Wenn Sie E-Mails mit Ihrer Domain verschicken, sieht der empfangende Server nicht nur die sichtbare From-Adresse an. Er prüft auch, ob der Versandserver berechtigt war, eine Signatur vorhanden ist und die verwendeten Domains zur Absenderdomain passen. Hier setzen SPF, DKIM und DMARC an.
Prüfen Sie Ihre aktuelle Konfiguration zuerst mit dem SPF-, DMARC- und DKIM-Check. Er liest öffentliche DNS-Records, ohne Ihre Einstellungen zu verändern.
SPF: Welche Server dürfen für die Domain senden?
SPF ist ein TXT-Record an der Domain. Er benennt zulässige Versandserver und Anbieter für die SMTP-Umschlagidentität. Typisch ist ein Eintrag mit v=spf1, IP-Adressen und include-Verweisen sowie einem Abschluss wie ~all oder -all.
SPF erlaubt während der Auswertung höchstens 10 DNS-Abfragen auslösende Begriffe. Dazu gehören include, a, mx, ptr, exists und redirect. Ein include kann weitere SPF-Records und damit zusätzliche Abfragen auslösen. Die direkte Zahl im Haupteintrag ist daher keine vollständige Prüfung.
DKIM: Ist die E-Mail korrekt signiert?
DKIM versieht E-Mails mit einer kryptografischen Signatur. Der Empfänger liest Domain und Selektor aus dem Header und ruft den öffentlichen Schlüssel beispielsweise unter selector._domainkey.example.com ab. Eine gültige Signatur bestätigt, dass die signierten Nachrichtenteile danach nicht verändert wurden.
Selektoren sind nicht einheitlich. Google Workspace, Microsoft 365, Newsletter und selbst gehostete Server können unterschiedliche verwenden. Aus der Domain allein lässt sich der richtige Selektor nicht zuverlässig ableiten; im Checker wird er optional eingegeben.
DMARC: Richtlinien und Domainabgleich
DMARC ist ein TXT-Record unter _dmarc.example.com. Er veröffentlicht Regeln für Nachrichten, die DMARC nicht bestehen, und ermöglicht Berichte. Die Richtlinien heißen p=none, p=quarantine und p=reject.
- p=none: überwacht hauptsächlich; die Richtlinie verlangt keine Quarantäne oder Ablehnung nur wegen DMARC.
- p=quarantine: verlangt eine vorsichtige Behandlung nicht bestandener Nachrichten.
- p=reject: fordert Ablehnung bei fehlgeschlagener Prüfung und Domainausrichtung.
Es reicht nicht, dass SPF oder DKIM lediglich eingerichtet sind. Mindestens eine erfolgreich authentifizierte Domain muss mit der im sichtbaren From übereinstimmen.
Was sollten Sie zuerst einrichten?
- Erfassen Sie alle legitimen Versanddienste: Postfächer, Websites, CRM, Newsletter und Rechnungen.
- Konfigurieren Sie einen einzigen SPF-Record, der sämtliche berechtigten Absender umfasst.
- Aktivieren Sie DKIM bei den Anbietern und veröffentlichen Sie die Schlüssel unter den passenden Selektoren.
- Ergänzen Sie DMARC. Prüfen Sie Berichte und legitime Absender, bevor Sie eine strengere Richtlinie durchsetzen.
- Kontrollieren Sie nach DNS-Änderungen die öffentlichen Records und echte Header versendeter Nachrichten; der Record allein beweist keine korrekte Absenderidentität.
Häufige Fehler
- Mehrere separate
v=spf1-Records am selben Namen. - Zu viele SPF-DNS-Abfragen durch lange
include-Ketten. - SPF
+all, das praktisch jede IP autorisiert. - DKIM-Schlüssel unter einem anderen Selektor als dem des sendenden Servers.
- Fehlerhafte DMARC-Syntax oder Veröffentlichung außerhalb von
_dmarc. - SPF und DKIM bestehen, aber keine Domain ist auf das sichtbare From abgestimmt.
Was verlangt Gmail aktuell?
Für persönliche Gmail-Adressen verlangt Google bei allen Absendern SPF oder DKIM. Für Massenversender, ungefähr 5.000 oder mehr Nachrichten binnen 24 Stunden an persönliche Gmail-Konten, sind SPF, DKIM und DMARC erforderlich. Hinzu kommen ein mit SPF oder DKIM abgestimmtes From, Spamraten unter 0,3 % sowie eine Ein-Klick-Abmeldung bei Marketing- und Abonnement-E-Mails. Laut Google-FAQ wurde die Durchsetzung seit November 2025 verschärft. Prüfen Sie vor großen Aussendungen die aktuellen offiziellen Richtlinien.
Was prüft unser Werkzeug?
Es liest den öffentlichen SPF- und DMARC-Record sowie optional den DKIM-Record für einen eingegebenen Selektor und meldet einige typische Probleme. Es verschickt keine Test-E-Mail, kennt keine privaten Provider-Einstellungen und garantiert nicht, dass jede tatsächliche Nachricht SPF, DKIM oder DMARC besteht.