SPF, DKIM und DMARC einrichten: Schritt für Schritt zur geschützten Domain

Um DMARC einrichten zu können, brauchen Sie zuerst SPF und DKIM. Alle drei sind TXT-Einträge im DNS Ihrer Domain. SPF legt fest, welche Server Mails für Ihre Domain verschicken dürfen. DKIM versieht jede Mail mit einer digitalen Signatur. DMARC verlangt, dass mindestens eine der beiden Prüfungen zur sichtbaren Absenderadresse passt, sagt dem Empfänger, was er mit durchgefallenen Mails tun soll, und schickt Ihnen Berichte darüber. Gmail und Yahoo verlangen seit 2024 von Absendern, die täglich mehr als 5.000 Mails an ihre Nutzer schicken, alle drei Einträge. Für alle anderen sind sie der wirksamste Schutz davor, dass Fremde in Ihrem Namen Phishing verschicken.

Was SPF, DKIM und DMARC jeweils prüfen

Wichtig ist der Unterschied zwischen zwei Absenderangaben. Der Umschlag-Absender, auch Return-Path genannt, steht in der technischen Übergabe zwischen den Servern und ist für den Empfänger meist unsichtbar. SPF prüft nur diesen. Die Adresse im Feld „Von“ sieht der Empfänger in seinem Postfach, und genau diese Adresse fälschen Betrüger. DMARC schließt die Lücke: Eine Mail besteht nur, wenn SPF oder DKIM für eine Domain bestanden haben, die zur Domain im Feld „Von“ passt.

So läuft die Prüfung beim Empfänger

Wie Einträge im DNS grundsätzlich aufgebaut sind, erklärt der Ratgeber zu DNS-Einträgen.

Wer DMARC einrichten sollte

Eine allgemeine gesetzliche Pflicht gibt es nicht. Die großen Postfachanbieter machen die Einträge aber zur Bedingung für eine zuverlässige Zustellung. Google verlangt in seinen Richtlinien für E-Mail-Absender von allen Absendern SPF oder DKIM. Wer mehr als 5.000 Mails am Tag an Gmail-Adressen schickt, braucht zusätzlich einen DMARC-Eintrag, mindestens mit p=none, und die Absenderdomain muss zu SPF oder DKIM passen. Yahoo stellt ähnliche Anforderungen, Microsoft hat 2025 für Outlook.com vergleichbare Regeln für Massenabsender eingeführt.

Auch mit wenigen Mails am Tag sollten Sie DMARC einrichten. Ohne DMARC-Eintrag kann jeder Mails mit Ihrer Adresse im Feld „Von“ verschicken, und der Empfänger hat keine Anweisung, sie abzulehnen. Gerade Firmen, deren Kunden Rechnungen per Mail erwarten, sind ein beliebtes Ziel für solche Fälschungen.

Vorbereitung: alle Absender sammeln

Der häufigste Fehler beim Einrichten ist eine unvollständige Liste. Mails mit Ihrer Domain verschickt nicht nur Ihr Postfach. Bevor Sie DMARC einrichten, schreiben Sie deshalb auf, welche Dienste in Ihrem Namen senden:

• Postfächer beim Hoster oder bei Microsoft 365 und Google Workspace
• Newsletter-Dienste
• Website, Shop und Kontaktformulare, etwa Bestell- und Passwortmails
• CRM, Ticketsystem und Terminbuchung
• Buchhaltungs- und Rechnungsprogramme, die Rechnungen per Mail verschicken
• Geräte wie Drucker oder Scanner, die Mails über einen Server senden

Jeder dieser Absender muss später entweder im SPF-Eintrag stehen oder mit einem DKIM-Schlüssel Ihrer Domain signieren. Was Sie vergessen, landet nach der Verschärfung von DMARC im Spam oder kommt gar nicht an.

