SPF, DKIM und DMARC einrichten und reparieren: Schritt-für-Schritt-Anleitung

Wenn Ihnen jemand sagt, Ihre E-Mails würden nicht zugestellt, weil Ihr „SPF-Eintrag zu viele DNS-Lookups hat" oder Ihre „DKIM-Signatur nicht mit Ihrer RFC5322.From-Domain übereinstimmt", wäre es verständlich, wenn Sie Ihren Laptop aus dem Fenster werfen möchten.

Doch es ist so: SPF, DKIM und DMARC einzurichten ist viel einfacher, als diese Abkürzungen vermuten lassen. Die meisten bringen ihre E-Mail-Authentifizierung in weniger als einer Stunde in Ordnung. Und 2026 ist sie Pflicht.

Diese Anleitung führt Sie verständlich durch jeden Schritt.

Warum E-Mail-Authentifizierung 2026 Pflicht ist

Was früher Best Practice war, ist heute eine harte Anforderung.

Im Februar 2024 begannen Gmail und Yahoo, die E-Mail-Authentifizierung bei Massenversendern durchzusetzen. Im November 2025 ging Gmail zur direkten Ablehnung nicht konformer Nachrichten über. Microsoft folgte im Mai 2025 und lehnt E-Mails von Absendern mit hohem Volumen ohne korrektes Alignment von SPF, DKIM und DMARC ab.

Domains mit vollständiger Authentifizierung erzielen ein deutlich besseres Inbox-Placement. Ohne sie erreichen viele Ihrer E-Mails nicht einmal den Spam-Ordner, weil sie abgewiesen werden, bevor sie ein Postfach erreichen.

Was sind SPF, DKIM und DMARC? (Die einfache Version)

Stellen Sie sich die E-Mail-Authentifizierung wie eine Sicherheitskontrolle am Flughafen vor:

SPF ist Ihr Ticket. Es sagt empfangenden Servern, welche Mailserver E-Mails von Ihrer Domain senden dürfen. Wie eine Gästeliste, auf der steht: „Diese Personen dürfen herein."

DKIM ist Ihr Reisepass. Es fügt jeder E-Mail eine kryptografische Signatur hinzu, die beweist, dass die Nachricht unterwegs nicht verändert wurde und tatsächlich von Ihrer Domain stammt.

DMARC ist der Sicherheitsbeamte. Es prüft, ob SPF oder DKIM bestanden haben, entscheidet, was mit Fehlschlägen passiert (nichts, Quarantäne oder Ablehnung), und sendet Ihnen Berichte darüber, wer Ihre Domain zum Versenden von E-Mails nutzt.

Sie brauchen alle drei. So richten Sie jeden einzelnen ein.

So richten Sie SPF ein (Sender Policy Framework)

Was SPF tut

SPF ist ein DNS-TXT-Eintrag, der jeden Server auflistet, der im Namen Ihrer Domain E-Mails senden darf. Wenn Gmail eine E-Mail erhält, die angeblich von yourdomain.com stammt, prüft es Ihren SPF-Eintrag, um zu sehen, ob der sendende Server auf der Liste steht.

Schritt 1: Prüfen, ob Sie bereits einen SPF-Eintrag haben

Öffnen Sie einen SPF-Checker und geben Sie Ihre Domain ein. Sie sehen eines von drei Ergebnissen: kein Eintrag gefunden, Eintrag mit Fehlern gefunden oder Eintrag gefunden und bestanden.

Wichtig: Pro Domain darf es nur EINEN SPF-Eintrag geben. Mehrere Einträge machen die Authentifizierung komplett unbrauchbar.

Schritt 2: Alle Ihre Versanddienste erfassen

Listen Sie jede Plattform auf, die E-Mails von Ihrer Domain sendet. Häufig sind das:

• Ihr E-Mail-Anbieter (Google Workspace, Microsoft 365)
• Marketingplattformen (Mailchimp, HubSpot, ActiveCampaign)
• Dienste für Transaktionsmails (SendGrid, Postmark, Mailgun)
• CRM-Systeme (Salesforce, HubSpot)
• Support-Tools (Zendesk, Intercom, Freshdesk)

Schritt 3: Ihren SPF-Eintrag erstellen oder aktualisieren

Jeder Dienst veröffentlicht seinen SPF-Include-Wert in seiner Dokumentation. Ihr Eintrag sieht so aus:

v=spf1 include:_spf.google.com include:sendgrid.net include:mail.zendesk.com ~all

• v=spf1 kennzeichnet den Eintrag als SPF-Eintrag
• Jedes include: autorisiert die Server dieses Dienstes
• ~all lässt alles, was nicht auf der Liste steht, mit Softfail durchfallen (Best Practice, da DMARC dann die Durchsetzung übernimmt)

Schritt 4: Den Eintrag in Ihr DNS eintragen

Melden Sie sich bei Ihrem Domain-Registrar an (GoDaddy, Cloudflare, Namecheap usw.), öffnen Sie die DNS-Einstellungen und fügen Sie den TXT-Eintrag hinzu oder aktualisieren Sie ihn.

