Warum E-Mail das überhaupt braucht

Die unbequeme Wahrheit über E-Mail: Sie wurde Anfang der 1980er-Jahre für ein kleines Netzwerk von Leuten entwickelt, die sich gegenseitig vertrauten. Ohne Zusatzmaßnahmen kann jeder eine Mail verschicken, die angeblich von [email protected] kommt. Im Grundprotokoll gibt es nichts, was das verhindert.

SPF, DKIM und DMARC wurden später hinzugefügt, um genau das zu beheben. Zusammen erlauben sie der Empfängerseite, also etwa Gmail, Outlook oder Yahoo, eine einzige Frage zu beantworten: Kommt diese Mail wirklich von der Domain, von der sie zu kommen behauptet? Lautet die Antwort Nein, landet die Mail im Spam oder wird abgelehnt. Und wenn deine eigene Domain sie nicht eingerichtet hat, werden womöglich deine echten Mails wie Fälschungen behandelt.

Ein kurzer Vergleich hilft:

SPF ist die Gästeliste: Welche Server dürfen Mails für deine Domain verschicken?
DKIM ist das Wachssiegel: eine Signatur, die beweist, dass die Mail unterwegs nicht verändert wurde.
DMARC ist die Anweisung für den Türsteher: Was passiert mit einer Mail, die die Prüfungen nicht besteht, und wer wird darüber informiert?

SPF: die Gästeliste

SPF (Sender Policy Framework) ist eine einzige Textzeile, die du im DNS deiner Domain veröffentlichst. Sie listet die Server und Dienste auf, die in deinem Namen Mails verschicken dürfen. Wenn Gmail eine Mail von deiner Domain bekommt, schlägt es diese Liste nach und prüft, ob der sendende Server darauf steht.

Ein typischer SPF-Eintrag sieht so aus:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Von links nach rechts gelesen:

v=spf1: „Das ist ein SPF-Eintrag.“
include:_spf.google.com: Google Workspace darf für mich Mails senden.
include:sendgrid.net: SendGrid auch (zum Beispiel für die Mails meiner App).
~all: Alles andere bin wahrscheinlich nicht ich, also mit Vorsicht behandeln. (-all heißt „definitiv nicht ich, ablehnen“.)

Die zwei häufigsten SPF-Fehler: zwei SPF-Einträge auf derselben Domain (du musst sie zu einer Zeile zusammenführen) und ein vergessener Dienst. Wenn dein Newsletter-Tool oder dein Helpdesk Mails im Namen deiner Domain verschickt, muss es ebenfalls in die Liste.

Außerdem gilt ein Limit von 10 DNS-Abfragen innerhalb eines SPF-Eintrags. Jedes include: zählt mit, und die Includes darin ebenfalls. Wenn du viele Dienste nutzt, kannst du dieses Limit unbemerkt überschreiten, und dann schlägt SPF für alle fehl.

DKIM: das Wachssiegel

SPF prüft, woher eine Mail kommt. DKIM (DomainKeys Identified Mail) prüft, ob die Mail selbst unterwegs manipuliert wurde. Dein Mail-Dienst signiert jede ausgehende Nachricht mit einem privaten Schlüssel, den nur er kennt. Den passenden öffentlichen Schlüssel veröffentlichst du in deinem DNS. Der empfangende Server prüft die Signatur mit diesem öffentlichen Schlüssel.

Hat jemand die Mail unterwegs verändert, und sei es nur ein einziges Wort im Text, passt die Signatur nicht mehr. Das ist wie das Wachssiegel auf einem alten Brief: Ist das Siegel gebrochen, weißt du, dass ihn jemand geöffnet hat.

Ein DKIM-Eintrag wird unter einem speziellen Namen veröffentlicht, zum Beispiel google._domainkey.yourdomain.com, und sein Wert sieht ungefähr so aus:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu1...

Die gute Nachricht: Das schreibst du nie selbst. Dein E-Mail-Anbieter erzeugt den Eintrag, und du kopierst ihn einfach in dein DNS. Das Wort vor ._domainkey (hier google) heißt Selektor. Damit kannst du mehrere Schlüssel haben, einen pro Dienst.

DMARC: die Anweisung für den Türsteher

SPF und DKIM liefern dem empfangenden Server Fakten. DMARC (Domain-based Message Authentication, Reporting and Conformance) sagt ihm, was er mit diesen Fakten tun soll. Außerdem bringt es eine wichtige Regel mit, das sogenannte Alignment: Die Domain, die SPF oder DKIM besteht, muss mit der Domain übereinstimmen, die der Leser tatsächlich in der „Von“-Zeile sieht. Ohne diese Regel könnte ein Betrüger SPF mit seiner eigenen Domain bestehen und trotzdem deine anzeigen.

Ein DMARC-Eintrag liegt unter _dmarc.yourdomain.com und sieht so aus:

v=DMARC1; p=none; rua=mailto:[email protected]

p=none: nur beobachten, noch nichts blockieren. Perfekt für den Anfang.
p=quarantine: Mails, die durchfallen, in den Spam schicken.
p=reject: Mails, die durchfallen, komplett ablehnen. Der stärkste Schutz.
rua=mailto:...: wohin die Empfänger dir tägliche Sammelberichte schicken sollen.

Diese Berichte sind der heimliche Schatz. Sie zeigen dir jeden Server, der Mails mit deiner Domain verschickt, auch Dienste, die du längst vergessen hast, und alle, die versuchen, sich als du auszugeben.

