Was ist SPF?
SPF (Sender Policy Framework) ist ein DNS-Eintrag, in dem eine Domain festlegt, welche Server E-Mails in ihrem Namen versenden dürfen. Empfangende Mailserver prüfen bei einer eingehenden E-Mail, ob der tatsächlich sendende Server in dieser Liste steht. Steht er nicht dort, kann die E-Mail als verdächtig eingestuft werden.
Was ist DKIM?
DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu, die mit einem privaten Schlüssel erzeugt wird. Der öffentliche Gegenpart liegt als DNS-Eintrag bei der Domain. Der empfangende Server prüft die Signatur und stellt so fest, ob die E-Mail unterwegs verändert wurde und tatsächlich von einem Server stammt, der im Besitz des privaten Schlüssels ist.
Was ist DMARC?
DMARC (Domain-based Message Authentication, Reporting & Conformance) baut auf SPF und DKIM auf. Es legt fest, wie ein empfangender Server mit E-Mails umgehen soll, die SPF und/oder DKIM nicht bestehen: zulassen, in den Spam-Ordner verschieben (Quarantäne) oder ablehnen. Zusätzlich können Domain-Inhaber über DMARC Berichte erhalten, wer in ihrem Namen E-Mails versendet.
Wie arbeiten SPF, DKIM und DMARC zusammen?
SPF prüft den sendenden Server, DKIM prüft die Integrität und Herkunft der Nachricht per Signatur. DMARC verknüpft beide Ergebnisse, prüft zusätzlich, ob sie zur sichtbaren Absenderdomain passen (Alignment), und definiert die konkrete Reaktion darauf.
| SPF | DKIM | DMARC | |
|---|---|---|---|
| Zweck | Legt fest, welche Server im Namen einer Domain E-Mails versenden dürfen. | Bestätigt per digitaler Signatur, dass eine E-Mail unverändert und von der angegebenen Domain stammt. | Legt fest, wie mit E-Mails umgegangen wird, die SPF/DKIM nicht bestehen, und liefert Berichte. |
| Konfiguriert in | Einem DNS-TXT-Eintrag der Domain. | Einem DNS-TXT-Eintrag pro Versanddienst (Selector) plus Signatur im E-Mail-Header. | Einem DNS-TXT-Eintrag unter _dmarc.domain.tld. |
| Prüft | Die IP-Adresse des sendenden Servers. | Integrität und Herkunft der Nachricht anhand der Signatur. | Ob SPF/DKIM-Ergebnis zur sichtbaren Absenderdomain passt (Alignment). |
| Typische Folge bei Fehlschlag | E-Mail kann als verdächtig eingestuft werden; SPF allein blockiert meist nicht zuverlässig. | Signaturprüfung schlägt fehl, E-Mail gilt als weniger vertrauenswürdig. | Je nach Policy: keine Aktion (none), Quarantäne oder Ablehnung (reject). |
Ein Beispiel
Jemand versendet eine E-Mail, die vorgibt, von rechnung@ihre-domain.de zu stammen. Ist SPF korrekt konfiguriert, akzeptiert der empfangende Server die E-Mail nur von einem autorisierten Server. Selbst wenn ein Angreifer einen anderen erlaubten Versandweg fände, würde DKIM scheitern, da ihm der private Signaturschlüssel fehlt. DMARC sorgt schließlich dafür, dass der Empfängerserver eine klare Anweisung hat, was mit einer solchen nicht authentifizierten E-Mail geschehen soll, und dass der Domain-Inhaber einen Bericht darüber erhält.
Warum sind sie für Unternehmens-E-Mails wichtig?
Ohne diese drei Mechanismen kann grundsätzlich jeder E-Mails versenden, die vorgeben, von Ihrer Domain zu stammen, etwa für Phishing gegenüber Kunden oder Geschäftspartnern. Gleichzeitig bewerten große Mail-Anbieter wie Google oder Microsoft fehlende Authentifizierung zunehmend negativ, was die Zustellbarkeit echter Unternehmens-E-Mails verschlechtern kann.
Was passiert bei falscher Konfiguration?
Zwei Richtungen sind möglich. Zu lax: Fehlt DMARC oder steht die Policy auf none, bleibt Spoofing weiterhin möglich, auch wenn SPF und DKIM technisch korrekt eingerichtet sind. Zu strikt: Wird eine strenge Policy aktiviert, bevor wirklich alle legitimen Versandquellen (Website-Formulare, Marketing-Tools, Support-Systeme) über SPF und DKIM abgedeckt sind, können eigene, echte E-Mails abgelehnt oder im Spam-Ordner landen.
Was bedeutet SPF softfail/hardfail?
