SPF, DKIM und DMARC gehören zusammen - aber nur in der richtigen Reihenfolge und Konfiguration schützen sie Ihre Domain und sorgen dafür, dass Ihre E-Mails zuverlässig ankommen. Diese Anleitung führt Sie mit konkreten DNS-Einträgen durch die Einrichtung.
In welcher Reihenfolge richtet man SPF, DKIM und DMARC ein?
Die richtige Reihenfolge ist: zuerst SPF, dann DKIM, zuletzt DMARC. SPF und DKIM müssen funktionieren, bevor DMARC sinnvoll greifen kann, denn DMARC baut auf beiden auf.
Alle drei werden als DNS-Einträge bei Ihrem Domain-Provider hinterlegt. Planen Sie etwas Vorlauf ein: DNS-Änderungen sind je nach Anbieter nach wenigen Minuten bis zu einigen Stunden aktiv.
Schritt 1: SPF einrichten
SPF (Sender Policy Framework) legt fest, welche Server für Ihre Domain E-Mails versenden dürfen. Sie hinterlegen einen TXT-Eintrag, der alle legitimen Versandquellen auflistet.
ihre-domain.de. IN TXT "v=spf1 include:_spf.google.com ~all"
include: verweist auf die Server Ihres Mailanbieters (hier beispielhaft Google Workspace).
~all bedeutet „softfail" für alle übrigen Server. Wichtig: Sie dürfen pro Domain nur
einen SPF-Eintrag haben, und er darf maximal zehn DNS-Lookups auslösen.
Schritt 2: DKIM einrichten
DKIM (DomainKeys Identified Mail) signiert Ihre ausgehenden E-Mails kryptografisch, sodass Empfänger Manipulationen erkennen. Den öffentlichen Schlüssel hinterlegen Sie im DNS unter einem Selektor.
selektor._domainkey.ihre-domain.de. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."Den Selektornamen und den öffentlichen Schlüssel erhalten Sie von Ihrem Mailanbieter, der DKIM meist im Admin-Bereich aktiviert. Nach der Aktivierung signiert der Anbieter jede ausgehende E-Mail automatisch.
Schritt 3: DMARC einrichten
DMARC verbindet SPF und DKIM zu einer durchsetzbaren Richtlinie. Starten Sie immer mit p=none, um
zunächst nur Berichte zu sammeln, ohne E-Mails abzuweisen.
_dmarc.ihre-domain.de. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de; adkim=s; aspf=s"
rua= legt fest, wohin die Aggregatberichte gehen. adkim und aspf steuern
die Strenge der Ausrichtung. Was DMARC grundsätzlich ist und wie die Bausteine zusammenhängen, erklärt der
Beitrag Was ist DMARC?.
Was kommt nach der Einrichtung?
Nach der Einrichtung sammeln Sie zunächst einige Wochen DMARC-Berichte, um alle legitimen Versandquellen zu erkennen. Erst danach verschärfen Sie die Richtlinie schrittweise.
Wie Sie die eingehenden Berichte lesen, zeigt der Beitrag
DMARC-Berichte verstehen: RUA und RUF. Wann der
sichere Wechsel auf p=reject
möglich ist, ohne legitime E-Mails zu verlieren, behandelt der zugehörige Leitfaden.
SPF, DKIM und DMARC im Griff behalten - mit DMARCFlow
DMARCFlow wertet Ihre DMARC-Berichte automatisch aus, zeigt fehlkonfigurierte Versandquellen und begleitet Sie sicher bis zur strengsten Richtlinie. Aktuellen Status sofort prüfen mit dem DMARC-Checker.
DMARCFlow entdecken