SPF, DKIM und DMARC einrichten: Anleitung für Einsteiger

Kontaktformular-Nachrichten kommen nicht an? Gmail, Outlook und Yahoo prüfen bei jeder Nachricht, ob der Absender berechtigt ist. Ohne Authentifizierung landen Ihre E-Mails im Spam. In meinem Artikel WordPress E-Mail kommt nicht an ging es um SMTP. Dieser Artikel baut darauf auf: SPF, DKIM und DMARC sorgen dafür, dass Ihre E-Mails ankommen.

Alle drei Protokolle sind TXT-Einträge in Ihren DNS-Einstellungen. Sie tragen bestimmte Werte in die DNS-Verwaltung Ihres Hosting-Anbieters ein. Keine Software, kein Code.

SPF (Sender Policy Framework) funktioniert wie eine Gästeliste: Sie legen fest, welche Mailserver E-Mails im Namen Ihrer Domain versenden dürfen. Steht der Absender nicht auf der Liste, wird die E-Mail als verdächtig eingestuft.

DKIM (DomainKeys Identified Mail) ist eine digitale Unterschrift. Ihr Mailserver signiert jede E-Mail kryptografisch. Der Empfänger prüft die Signatur gegen einen öffentlichen Schlüssel in Ihren DNS-Einträgen — so wird sichergestellt, dass die E-Mail echt und unverändert ist.

DMARC ist das Regelwerk, das SPF und DKIM zusammenführt. Es legt fest, was mit E-Mails passieren soll, die die Prüfung nicht bestehen: durchlassen, in den Spam verschieben oder ablehnen.

Öffnen Sie die DNS-Verwaltung Ihrer Domain bei Ihrem Hosting-Anbieter und erstellen Sie einen neuen TXT-Eintrag. Im Feld "Name" tragen Sie @ ein oder lassen es leer. Hier die SPF-Werte für die größten deutschen Hoster:

• All-Inkl: v=spf1 mx a ~all (KAS → Tools → DNS-Einstellungen). Ich empfehle ~all (Softfail) statt ?all (Neutral) für besseren Schutz.
• IONOS (1&1): v=spf1 include:_spf.perfora.net include:_spf.kundenserver.de ~all (Domains & SSL → DNS)
• Strato: v=spf1 include:_spf.strato.com ~all (Domains → DNS-Verwaltung)
• Host Europe: v=spf1 include:spf.server-he.de ~all (Domain-Administration → DNS)

Wichtig: Pro Domain darf nur ein SPF-Eintrag existieren. Bearbeiten Sie einen vorhandenen Eintrag, statt einen zweiten anzulegen. Nutzen Sie zusätzliche Dienste wie Google Workspace, fügen Sie deren include-Werte hinzu: v=spf1 include:_spf.perfora.net include:_spf.kundenserver.de include:_spf.google.com ~all

Der Wert am Ende des SPF-Records bestimmt, wie mit E-Mails von nicht gelisteten Servern umgegangen wird: ~all (Softfail) markiert sie als verdächtig, -all (Hardfail) lehnt sie ab, ?all (Neutral) trifft keine Aussage. Für die meisten Website-Betreiber ist ~all (Softfail) die beste Wahl.

Bei vielen deutschen Hostern ist DKIM bereits aktiv. Sie müssen keinen Schlüssel selbst erzeugen.

• All-Inkl: KAS → Domain → "Bearbeiten" → DKIM Signierung auf "aktiviert" setzen. Der DNS-Eintrag wird automatisch erstellt.
• IONOS (1&1): Automatisch aktiv bei IONOS-Nameservern (Standard). Keine Aktion nötig.
• Strato: Standardmäßig aktiviert. Strato signiert alle E-Mails automatisch. Voraussetzung: Strato-Nameserver.
• Host Europe: In der Domain-Administration prüfen, ob DKIM-Einträge vorhanden sind. Falls nicht: Host Europe Support kontaktieren.

Falls Sie unsicher sind, fragen Sie Ihren Hoster: "Ist DKIM für meine Domain aktiv?"

DMARC baut auf SPF und DKIM auf — richten Sie es erst danach ein. Erstellen Sie in der DNS-Verwaltung einen TXT-Eintrag mit dem Namen _dmarc und folgendem Wert:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de

Ersetzen Sie ihre-domain.de durch Ihre tatsächliche Domain. Die Bestandteile:

• v=DMARC1 — Kennzeichnet den Eintrag als DMARC-Record
• p=none — Beobachtungsmodus: E-Mails werden zugestellt, aber Sie erhalten Berichte
• rua=mailto:... — Empfängeradresse für aggregierte DMARC-Berichte

Ich empfehle p=none als Einstieg. Nach einigen Wochen wechseln Sie auf p=quarantine oder p=reject.

Nachdem Sie SPF, DKIM und DMARC eingerichtet haben, prüfen Sie die Konfiguration. Warten Sie nach DNS-Änderungen mindestens 1 bis 4 Stunden (vollständige Propagierung: bis zu 48 Stunden). Diese kostenlosen Tools helfen bei der Prüfung:

• MXToolbox — Domain eingeben und SPF, DKIM oder DMARC einzeln prüfen.
• mail-tester.com — E-Mail an die Testadresse senden, Gesamtbewertung erhalten (Ziel: mindestens 8/10).
• Google Admin Toolbox — MX-, SPF- und DKIM-Check. Hilfreich bei Gmail-Problemen.

Praxis-Tipp: Senden Sie eine Test-E-Mail an Ihre Gmail-Adresse, klicken Sie auf die drei Punkte und "Original anzeigen". Dort sehen Sie, ob SPF, DKIM und DMARC PASS anzeigen.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle technische Beratung. DNS-Änderungen erfolgen auf eigenes Risiko. Im Zweifel wenden Sie sich an den Support Ihres Hosting-Anbieters.