SPF, DKIM und DMARC für Business-E-Mail einrichten

Wenn deine Angebote, Rechnungen oder Kaltakquise-Mails im Spam landen, prüfe dein DNS, bevor du eine einzige Betreffzeile umschreibst. Mailanbieter entscheiden vor allem danach, ob sie einer Nachricht vertrauen, ob deine Domain belegt, dass sie die Mail selbst gesendet hat. Drei Einträge liefern diesen Beleg, und vielen Firmendomains fehlt mindestens einer.

Seit Februar 2024 verlangen Gmail und Yahoo SPF, DKIM und DMARC von allen, die mehr als 5.000 Nachrichten pro Tag an ihre Nutzer senden, und sie fordern eine Spam-Beschwerderate unter 0,3 %. Die Postfächer von Outlook.com, Hotmail und Live bei Microsoft führten im Mai 2025 ähnliche Regeln für Versender mit hohem Volumen ein. Vielleicht sendest du weit weniger als 5.000 pro Tag. Die Prüfungen betreffen dich in der Praxis trotzdem, denn kleine Absender ohne Authentifizierung werden zuerst gefiltert.

Das dauert etwa eine Stunde. Du musst keinen Code schreiben. Du brauchst Zugriff auf den Ort, an dem das DNS deiner Domain liegt, und auf die Admin-Konsole deines Mailanbieters.

Table of contents

Open Table of contents

• Was jeder Eintrag tut
• Schritt 1: Alles erfassen, was mit deiner Domain sendet
• Schritt 2: Den Ist-Zustand prüfen
• Schritt 3: Einen SPF-Eintrag veröffentlichen
• Schritt 4: DKIM für jeden Absender aktivieren
• Schritt 5: DMARC mit p=none hinzufügen und Berichte lesen
• Schritt 6: Zur Durchsetzung wechseln
• Sag Claude oder ChatGPT, es zu erledigen
• Prüfen und gesund halten

Was jeder Eintrag tut

1. SPF ist eine im DNS veröffentlichte Liste der Dienste, die Mail mit deiner Domain versenden dürfen. Der empfangende Server gleicht den sendenden Server mit dieser Liste ab.
2. DKIM ist eine Signatur, die dein Mailanbieter an jede Nachricht hängt. Der passende öffentliche Schlüssel liegt in deinem DNS, sodass der Empfänger prüfen kann, dass die Nachricht nicht verändert wurde und tatsächlich über deinen Anbieter lief.
3. DMARC sagt Empfängern, was sie tun sollen, wenn SPF und DKIM für deine Domain fehlschlagen, und wohin Berichte gehen. Außerdem verlangt es, dass die authentifizierte Domain zur sichtbaren Absenderadresse passt.

Ohne DMARC sind SPF und DKIM nur Empfehlungen. Mit DMARC bekommst du einen Bericht darüber, wer Mail in deinem Namen versendet, auch der Absender, den du vergessen hast.

Schritt 1: Alles erfassen, was mit deiner Domain sendet

Diesen Schritt überspringen die Leute, und deshalb legen sie später ihre eigene Mail lahm. Schreibe alles auf, was von deiner Domain aus sendet:

• Deine Postfächer (Microsoft 365, Google Workspace oder was GoDaddy bereitgestellt hat)
• Deine E-Mail-Marketing-Plattform
• Dein CRM und dein Rechnungstool
• Die Formulare deiner Website und die Transaktionsmails von WordPress
• Dein Helpdesk und jedes Terminbuchungstool

Wenn du ein Microsoft-365-Postfach über GoDaddy betreibst, erklärt meine Anleitung dazu, wie der GoDaddy-E-Mail-Login heute funktioniert, warum die Verwaltung im Microsoft-Portal liegt. Dort aktivierst du DKIM.

Schritt 2: Den Ist-Zustand prüfen

Öffne ein kostenloses Tool wie MXToolbox, den Check MX der Google Admin Toolbox oder den DMARC-Checker von dmarcian und gib deine Domain ein. Notiere drei Dinge:

• Gibt es genau einen TXT-Eintrag, der mit v=spf1 beginnt? Zwei sind ein Fehler, kein Backup.
• Zeigt dein Anbieter DKIM als signierend an?
• Gibt es einen TXT-Eintrag unter _dmarc.deinedomain.com?

Noch besser: Sende eine Testnachricht von deiner Geschäftsadresse an ein Gmail-Konto, öffne sie, wähle „Original anzeigen“ und lies die Zeilen zu SPF, DKIM und DMARC oben. Jede sollte PASS zeigen.

Schritt 3: Einen SPF-Eintrag veröffentlichen

Füge einen einzigen TXT-Eintrag auf der Root deiner Domain hinzu. Er listet jeden Absender mit einem include: auf und endet mit einer Richtlinie.

Gängige Includes:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• Deine E-Mail-Marketing-Plattform und dein CRM veröffentlichen jeweils ihren eigenen Include-Wert in der Dokumentation. Kopiere ihn von dort und nicht aus einem Blogartikel, auch nicht aus diesem.

Ein typisches Ergebnis sieht so aus: v=spf1 include:spf.protection.outlook.com include:wert-deines-esp ~all.

