SPF, DKIM und DMARC erklärt: So authentifizieren Sie Ihre E-Mail-Domain
Verstehen Sie SPF, DKIM und DMARC E-Mail-Authentifizierung. Erfahren Sie, was jeder Datensatz tut und wie Sie ihn korrekt einrichten.

E-Mail wurde in den 1980ern ohne einen eingebauten Weg entworfen, um zu überprüfen, wer eine Nachricht versendet hat. Das "From"-Feld in einer E-Mail ist einfach ein Textfeld – jeder kann alles darin schreiben. Das ist, warum Phishing funktioniert. Das ist, warum Ihre Domain spoofed werden kann. Und das ist, warum drei Protokolle erfunden wurden, um das Problem zu beheben: SPF, DKIM und DMARC.
Diese sind nicht optional. Große E-Mail-Provider wie Gmail, Outlook und Yahoo benötigen nun ordnungsgemäße Authentifizierung. Nachrichten von Domains ohne SPF, DKIM und DMARC werden zunehmend in Spam gesendet oder komplett abgelehnt.
SPF: Wer darf versenden
SPF (Sender Policy Framework) ist ein DNS-Eintrag, der deklariert, welche Mail-Server berechtigt sind, E-Mail in Ihrem Namen zu versenden.
Wenn ein empfangender Server eine E-Mail erhält, die angeblich von [email protected] stammt, sucht er den SPF-Eintrag für yourdomain.com auf. Falls die IP-Adresse des sendenden Servers in diesem Eintrag auftaucht, besteht die Überprüfung. Falls nicht, schlägt die Nachricht SPF fehl.
Wie der Eintrag aussieht
yourdomain.com. IN TXT "v=spf1 include:spf.reusable.email -all"
Breaking das auf:
v=spf1– identifiziert dies als SPF-Eintraginclude:spf.reusable.email– autorisiert Reusable.Email's Server zum Versenden für Ihre Domain-all– sagt Empfängern, alle anderen zu ablehnen (Hard Fail)
SPF-Einschränkungen
SPF validiert nur die "Envelope From"-Adresse (die Server-seitige Absender), nicht die "Header From"-Adresse (was der Empfänger sieht). SPF allein verhindert nicht Display-Name-Spoofing. Das ist, warum Sie DKIM und DMARC auch benötigen.
SPF hat auch ein 10-Lookup-Limit. Jede include:-Direktive zählt als Lookup. Überschreiten Sie 10, und der gesamte SPF-Check schlägt fehl.
DKIM: Beweisen Sie, dass die Nachricht authentisch ist
DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu. Der empfangende Server überprüft diese Signatur anhand eines öffentlichen Schlüssels in Ihrem DNS.
Anders als SPF validiert DKIM die Nachricht selbst, nicht nur den sendenden Server. Falls jemand die E-Mail während der Übertragung verändert – ändert den Text, ändert einen Link, fügt einen Header hinzu – bricht die Signatur und der DKIM-Check schlägt fehl.
Wie es funktioniert
- Ihr Mail-Server generiert ein Schlüsselpaar: einen privaten Schlüssel (auf dem Server) und einen öffentlichen Schlüssel (veröffentlicht im DNS).
- Beim Versenden einer Nachricht nutzt der Server den privaten Schlüssel, um einen Hash bestimmter Nachrichten-Header und des Texts zu erstellen.
- Dieser Hash wird zur E-Mail als
DKIM-Signature-Header hinzugefügt. - Der empfangende Server holt den öffentlichen Schlüssel aus DNS und nutzt ihn, um den Hash zu überprüfen.
Falls der Hash übereinstimmt, wurde die Nachricht nicht manipuliert und kam von einem Server mit Zugriff auf den privaten Schlüssel.
Warum DKIM wichtig ist
DKIM ist die stärkste Form der E-Mail-Authentifizierung, weil sie den Nachrichteninhalt an einen kryptografischen Beweis bindet. SPF sagt "dieser Server darf versenden." DKIM sagt "diese spezifische Nachricht wurde autorisiert und wurde nicht verändert."
DMARC: Die Policy-Schicht
DMARC (Domain-based Message Authentication, Reporting & Conformance) ist nicht eine Authentifizierungsmethode selbst – es ist eine Policy, die angibt, wie Empfänger mit SPF- und DKIM-Failures umgehen sollten.
Eine DMARC-Policy sagt: "Falls diese E-Mail SPF oder DKIM fehlschlägt, soll der Empfänger sie ablehnen oder ins Spam verschieben?"
Dies ist der Durchsetzungszahn. SPF und DKIM ohne DMARC haben keine Zähne.
Häufige DMARC-Policies
p=none– überwachen Sie nur; lehnen Sie nicht abp=quarantine– verdächtige E-Mails in Spam verschiebenp=reject– ablehnen verdächtige E-Mails komplett (stärkste, riskant wenn falsch konfiguriert)
Zusammenfassung
| SPF | DKIM | DMARC | |
|---|---|---|---|
| Was es überprüft | IP-Adresse des sendenden Servers | Kryptografische Signatur der Nachricht | Policy für Fehlschlags-Handling |
| Wo es definiert ist | DNS TXT-Eintrag | DNS TXT-Eintrag | DNS TXT-Eintrag |
| Validation-Ebene | Server | Nachricht | Policy |
| Allein ausreichend? | Nein | Nein | Nein (benötigt SPF/DKIM) |
Alle drei zusammen – SPF zum Erlauben von Servern, DKIM zum Signieren von Nachrichten, DMARC zum Durchsetzen der Policy – bieten starke E-Mail-Authentifizierung.
Die Einrichtung all dieser ist nicht schwer. Die meisten Domain-Registrare bieten Schritt-für-Schritt-Anleitungen, und Services wie Reusable.Email mit benutzerdefinierten Domains generieren automatisch alle Datensätze, die Sie benötigen.
Try it free
Get a disposable inbox in seconds
No sign-up required. Just visit an address and it's live. Works with any domain on reusable.email.
Open your inbox →
