SPF, DKIM und DMARC: Firmenmail richtig absichern

Warum dein Postfach allein nicht reicht

Im Alltag senden oft mehrere Systeme mit deiner Firmenadresse: der Mailanbieter, das Kontaktformular der Website, die Buchhaltung, ein Newsletter-Dienst oder ein Ticketsystem. Dass eine Nachricht im eigenen Postausgang liegt, sagt wenig darüber aus, ob der Empfänger sie deiner Domain zuverlässig zuordnen kann.

Die sichtbare Absenderadresse lässt sich ohne passende Schutzmaßnahmen leicht missbrauchen. Authentifizierung hilft empfangenden Systemen, berechtigten Versand von bestimmten Formen des Domainmissbrauchs zu unterscheiden. Sie prüft aber nicht, ob ein Angebot seriös oder eine Rechnung inhaltlich korrekt ist.

Drei Verfahren teilen sich diese Aufgabe. DNS, das Verzeichnis deiner Domain, hält dafür die öffentlich abrufbaren Einstellungen bereit. Die eigentliche Prüfung findet beim Empfänger statt.

SPF: Welche Server dürfen für diese Domain senden?

SPF steht für „Sender Policy Framework“. Eine Domain veröffentlicht über einen TXT-Eintrag, welche Systeme für sie senden dürfen. Der Empfänger vergleicht die sendende IP-Adresse mit dieser Vorgabe.

Der entscheidende Haken: SPF prüft im üblichen Mailversand die Domain des technischen Umschlagabsenders, also der SMTP-Adresse für Rückmeldungen. Diese muss nicht mit der sichtbaren Von-Adresse übereinstimmen. Ein erfolgreiches SPF-Ergebnis allein beweist daher noch nicht, dass die sichtbare Firmenadresse authentifiziert ist.

Für die Pflege bedeutet das: Am selben DNS-Namen darf nicht einfach für jeden Anbieter ein weiterer SPF-Eintrag ergänzt werden. Mehrere SPF-Richtlinien dort sind ungültig. Außerdem begrenzt SPF die ausgewerteten DNS-auslösenden Mechanismen und Umleitungen auf zehn; verschachtelte include-Verweise zählen mit. Technische Grundlage: SPF-Standard RFC 7208.

Praktisch: Übernimm die Vorgaben deiner tatsächlich genutzten Versanddienste in eine abgestimmte Richtlinie. Ein zweiter Dienst bedeutet eine Prüfung der bestehenden Konfiguration, nicht automatisch einen zweiten TXT-Eintrag mit v=spf1.

DKIM: Welche Domain hat diese Nachricht signiert?

DKIM steht für „DomainKeys Identified Mail“. Der Versanddienst signiert Teile einer Nachricht mit einem privaten Schlüssel. Der Empfänger prüft diese Signatur mit dem öffentlichen Schlüssel aus dem DNS. So kann er feststellen, ob die signierten Bestandteile zur Signatur passen und welche Domain dafür einsteht.

Die Signatur nennt unter anderem eine Domain und einen „Selector“. Dieser Selector hilft dem Empfänger, den passenden öffentlichen Schlüssel zu finden. Mehrere Dienste können unterschiedliche Selector-Namen verwenden. Deshalb müssen sie nicht denselben Schlüssel teilen.

Der private Schlüssel bleibt beim signierenden System. Er gehört weder in einen öffentlichen DNS-Eintrag noch in eine Supportnachricht. Technische Grundlage: DKIM-Standard RFC 6376.

Praktisch: Aktiviere DKIM beim jeweiligen Versanddienst und veröffentliche genau die von ihm verlangten DNS-Einträge. Manche Anbieter verlangen einen TXT-Eintrag, andere einen CNAME-Verweis, beispielsweise Microsoft 365. Microsoft dokumentiert seine DKIM-Konfiguration hier.

Ein eingerichteter DNS-Eintrag allein reicht nicht: Prüfe an einer tatsächlich versendeten Nachricht, ob der Dienst auch mit deiner vorgesehenen Domain signiert.

DMARC: Passt das zur sichtbaren Absenderadresse?

DMARC steht für „Domain-based Message Authentication, Reporting, and Conformance“. Es ergänzt SPF und DKIM um den Bezug zur sichtbaren Absenderdomain und um eine Richtlinie für fehlgeschlagene Prüfungen.

Für ein erfolgreiches DMARC-Ergebnis muss mindestens eines dieser beiden Ergebnisse passen:

• SPF besteht und die dabei geprüfte Domain ist zur sichtbaren Absenderdomain ausgerichtet.
• DKIM besteht und die Signaturdomain ist zur sichtbaren Absenderdomain ausgerichtet.

