E-Mails landen im Spam: Wie richte ich SPF, DKIM und DMARC richtig ein?

E-Mail ist eine alte Technik: Jeder kann in einer Mail einen beliebigen Absender eintragen, ähnlich wie bei einem Brief, auf den man irgendeine Absenderadresse schreibt. Betrüger nutzen das für gefälschte Rechnungen und Phishing. Das BSI nennt dieses Vortäuschen von Absendern „Spoofing“ und beschreibt es als häufig erfolgreich genutzte Angriffsmethode.

Große Postfach-Anbieter wie Gmail und Outlook.com prüfen deshalb bei jeder eingehenden Mail: Darf dieser Server überhaupt im Namen von „deine-firma.de“ senden? Kann der Anbieter das nicht bestätigen, wandert die Mail in den Spam-Ordner oder wird gar nicht zugestellt. Für dich heißt das: Angebote, Rechnungen oder Terminbestätigungen kommen nicht an, und du merkst es oft erst, wenn ein Kunde nachfragt.

Typische Auslöser im Alltag eines kleinen Betriebs:

• ✓Das Kontaktformular der Website verschickt Mails mit deiner Firmenadresse als Absender, aber vom Webserver aus, der dafür nicht freigegeben ist.
• ✓Ein Newsletter-Tool, das Rechnungsprogramm oder ein Buchungssystem sendet in deinem Namen, wurde aber nie in den DNS-Einträgen eingetragen.
• ✓Nach einem Umzug zu einem neuen E-Mail-Anbieter, etwa zu Microsoft 365 oder Google Workspace, sind alte Einträge stehen geblieben oder neue fehlen.
• ✓Ein Eintrag enthält einen Tippfehler und wird von den Empfängern deshalb ignoriert.

Alle drei sind kurze Texteinträge im DNS deiner Domain. Das DNS ist sozusagen das Adressbuch des Internets. Du pflegst es dort, wo deine Domain verwaltet wird, also meist beim Hoster oder Domain-Anbieter. Dort legst du sie einmal an und musst sie nur anpassen, wenn ein neuer Dienst dazukommt.

Wichtig ist außerdem die sogenannte Ausrichtung: Die Domain, die SPF oder DKIM bestätigt, muss zu der Absenderadresse passen, die dein Kunde im Postfach sieht. Ein Newsletter-Dienst, der mit seiner eigenen Domain unterschreibt, hilft deiner Domain also nicht.

Google und Microsoft haben ihre Regeln in den letzten Jahren deutlich verschärft. Die wichtigsten Punkte laut den Hilfeseiten der Anbieter:

Als kleiner Betrieb verschickst du selten 5.000 Mails am Tag. Die Grundregel von Gmail, also SPF oder DKIM, gilt aber für jeden. Und weil viele deiner Kunden private Gmail-, Outlook- oder Hotmail-Adressen nutzen, lohnt es sich, alle drei Einträge sauber einzurichten. Dann bist du auch auf der sicheren Seite, wenn du später einen Newsletter startest.

Du brauchst dafür kein Technikwissen, nur ein privates Gmail-Konto zum Testen:

• ✓1. Schick aus deinem normalen Firmenpostfach eine kurze Mail an eine Gmail-Adresse.
• ✓2. Öffne die Mail in Gmail am Computer, klick oben rechts auf die drei Punkte und wähle „Original anzeigen“.
• ✓3. Oben in der Übersicht siehst du die Zeilen SPF, DKIM und DMARC. Steht überall „PASS“, ist dein Postfach gut eingerichtet.
• ✓4. Steht dort „FAIL“, „NEUTRAL“ oder fehlt eine Zeile, notiere dir das Ergebnis.
• ✓5. Wiederhole den Test für jedes System, das in deinem Namen sendet: Kontaktformular der Website, Onlineshop, Rechnungsprogramm, Newsletter-Tool, Terminbuchung.
• ✓6. Gib die Ergebnisse an die Person, die deine Domain betreut, oder ändere die Einträge selbst im Kundenbereich deines Domain-Anbieters unter „DNS“ oder „DNS-Einstellungen“.

Microsoft beschreibt für Outlook.com denselben Weg: Kopfzeilen der Mail ansehen, die drei Einträge kontrollieren und bei Fremddiensten prüfen, ob sie mit deiner Domain unterschreiben und in deinem SPF-Eintrag stehen.

Das BSI hat die E-Mail-Einstellungen deutscher Unternehmen untersucht und schreibt, dass die Standards zwar verbreitet sind, bei der Umsetzung aber oft leicht zu korrigierende Fehler passieren. Weil empfangende Server meist tolerant sind, fallen sie lange nicht auf. Diese Checkliste basiert auf der BSI-Empfehlung:

• ✓Nur ein SPF-Eintrag: Bindest du einen neuen Dienst ein, ergänzt du den bestehenden Eintrag, statt einen zweiten anzulegen. Aus „v=spf1 ip4:…“ und einem zweiten „v=spf1 include:…“ wird ein einziger Eintrag mit beiden Angaben. Dasselbe gilt für DKIM und DMARC.
• ✓Keine Anführungszeichen: Der Eintrag beginnt direkt mit v=spf1, v=DKIM1 oder v=DMARC1, nicht mit einem Anführungszeichen.
• ✓Tippfehler prüfen: „inlcude“ statt „include“ oder ein Leerzeichen in einer IP-Adresse machen den Eintrag ganz oder teilweise ungültig.
• ✓Richtige Versionsangabe: Nur v=spf1, v=DKIM1 und v=DMARC1 sind gültig, nicht etwa „v=spfv1“ oder „DKIMv=1“.
• ✓Semikolons setzen: Bei DKIM und DMARC werden die einzelnen Angaben mit Semikolon getrennt.
• ✓Alte Einträge entfernen: Dienste, die du nicht mehr nutzt, gehören aus dem SPF-Eintrag gelöscht.

Zum Start reicht bei DMARC ein Eintrag mit dem Namen „_dmarc“ und dem Wert „v=DMARC1; p=none“. Das ist das Beispiel, das Microsoft selbst nennt. „p=none“ heißt: nur beobachten, nichts blockieren. Wenn alle deine Dienste sauber bestehen, kannst du die Regel später auf „p=quarantine“ (in den Spam) oder „p=reject“ (ablehnen) verschärfen. So schützt du deine Domain auch davor, dass Betrüger in deinem Namen Mails verschicken.

SPF, DKIM und einen einfachen DMARC-Eintrag kannst du mit der Anleitung deines E-Mail-Anbieters oft selbst anlegen. Microsoft 365 und Google Workspace stellen dafür eigene Leitfäden bereit. Schwierig wird es, wenn mehrere Dienste in deinem Namen senden, das Kontaktformular der Website über den Webserver verschickt oder du gerade den E-Mail-Anbieter wechselst. Ein falscher Eintrag kann dann dazu führen, dass gar keine Mails mehr ankommen. Das BSI rät Unternehmen ohne eigenes IT-Personal ausdrücklich, die Umsetzung an ihren IT-Dienstleister zu geben.

Wir richten bei unseren Website-Projekten das Kontaktformular so ein, dass es über einen freigegebenen Versandweg sendet, und prüfen dabei auch SPF, DKIM und DMARC der Domain. Wenn deine Mails im Spam landen oder du unsicher bist, schauen wir uns deine Einstellungen gern an.