„Ihre Mail war im Spam.“ Diesen Satz hören viele Unternehmen erst, wenn eine Antwort ausbleibt. Oder Anfragen aus dem Kontaktformular kommen nie an, und niemand merkt es. Die Ursache liegt oft nicht im Inhalt der Nachricht, sondern in der Domain: Sie kann nicht belegen, dass die E-Mail wirklich von ihr stammt.
Kurz gesagt: SPF, DKIM und DMARC sind drei Einträge im DNS Ihrer Domain. SPF legt fest, welche Server für die Domain senden dürfen, DKIM unterschreibt jede E-Mail digital, und DMARC sagt dem Empfänger, was bei einem Fehlschlag passieren soll. Google verlangt von allen Absendern an Gmail-Adressen mindestens SPF oder DKIM, von Großversendern alle drei.[1] Seit November 2025 setzt Gmail diese Regeln strenger durch, auch mit vorübergehenden und dauerhaften Ablehnungen.[2]
Was SPF, DKIM und DMARC tun
Die drei Verfahren arbeiten zusammen, und alle drei stehen als TXT-Eintrag im DNS Ihrer Domain. Das ist derselbe Ort, an dem auch festgelegt ist, auf welchem Server Ihre Website liegt.
| Eintrag | Was er prüft | Wo er steht | Beispiel |
|---|---|---|---|
| SPF | Darf dieser Server für die Domain senden? | an der Domain selbst | v=spf1 mx include:spf.protection.outlook.com ~all |
| DKIM | Ist die E-Mail unverändert und von der Domain unterschrieben? | unter selektor._domainkey | v=DKIM1; k=rsa; p=MIIBIjAN… |
| DMARC | Was passiert, wenn die Prüfung scheitert, und wer bekommt Berichte? | unter _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de |
Ein Begriff ist dabei wichtig: Ausrichtung. Für DMARC reicht es nicht, dass irgendein SPF- oder DKIM-Eintrag passt. Die Domain im sichtbaren Absender muss zur geprüften SPF- oder DKIM-Domain gehören.[1]
SPF: die Liste der erlaubten Absender
Der SPF-Eintrag zählt alle Dienste auf, die E-Mails mit Ihrer Domain verschicken: Ihr Postfach, die Website, das Newsletter-Programm, der Shop, die Rechnungssoftware. Wer fehlt, dessen E-Mails fallen durch. Google weist ausdrücklich darauf hin, dass Nachrichten von Drittanbietern, die nicht im SPF-Eintrag stehen, eher als Spam eingestuft werden.[1]
An drei Regeln scheitert es in der Praxis besonders oft:
- Nur ein SPF-Eintrag pro Domain: Verlangt die Anleitung eines neuen Dienstes einen eigenen SPF-Eintrag, fügen Sie dessen Angabe in den bestehenden Eintrag ein. Bei zwei Einträgen gilt SPF als fehlerhaft.[3][4]
- Höchstens zehn DNS-Abfragen: Jedes
include,aodermxlöst Abfragen aus, und eingebundene Einträge können weitere enthalten. Mehr als zehn erlaubt der Standard nicht.[4] - Das Ende entscheidet:
~allmarkiert fremde Absender als verdächtig,-alllehnt sie ab. Starten Sie mit~allund verschärfen Sie, wenn alle Absender erfasst sind.
DKIM: die digitale Unterschrift
Bei DKIM unterschreibt der versendende Server jede E-Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS, unter einem Namen, den Ihr Anbieter vorgibt, dem sogenannten Selektor. Der Empfänger prüft damit, ob die E-Mail unterwegs verändert wurde. Jeder Dienst, der für Sie versendet, bekommt einen eigenen Selektor und damit einen eigenen Eintrag. Den Schlüssel erzeugt der Anbieter: Aktivieren Sie DKIM in seinem Kundenmenü und übernehmen Sie den Eintrag von dort in Ihr DNS.
