Was sind SPF, DKIM und DMARC?

Wenn es um E-Mails geht, ist Vertrauen alles. Doch bevor Ihre Nachricht überhaupt den Posteingang einer Person erreicht, muss sie einige stille Sicherheitsprüfungen bestehen. SPF, DKIM und DMARC entscheiden darüber, ob Ihre E-Mails legitim wirken oder im Spam landen.

Zu wissen, wie diese Einträge funktionieren und wie man sie korrekt einrichtet, kann Ihre Domain schützen und sicherstellen, dass Ihre Nachrichten immer dort ankommen, wo sie ankommen sollen.

Was sind SPF, DKIM und DMARC bei E-Mails?

Zwischen dem Klick auf „Senden“ und der Zustellung Ihrer E-Mail beginnt eine stille Kette von Prüfungen. Jede stellt dieselbe Frage: Kommt das wirklich von Ihnen?

SPF, DKIM und DMARC bilden eine Rückkopplungsschleife zwischen Absender und Empfänger und verifizieren Ihre Identität entweder bevor Ihre Nachricht Ihre Domain verlässt, wenn sie ankommt oder beides. Zusammen sind sie das, was zwischen Ihrer Nachricht und dem Spam-Ordner steht.

SPF, DKIM und DMARC kurz erklärt:

• SPF – prüft, ob der Server, der Ihre Nachricht sendet, auf der genehmigten Liste Ihrer Domain steht. Wenn ja, wird die E-Mail durchgelassen. Wenn nicht, wird sie markiert. Betrachten Sie es als die Gästeliste für Ihre Domain.

• DKIM – fügt Ihrer Nachricht ein digitales Siegel hinzu, bevor sie Ihren Postausgang verlässt. Sobald sie die andere Seite erreicht, öffnet der empfangende Server das Siegel, um sicherzustellen, dass während der Übertragung nichts verändert wurde.

• DMARC – entscheidet, was passiert, wenn eine dieser Prüfungen fehlschlägt. Es teilt dem empfangenden Server mit, was zu tun ist: ob die Nachricht zugestellt, in den Spam verschoben oder vollständig blockiert werden soll.

Diese drei arbeiten zusammen: Eines verifiziert den Absender, eines schützt die Nachricht und eines setzt die Regeln durch.

Warum sind SPF, DKIM und DMARC wichtig für die E-Mail-Sicherheit?

SPF, DKIM und DMARC schützen vor zwei der größten Bedrohungen für E-Mails heute: Spam und Spoofing. Angreifer senden oft Nachrichten und geben vor, jemand zu sein, der sie nicht sind. Stellen Sie sich vor, Sie erhalten eine E-Mail von Support@yourbank.com mit der Bitte, Ihre Kontodaten zu bestätigen. Diese drei Prüfungen stellen sicher, dass Ihre „Bank“ wirklich Ihre Bank ist:

Bei einem Phishing-Angriff verwenden Hacker gefälschte E-Mails, um Menschen dazu zu bringen, Passwörter, Kreditkartennummern preiszugeben oder auf schädliche Links zu klicken. Ohne diese Schutzmaßnahmen könnte Ihre Domain imitiert werden, und Kunden könnten überzeugende Nachrichten erhalten, die so aussehen, als kämen sie von Ihnen. Wenn SPF, DKIM und DMARC eingerichtet sind, werden diese gefälschten Nachrichten in der Regel gestoppt, bevor sie überhaupt einen Posteingang erreichen.

• SPF würde prüfen, ob die E-Mail von einem autorisierten Server gesendet wurde.

• DKIM würde sicherstellen, dass die E-Mail während der Übertragung nicht manipuliert wurde.

• Wenn eine dieser Prüfungen fehlschlägt, würde DMARC dafür sorgen, dass die E-Mail verworfen wird, bevor sie Ihren Posteingang erreicht

Ebenso senden Hacker bei einem Phishing-Angriff gefälschte E-Mails, um Menschen dazu zu bringen, Passwörter preiszugeben oder auf gefährliche Links zu klicken. Wenn die Domain Ihres Unternehmens nicht geschützt ist, könnten sie sich als Mitarbeiter ausgeben und Ihren Kunden E-Mails senden, in denen sie nach deren Daten fragen. Wenn SPF, DKIM und DMARC eingerichtet sind, würden die meisten dieser gefälschten Nachrichten niemals die Posteingänge Ihrer Kunden erreichen, weil die empfangenden Server erkennen können, dass sie nicht wirklich von Ihnen stammen.