Häufige SPF-Fehler, die Sie vermeiden sollten

Zu viele DNS-Lookups. SPF hat ein festes Limit von 10 DNS-Lookups. Jedes include: zählt mindestens einmal, und manche lösen weitere Lookups aus. Wer mehr als 10 braucht, lässt die gesamte SPF-Prüfung mit permerror enden (RFC 7208, Abschnitt 4.6.4), und nichts warnt Sie, wenn das passiert. Nutzen Sie ein Tool zum SPF-Flattening, wenn Sie an dieses Limit stoßen.

-all statt ~all verwenden. Der Hardfail (-all) weist Server an, nicht passende E-Mails sofort abzulehnen, noch bevor DKIM oder DMARC geprüft werden. Verwenden Sie Softfail (~all) und überlassen Sie DMARC die Durchsetzung.

Einen Versanddienst vergessen. Das CRM, das Sie vor sechs Monaten hinzugefügt haben? Das Rechnungstool? Wenn diese E-Mails von Ihrer Domain senden und nicht in Ihrem SPF-Eintrag stehen, fallen diese Nachrichten bei der Authentifizierung durch.

So richten Sie DKIM ein (DomainKeys Identified Mail)

Was DKIM tut

DKIM fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu. Der empfangende Server prüft diese Signatur mit einem öffentlichen Schlüssel in Ihrem DNS, um zu bestätigen, dass die E-Mail echt und unverändert ist.

Schritt 1: DKIM-Schlüssel bei Ihrem E-Mail-Anbieter erzeugen

Anders als bei SPF beginnt die Einrichtung von DKIM im Dashboard Ihrer Versandplattform. Jeder große Anbieter hat eine Anleitung zur Einrichtung von DKIM. Suchen Sie in seiner Dokumentation nach „DKIM setup" oder „email authentication".

Der Anbieter erzeugt zwei Dinge:

• Einen öffentlichen Schlüssel (einen DNS-TXT-Eintrag, den Sie bei Ihrer Domain hinzufügen)
• Einen privaten Schlüssel (mit dem der Server Ihre ausgehenden E-Mails signiert)

Schritt 2: Den öffentlichen Schlüssel in Ihr DNS eintragen

Der Eintrag hat einen bestimmten Selektor (etwa google._domainkey.yourdomain.com) und eine lange Zeichenkette. Fügen Sie ihn als TXT-Eintrag in Ihren DNS-Einstellungen hinzu.

Schritt 3: DKIM-Signierung aktivieren

Gehen Sie zurück zu Ihrem E-Mail-Anbieter und schalten Sie die DKIM-Signierung ein. Dieser Schritt ist entscheidend: Viele fügen den DNS-Eintrag hinzu und glauben, damit fertig zu sein. Den öffentlichen Schlüssel einzutragen ist nur die Hälfte.

Schritt 4: Für jeden Versanddienst wiederholen

Jede Plattform, die E-Mails von Ihrer Domain sendet, braucht eine eigene DKIM-Konfiguration. Alle: Ihr Marketingtool, Ihr Dienst für Transaktionsmails, Ihr CRM.

So prüfen Sie, ob DKIM funktioniert

Senden Sie eine Test-E-Mail an ein Gmail-Konto. Öffnen Sie sie und klicken Sie auf die drei Punkte → „Original anzeigen". Suchen Sie in den Authentifizierungsergebnissen nach DKIM: PASS.

Häufige DKIM-Fehler

Die Signierung nach dem DNS-Eintrag nicht aktivieren. Besonders häufig bei Google Workspace, wo der DNS-Eintrag angelegt, DKIM in der Admin-Konsole aber nie eingeschaltet wird.

1024-Bit-Schlüssel verwenden. Verwenden Sie für mehr Sicherheit 2048-Bit-Schlüssel. Die meisten Anbieter nutzen das inzwischen standardmäßig, prüfen Sie es aber mit dem DKIM-Lookup.

Fehlendes DKIM bei weiteren Absendern. Wenn Ihre Marketingplattform mit DKIM signiert, Ihr Dienst für Transaktionsmails aber nicht, gehen diese Transaktionsmails ohne Signatur raus.

So richten Sie DMARC ein (Domain-based Message Authentication, Reporting and Conformance)

Was DMARC tut

DMARC setzt auf SPF und DKIM auf. Es prüft, ob eines der beiden Protokolle bestanden hat und ob die Domain mit Ihrer sichtbaren From-Adresse übereinstimmt. Dann sagt es empfangenden Servern, was mit Fehlschlägen passieren soll. Außerdem sendet es Ihnen Berichte über jede E-Mail, die mit Ihrer Domain versendet wird, auch über solche, die Sie nicht gesendet haben.

Schritt 1: Zuerst sicherstellen, dass SPF und DKIM funktionieren

DMARC hängt von beiden ab. Richten Sie DMARC erst ein, wenn Sie bestätigt haben, dass SPF und DKIM bestehen. Google empfiehlt, nach der Einrichtung von SPF und DKIM mindestens 48 Stunden zu warten, bevor Sie DMARC aktivieren.