DMARC: Regel und Rückmeldung
DMARC verbindet SPF und DKIM. Der Eintrag legt eine Richtlinie fest: p=none beobachtet nur, p=quarantine verschiebt durchgefallene E-Mails in den Spam, p=reject weist sie ab. Über die Angabe rua schicken Ihnen große Postfachanbieter in der Regel täglich Berichte: wer im Namen Ihrer Domain E-Mails verschickt hat und ob die Prüfung bestanden wurde.
Seit Mai 2026 gibt es dafür einen neuen Standard: RFC 9989 ersetzt die bisherige Beschreibung aus dem Jahr 2015. Bestehende Einträge bleiben gültig und beginnen weiterhin mit v=DMARC1. Die Angabe pct für eine schrittweise Einführung entfällt, an ihre Stelle tritt t=y für einen Testbetrieb.[5]
Zum Ausprobieren
SPF- und DMARC-Eintrag zusammenstellen
Wählen Sie aus, wer für Ihre Domain E-Mails verschickt. Die Einträge entstehen nur in Ihrem Browser, es wird nichts gespeichert oder übertragen.
SPF · TXT-Eintrag für @, die Domain selbst
DMARC · TXT-Eintrag für _dmarc
DKIM lässt sich hier nicht zusammenstellen: Den Schlüssel erzeugt Ihr Mailanbieter, Sie übernehmen den Eintrag nur. Prüfen Sie alle Angaben vor dem Eintragen mit den Anleitungen Ihrer Anbieter.
Der Klassiker: Kontaktformulare landen im Spam
Viele WordPress-Websites verschicken Formularanfragen direkt vom Webserver. Häufig steht dabei die Adresse des Besuchers als Absender in der E-Mail, zum Beispiel eine Gmail-Adresse. Ihr Webserver verschickt dann im Namen einer fremden Domain, für die er keine Erlaubnis hat. SPF und DMARC schlagen fehl, und die Anfrage landet im Spam oder kommt gar nicht an.
Die Lösung ist einfach: Absender ist immer eine Adresse Ihrer eigenen Domain, etwa noreply@ihre-domain.de, verschickt über ein angemeldetes Postfach per SMTP. Die Adresse des Besuchers steht als Antwortadresse (Reply-To) in der E-Mail. So richten wir Formulare auf den Websites ein, die wir betreuen. Ein Klick auf „Antworten“ geht trotzdem direkt an den Besucher.
Prüfen Sie das Ergebnis selbst: Schicken Sie von jedem Dienst eine Test-E-Mail an eine Gmail-Adresse und öffnen Sie dort im Menü der Nachricht „Original anzeigen“. Bei SPF, DKIM und DMARC sollte jeweils „PASS“ stehen.
Was Gmail, Outlook und das BSI verlangen
- Google: Wer an private Gmail-Adressen schreibt, braucht SPF oder DKIM. Wer an einem Tag rund 5.000 Nachrichten oder mehr an Gmail-Adressen schickt, gilt dauerhaft als Großversender und braucht SPF, DKIM und DMARC.[1][2]
- Microsoft: Seit dem 5. Mai 2025 müssen Absender, die mehr als 5.000 E-Mails am Tag an Outlook.com, Hotmail und Live schicken, SPF, DKIM und DMARC erfüllen. Nicht konforme Nachrichten leitet Outlook zunächst in den Junk-Ordner.[6]
- BSI: Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die drei Verfahren in der Technischen Richtlinie TR-03182 „E-Mail-Authentifizierung“.[7] 2025 hat es die häufigsten Fehler zusammengestellt: Tippfehler, Anführungszeichen im Eintrag, doppelte Einträge, falsche Versionskennungen, verwaiste Einträge für Server, die längst nicht mehr senden, und fehlende Semikolons.[3]
Auch wer nur wenige E-Mails verschickt, profitiert von DMARC: Ohne strenge Richtlinie haben es Betrüger leichter, E-Mails zu verschicken, die scheinbar von Ihrer Domain stammen. Die Berichte zeigen Ihnen, ob das versucht wird.
