SPF, DKIM und DMARC sind drei DNS-Einträge, die für jeden Mailbox-Anbieter, an den Sie senden, eine einzige Frage beantworten: Stammt diese Nachricht wirklich von dem, für den sie sich ausgibt? Machen Sie es richtig, dann vertrauen Anbieter Ihren Mails genug, um sie für den Posteingang in Betracht zu ziehen. Machen Sie es falsch — oder lassen Sie sie weg —, dann werden die großen Anbieter sie seit 2024 zunehmend rundheraus abweisen. Hier ist, was jeder Eintrag leistet, verständlich erklärt.
Die Kurzfassung#
Die drei Einträge teilen sich die Aufgabe, Ihre Identität nachzuweisen:
- SPF legt fest, welche Server Mails für Ihre Domain senden dürfen.
- DKIM fügt eine kryptografische Signatur hinzu, die belegt, dass die Nachricht nicht gefälscht oder unterwegs verändert wurde.
- DMARC verknüpft beides mit der sichtbaren „Von"-Adresse, sagt Anbietern, was zu tun ist, wenn eine Nachricht durchfällt, und meldet Ihnen die Ergebnisse zurück.
Zusammen ermöglichen sie es einem Empfänger, zu bestätigen, dass Ihre Mail echt von Ihnen stammt. Seit den Anforderungen an Versender von Google und Yahoo aus dem Jahr 2024 müssen Massenversender alle drei haben — das ist nicht länger optional. Doch die Authentifizierung sorgt nur dafür, dass Sie für den Posteingang in Betracht gezogen werden; ob Sie dort landen, entscheiden Reputation und Listenhygiene.
SPF: Wer senden darf#
SPF (Sender Policy Framework) ist ein TXT-Eintrag, der die Server und Dienste auflistet, die berechtigt sind, Mails über Ihre Domain zu senden. Wenn ein Empfänger eine Nachricht erhält, prüft er die IP des sendenden Servers gegen Ihren SPF-Eintrag:
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net ~all"
Das ~all am Ende ist ein Soft-Fail (annehmen, aber als verdächtig markieren); -all
ist ein Hard-Fail (nicht autorisierte Absender rundheraus abweisen). Jeder Dienst, der
in Ihrem Namen sendet, benötigt seinen eigenen include:-Mechanismus in diesem
Eintrag, daher sollten Sie
den exakten SPF-Eintrag Ihres Anbieters generieren,
statt die Zeichenkette von Hand zu bearbeiten. Ein Haken, den man kennen sollte: SPF
prüft den Envelope-Absender, nicht das sichtbare „Von", und bricht, wenn Mails
weitergeleitet werden, weil der weiterleitende Server nicht in Ihrem Eintrag steht.
Genau diese Anfälligkeit ist der Grund, warum es DKIM und DMARC daneben gibt.
DKIM: eine Signatur, die die Integrität belegt#
DKIM (DomainKeys Identified Mail) hängt jeder Nachricht eine kryptografische Signatur an. Ihr Sendesystem signiert die Nachricht mit einem privaten Schlüssel; den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem benannten Selektor:
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
Der Empfänger ruft den öffentlichen Schlüssel ab, verifiziert die Signatur und lernt zwei Dinge: Die Nachricht kam tatsächlich von Ihrer Domain, und sie wurde unterwegs nicht verändert. Anders als SPF reist eine DKIM-Signatur mit der Nachricht mit und übersteht daher üblicherweise die Weiterleitung — was sie zur robusteren der beiden Prüfungen macht.
DMARC: die Richtlinie, die alles zusammenhält#
DMARC (Domain-based Message Authentication, Reporting and Conformance) ist der Eintrag, der SPF und DKIM erst bedeutsam macht. Er leistet drei Dinge: Er setzt eine Richtlinie für Nachrichten, die durchfallen, verlangt Alignment zwischen der authentifizierten Domain und dem sichtbaren „Von" und schickt Ihnen Berichte.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
Der p-Wert ist die Anweisung an die Empfänger:
p=none— nur überwachen; keine Maßnahme ergreifen, nur Berichte schicken. Fangen Sie hier an.p=quarantine— fehlschlagende Mails in den Spam schicken.p=reject— fehlschlagende Mails rundheraus ablehnen.
Alignment ist der Teil, der Spoofing stoppt: Eine Nachricht besteht DMARC nur, wenn die
Domain, die SPF oder DKIM bestanden hat, mit der Domain im „Von"-Header übereinstimmt.
Sowohl SPF als auch DKIM sollten eingerichtet sein, aber nur eines muss aligned sein.
Beginnen Sie bei p=none, lesen Sie die aggregierten Berichte, bis Sie sicher sind,
dass sich jeder legitime Mailstrom authentifiziert, und ziehen Sie dann auf
quarantine und schließlich reject an.