SPF-Eintrag erstellen

Der SPF-Eintrag ist ein TXT-Eintrag direkt auf der Domain. Ein Beispiel für eine Domain, deren Postfächer beim Hoster liegen und die zusätzlich einen Newsletter-Dienst nutzt:

example.de.  TXT  "v=spf1 mx include:_spf.hoster.example include:spf.newsletter.example ~all"

Die genauen Angaben hinter include: nennt Ihr Hoster oder Dienst in seiner Anleitung. Die Bausteine bedeuten:

• mx erlaubt die Server, die im MX-Eintrag der Domain stehen.
• include: übernimmt die Liste eines anderen Anbieters.
• ip4: und ip6: erlauben einzelne Adressen, etwa den eigenen Server.
• ~all am Ende sagt: Alle anderen Server sind verdächtig. -all sagt: Alle anderen Server sind nicht erlaubt.

Zwei Regeln werden oft übersehen. Pro Domain darf es nur einen SPF-Eintrag geben. Zwei Einträge mit v=spf1 machen beide ungültig, also fassen Sie alles in einem zusammen. Außerdem erlaubt SPF höchstens zehn DNS-Abfragen. Jedes include, mx und a zählt mit, auch die Abfragen innerhalb eines eingebundenen Eintrags. Wer viele Dienste nutzt, stößt schnell an diese Grenze und sollte prüfen, welche Dienste stattdessen nur per DKIM signieren können.

DKIM aktivieren

DKIM ist der wichtigere Baustein, wenn Sie DMARC einrichten, weil die Signatur auch bei Weiterleitungen gültig bleibt. Für DKIM erzeugt der sendende Dienst ein Schlüsselpaar. Den privaten Schlüssel behält er und signiert damit jede Mail. Den öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem Namen, der aus einem Selektor und _domainkey besteht:

mail2026._domainkey.example.de.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."

Bei den meisten Hostern schalten Sie DKIM im Kundenmenü ein. Liegt die Domain beim selben Anbieter, legt er den DNS-Eintrag oft selbst an. Newsletter-Dienste und Microsoft 365 geben Ihnen stattdessen meist CNAME-Einträge, die auf ihre eigenen Schlüssel zeigen. Anders als bei SPF darf es beliebig viele DKIM-Einträge geben, jeder Dienst bekommt seinen eigenen Selektor.

Verwenden Sie Schlüssel mit 2048 Bit. Der öffentliche Schlüssel ist dann länger als 255 Zeichen und muss im DNS auf mehrere Zeichenketten innerhalb eines Eintrags verteilt werden. Viele DNS-Verwaltungen erledigen das selbst. Wenn Sie den Schlüssel von Hand einfügen, achten Sie darauf, dass beim Kopieren nichts abgeschnitten wird und keine Zeilenumbrüche hineingeraten. Tauschen Sie die Schlüssel regelmäßig aus, indem Sie einen neuen Selektor anlegen und den alten erst entfernen, wenn keine Mails mehr damit signiert werden.

DMARC einrichten in drei Stufen

Den DMARC-Eintrag legen Sie als TXT-Eintrag unter _dmarc an, nicht auf der Domain selbst:

_dmarc.example.de.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.de"

p ist die Regel für Mails, die durchfallen. rua ist die Adresse für die täglichen Sammelberichte. Weitere Angaben sind optional: sp setzt eine eigene Regel für Subdomains, adkim und aspf legen fest, ob die Domains genau übereinstimmen müssen oder ob Subdomains genügen. Die Voreinstellung erlaubt Subdomains und passt für die meisten Fälle. Alle Angaben erklärt die Initiative hinter dem Standard auf dmarc.org. Verschärfen Sie die Regel schrittweise:

Bleiben Sie bei p=none, bis die Berichte über mehrere Wochen keine echten Absender mehr zeigen, die durchfallen. Dienste, die nur einmal im Monat senden, etwa für Rechnungen, tauchen sonst erst nach der Verschärfung auf. Wer DMARC einrichten und sofort auf p=reject setzen will, riskiert, dass genau solche Mails verloren gehen.

DMARC-Berichte lesen

Sobald Sie DMARC einrichten, kommen die ersten Sammelberichte. Sie kommen als gepackte XML-Dateien, meist einmal am Tag von jedem größeren Postfachanbieter. Sie zeigen, von welchen IP-Adressen Mails mit Ihrer Domain kamen, wie viele es waren und ob SPF und DKIM bestanden haben. Taucht eine Adresse mit vielen Mails auf, die durchfallen, ist das entweder ein vergessener Dienst oder jemand, der Ihre Domain missbraucht.

