SPF, DKIM und DMARC erklärt: So schützen Sie Ihre E-Mail-Domain

Was SPF, DKIM und DMARC leisten: die kurze Antwort

SPF, DKIM und DMARC sind drei Einträge im DNS Ihrer Domain, die gemeinsam zeigen, ob eine E-Mail wirklich von Ihnen stammt. SPF legt fest, welche Server für Ihre Domain senden dürfen. DKIM versieht jede Nachricht mit einer digitalen Signatur. DMARC verknüpft beides mit der sichtbaren Absenderadresse, bestimmt, was mit gefälschten Mails geschehen soll, und liefert Ihnen Berichte.

Ohne diese Einträge kann fast jeder E-Mails versenden, die scheinbar von Ihrer Domain kommen, etwa gefälschte Rechnungen an Ihre Kunden. Zugleich setzen große Mailanbieter für die Zustellung zunehmend eine saubere Authentifizierung voraus. Die gute Nachricht: Mit einer geordneten Einführung lösen Sie beides, ohne dass legitime Mails verloren gehen.

SPF: Wer darf für Ihre Domain senden?

Mit SPF (Sender Policy Framework) veröffentlichen Sie im DNS eine Liste der Server und Dienste, die E-Mails für Ihre Domain versenden dürfen. Der empfangende Server prüft, ob die einliefernde IP-Adresse auf dieser Liste steht. Wichtig: SPF prüft die technische Absenderadresse (Envelope-Absender bzw. Return-Path), nicht die Adresse, die der Empfänger im Mailprogramm sieht.

Pro Domain darf es nur einen SPF-Eintrag geben. Dienste werden darin meist per include ergänzt, für Microsoft 365 etwa mit include:spf.protection.outlook.com. Dabei gilt eine Grenze von zehn DNS-Abfragen: Wer viele Dienste einbindet, überschreitet sie schnell, und die SPF-Prüfung endet dann mit einem Fehler, den DMARC als nicht bestanden wertet. Zudem bricht SPF oft bei Weiterleitungen, weil dann ein anderer Server die Mail zustellt.

DKIM: digitale Signatur für jede Nachricht

Bei DKIM (DomainKeys Identified Mail) signiert der versendende Server jede Nachricht mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem sogenannten Selektor. Der Empfänger prüft damit, ob die Mail wirklich von einem berechtigten System stammt und unterwegs nicht verändert wurde.

Anders als SPF übersteht DKIM eine einfache Weiterleitung in der Regel, solange niemand den Inhalt oder die signierten Kopfzeilen verändert. Achten Sie darauf, dass jeder Dienst mit Ihrer eigenen Domain signiert und nicht nur mit der Domain des Anbieters. Als Schlüssellänge sind heute 2048 Bit üblich.

DMARC: Regel und Rückmeldung für Ihre Domain

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet beides mit der Absenderadresse, die der Empfänger tatsächlich sieht. Eine Mail besteht DMARC, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur sichtbaren From-Adresse passt, was man Alignment nennt. Im DMARC-Eintrag legen Sie außerdem fest, was mit Mails geschehen soll, die das nicht schaffen:

• p=none: nur beobachten. Mails werden normal zugestellt, Sie erhalten aber Berichte.
• p=quarantine: Empfänger sollen fehlgeschlagene Mails als verdächtig behandeln, meist bedeutet das den Spam-Ordner.
• p=reject: Mails, die die Prüfung nicht bestehen, werden abgewiesen. Das ist das Ziel.

Über den Parameter rua schicken Ihnen die empfangenden Anbieter zusammengefasste Berichte im XML-Format, meist täglich: welche Server in Ihrem Namen gesendet haben, wie viele Nachrichten es waren und ob SPF und DKIM bestanden wurden. Die Inhalte der Mails enthalten diese Berichte nicht. Da die Rohdaten kaum lesbar sind, lohnt sich ein Auswertungsdienst oder ein passendes Tool.