Diese Ausrichtung heißt „Alignment“. Je nach Einstellung müssen die Domains identisch sein oder dürfen zur selben organisatorischen Domain gehören. Ein spf=pass für irgendeine fremde Dienstleisterdomain genügt also nicht automatisch. Dasselbe gilt für eine DKIM-Signatur, die nur auf den Anbieter verweist.

Die Richtlinie kennt unter anderem none, quarantine und reject: keine besondere Behandlung allein aufgrund dieser DMARC-Richtlinie verlangen, verdächtige Behandlung anfordern oder Ablehnung anfordern. Der Empfänger trifft trotzdem seine eigene Zustellentscheidung. Grundlage: der aktuelle DMARC-Standard RFC 9989.

Praktisch: Richte möglichst beide Verfahren sauber ein. DMARC verlangt nicht, dass beide gleichzeitig bestehen; zwei korrekt eingerichtete Wege geben dir aber mehr Spielraum bei unterschiedlichen Versand- und Weiterleitungssituationen.

Schritt 1: Alle Versandwege aufschreiben

Bevor du DNS änderst, baue eine kurze Versandliste. Sie muss nicht hübsch sein, sondern vollständig genug für dein Geschäft.

Versandweg	Was du klären solltest
Tägliche Postfächer	Welcher Anbieter versendet und wer verwaltet dessen Domain-Einstellungen?
Website und Kontaktformular	Sendet WordPress über den Webserver oder über einen eingerichteten Maildienst?
Rechnungen und Angebote	Welche Absenderdomain nutzt die Software tatsächlich?
Newsletter	Ist deine Domain beim Versanddienst verifiziert und für DKIM eingerichtet?
Scanner, NAS und Ticketsystem	Welches SMTP-Konto oder Relay wird genutzt?

Notiere pro Dienst die sichtbare Absenderadresse, den technischen Verantwortlichen und die aktuellen Einrichtungsvorgaben. Achte auch auf seltene Abläufe: Eine Rechnung zum Monatsende wird bei einer kurzen Prüfung sonst leicht übersehen.

Ein häufiger Stolperstein bei Kontaktformularen: Als sichtbarer Absender sollte eine dafür eingerichtete eigene Adresse dienen. Die eingegebene Besucheradresse gehört in der Regel in „Reply-To“, damit Antworten beim Besucher ankommen. Deine Website kann nicht einfach die Domain des Besuchers authentifizieren.

Schritt 2: SPF und DKIM je Versanddienst prüfen

Sichere den bisherigen DNS-Stand als Arbeitsgrundlage. Prüfe anschließend für jeden Dienst dessen aktuelle Dokumentation. Bearbeite immer einen nachvollziehbaren Punkt und halte fest, was du geändert hast.

Für SPF klärst du, welche Domain der Dienst als Umschlagabsender verwendet und welche Freigaben dort nötig sind. Manche Dienste übernehmen diesen Teil unter einer eigenen Domain. Entscheidend für DMARC bleibt dann, ob ein ausgerichteter Authentifizierungsweg vorhanden ist, zum Beispiel DKIM mit deiner Domain.

Für DKIM aktivierst du die Signierung, setzt die verlangten öffentlichen Einträge und wartest auf die Bestätigung des Anbieters. Danach versendest du eine echte Testnachricht aus genau diesem System.

DNS-Abfragen zeigen den veröffentlichten Stand. Die folgenden Namen sind reservierte Beispiele und müssen ersetzt werden:

dig TXT werkstatt.example +short
dig TXT selector1._domainkey.werkstatt.example +short

selector1 ist kein universeller Name. Verwende den Selector deines Anbieters; bei einer CNAME-Vorgabe prüfst du auch den veröffentlichten CNAME. Kopiere keine vollständige SPF-Richtlinie oder einen DKIM-Schlüssel aus einem fremden Tutorial. Diese Werte gehören zu deinem Versandweg.

Schritt 3: DMARC mit Berichten starten

Ein Einstieg kann eine DMARC-Richtlinie mit p=none und einer Adresse für aggregierte Berichte sein. Sie ermöglicht Beobachtung, ohne über diese Richtlinie bereits Quarantäne oder Ablehnung anzufordern. Andere Filter des Empfängers bleiben aktiv.