Warum sie auch für die Zustellbarkeit wichtig sind (nicht nur für die Sicherheit)

Wenn Sie Newsletter, Rechnungen oder Marketingkampagnen versenden, ist Ihr Ziel wahrscheinlich nicht nur das Senden, sondern auch, gesehen zu werden. Doch da der weltweite Spam stark zugenommen hat, haben große Anbieter wie Gmail und Yahoo neue Regeln eingeführt, um Posteingänge sauber zu halten.

Seit 2024 verlangen diese Anbieter von Absendern, ihre Domains mit SPF, DKIM und DMARC zu authentifizieren. Ohne diese könnten Ihre E-Mails abgelehnt werden, bevor sie überhaupt Ihren Postausgang verlassen. Das konsequente Bestehen dieser Prüfungen verbessert Ihren Absenderruf und verhindert, dass Ihre E-Mails im Spam landen. Je besser Ihr Ruf, desto schneller die Zustellung, desto weniger Spam-Markierungen und desto stärker Ihre Glaubwürdigkeit. Genau dafür sind spezielle Warm-up-Plattformen wie Warmy konzipiert: das ausgehende Volumen schrittweise in kontrollierten täglichen Intervallen zu erhöhen und positive Interaktionssignale bei großen Mailbox-Anbietern zu erzeugen, damit mit SPF, DKIM und DMARC authentifizierte E-Mails zuverlässig im primären Posteingang statt unter Werbung oder Spam landen.

SPF vs. DKIM vs. DMARC — Was ist der Unterschied?

Jedes Mal, wenn Sie ein Flugzeug besteigen, durchlaufen Sie einen Prozess, der fast identisch damit ist, wie SPF, DKIM und DMARC funktionieren. Das mag seltsam klingen, aber diese drei Begriffe gehen nicht gerade leicht über die Lippen, und es hilft, sich sie auf einfachere Weise zu merken. Außerdem wird Ihre E-Mail ohne die Einrichtung dieser drei Dinge wahrscheinlich genauso enden wie Sie, wenn Sie den Check-in für einen Flug verpassen. Draußen in der Kälte.

SPF – Der erste Sicherheitskontrollpunkt Ihrer E-Mail

Wenn Sie am Schalter erscheinen und bereit zum Boarding sind, prüft der Mitarbeiter Ihr Ticket anhand der Flugliste. Steht Ihr Name darauf, dürfen Sie fliegen. Wenn nicht, kein Boardingpass, kein Flug.

SPF funktioniert genauso. Jede Domain, wie example.com, führt eine „Passagierliste“ bzw. einen Eintrag darüber, welche Mailserver berechtigt sind, in ihrem Namen E-Mails zu senden. Wenn Sie eine E-Mail senden, prüft der empfangende Server, ob Ihr sendender Server auf dieser Liste steht. Indem Sie Ihren SPF-Eintrag festlegen, setzen Sie im Grunde Ihren Namen auf die Liste, damit Ihre Nachrichten die Sicherheitskontrolle ohne Verzögerung passieren können.

DKIM – Die Ausweiskontrolle für Ihren Posteingang

Sobald Ihr Ticket geprüft ist, ist es Zeit, Ihre Identität nachzuweisen. Ihr Passfoto bestätigt, dass Sie wirklich Sie sind, eine physische Signatur, die sich nicht leicht fälschen lässt. DKIM macht dasselbe, aber für E-Mails.

DomainKeys Identified Mail (DKIM) fügt jeder ausgehenden Nachricht eine digitale Signatur hinzu. Diese Signatur beweist, dass die E-Mail während der Übertragung nicht verändert oder manipuliert wurde und verhindert, dass Ihre E-Mail nachverfolgt wird. Wenn Sie auf Senden klicken, signiert Ihr Server die E-Mail mit einem privaten Schlüssel. Wenn sie ankommt, überprüft der empfangende Server diese Signatur und bestätigt damit, dass die Nachricht echt und unverändert ist.

DMARC – Was passiert, wenn etwas schiefläuft

Wenn Sie ohne Ticket oder Reisepass am Flughafen erscheinen, hat die Fluggesellschaft eine klare Richtlinie dafür, was als Nächstes passiert. DMARC funktioniert genauso, wenn SPF- oder DKIM-Prüfungen fehlschlagen.

