SPF, DKIM und DMARC verständlich erklärt

E-Mail wurde ohne Absenderprüfung entworfen. Wer eine Nachricht verschickt, kann als Absender eintragen, was er möchte – technisch spricht zunächst nichts dagegen. SPF, DKIM und DMARC schließen diese Lücke nachträglich. Sie sind kein Zusatzprodukt, sondern Einträge im DNS Ihrer Domäne.

Für Unternehmen sind dabei zwei Dinge wichtig: Die eigenen Nachrichten sollen zuverlässig ankommen, und niemand soll unter dem eigenen Namen Rechnungen oder Zahlungsaufforderungen verschicken können.

Die drei Verfahren im Überblick

Erst alle drei gemeinsam ergeben ein belastbares Bild. SPF allein bricht, sobald eine Nachricht weitergeleitet wird. DKIM allein sagt nichts darüber, wie ein Empfänger mit einem Fehlschlag umgehen soll.

SPF: Wer darf für Sie senden?

SPF ist ein einzelner Eintrag im DNS, der die zulässigen Versandwege einer Domäne auflistet. Der empfangende Server vergleicht die Adresse des zustellenden Servers mit dieser Liste.

Ein Eintrag sieht in der Grundform so aus:

v=spf1 include:spf.example-provider.de -all

Entscheidend ist das Ende. -all bedeutet: Alles, was nicht aufgeführt ist, ist nicht autorisiert. ~all bedeutet lediglich „verdächtig“ und wird von vielen Empfängern nachsichtig behandelt.

Typische Stolpersteine

• Mehr als ein SPF-Eintrag pro Domäne. Zulässig ist genau einer. Zwei Einträge führen zu einem Fehler, nicht zu einer Kombination.
• Zu viele DNS-Abfragen. Die Prüfung bricht ab, wenn die verketteten Einträge mehr als zehn Abfragen erfordern. Das passiert schnell, wenn Newsletter-Dienst, Warenwirtschaft und Ticketsystem nacheinander ergänzt werden.
• Vergessene Versender. Kassensysteme, Scanner, Buchhaltungssoftware und Formulare der eigenen Website versenden ebenfalls Nachrichten.
• Weiterleitungen. Leitet ein Empfänger Ihre Nachricht automatisch weiter, stimmt der sendende Server nicht mehr. SPF schlägt dann fehl – dafür gibt es DKIM.

DKIM: Die Unterschrift der Nachricht

Bei DKIM signiert der versendende Server jede Nachricht kryptografisch. Der öffentliche Schlüssel liegt im DNS, der private beim Versanddienst. Der Empfänger prüft, ob die Signatur passt.

Zwei Eigenschaften sind praktisch relevant: Die Signatur übersteht Weiterleitungen, solange der Nachrichtentext unverändert bleibt. Und sie belegt zusätzlich, dass unterwegs nichts verändert wurde.

Wichtig ist, für jeden Versandweg einen eigenen Schlüssel einzurichten – nicht nur für das Hauptpostfach. Wenn der Newsletter-Dienst nicht signiert, fällt genau dieser Weg später bei DMARC durch.

DMARC: Regel und Rückmeldung

DMARC verbindet beide Verfahren mit einer Anweisung an den Empfänger und mit einer Berichtspflicht. Der Eintrag legt fest, was mit Nachrichten geschehen soll, die weder SPF noch DKIM bestehen.

Drei Stufen sind möglich:

1. p=none – nichts unternehmen, aber Berichte senden. Das ist die Beobachtungsphase.
2. p=quarantine – auffällige Nachrichten in den Spam-Ordner.
3. p=reject – auffällige Nachrichten gar nicht erst annehmen.

Ausrichtung: der übersehene Teil

DMARC verlangt zusätzlich, dass die geprüfte Domäne zur sichtbaren Absenderadresse passt. Ein Versanddienst kann SPF und DKIM technisch bestehen und trotzdem an DMARC scheitern, weil er unter seiner eigenen Domäne signiert. Deshalb verlangen viele Dienste das Einrichten einer eigenen Subdomäne für den Versand.

Eine realistische Reihenfolge

Für ein kleines Unternehmen hat sich dieses Vorgehen bewährt:

1. Bestandsaufnahme: Alle Systeme sammeln, die im Namen der Domäne senden. Erfahrungsgemäß sind es mehr als zunächst angenommen.
2. SPF bereinigen: Genau ein Eintrag, alle bekannten Versender enthalten, Anzahl der Abfragen im Blick behalten.
3. DKIM aktivieren: Für jeden Versandweg einzeln, inklusive Newsletter und Fachanwendungen.
4. DMARC mit p=none einrichten und eine Adresse für die Berichte hinterlegen.
5. Berichte auswerten, üblicherweise über einige Wochen. Ziel ist eine Liste aller Quellen, die tatsächlich senden.
6. Verschärfen, zunächst auf quarantine, später auf reject.

Schritt fünf ist der eigentliche Aufwand. Die Berichte kommen als XML-Dateien und sind ohne Auswertung schwer lesbar. Wer sie ignoriert, hat zwar drei Einträge im DNS, aber keine Kontrolle über die Versandwege.

Was die Verfahren nicht leisten

SPF, DKIM und DMARC prüfen die Herkunft einer Nachricht, nicht ihren Inhalt. Sie verhindern, dass jemand Ihre Domäne als Absender missbraucht. Sie verhindern nicht, dass jemand eine täuschend ähnliche Domäne registriert oder dass ein gekapertes echtes Postfach für Betrug genutzt wird.

Deshalb bleiben die anderen Bausteine notwendig: mehrstufige Anmeldung, aktuelle Endgeräte, klare Regeln für Zahlungsfreigaben und Mitarbeitende, die eine ungewöhnliche Zahlungsaufforderung hinterfragen dürfen, ohne dafür einen Grund nennen zu müssen.

Wenn Sie wissen möchten, wie Ihre Domäne aktuell dasteht, ist eine Bestandsaufnahme der Versandwege der sinnvolle erste Schritt.