Einrichtung Schritt für Schritt

Angenommen, dir gehört myshop.com, du nutzt Google Workspace für dein Postfach und einen Dienst wie SendGrid oder Mailgun für Bestellbestätigungen. In dieser Reihenfolge würde ich vorgehen:

Liste alles auf, was Mails im Namen deiner Domain verschickt: deinen Postfach-Anbieter, deine Website oder App, dein Newsletter-Tool, deinen Helpdesk, deine Rechnungssoftware. Diesen Schritt überspringen die meisten, und genau er verursacht später die meisten Probleme.
Lege einen einzigen SPF-Eintrag an in deinem DNS (einen TXT-Eintrag auf myshop.com), der alle diese Dienste enthält und mit ~all endet.
Aktiviere DKIM in jedem Dienst. Jeder gibt dir einen Eintrag, den du ins DNS kopierst. Danach klickst du in dem Dienst auf „Verifizieren“ bzw. „Authentifizierung starten“.
Füge einen DMARC-Eintrag mit p=none hinzu, mit einer Adresse für die Berichte, auf _dmarc.myshop.com.
Warte ein bis zwei Wochen und lies die Berichte. Behebe alles, was legitim ist und trotzdem durchfällt.
Verschärfe die Richtlinie auf p=quarantine und später auf p=reject, sobald du sicher bist, dass alle deine echten Mails durchkommen.

DNS-Änderungen können zwischen ein paar Minuten und ein paar Stunden brauchen, bis sie überall angekommen sind. Wenn eine Prüfung direkt nach dem Anlegen eines Eintrags fehlschlägt, gib dem Ganzen etwas Zeit, bevor du etwas änderst.

So prüfst du sie bei jeder Mail, die du bekommst

Du brauchst dafür keine Tools. Dein E-Mail-Programm zeigt dir die Ergebnisse schon an:

Gmail: Öffne die Mail, klick auf die drei Punkte und dann auf Original anzeigen. Ganz oben siehst du Zeilen wie SPF: PASS, DKIM: PASS und DMARC: PASS.
Outlook: Öffne die Nachricht, dann Ansicht und Nachrichtendetails anzeigen (oder Nachrichtenquelle) und such nach dem Header Authentication-Results.
Apple Mail: Darstellung, dann E-Mail, dann Alle Header.

Ein echter Header sieht ungefähr so aus:

Authentication-Results: mx.google.com; dkim=pass header.d=myshop.com; spf=pass smtp.mailfrom=myshop.com; dmarc=pass (p=QUARANTINE) header.from=myshop.com

Dreimal bestanden und passende Domains: Diese Mail ist echt. Siehst du fail oder passen die Domains nicht zum angezeigten Absender, sei vorsichtig. Das ist eines der Warnzeichen, die ich in Phishing-Mails erkennen beschreibe.

Wenn du deine eigene Domain einrichtest, kannst du schnell testen, indem du eine Mail an ein temporäres Postfach und an eine Gmail-Adresse schickst und dann die Header der Gmail-Kopie prüfst. Das dauert zwei Minuten und zeigt dir genau, was der Rest der Welt sieht.

Häufige Probleme und schnelle Lösungen

„SPF: softfail“ oder „neutral“: Der Server, der die Mail verschickt hat, steht nicht in deinem SPF-Eintrag. Füge den Dienst mit dem include: hinzu, das er dir nennt.
„SPF permerror“: Meist zwei SPF-Einträge oder mehr als 10 Abfragen. Führe alles zu einem Eintrag zusammen und entferne Dienste, die du nicht mehr nutzt.
„DKIM: fail“ nach dem Bearbeiten einer Vorlage: Irgendetwas hat die Mail nach dem Signieren umgeschrieben (manche Weiterleitungsdienste und automatische Mail-Fußzeilen tun das). Schick direkt und teste noch einmal.
DMARC schlägt fehl, obwohl SPF besteht: Alignment. SPF wurde für die Domain deines Versanddienstes bestanden, nicht für deine. Aktiviere in diesem Dienst DKIM mit deiner eigenen Domain oder richte eine eigene Return-Path-Domain ein.
Mails landen trotz bestandener Prüfungen im Spam: Authentifizierung beweist, wer du bist, aber nicht, dass die Leute deine Mails haben wollen. Inhalt, Absender-Reputation und Beschwerdequote spielen auch eine Rolle. Mehr dazu habe ich in warum App-Mails im Spam landen geschrieben.

Brauchst du wirklich alle drei?

Ja. Seit 2024 verlangen Gmail und Yahoo SPF, DKIM und einen DMARC-Eintrag von allen, die größere Mengen Mails verschicken, und selbst kleine Absender kommen mit allen dreien deutlich besser an. Noch wichtiger: DMARC mit p=reject ist das, was Betrüger daran hindert, in deinem Namen gefälschte Mails an deine eigenen Kunden zu schicken.

Die Einrichtung dauert einen Nachmittag. Danach schützt sie deine Domain ganz still, jeden einzelnen Tag. Wenn du eine Domain hast und das schon lange vor dir herschiebst, ist das hier dein Zeichen. Fang heute mit p=none an. Verschärfen kannst du später immer noch.

Blog

SPF, DKIM und DMARC einfach erklärt (mit Beispielen)