Der SPF-Eintrag endet mit einem Qualifier, der festlegt, wie streng nicht gelistete Server behandelt werden. Vereinfacht: ~all (softfail) markiert E-Mails von nicht gelisteten Servern als verdächtig, ohne eine Ablehnung zu erzwingen. -all (hardfail) signalisiert dem empfangenden Server, solche E-Mails klar abzulehnen. Welcher Qualifier sinnvoll ist, hängt davon ab, wie vollständig und stabil die eigene Liste an Versandquellen bereits ist. Es gibt keinen universellen SPF-Eintrag, der für jede Domain passt.
Welche Rolle spielt DNS?
Alle drei Mechanismen werden ausschließlich über DNS-Einträge der Domain veröffentlicht und geprüft: SPF und DMARC als TXT-Einträge, DKIM als TXT-Eintrag unter einem sogenannten Selector (selector._domainkey.domain.tld). Änderungen an diesen Einträgen benötigen Zeit, bis sie weltweit über DNS verteilt sind (Propagation), und die Syntax muss exakt stimmen. Ein einzelner Tippfehler kann den gesamten Eintrag ungültig machen.
Was sollte ein Unternehmen prüfen?
- Existiert ein SPF-Eintrag, und sind darin wirklich alle sendenden Systeme enthalten, inklusive Website-Formulare, CRM, Newsletter- und Support-Tools?
- Ist DKIM für jeden dieser Versanddienste einzeln aktiviert und im DNS korrekt hinterlegt?
- Existiert ein DMARC-Eintrag, und welche Policy ist aktuell gesetzt (none, quarantine, reject)?
- Werden DMARC-Berichte tatsächlich ausgewertet, oder laufen sie ungenutzt in ein Postfach?
Diese Fragen lassen sich für die eigene Domain direkt beantworten: Der kostenlose DNS-, SPF-, DKIM- & DMARC-Check liest die vorhandenen DNS-Einträge aus und zeigt, ob ein SPF- oder DMARC-Eintrag existiert und wie er interpretiert wird. Eigene Domain prüfen.
Wann ist professionelle Unterstützung sinnvoll?
Besonders wenn mehrere Systeme im Namen einer Domain versenden, wenn Hosting oder E-Mail migriert wird, oder wenn eine strengere DMARC-Policy eingeführt werden soll, ohne laufenden E-Mail-Verkehr zu unterbrechen, lohnt sich eine strukturierte Prüfung und schrittweise Umstellung statt einer einmaligen, unüberwachten Änderung.
Wichtig: Es gibt keinen SPF-, DKIM- oder DMARC-Eintrag, der pauschal für jede Domain passt. Die richtige Konfiguration hängt davon ab, welche Systeme tatsächlich in Ihrem Namen E-Mails versenden. Ein korrekt eingerichtetes DMARC verringert Spoofing-Risiken erheblich, ist aber kein Garant für Zustellung. Dafür spielen weitere Faktoren wie Inhalt und Versandreputation eine Rolle.
Häufige Fragen
Ersetzt DMARC eine allgemeine E-Mail-Sicherheitslösung?
Nein. DMARC schützt gezielt davor, dass Ihre eigene Domain für gefälschte Absenderadressen missbraucht wird. Andere Bedrohungen wie Malware-Anhänge oder Phishing von fremden Domains deckt DMARC nicht ab.
Verbessert DMARC automatisch die Zustellbarkeit?
Authentifizierung und Zustellbarkeit hängen zusammen, sind aber nicht dasselbe. Korrekt konfigurierte SPF-, DKIM- und DMARC-Einträge erhöhen die Vertrauenswürdigkeit einer Domain, garantieren aber keine Zustellung. Dafür spielen auch Inhalt, Versandvolumen und Reputation eine Rolle.
Kann ein falsch konfigurierter DMARC-Eintrag legitime E-Mails blockieren?
Ja. Besonders eine zu strikte Policy (p=reject), die aktiviert wird, bevor wirklich alle sendenden Systeme über SPF und DKIM abgedeckt sind, kann eigene legitime E-Mails blockieren.
Reicht ein SPF-Eintrag allein aus?
Nein. SPF allein schützt nicht vor allen Spoofing-Varianten, etwa wenn der sichtbare Absendername gefälscht wird, ohne die im SPF geprüfte Absenderadresse zu verändern. SPF wird durch DKIM und DMARC ergänzt.
Quellen & Standards
- RFC 7208 - Sender Policy Framework (SPF), IETF
- RFC 6376 - DomainKeys Identified Mail (DKIM) Signatures, IETF
- RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance (DMARC), IETF
SPF, DKIM und DMARC für Ihre Domain einrichten lassen
365soft prüft Ihre aktuelle Konfiguration und richtet Hosting, Domain und E-Mail-Authentifizierung strukturiert ein.