Warum das jetzt Pflicht ist#
Authentifizierung war früher Best Practice; seit 2024 ist sie eine Hürde. Nach
Googles Anforderungen an Versender
braucht jeder, der an Gmail sendet, mindestens SPF oder DKIM und muss seine
Spam-Rate in den Postmaster Tools unter 0,3 % halten, und Massenversender —
mehr als 5.000 Nachrichten pro Tag an Gmail — müssen SPF, DKIM und DMARC (mit
Alignment) haben, dazu einen Ein-Klick-Abmeldelink bei Marketing-Mails. Yahoo führte
zur selben Zeit gleichlautende Anforderungen ein, und Google hat die Durchsetzung
seit Ende 2025 hochgefahren — einschließlich der Abweisung nicht konformer Mails.
Requirements above last verified against Google's guidelines, July 2026.
Die praktische Erkenntnis: Wenn Sie Marketing- oder Transaktions-E-Mails in irgendeinem nennenswerten Volumen versenden, sind alle drei Einträge heute Grundvoraussetzung, kein Nice-to-have.
Authentifizierung ist nicht Zustellbarkeit#
Hier ist die ehrliche Abgrenzung, denn sie bringt viele durcheinander. SPF, DKIM und DMARC zu bestehen, belegt, wer Sie sind — es belegt nicht, dass Sie ein guter Versender sind. Eine perfekt authentifizierte Nachricht von einer Domain mit schlechter Absenderreputation, einer Liste voller Spam-Traps oder einer steigenden Bounce-Rate landet trotzdem im Spam. Anbieter prüfen zuerst die Authentifizierung — ohne sie kein Vertrauen — und wägen dann Reputation und Engagement ab, um über die Platzierung zu entscheiden.
Behandeln Sie die Authentifizierung also als Eintrittskarte, nicht als das ganze Spiel. Richten Sie die drei Einträge korrekt ein und leisten Sie dann die Arbeit, die den Posteingang wirklich verdient: Verifizieren Sie Ihre Liste, damit Sie keine toten Adressen anschreiben, halten Sie Bounces und Beschwerden niedrig und senden Sie an Menschen, die Ihre Mails haben wollen. Der Leitfaden zur Zustellbarkeit behandelt die übrigen Stellschrauben.
Häufig gestellte Fragen#
Brauche ich alle drei — SPF, DKIM und DMARC?#
Bei jedem ernsthaften Sendevolumen: ja. Google und Yahoo verlangen seit 2024 von jedem Versender SPF oder DKIM und von Massenversendern (ab 5.000 Nachrichten pro Tag) alle drei, und DMARC ist das, was die beiden anderen gegen Spoofing durchsetzbar macht. Auch unterhalb der Massenversand-Schwelle ist die Kombination aus allen dreien inzwischen der Standard, den Anbieter erwarten.
Was ist der Unterschied zwischen SPF und DKIM?#
SPF autorisiert, welche Server für Ihre Domain senden dürfen, und wird gegen die sendende IP geprüft; DKIM signiert die Nachricht kryptografisch, sodass ein Empfänger bestätigen kann, dass sie von Ihnen kam und nicht verändert wurde. SPF ist einfacher, bricht aber bei Weiterleitungen; DKIM reist mit der Nachricht mit und übersteht sie. Sie decken unterschiedliche Fehlerszenarien ab — deshalb sollten Sie beide einsetzen.
Was bedeutet DMARC p=none, und reicht das aus?#
p=none weist Empfänger an, bei fehlschlagenden Mails nichts zu unternehmen und Ihnen
lediglich Berichte zu schicken — der sichere Ausgangspunkt für die Überwachung, aber
ohne jeden Schutz gegen Spoofing. Es ist ein erster Schritt, kein Ziel: Nutzen Sie die
Berichte, um zu bestätigen, dass sich Ihre legitimen Mails authentifizieren, und
wechseln Sie dann zu p=quarantine und p=reject, um tatsächlich durchzusetzen.
Garantiert das Bestehen der Authentifizierung, dass meine E-Mail den Posteingang erreicht?#
Nein. Authentifizierung ist notwendig, aber nicht ausreichend. Sie belegt Ihre Identität, was dazu führt, dass Ihre Mail überhaupt in Betracht gezogen wird — doch die Platzierung entscheidet sich über Absenderreputation, Engagement, Beschwerderaten und Listenqualität. Ein vollständig authentifizierter Versender mit einer verschmutzten Liste oder einer schlechten Reputation landet trotzdem im Spam.
Die Authentifizierung bringt Sie bis vor die Tür; die Listenhygiene hilft Ihnen hindurch. Der kostenlose E-Mail-Checker fängt tote Domains und Tippfehler ab, bevor sie bouncen, und der kostenlose Tarif lässt Ihre Liste durch die vollständige Verifizierungs-Pipeline laufen — denn saubere Listen und niedrige Bounce-Raten sind es, die aus einer vertrauenswürdigen Identität eine Platzierung im Posteingang machen.
