SPF, DKIM und DMARK erklärt
Hinweis: Dieser Hilfeartikel gilt nur für Surf Mail, Mailhosting und Hosted Exchange. Wenn Sie nicht sicher sind, welchen Maildienst Sie verwenden, finden Sie weitere Informationen im folgenden Artikel.
https://www.green.ch/de/welchen-maildienst-verwende-ich
Warum braucht man DKIM und DMARC?
Früher reichte ein korrekt konfigurierter SPF-Eintrag oft aus, damit E-Mails zuverlässig zugestellt wurden. Heute setzen grosse E-Mail-Anbieter wie Google, Microsoft und Yahoo zusätzliche Sicherheitsmechanismen voraus, um Spam, Phishing und gefälschte E-Mails zu bekämpfen.
DKIM stellt sicher, dass eine E-Mail tatsächlich vom angegebenen Absender stammt und unterwegs nicht verändert wurde. Jede Nachricht erhält eine digitale Signatur, die vom empfangenden Mailserver überprüft werden kann.
DMARC baut auf SPF und DKIM auf und definiert, wie empfangende Mailserver mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen. Gleichzeitig ermöglicht DMARC Berichte über die missbräuchliche Nutzung einer Domain.
Durch die Kombination von SPF, DKIM und DMARC profitieren Domaininhaber von mehreren Vorteilen:
- Höhere Zustellbarkeit bei Gmail, Microsoft 365, Yahoo und anderen Anbietern
- Weniger Risiko, dass E-Mails im Spam-Ordner landen
- Schutz der eigenen Domain vor Spoofing und Phishing
- Erfüllung aktueller Sicherheitsanforderungen vieler Unternehmen und E-Mail-Anbieter
- Verbesserte Reputation der Domain
Wichtig: Google und Yahoo haben ihre Anforderungen für Absender verschärft.
Insbesondere bei Newslettern, automatisierten Benachrichtigungen oder grösseren Versandmengen werden SPF, DKIM und DMARC heute praktisch vorausgesetzt.
Fehlen diese Einträge oder sind sie fehlerhaft konfiguriert, kann dies zu Zustellproblemen oder Ablehnungen führen.
Weitere Informationen zum Setzen von DKIM und DMARC finden Sie im Artikel DKIM und DMARC bei Green.
Falls E-Mails insbesondere an Gmail-Empfänger zurückgewiesen werden, beachten Sie auch den Artikel Mails an Gmail kommen zurück.
SPF, DKIM und DMARC im Vergleich
| Protokoll | Funktionsweise | Metapher |
| SPF (Sender Policy Framework) | Definiert im DNS der Domain, welche IP-Adressen und Server im Namen dieser Domain E-Mails versenden dürfen. | Die offizielle Gästeliste am Eingang. |
| DKIM (DomainKeys Identified Mail) | Fügt der E-Mail eine digitale Signatur (kryptografischer Schlüssel) hinzu. Der Empfänger prüft via DNS, ob die Mail unterwegs verändert wurde. | Das versiegelte Wachs-Siegel auf dem Brief. |
| DMARC (Domain-based Message Authentication) | Bestimmt die Regel, was mit einer Mail passiert, wenn SPF oder DKIM fehlschlagen (z. B. none = nur Protokoll, quarantine = Spam-Ordner, reject = blockieren). | Die Anweisung an den Türsteher, wie mit Fälschungen umzugehen ist. |
Praxis-Richtlinien: Wer braucht was?
1. Reguläre E-Mail-Nutzer (Normaler Geschäftsverkehr)
Für KMUs und Standard-Benutzer, die normale Mengen an täglichen Geschäfts-E-Mails über ihr primäres Postfach versenden, reicht ein korrekt konfigurierter SPF-Eintrag in der Regel aus. Die meisten empfangenden Mailserver nehmen diese Nachrichten problemlos an, sofern der SPF-Eintrag fehlerfrei ist und die verwendete IP-Adresse autorisiert wurde.
2. Grossanbieter & Massenversender (Google, Microsoft, Yahoo)
Die grossen Anbieter haben ihre Richtlinien verschärft. Sie verlangen SPF, DKIM und DMARC insbesondere dann, wenn:
- Massenmails wie Newsletter versendet werden.
- Massenmail-Software eingesetzt wird, beispielsweise SendGrid, Mailchimp oder Wix Ascend.
Wichtig: Auch wenn keine klassischen Massenmails versendet werden, können automatisierte Webformulare oder Systemmails über solche Plattformen dazu führen, dass strengere Prüfmechanismen angewendet werden.
3. Erhöhte Anforderungen für sensible Branchen
Unabhängig vom Mailvolumen fordern Grossunternehmen, Banken, Versicherungen und staatliche Institutionen zunehmend eine vollständige Absicherung der Domain mit DKIM und DMARC. Ohne diese Einträge kann geschäftliche Korrespondenz aus Sicherheits- oder Compliance-Gründen abgewiesen werden.
Typische Fehlerquelle und Lösung
Ein häufiger Fehler bei DNS-Umstellungen, beispielsweise nach einem Wechsel zu einem neuen Webdesigner oder CMS wie Wix, ist das Vergessen oder Überschreiben des bestehenden SPF-Eintrags.
Wenn ein externer Dienst im Namen der Domain E-Mails versendet, muss dieser per include: im SPF-Record hinterlegt werden. Zusätzlich müssen die vom jeweiligen Anbieter bereitgestellten DKIM-Einträge im DNS korrekt aktiviert werden.