Die Rohdaten sind mühsam zu lesen. Für die Auswertung gibt es Berichtsdienste und freie Werkzeuge wie parsedmarc, das die Berichte aus einem Postfach abholt und als Tabelle darstellt. Nutzen Sie für die Berichte eine eigene Adresse, denn bei vielen Empfängern kommen täglich Dutzende Mails zusammen. Liegt die Adresse unter einer anderen Domain, muss diese Domain den Empfang mit einem eigenen Eintrag erlauben, etwa example.de._report._dmarc.berichtsdienst.example. Seriöse Berichtsdienste richten diesen Eintrag selbst ein.

Weiterleitungen, Verteiler und Newsletter-Dienste

Nicht jede Mail kommt auf direktem Weg an. Wird eine Mail weitergeleitet, schickt sie ein fremder Server weiter, der nicht in Ihrem SPF-Eintrag steht. SPF fällt dann durch, DKIM bleibt gültig, solange niemand die Mail verändert. Deshalb ist DKIM für DMARC die wichtigere der beiden Prüfungen.

Mailinglisten, die einen Hinweis in den Betreff schreiben oder eine Fußzeile anhängen, zerstören auch die DKIM-Signatur. Viele Listenprogramme ersetzen deshalb bei Absendern mit strenger DMARC-Regel die Adresse im Feld „Von“ durch die Adresse der Liste. Manche Weiterleitungsdienste hängen außerdem einen ARC-Stempel an, der dem Empfänger die ursprüngliche Prüfung bestätigt.

Bei Newsletter-Diensten passt die Domain ohne Einrichtung meist nicht, denn sie verschicken mit ihrem eigenen Umschlag-Absender und ihrer eigenen Signatur. Suchen Sie im Dienst nach einer Funktion wie „Domain authentifizieren“. Danach signiert der Dienst mit Ihrer Domain, und DMARC besteht.

Einträge prüfen

Mit dem Befehl dig sehen Sie, was im DNS steht. Ersetzen Sie Domain und Selektor durch Ihre eigenen:

dig +short TXT example.de
dig +short TXT mail2026._domainkey.example.de
dig +short TXT _dmarc.example.de

Den Selektor einer Mail finden Sie im Kopf der Nachricht unter DKIM-Signature hinter s=. Ob alles zusammen funktioniert, zeigt eine Testmail an ein Postfach bei Gmail. Dort öffnen Sie die Mail, wählen im Menü „Original anzeigen“ und sehen für SPF, DKIM und DMARC jeweils „PASS“ oder „FAIL“. In anderen Programmen steht dasselbe in der Kopfzeile Authentication-Results. Neue Einträge wirken erst, wenn die Gültigkeitsdauer der alten abgelaufen ist, das kann je nach TTL einige Stunden dauern.

Domains, die keine Mails verschicken

Auch für Domains ohne Postfächer sollten Sie DMARC einrichten, denn auch sie werden für Phishing missbraucht, etwa Tippfehler-Domains oder alte Markennamen. Mit zwei Einträgen sagen Sie jedem Empfänger, dass von dieser Domain nie eine echte Mail kommt:

example.de.         TXT  "v=spf1 -all"
_dmarc.example.de.  TXT  "v=DMARC1; p=reject;"

Häufige Fehler

Diese Fehler passieren beim DMARC-Einrichten am häufigsten:

• Zwei SPF-Einträge auf derselben Domain, zum Beispiel nach einem Wechsel des Mailanbieters
• Mehr als zehn DNS-Abfragen im SPF-Eintrag
• Der DMARC-Eintrag steht auf der Domain statt unter _dmarc
• Verschärfung auf p=reject, bevor alle Absender erfasst sind
• Ein abgeschnittener oder umgebrochener DKIM-Schlüssel
• Kontaktformulare, die mit der Adresse des Besuchers als Absender verschicken. Das fällt bei DMARC zwangsläufig durch. Verschicken Sie mit Ihrer eigenen Adresse und tragen Sie die des Besuchers als Antwortadresse ein.

Wer seinen Mailserver selbst betreibt, findet die Einrichtung von DKIM-Signaturen auf dem Server in der Anleitung zum eigenen Mailserver. Was Empfänger neben diesen Einträgen noch prüfen, steht im Ratgeber zum Spam-Schutz.