fordert Berichte an, ohne die Behandlung zu ändern. Entscheidend ist der Richtlinienwert:

• p=none — nur beobachten und Berichte senden
• p=quarantine — fehlschlagende Post in den Spam
• p=reject — direkt ablehnen

Beginnen Sie mit p=none, lesen Sie die Sammelberichte einige Wochen, bis jeder legitime Absender besteht, und verschärfen Sie erst dann. Sofort auf reject zu gehen ist der klassische Weg, Rechnungen eines vergessenen Drittanbieters zu verlieren.

Warum Post trotzdem im Spam landet

Authentifizierung ist notwendig, aber nicht hinreichend. Weitere häufige Ursachen:

• Neue Domain ohne Versandhistorie. Reputation baut sich über Wochen auf; starten Sie langsam.
• Fehlender oder falscher Reverse-DNS-Eintrag (PTR) des Sendeservers.
• Typische Spam-Merkmale: Betreff in Großbuchstaben, Kurz-URLs, ein einziges großes Bild ohne Text.
• Schlechte Listenpflege. Wiederholt an unzustellbare Adressen zu senden schadet der Reputation schnell.
• Nachbarn auf geteilten IPs. Auf günstiger Shared-Infrastruktur wirkt fremdes Verhalten auf Sie zurück.

Einrichtung prüfen

Senden Sie eine Nachricht an einen der kostenlosen Mailtest-Dienste und lesen Sie den Bericht: Er zeigt SPF, DKIM, DMARC und PTR sowie einen Spam-Score. Auf der Kommandozeile zeigt dig TXT ihrefirma.de Ihre SPF- und DMARC-Einträge. Nach jeder DNS-Änderung erneut testen.

Häufig gestellte Fragen

Brauche ich wirklich alle drei? SPF und DKIM sind das Minimum. DMARC macht daraus eine durchsetzbare Richtlinie und verschafft Ihnen Sichtbarkeit — behandeln Sie es als Pflicht, nicht als Kür.

Zerschießt DMARC meinen Newsletter? Nur wenn das Versandsystem nicht autorisiert ist. Nehmen Sie jedes System in SPF auf und richten Sie DKIM dafür ein, bevor Sie verschärfen.

Wie lange dauern DNS-Änderungen? Meist Minuten, je nach TTL und Caching bis zu 48 Stunden.

Lieber ~all oder -all in SPF? ~all (Softfail) ist ein sanfter Start. Wenn die Liste vollständig ist, ist -all strenger und besser.

Authentifizierung bei imail.com.tr

In den Business-Tarifen von imail.com.tr gehören SPF, DKIM und DMARC zum Hinzufügen der Domain: Der Kundenbereich zeigt die exakten Einträge für Ihr DNS und weist auf Fehlendes hin. Siehe die Business-Tarife oder zuerst unsere Anleitung zur eigenen Domain.