Zwei Regeln verursachen die meisten SPF-Fehler. Erstens: ein Eintrag pro Domain. Führe neue Absender in die bestehende Zeile ein, statt einen zweiten Eintrag anzulegen. Zweitens: SPF erlaubt insgesamt 10 DNS-Abfragen, und jedes include: zählt, auch verschachtelte. Bei mehr als zehn behandeln Empfänger SPF als dauerhaften Fehler. Wenn du nahe am Limit bist, entferne nicht mehr genutzte Dienste, bevor du etwas hinzufügst.

Nutze ~all (Soft Fail), solange du noch Absender entdeckst, und erwäge -all, sobald deine DMARC-Berichte sauber sind.

Schritt 4: DKIM für jeden Absender aktivieren

DKIM wird im jeweiligen Sendedienst konfiguriert und dann im DNS veröffentlicht.

• Microsoft 365: Öffne im Microsoft-Defender-Portal die DKIM-Einstellungen unter E-Mail-Authentifizierung, wähle deine Domain und aktiviere die Signierung. Zuerst bekommst du zwei CNAME-Einträge (selector1._domainkey und selector2._domainkey), die du ins DNS einträgst. Die Aktivierung schlägt fehl, bis sie sich verbreitet haben, was einige Stunden dauern kann.
• Google Workspace: Erzeuge in der Admin-Konsole unter Gmail-Authentifizierung einen Schlüssel für deine Domain, veröffentliche den angezeigten TXT-Eintrag und klicke auf Authentifizierung starten.
• Alles andere: Deine E-Mail-Marketing-Plattform, dein CRM und dein Rechnungstool haben jeweils eine Seite „Domain-Authentifizierung“ oder „Absenderdomain“, die dir die Einträge für dein DNS liefert.

Mach das für jeden Absender aus deiner Liste, nicht nur für dein Postfach. Eine Marketing-Plattform, die mit ihrer eigenen statt mit deiner Domain signiert, besteht DKIM und fällt trotzdem beim DMARC-Alignment durch.

Schritt 5: DMARC mit p=none hinzufügen und Berichte lesen

Lege einen TXT-Eintrag namens _dmarc mit diesem Wert an:

v=DMARC1; p=none; rua=mailto:dmarc-reports@deinedomain.com

p=none ändert nichts an der Zustellung. Es startet die Berichte. Rohe DMARC-Berichte sind XML-Dateien, die niemand liest, also richte rua auf einen kostenlosen Berichtsdienst. Mehrere DMARC-Monitoring-Anbieter haben ein kostenloses Paket, das das XML in eine Liste der Absenderquellen mit Erfolgs- und Fehlerzahlen verwandelt.

Lass es zwei bis vier Wochen bei p=none. Suche nach legitimen Absendern, die durchfallen, etwa ein altes Rechnungstool oder ein vergessenes Formular-Plugin, und behebe jeden, indem du ihn zu SPF hinzufügst oder sein DKIM aktivierst.

Schritt 6: Zur Durchsetzung wechseln

Sobald alle echten Absender bestehen:

1. Wechsle zu p=quarantine; pct=25, sodass ein Viertel der fehlschlagenden Nachrichten im Spam landet. Beobachte eine Woche.
2. Erhöhe pct auf 100.
3. Wechsle zu p=reject.

Mit reject können andere deine Domain nicht mehr in Phishing-Mails an deine Kunden fälschen. Das schützt deinen Namen ebenso wie deine Zustellrate.

Sag Claude oder ChatGPT, es zu erledigen

Füge das in eines von beiden ein, mit deinen eigenen Angaben. So musst du nicht die Hilfeseiten jedes Anbieters lesen.

Ich betreue die E-Mail für die Domain [deinedomain.com]. Meine Postfächer liegen bei [Microsoft 365 / Google Workspace]. Außerdem sende ich Mail über [nenne Marketing-Plattform, CRM, Rechnungstool, Website-Formulare]. Gib mir: (1) den genauen SPF-TXT-Eintrag als eine zusammengeführte Zeile, (2) die DKIM-Einrichtungsschritte im Admin-Bereich jedes Dienstes, (3) einen DMARC-Starteintrag mit rua-Berichten und (4) einen Plan, um in vier Schritten p=reject zu erreichen. Sag mir, welche Werte ich aus der Dokumentation des jeweiligen Anbieters kopieren muss, statt dir zu vertrauen, und zähle die DNS-Abfragen im SPF-Eintrag.

Prüfe die include:-Werte vor dem Veröffentlichen anhand der aktuellen Hilfeseite jedes Anbieters. Modelle erfinden plausibel klingende Include-Hosts, und ein falscher scheitert unbemerkt.

Prüfen und gesund halten

Wenn das DNS sich verbreitet hat, wiederhole den Gmail-Test „Original anzeigen“ von jedem Absender aus, nicht nur von deinem Postfach. Sende aus deinem CRM, deinem Rechnungstool und einem Website-Formular. Jede Nachricht sollte für SPF, DKIM und DMARC PASS zeigen.

Setze dir dann eine wiederkehrende Erinnerung, die DMARC-Berichte quartalsweise zu prüfen. Authentifiziere jedes neue Tool, das Kunden im Namen deiner Domain mailt, noch am selben Tag. Wenn du eine Liste aufbaust oder Newsletter versendest, behandelt wie du eine E-Mail-Liste aufbaust die Versandseite, und die besten E-Mail-Marketing-Dienste für kleine Unternehmen nennt Plattformen, die dich bei der Einrichtung durch die Domain-Authentifizierung führen.