Schritt für Schritt einführen, ohne legitime Mails zu blockieren

Ein typischer Fehler ist, DMARC sofort auf reject zu setzen. Dann landen plötzlich Rechnungen aus der Buchhaltungssoftware oder der Newsletter im Spam oder kommen gar nicht an. Sicherer ist dieser Ablauf:

1. Alle Absender erfassen: Mailserver oder Microsoft 365, Newsletter-Tool, CRM, Rechnungs- und Buchhaltungssoftware, Webshop, Ticketsystem, Kontaktformular der Website, Multifunktionsgeräte und externe Agenturen.
2. SPF bereinigen: einen einzigen Eintrag mit allen berechtigten Diensten anlegen, die Grenze von zehn Abfragen prüfen und mit ~all beginnen.
3. DKIM für jeden Dienst aktivieren: mit Ihrer eigenen Domain, nicht mit der des Anbieters. In Microsoft 365 etwa muss DKIM für eigene Domains ausdrücklich eingeschaltet werden.
4. DMARC im Beobachtungsmodus starten: zum Beispiel mit v=DMARC1; p=none; rua=mailto:dmarc@example.com, und die Berichte einige Wochen lang auswerten.
5. Lücken schließen: unbekannte, aber legitime Absender korrekt authentifizieren oder auf eine Subdomain wie news.example.com mit eigenem SPF und DKIM auslagern.
6. Schrittweise verschärfen: auf p=quarantine wechseln, die Berichte weiter beobachten und dann auf p=reject gehen.
7. Dauerhaft pflegen: Jedes neue Tool, das E-Mails versendet, wird vor dem Start in SPF und DKIM aufgenommen.

Was große Mailanbieter inzwischen verlangen

Seit 2024 verlangt Google von Absendern, die täglich rund 5.000 oder mehr Nachrichten an private Gmail-Adressen schicken, SPF, DKIM und einen DMARC-Eintrag mit mindestens p=none, wobei die sichtbare Absenderdomain zu SPF oder DKIM passen muss. Werbemails brauchen zusätzlich eine Abmeldung mit einem Klick. Yahoo hat zur selben Zeit vergleichbare Regeln eingeführt, Microsoft wendet seit 2025 bei Outlook.com ähnliche Vorgaben für Absender ab etwa 5.000 Nachrichten pro Tag an. Von allen übrigen Absendern erwartet Google mindestens SPF oder DKIM.

BIMI: Ihr Logo im Posteingang

BIMI (Brand Indicators for Message Identification) zeigt in unterstützten Mailprogrammen Ihr Firmenlogo neben authentifizierten Nachrichten an. Voraussetzung sind eine DMARC-Richtlinie im Durchsetzungsmodus, also quarantine oder reject, und ein Logo in einem speziellen SVG-Format. Einige Anbieter, etwa Gmail, verlangen zusätzlich ein kostenpflichtiges Zertifikat für das Logo. BIMI ist ein sichtbarer Bonus, aber für sich kein Sicherheitsmerkmal.

Auch eingehende Mails schützen

SPF, DKIM und DMARC für Ihre eigene Domain schützen vor allem andere vor Fälschungen in Ihrem Namen. Für Ihren eigenen Posteingang brauchen Sie zusätzlich einen Filter, der eingehende Mails prüft und Angriffe von fremden, ähnlich aussehenden Domains erkennt, denn DMARC schützt nur Domains, die Ihnen gehören, nicht ähnlich aussehende Varianten mit Tippfehlern. Darauf sollten Sie achten:

• Eingehende Mails werden auf SPF, DKIM und DMARC geprüft, und die DMARC-Richtlinien der Absender werden beachtet.
• Schutz vor ähnlich aussehenden Domains und vor Mails, die sich als Geschäftsführung oder bekannte Partner ausgeben.
• Prüfung von Links und Anhängen, idealerweise auch im Moment des Anklickens.
• Ein sichtbarer Hinweis auf externe Absender und ein einfacher Melde-Button für verdächtige Nachrichten.

Auch der beste Filter lässt gelegentlich etwas durch. Wie Ihr Team gefährliche Nachrichten erkennt, lesen Sie in unserem Beitrag zu den Warnzeichen von Phishing. Für Microsoft-365-Umgebungen finden Sie die passenden Einstellungen in unserem Beitrag zum Absichern von Microsoft 365.

Fazit: erfassen, beobachten, dann durchsetzen

SPF, DKIM und DMARC sind kein einmaliges Projekt, aber auch kein großer Aufwand, wenn Sie strukturiert vorgehen: zuerst alle Absender erfassen, dann beobachten, dann schrittweise durchsetzen. Am Ende wird es deutlich schwieriger, E-Mails mit Ihrer Domain zu fälschen, und Ihre legitimen Mails kommen zuverlässiger an. Wenn Sie Unterstützung bei der Einrichtung oder bei der Auswertung der Berichte wünschen, hilft Ihnen Q-entra im Bereich Cyber Security.