In fünf Schritten zur sauberen Einrichtung
- Alle Absender auflisten: Postfach, Website-Formulare, Newsletter, Shop, Rechnungsprogramm, Ticketsystem.
- Einen SPF-Eintrag anlegen, der alle diese Absender enthält, mit
~allam Ende. - DKIM bei jedem Dienst aktivieren und die Einträge ins DNS übernehmen.
- DMARC mit
p=nonestarten und eine Adresse für Berichte angeben. - Berichte einige Wochen auswerten, fehlende Absender ergänzen, dann auf
p=quarantineund später aufp=rejectumstellen.
Ihr nächster Schritt
Sie sind unsicher, ob Ihre Einträge stimmen, oder Anfragen aus dem Kontaktformular kommen nicht an? Schreiben Sie uns Ihre Domain, wir sehen uns SPF, DKIM, DMARC und den Formularversand an. Wenn Formulare von heute auf morgen nicht mehr funktionieren, hilft unsere WordPress-Soforthilfe.
Häufige Fragen zu SPF, DKIM und DMARC
Brauche ich SPF, DKIM und DMARC, wenn ich nur wenige E-Mails verschicke?
Mindestens SPF oder DKIM verlangt Google von jedem Absender an Gmail-Adressen. DMARC ist für kleine Absender dort keine Pflicht, schützt Ihre Domain aber vor Missbrauch und zeigt Ihnen in Berichten, wer in Ihrem Namen E-Mails verschickt.
Darf eine Domain mehrere SPF-Einträge haben?
Nein. Es darf genau einen SPF-Eintrag geben. Neue Dienste fügen Sie in diesen einen Eintrag ein, statt einen zweiten anzulegen.
Was ist der Unterschied zwischen ~all und -all?
Mit ~all gelten E-Mails von nicht genannten Servern als verdächtig, mit -all als nicht berechtigt. Zum Start ist ~all sicherer, weil eine vergessene Quelle nicht sofort blockiert wird.
Was bedeuten p=none, p=quarantine und p=reject?
Das ist die DMARC-Richtlinie. none beobachtet nur und liefert Berichte, quarantine lässt durchgefallene E-Mails im Spam landen, reject weist sie ab. Üblich ist der Weg in genau dieser Reihenfolge.
Warum landen E-Mails aus meinem Kontaktformular im Spam?
Meist, weil das Formular die Adresse des Besuchers als Absender einsetzt und der Webserver damit im Namen einer fremden Domain verschickt. Absender sollte eine Adresse Ihrer eigenen Domain sein, die Adresse des Besuchers gehört in das Feld für die Antwortadresse.
Wie lange dauert es, bis neue DNS-Einträge wirken?
Das hängt von der Gültigkeitsdauer der alten Einträge ab, die Ihr DNS-Anbieter festlegt. Oft sind neue Einträge nach wenigen Minuten bis Stunden überall sichtbar, in Einzelfällen dauert es bis zu einem Tag.
Quellen
- [1] Google, „Richtlinien für E-Mail-Absender“ (Email sender guidelines): support.google.com
- [2] Google, FAQ zu den Richtlinien für E-Mail-Absender: support.google.com
- [3] BSI, Cyber-Sicherheitsempfehlung „Upgrade für die E-Mail-Sicherheit“ (BSI-CS 155, Version 1.00 vom 05.05.2025), Meldung mit Download: bsi.bund.de
- [4] RFC 7208, Sender Policy Framework (SPF): rfc-editor.org
- [5] RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC), Mai 2026: rfc-editor.org
- [6] Microsoft Tech Community, „Strengthening Email Ecosystem: Outlook’s New Requirements for High-Volume Senders“, 02.04.2025: techcommunity.microsoft.com
- [7] BSI, Technische Richtlinie TR-03182 „E-Mail-Authentifizierung“: bsi.bund.de
Bildnachweis: Beitragsbild KI-generiertes Symbolbild.