Ein illustratives Beispiel, nicht zum unveränderten Einfügen:

DNS-Name: _dmarc.werkstatt.example
Typ: TXT
Wert: v=DMARC1; p=none; rua=mailto:dmarc@werkstatt.example

Ersetze Domain und Zieladresse durch deine eigenen Werte. Das Berichtsziel muss eingerichtet und für die Auswertung geeignet sein. Liegt es bei einem externen Dienst unter einer anderen Domain, kann eine zusätzliche DNS-Autorisierung nötig sein.

Aggregierte Berichte liefern zusammengefasste Informationen über beobachtete Versandquellen und Prüfergebnisse. Sie sind typischerweise XML-Dateien und keine bequem lesbare Liste einzelner E-Mails. Außerdem meldet nicht jeder Empfänger alles. Fehlende Auffälligkeiten sind daher kein lückenloser Zustellnachweis. Details beschreibt RFC 9990 zu DMARC-Sammelberichten.

Plane die Auswertung vor dem Eintrag: Wer schaut hinein, wie werden unbekannte Versandquellen geprüft und wie erreichst du die Verantwortlichen deiner Versanddienste? Ein unbetreutes Berichtsfach sammelt vor allem Arbeit für später.

Schritt 4: Fehler beheben und Richtlinie verschärfen

Betrachte einen Zeitraum, der deine tatsächlichen Geschäftsabläufe abdeckt. Eine feste Anzahl von Tagen ersetzt keine Prüfung der monatlichen Rechnungen, Newsletter oder selten genutzten Systeme.

Ordne auffällige Quellen ein. Eine fremde IP-Adresse kann zu einem vergessenen legitimen Dienst gehören oder auf unberechtigten Versand hindeuten. Erweitere SPF nicht allein deshalb, weil eine Adresse im Bericht auftaucht. Kläre zuerst, wer dort sendet und ob dieser Weg überhaupt benötigt wird.

Wenn alle bekannten legitimen Wege passende Ergebnisse liefern, kannst du eine strengere DMARC-Richtlinie kontrolliert einführen. Dokumentiere den vorherigen Stand, beobachte Berichte und Zustellprobleme weiter und vereinbare einen Verantwortlichen für Korrekturen. Eine Umstellung auf reject ist eine bewusste Betriebsentscheidung, kein Häkchen am Ende einer Checkliste.

So kontrollierst du eine Testnachricht

Sende aus jedem relevanten System an ein eigenes externes Postfach. Öffne dort die vollständigen Nachrichtenheader und suche die Authentifizierungsergebnisse, die der empfangende Anbieter hinzugefügt hat. Beliebige ältere Headerzeilen sind kein verlässlicher Prüfbeleg.

Achte auf drei Fragen:

1. SPF: Welche Domain wurde geprüft und war das Ergebnis erfolgreich?
2. DKIM: Welche Domain hat signiert und ist die Signatur gültig?
3. DMARC: Ist die sichtbare Absenderdomain über mindestens einen dieser Wege ausgerichtet und erfolgreich geprüft?

Prüfe auch die Abläufe, die dein Unternehmen wirklich nutzt: Weiterleitungen können SPF scheitern lassen, weil ein anderer Server weiterleitet. DKIM kann solche Wege überstehen, solange die signierten Bestandteile nicht unzulässig verändert werden. Veränderte Nachrichten oder Mailinglisten können wiederum andere Ergebnisse verursachen.

Was SPF, DKIM und DMARC nicht lösen

Die drei Verfahren verschlüsseln nicht den Inhalt deiner E-Mail. Sie schützen auch nicht vor jeder ähnlich geschriebenen Betrugsdomain oder einem bereits übernommenen echten Postfach. Kontoschutz, sichere Anmeldung und aufmerksame Geschäftsprozesse bleiben notwendig.

Ebenso wenig garantieren erfolgreiche Prüfungen die Zustellung im Posteingang. Beim eigenen Direktversand gehören eine passende Serveridentität und funktionierendes Reverse DNS zusätzlich dazu. Wie du das kontrollierst, steht im Artikel PTR-Eintrag und Reverse DNS prüfen.

Dein nächster Schritt: Eine vollständige Versandliste

Beginne mit der Liste deiner Versanddienste und einer Testnachricht pro System. Prüfe anschließend SPF und DKIM, richte eine tatsächlich betreute DMARC-Auswertung ein und verschärfe die Richtlinie erst auf dieser Grundlage.

So entsteht ein nachvollziehbarer Mailbetrieb, den du auch beim nächsten Anbieterwechsel weiterpflegen kannst. Die Kurzdefinitionen zu den Begriffen findest du im Glossar.