SPF, DKIM und DMARC: E-Mails Schritt für Schritt authentifizieren

Aktualisiert am 23. September 2026

Ohne diese drei DNS-Einträge wirken Nachrichten Ihrer Domain für Gmail, Outlook oder Yahoo verdächtig, und jeder kann sich als Sie ausgeben. So richten Sie sie ein, ohne etwas kaputtzumachen.

Wozu die drei Verfahren dienen

Verfahren	Was es belegt	Wo es liegt
SPF	Der sendende Server darf für diese Domain senden	TXT-Eintrag an der Wurzel der Domain
DKIM	Die Nachricht wurde nicht verändert und stammt von der signierenden Domain	TXT-Eintrag `selektor._domainkey.domain`
DMARC	Was der Empfänger tun soll, wenn SPF und DKIM scheitern, und wohin Berichte gehen	TXT-Eintrag `_dmarc.domain`

Seit 2024 verlangen Gmail und Yahoo von Massenversendern SPF, DKIM und DMARC und wenden sie zunehmend streng auf alle an. Eine Domain ohne Authentifizierung verliert an Zustellbarkeit.

Schritt 1: SPF

Der SPF-Eintrag listet die erlaubten Server auf. Beispiel für eine Domain, die über einen E-Mail-Anbieter und ein Newsletter-Tool sendet:

v=spf1 include:_spf.anbieter.de include:versand.newsletter.de ~all

Diese Regeln gelten:

nur ein SPF-Eintrag pro Domain: Zwei v=spf1-Einträge machen SPF ungültig. Führen Sie die include-Angaben zusammen.
höchstens zehn DNS-Abfragen: Jedes include, a oder mx zählt. Darüber scheitert SPF.
**enden Sie anfangs mit ~all** („weicher“ Fehler) und später mit -all, sobald alle Absender sicher erfasst sind.
eine Domain, die nie E-Mails sendet, kann v=spf1 -all veröffentlichen: Dann kann niemand sie fälschen.

Schritt 2: DKIM

DKIM signiert jede Nachricht mit einem privaten Schlüssel; der öffentliche Schlüssel steht im DNS. Das Schlüsselpaar erzeugt Ihr Versanddienst: Er nennt Ihnen den Namen des Eintrags (zum Beispiel s1._domainkey.beispiel.de) und dessen Wert oder einen CNAME, den Sie anlegen.

aktivieren Sie DKIM für jeden Dienst, der in Ihrem Namen sendet: Postfach, Newsletter, Rechnungen, Shop;
bevorzugen Sie Schlüssel mit 2048 Bit;
ist der Eintrag veröffentlicht, schalten Sie die Signatur beim Anbieter ein, senden sich eine Nachricht und prüfen den Header DKIM-Signature und das Ergebnis dkim=pass.

Schritt 3: DMARC in drei Stufen

DMARC verknüpft SPF und DKIM mit der Domain im Feld „Von“. Beginnen Sie im Beobachtungsmodus:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

**p=none** für zwei bis vier Wochen: Nichts wird blockiert, aber Sie erhalten Berichte über alle Server, die in Ihrem Namen senden. Oft entdecken Sie dabei einen vergessenen Dienst.
**p=quarantine**: Nachrichten, die scheitern, landen im Spam. Sie können schrittweise mit pct=25, dann 50, dann 100 steigern.
**p=reject**: Gefälschte Nachrichten werden abgelehnt. Das ist der volle Schutz.

Die Berichte sind schwer lesbare XML-Dateien: Ein DMARC-Analysedienst, für kleine Mengen oft kostenlos, fasst sie in einer Tabelle zusammen.

Die Einrichtung prüfen

Fragen Sie mit unserem DNS-Abfrage-Werkzeug die TXT-Einträge der Domain, von _dmarc.domain und von selektor._domainkey.domain ab. Senden Sie dann eine Nachricht an ein Gmail- oder Outlook-Postfach und zeigen Sie das Original an: Die Zeile Authentication-Results sollte spf=pass, dkim=pass und dmarc=pass enthalten.

Die häufigsten Fehler

Zwei SPF-Einträge nach dem Hinzufügen eines neuen Dienstes.
Mehr als zehn DNS-Abfragen im SPF durch gestapelte include-Angaben.
DKIM für das Postfach aktiviert, aber für das Newsletter-Tool vergessen.
Direkter Sprung zu p=reject ohne Beobachtungsphase: Legitime Nachrichten werden blockiert.
DMARC-Eintrag auf der Domain selbst statt auf _dmarc.domain angelegt.

NetCheck-Werkzeuge öffnen

Häufige Fragen

Reicht SPF ohne DKIM?

Nein. SPF bricht bei automatischer Weiterleitung, weil der weiterleitende Server nicht auf Ihrer Liste steht. DKIM übersteht die Weiterleitung. DMARC braucht nur eines von beiden passend zu Ihrer Domain, doch mit beiden ist die Authentifizierung zuverlässig.

Wie lange dauert es, bis Änderungen greifen?

So lange, bis die TTL der Einträge abläuft, meist einige Minuten bis eine Stunde. DMARC-Berichte kommen in der Regel einmal täglich.

Brauche ich DMARC, wenn meine Domain keine E-Mails sendet?

Ja: Veröffentlichen Sie v=spf1 -all und v=DMARC1; p=reject. Betrüger suchen gezielt ungeschützte Domains, um in deren Namen Phishing zu versenden.