Schritt 2: Mit dem Überwachungsmodus beginnen

Fügen Sie diesen TXT-Eintrag in Ihrem DNS unter _dmarc.yourdomain.com hinzu:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

• p=none weist Empfänger an, bei Fehlschlägen noch nichts zu unternehmen und nur Berichte zu senden
• rua=mailto:... legt fest, wohin Sammelberichte gesendet werden

Schritt 3: DMARC-Berichte 2 bis 4 Wochen lang auswerten

DMARC-Berichte zeigen Ihnen jede IP-Adresse, die E-Mails im Namen Ihrer Domain sendet, welche die Authentifizierung bestehen und welche nicht.

Achten Sie auf: legitime Versanddienste, die bei der Authentifizierung durchfallen (korrigieren Sie deren SPF/DKIM), unbefugte Absender, die Ihre Domain fälschen wollen (genau dafür brauchen Sie DMARC), und Alignment-Probleme zwischen Ihrer From-Domain und Ihren SPF-/DKIM-Domains.

Schritt 4: Zur Durchsetzung wechseln

Sobald Sie bestätigt haben, dass alle legitimen E-Mails die Authentifizierung bestehen:

Quarantine (schickt Fehlschläge in den Spam):

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Reject (blockiert Fehlschläge vollständig; das ist der Goldstandard):

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Häufige DMARC-Fehler

Direkt auf p=reject springen. Wenn Sie die Ablehnung durchsetzen, bevor Sie bestätigt haben, dass alle legitimen Absender bestehen, blockieren Sie Ihre eigenen E-Mails. Beginnen Sie immer mit p=none.

Nie über p=none hinauskommen. Umgekehrt veröffentlichen viele Organisationen eine reine Überwachungsrichtlinie und setzen sie nie durch. Eine Richtlinie p=none beobachtet nur; sie schützt Sie nicht vor Spoofing. Das eigentliche Ziel ist quarantine oder reject.

Alignment-Fehler. DMARC verlangt, dass die von SPF oder DKIM verwendete Domain mit Ihrer sichtbaren From-Adresse übereinstimmt. Wenn Ihr Marketingtool mit dem Return-Path bounce.marketingtool.com sendet, Ihre From-Adresse aber you@yourdomain.com lautet, ist SPF nicht ausgerichtet, wie der DMARC-Alignment-Checker an jeder eingefügten Nachricht zeigt. In diesem Fall brauchen Sie DKIM-Alignment.

Die richtige Reihenfolge

Wenn Sie bei null anfangen:

1. Zuerst SPF: am einfachsten einzurichten, mit der unmittelbarsten Wirkung
2. Dann DKIM: aufwendiger (Einrichtung in jeder Versandplattform nötig), aber entscheidend
3. Zuletzt DMARC: erst wenn SPF und DKIM funktionieren. Mit p=none beginnen und über 2 bis 4 Wochen zur Durchsetzung wechseln

Die DNS-Verbreitung kann bis zu 48 Stunden dauern, also keine Panik, wenn Änderungen nicht sofort sichtbar sind.

Einrichten und vergessen funktioniert nicht

Hier scheitern die meisten. Sie richten die Authentifizierung einmal ein und prüfen sie nie wieder. Dann fügt jemand im Team ein neues E-Mail-Tool hinzu, der SPF-Eintrag wird nicht aktualisiert, und plötzlich fällt die Hälfte der E-Mails wochenlang bei der Authentifizierung durch, bevor es jemand bemerkt.

Die E-Mail-Authentifizierung braucht laufende Pflege:

• Einträge monatlich prüfen, wenn die Infrastruktur stabil ist
• Sofort prüfen nach jeder Änderung (neue Domain, neuer ESP, neues CRM)
• Kontinuierlich überwachen, um Konfigurationsabweichungen zu erkennen

MailVitals automatisiert diese Überwachung. Es prüft Ihre SPF-, DKIM- und DMARC-Konfiguration fortlaufend über alle Ihre Domains und alarmiert Sie sofort, wenn etwas kaputtgeht, bevor Ihre Zustellbarkeit leidet.

👉 Weiterlesen: Warum landen meine E-Mails im Spam?

Quellen

• RFC 7208: Sender Policy Framework (SPF), die Syntax des SPF-Eintrags, ~all und -all, die Regel des einzigen Eintrags und das Limit von 10 Lookups.
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures, wie DKIM-Signaturen, Selektoren und öffentliche Schlüssel im DNS funktionieren.
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC), der aktuelle DMARC-Standard: Alignment, die Richtlinien p=none/quarantine/reject und Sammelberichte.
• Set up DMARC (Google-Workspace-Hilfe), Googles Empfehlungen zur Einführung von DMARC, einschließlich der Wartezeit von 48 Stunden nach SPF und DKIM.
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (Microsoft Tech Community), die Regeln zu SPF, DKIM und DMARC, die Outlook.com bei Domains mit mehr als 5.000 Nachrichten pro Tag durchsetzt.