DMARC teilt dem empfangenden Server mit, was mit der E-Mail geschehen soll, wenn die SPF- oder DKIM-Prüfung fehlschlägt.Es kann:

• Nichts tun

• Die Nachricht in Quarantäne verschieben (in den Spam senden)

• Die Nachricht vollständig ablehnen

Als Absender entscheiden Sie, welche Regel gilt. Sie legen sie in Ihrem DNS fest und definieren damit, was passiert, wenn Ihre Nachrichten die Prüfung nicht bestehen.

So richten Sie SPF, DKIM und DMARC für Ihre Domain ein

Um SPF, DKIM und DMARC einzurichten, benötigen Sie Zugriff auf Ihr DNS. Dorthin zeigen die Nameserver Ihrer Domain, also auf den Registrar oder DNS-Host.

Wie oben erwähnt, funktioniert SPF wie eine Passagierliste, die empfangenden Servern mitteilt, welche Hosts E-Mails für Ihre Domain senden dürfen. Um SPF einzurichten, müssen Sie Ihre E-Mail also auf diese Passagierliste setzen. Dafür sind einige Schritte nötig.

1. Prüfen Sie, ob Sie bereits SPF haben

Beginnen Sie mit einem kostenlosen DNS-Lookup-Tool, um zu prüfen, ob Ihre Domain bereits einen SPF-Eintrag hat. Wenn das Tool im TXT-Tab einen Eintrag anzeigt, der mit v=spf1 beginnt, bedeutet das, dass SPF für Ihre Domain bereits eingerichtet ist.

Wenn kein solcher Eintrag erscheint, müssen Sie einen neuen SPF-Eintrag von Grund auf erstellen.

2. Fügen Sie einen neuen SPF-Eintrag im DNS hinzu

Um einen neuen SPF-Eintrag hinzuzufügen, gehen Sie zu den DNS-Einstellungen Ihres Domain-Hosts. Das könnte Spaceship, Google, Outlook usw. sein, je nachdem, wer Ihr Anbieter ist. Suchen Sie die Liste der vorhandenen Einträge und wählen Sie „Eintrag hinzufügen“, dann wählen Sie TXT im Typ-Menü.

Füllen Sie als Nächstes die Felder wie unten gezeigt aus, um Ihren SPF-Eintrag zu erstellen.

Für Spacemail würde das so aussehen:Typ: TXT-Eintrag | Host: @ | Wert: v=spf1 include:spf.spacemail.com ~all | TTL: Automatisch

Speichern Sie und warten Sie einige Minuten auf die Propagierung.

3. Überprüfen Sie den Eintrag

An diesem Punkt können Sie Ihr DNS-Lookup-Tool erneut prüfen. Wenn es Ihren Wert anzeigt, ist alles in Ordnung. Es ist auch wichtig zu bedenken, dass die Aktualisierung des Host-Eintrags bis zu 24 Stunden dauern kann, also geraten Sie nicht in Panik, wenn er nicht sofort da ist.

Schritt 2. Aktualisieren Sie Ihre DKIM-Einstellungen

DKIM fügt jeder E-Mail, die Ihre Domain sendet, eine digitale Signatur hinzu und beweist damit, dass sie nicht manipuliert wurde.

1: Generieren Sie Ihren DKIM-Eintrag

Beginnen Sie in den Einstellungen Ihres E-Mail-Anbieters.

1. Gehen Sie zum Bereich für Domain-Authentifizierung oder E-Mail-Sicherheit.

2. Suchen Sie nach einer Option mit der Bezeichnung DKIM, DomainKeys oder etwas Ähnlichem.

3. Wählen Sie die Schaltfläche, um neue DKIM-Schlüssel zu generieren.

Ihr Anbieter gibt Ihnen zwei wichtige Informationen:

• Einen Selector (zum Beispiel selector1._domainkey)

• Den DKIM-Eintrag selbst — eine lange Zeichenfolge aus verschlüsseltem Text

Es ist eine gute Idee, beides an einem sicheren Ort zu speichern, da Sie es im nächsten Schritt benötigen.

2: Fügen Sie den DKIM-Eintrag zu Ihrem DNS hinzu

Melden Sie sich als Nächstes bei Ihrem DNS-Anbieter an.

