SPF, DKIM und DMARC: die eigene E-Mail-Domain schützen

Ihr Postfach ist selten der einzige Absender.

Ein typisches Unternehmen verschickt E-Mails über mehrere Wege: Mitarbeitende schreiben aus dem Postfach, die Buchhaltung sendet Rechnungen, ein Formular bestätigt Anfragen und ein Dienst versendet Newsletter. Bei einem Anbieterwechsel wird leicht ein alter Versandweg übersehen. Genau deshalb sollte die Bestandsaufnahme vor der Änderung eines DNS-Eintrags stehen.

Halten Sie für jeden Dienst fest, wer ihn betreut, welche Domain er verwendet und wofür er sendet. Prüfen Sie auch Unterdomains. Diese Liste hilft Ihrer IT, berechtigten Versand zu erkennen, veraltete Freigaben zu entfernen und Änderungen später nachvollziehen zu können.

Drei Verfahren, drei unterschiedliche Aufgaben.

SPF beschreibt, welche Server für eine Domain E-Mails versenden dürfen. Die Prüfung bezieht sich auf die technische Absenderdomain der Übertragung. Diese kann von der Adresse abweichen, die ein Mensch im Von-Feld sieht. Ein bestandener SPF-Test allein belegt deshalb noch nicht, dass die sichtbare Absenderadresse stimmt.

DKIM versieht Nachrichten mit einer digitalen Signatur. Empfangende Systeme können damit prüfen, ob signierte Teile der Nachricht zur Signatur passen und welche Domain dafür einsteht. Die Einrichtung erfolgt beim jeweiligen Versanddienst und über dessen veröffentlichten Schlüssel. Wer mehrere Dienste einsetzt, muss sie einzeln berücksichtigen.

DMARC verbindet die sichtbare Absenderdomain mit einer erfolgreichen SPF- oder DKIM-Prüfung. Mindestens einer der beiden Wege muss erfolgreich sein und zur sichtbaren Domain passen. Zusätzlich kann die Domain veröffentlichen, wie Empfänger mit fehlgeschlagenen Prüfungen umgehen sollen und wohin Berichte gehen. Die Empfängerseite trifft letztlich ihre eigene Zustellentscheidung.

Fachliche Grundlage: IETF / RFC 7208: Sender Policy Framework · IETF / RFC 6376: DomainKeys Identified Mail · Microsoft Learn: DMARC einrichten und schrittweise einführen

Vom Beobachten zur wirksamen Regel.

Eine schrittweise Einführung hilft, erwünschte Nachrichten nicht versehentlich auszusperren. Besprechen Sie mit Ihrer IT einen Ablauf, der zu den tatsächlichen Versandwegen und zum Mailanbieter passt.

1. Versandwege erfassen: Postfächer, Rechnungsversand, Formulare, Newsletter und externe Anwendungen samt zuständiger Person dokumentieren.
2. Authentifizierung prüfen: Für jeden Dienst die vorgesehenen SPF- und DKIM-Einstellungen kontrollieren und eine echte Testnachricht auswerten.
3. Berichte auswerten: Mit einer beobachtenden DMARC-Regel zunächst nachvollziehen, welche Systeme senden und wo die Zuordnung fehlschlägt.
4. Regel gezielt verschärfen: Nach behobenen Fehlern Quarantäne oder Ablehnung schrittweise einführen und die Zustellung weiter beobachten.

Fachliche Grundlage: Microsoft Learn: DMARC einrichten und schrittweise einführen

Was ein öffentlicher Check sehen kann.

Ein Außencheck kann veröffentlichte DNS-Einträge lesen und auf fehlende oder auffällige Regeln hinweisen. Er kann jedoch nicht allein bestätigen, dass jede Rechnung, jede Weiterleitung und jeder Newsletter korrekt zugestellt wird. Dafür braucht es die Kenntnis Ihrer Versanddienste und die Prüfung echter Nachrichten.

Auch eine gute DMARC-Konfiguration verhindert nicht jeden Betrugsversuch. Ähnlich geschriebene fremde Domains, irreführende Anzeigenamen oder ein bereits übernommenes Postfach bleiben eigene Risiken. E-Mail-Schutz besteht deshalb zusätzlich aus sicheren Konten, geregelten Freigaben und aufmerksamen Mitarbeitenden.

Eine kleine Routine mit klarem Verantwortlichen.

Wiederholen Sie die Prüfung nach einem Wechsel des Mailanbieters, einem neuen Newsletter-Dienst oder einer Änderung am Rechnungsversand. Legen Sie fest, wer die Änderungen freigibt und wer anschließend die Zustellung kontrolliert. So wird aus einer einmaligen DNS-Aufgabe ein nachvollziehbarer Betriebsablauf.

Centira macht öffentlich sichtbare E-Mail- und DNS-Merkmale im kostenlosen Außencheck verständlich. Der Bericht zeigt, was tatsächlich geprüft wurde, und beschreibt nächste Schritte für Ihre IT. DNS-Einstellungen werden dabei nicht automatisch verändert.