SPF, DKIM und DMARC einfach erklärt

Ein Grossteil von Spam und Phishing funktioniert mit gefälschten Absenderadressen. Eine Mail, die scheinbar von Ihrer Buchhaltung kommt, kann in Wahrheit von irgendwo stammen. Drei Verfahren sorgen dafür, dass Empfänger das erkennen.

SPF: Wer darf senden?

Das Sender Policy Framework ist eine Liste im DNS Ihrer Domain. Sie legt fest, welche Server Mails in Ihrem Namen verschicken dürfen – zum Beispiel Ihr Mailserver und Ihr Newsletter-Dienst. Kommt eine Mail von einem anderen Server, fällt sie durch.

DKIM: Ist die Mail echt und unverändert?

Mit DomainKeys Identified Mail signiert Ihr Mailserver jede ausgehende Nachricht digital. Der Empfänger prüft die Signatur mit einem öffentlichen Schlüssel aus Ihrem DNS. So ist sichergestellt, dass die Mail von Ihrer Domain stammt und unterwegs nicht verändert wurde.

DMARC: Was passiert mit Fälschungen?

DMARC baut auf SPF und DKIM auf. Sie legen fest, wie Empfänger mit Mails umgehen sollen, die die Prüfung nicht bestehen: zustellen, in den Spam-Ordner legen oder abweisen. Zusätzlich erhalten Sie Berichte darüber, wer weltweit Mails mit Ihrer Domain verschickt.

Schritt für Schritt einführen

1. SPF und DKIM für alle legitimen Absender einrichten.
2. DMARC mit der Richtlinie p=none starten und die Berichte einige Wochen auswerten.
3. Vergessene Absender (Webshop, Drucker, CRM) nachtragen.
4. Auf p=quarantine und schliesslich p=reject erhöhen.

Seit 2024 verlangen Google und Yahoo von grösseren Absendern ohnehin eine korrekte Authentifizierung. Wer das sauber eingerichtet hat, profitiert zudem von einer besseren Zustellbarkeit.

Häufige Fragen

Brauche ich DMARC, wenn ich wenig Mails verschicke?

Ja. DMARC schützt nicht nur Ihre Zustellbarkeit, sondern vor allem Ihre Kunden vor gefälschten Mails in Ihrem Namen.

Kann DMARC meinen Mailversand stören?

Nur wenn legitime Absender vergessen werden. Deshalb startet man mit p=none und wertet die Berichte aus, bevor man verschärft.

Wie prüfe ich meine aktuelle Konfiguration?

Mit öffentlichen Prüfwerkzeugen lassen sich die DNS-Einträge abfragen. Gerne übernehmen wir die Analyse für Sie.