Leitfaden

DMARC-Leitfaden: SPF, DKIM und DMARC richtig einrichten

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein E-Mail-Standard, der festlegt, was mit E-Mails passiert, die vorgeben, von Ihrer Domain zu stammen, aber die Prüfungen SPF und DKIM nicht bestehen. DMARC schützt Ihre Domain vor Spoofing und Phishing und ist seit Februar 2024 für Versender großer E-Mail-Mengen an Gmail und Yahoo faktisch Pflicht. Dieser Leitfaden zeigt Ihnen, wie Sie SPF, DKIM und DMARC in der richtigen Reihenfolge und gefahrlos von p=none bis p=reject einrichten.

Was ist DMARC?

DMARC ist eine Richtlinie, die Sie als DNS-Eintrag hinterlegen. Sie baut auf zwei älteren Verfahren auf: SPF prüft, ob ein Server E-Mails für Ihre Domain versenden darf, und DKIM versieht jede E-Mail mit einer digitalen Signatur. DMARC verbindet beide und teilt empfangenden Servern mit, wie sie mit E-Mails umgehen sollen, die diese Prüfungen nicht bestehen – zustellen, in den Spam-Ordner verschieben oder abweisen.

Zusätzlich liefert DMARC Berichte (Reports). So sehen Sie, wer in Ihrem Namen E-Mails versendet – inklusive möglicher Missbrauchsversuche. Eine ausführliche Erklärung der Berichte finden Sie in unserem Beitrag DMARC-Berichte verstehen (rua & ruf).

Warum ist DMARC jetzt so wichtig?

Seit Februar 2024 verlangen Google (Gmail) und Yahoo von Versendern, die täglich mehr als 5.000 Nachrichten an ihre Nutzer schicken, eine gültige DMARC-Richtlinie. Nicht authentifizierte E-Mails werden zunehmend abgewiesen oder als Spam einsortiert. Auch Microsoft hat vergleichbare Anforderungen angekündigt.

Praktisch bedeutet das: Ohne korrekt eingerichtetes SPF, DKIM und DMARC riskieren Sie, dass Ihre Newsletter, Rechnungen und Systemnachrichten gar nicht mehr ankommen. Selbst kleinere Unternehmen sollten DMARC einrichten, weil es die häufigste Angriffsfläche für Phishing im Namen Ihrer Marke schließt.

In welcher Reihenfolge richtet man SPF, DKIM und DMARC ein?

Die Reihenfolge ist entscheidend: zuerst SPF, dann DKIM, zuletzt DMARC. SPF und DKIM müssen zuverlässig funktionieren, bevor DMARC greifen darf. Sonst weisen Sie unter Umständen legitime eigene E-Mails ab. Alle drei Verfahren werden als DNS-TXT-Einträge bei Ihrem Domain-Anbieter hinterlegt.

Schritt 1: SPF einrichten

SPF (Sender Policy Framework) legt fest, welche Server E-Mails für Ihre Domain versenden dürfen. Sie hinterlegen dazu einen einzigen TXT-Eintrag, der alle berechtigten Versender auflistet (z. B. Ihren Mailserver und externe Dienste wie Google Workspace oder einen Newsletter-Anbieter).

ihre-domain.de.  IN TXT  "v=spf1 include:_spf.google.com include:sendgrid.net ~all"

Das ~all am Ende bedeutet „soft fail": E-Mails von nicht gelisteten Servern werden markiert, aber nicht abgewiesen. Verwenden Sie pro Domain nur einen SPF-Eintrag – mehrere SPF-Records machen SPF ungültig.

Schritt 2: DKIM einrichten

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu. Der empfangende Server prüft diese Signatur gegen einen öffentlichen Schlüssel, den Sie im DNS veröffentlichen. Den Schlüssel und den Selektor erhalten Sie von Ihrem E-Mail-Anbieter.

selektor._domainkey.ihre-domain.de.  IN TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQ..."

Prüfen Sie nach dem Setzen des Eintrags mit einer Test-E-Mail, ob DKIM korrekt signiert wird, bevor Sie fortfahren.

Schritt 3: DMARC in Stufen einrichten (p=none → quarantine → reject)

DMARC führen Sie immer in drei Stufen ein. So sammeln Sie erst Daten, bevor Sie E-Mails abweisen – das verhindert, dass legitime Nachrichten verloren gehen.

Stufe 1: p=none (nur beobachten)

Starten Sie mit p=none. In dieser Stufe wird noch keine E-Mail abgewiesen – Sie erhalten nur Berichte darüber, wer in Ihrem Namen versendet. Lassen Sie diese Stufe zwei bis vier Wochen laufen und werten Sie die Berichte aus.

_dmarc.ihre-domain.de.  IN TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de; adkim=s; aspf=s"

Stufe 2: p=quarantine (in Spam verschieben)

Wenn die Berichte zeigen, dass Ihre legitimen Versender sauber authentifiziert sind, wechseln Sie auf p=quarantine. Nicht bestandene E-Mails landen dann im Spam-Ordner statt im Posteingang. Mit pct= können Sie den Anteil betroffener E-Mails schrittweise erhöhen.

_dmarc.ihre-domain.de.  IN TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@ihre-domain.de; adkim=s; aspf=s"

Stufe 3: p=reject (abweisen)

Die höchste Stufe ist p=reject: Nicht authentifizierte E-Mails werden vollständig abgewiesen. Das ist der volle Schutz vor Spoofing und wird von Google und Yahoo empfohlen. Aktivieren Sie diese Stufe erst, wenn die Berichte über mehrere Wochen keine legitimen Fehlschläge mehr zeigen. Wann und wie das sicher gelingt, erklärt unser Beitrag DMARC p=reject: Wann und wie aktivieren?.

_dmarc.ihre-domain.de.  IN TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@ihre-domain.de; adkim=s; aspf=s"

Welche Fehler sollten Sie bei DMARC vermeiden?

• Zu früh auf p=reject wechseln: Ohne saubere SPF- und DKIM-Basis weisen Sie eigene E-Mails ab. Immer mit p=none starten.
• Mehrere SPF-Einträge: Pro Domain darf es nur einen SPF-Record geben. Mehrere Einträge führen zu einem SPF-Fehler.
• SPF-Limit von 10 DNS-Lookups überschreiten: Zu viele include:-Einträge machen SPF ungültig. Konsolidieren Sie Ihre Versender.
• Externe Versender vergessen: Newsletter-Tools, CRM oder Rechnungssysteme versenden ebenfalls in Ihrem Namen und müssen in SPF und DKIM berücksichtigt werden.
• Keine Berichte auswerten: Ohne rua=-Adresse und Auswertung fehlt Ihnen die Grundlage, um sicher auf quarantine und reject zu wechseln.

Wie überwacht man DMARC nach der Einrichtung?

DMARC ist keine einmalige Einstellung. Sie sollten die aggregierten Berichte (rua) laufend auswerten, um neue Versender, Konfigurationsfehler und Missbrauchsversuche zu erkennen. Die Berichte kommen als XML-Dateien und sind ohne Werkzeug schwer lesbar – ein Monitoring-Dienst bereitet sie verständlich auf.

Unser Managed-Service DMARCFlow sammelt und visualisiert Ihre DMARC-Berichte, warnt bei Auffälligkeiten und begleitet Sie sicher bis p=reject. So behalten Sie den Überblick, ohne XML-Dateien manuell auszuwerten.

Häufige Fragen zu DMARC