1. Öffnen Sie Ihre DNS-Einträge und erstellen Sie einen neuen Eintrag.

2. Wählen Sie CNAME, wenn der Eintrag kurz ist, oder TXT, wenn es sich um einen längeren Schlüssel handelt.

3. Geben Sie im Feld Host oder Name den DKIM-Selector ein (zum Beispiel selector1._domainkey).

4. Fügen Sie im Feld Wert den DKIM-Eintrag Ihres E-Mail-Anbieters ein.

5. Speichern Sie Ihre Änderungen.

Geben Sie dem Ganzen ein paar Minuten, da DNS-Änderungen eine Weile brauchen können, bis sie aktualisiert sind.

Für Spacemail Business-E-Mail können Sie gerne mit dieser Anleitung einen DKIM-Eintrag einrichten.

Schritt 3. DMARC-Einstellungen hinzufügen

Sobald SPF und DKIM eingerichtet sind, ist der letzte Schritt DMARC. Sie fügen einfach noch einen TXT-Eintrag zum DNS Ihrer Domain hinzu. Dieser Eintrag teilt empfangenden Mailservern mit, was zu tun ist, wenn eine E-Mail von Ihrer Domain die Authentifizierung nicht besteht, und gibt Ihnen Einblick darin, wer in Ihrem Namen E-Mails sendet.

Ein DMARC-Eintrag hat einige wichtige Bestandteile, die Sie verstehen sollten, bevor Sie ihn hinzufügen:

• v=DMARC1 – dies teilt Mailservern mit, dass Sie DMARC verwenden. Es steht immer an erster Stelle.

• p= – Damit legen Sie Ihre Richtlinie fest, wie mit nicht authentifizierten Nachrichten umgegangen werden soll:

• rua=mailto: – Dies teilt Mailservern mit, wohin Ihre täglichen DMARC-Berichte gesendet werden sollen. Sie können eine Adresse wie security@yourdomain.com oder dmarc@yourdomain.com verwenden. Diese Berichte zeigen, welche IPs im Namen Ihrer Domain senden, und helfen Ihnen, Ungewöhnliches zu erkennen.

1: Generieren Sie einen DMARC-Eintrag für Ihre Domain

Öffnen Sie das DMARC Record Generator tool (Sie können gern jedes beliebige DMARC-Generator-Tool verwenden) und geben Sie Ihren Domainnamen in die Suchleiste ein. Klicken Sie anschließend auf die Schaltfläche „Check DMARC Record“. Passen Sie die DMARC-Einstellungen an Ihre Anforderungen an und holen Sie sich Ihren generierten Eintrag.

2: Fügen Sie Ihren DMARC-Eintrag zu den DNS-Einstellungen hinzu

Gehen Sie zu Ihrem DNS-Anbieter. Erstellen Sie einen neuen Eintrag und wählen Sie TXT als Host-Eintragstyp. DMARC verwendet wie SPF ein TXT-Eintragsformat.

Verwenden Sie als Host: _dmarcFügen Sie als Wert den zuvor generierten ein

Sobald Sie ihn hinzugefügt haben, speichern Sie Ihre Änderungen und warten Sie einige Minuten, bis er propagiert ist. Sie können Tools wie das MX Lookup Tool oder andere kostenlose Tools verwenden, um zu prüfen, ob Ihr DMARC-Eintrag korrekt eingerichtet ist.

Mit dieser Anleitung können Sie einen DMARC-Eintrag für Ihre Domain mit Spacemail einrichten.

Ihre E-Mail-Einrichtung richtig hinbekommen

Wenn Ihre Nachrichten immer wieder im Spam landen oder mitten auf dem Weg verschwinden, könnte das an fehlender Authentifizierung liegen. SPF, DKIM und DMARC geben Ihren E-Mails die Nachweise, die sie brauchen, um sicher im Posteingang anzukommen.

Wenn man SPF, DKIM und DMARC erklärt bekommt, kann das kompliziert klingen, aber das Beste daran ist: Sie erfordern weder teure Tools noch komplexe Setups, sondern nur ein paar DNS-Einträge und etwas Geduld. Sie gehören zu den einfachsten E-Mail-Protokollen, die Sie Ihrem E-Mail-System hinzufügen können und die sich jedes Mal auszahlen, wenn Ihre Nachricht genau dort ankommt, wo sie soll.