SPF, DKIM und DMARC erklärt: Spoofing stoppen und im Posteingang landen

• SPF listet die Server auf, die für Ihre Domain Mails versenden dürfen.
• DKIM signiert jede Nachricht; der öffentliche Schlüssel zur Prüfung steht im DNS.
• DMARC sagt Empfängern, was bei fehlgeschlagenem SPF und DKIM zu tun ist, und schickt Ihnen Berichte. Es besteht nur, wenn die Domain der sichtbaren Absenderadresse übereinstimmt.
• Beginnen Sie mit p=none, lesen Sie die Berichte und wechseln Sie zu quarantine und reject, sobald alle legitimen Absender bestehen.

Seit Februar 2024 verlangen Gmail und Yahoo von jedem Absender SPF oder DKIM. Massenversender (laut Google mehr als 5.000 Nachrichten pro Tag an Gmail-Adressen) brauchen SPF, DKIM und einen DMARC-Eintrag (p=none genügt), eine zu SPF oder DKIM passende Absenderdomain, Abmeldung mit einem Klick bei Werbemails und eine Spam-Beschwerderate unter 0,3 %.

Auch wer wenig versendet: Fehlende Einträge machen Ihre Domain leicht fälschbar für Phishing, und Empfänger vertrauen Mails von solchen Domains weniger.

SPF ist ein einzelner TXT-Eintrag auf Ihrer Domain, der mit v=spf1 beginnt, die erlaubten Absender auflistet und mit einer Regel für alle anderen endet. include: übernimmt die Liste eines Anbieters, ip4:/ip6: fügen eigene Server hinzu, mx erlaubt die MX-Server der Domain.

• Veröffentlichen Sie genau einen SPF-Eintrag. Zwei v=spf1-Einträge lassen SPF scheitern (permerror) – führen Sie sie zusammen.
• SPF darf höchstens 10 DNS-Abfragen auslösen (jedes include, a, mx, exists und redirect zählt, auch verschachtelte). Darüber schlägt SPF fehl; entfernen Sie nicht mehr genutzte includes.
• -all (fail) bittet um Ablehnung nicht gelisteter Absender, ~all (softfail) um Einstufung als verdächtig. Mit DMARC ist ~all üblich und sicher.
• SPF prüft den Umschlag-Absender (Return-Path), nicht die sichtbare Absenderadresse, und bricht bei Weiterleitungen. Deshalb brauchen Sie auch DKIM.

Der sendende Server signiert Header und Inhalt mit einem privaten Schlüssel; der Empfänger holt den öffentlichen Schlüssel von selector._domainkey.example.de und prüft die Signatur. Der Selector ist ein vom Anbieter gewählter Name (google, selector1, s1, k1…), sodass jeder Dienst einen eigenen Schlüssel bekommt.

Aktivieren Sie DKIM in jedem Dienst, über den Sie versenden (Mailanbieter, Newsletter-Tool, CRM, Onlineshop), und veröffentlichen Sie den angezeigten Eintrag, meist TXT oder CNAME. Nutzen Sie 2048-Bit-Schlüssel, wo möglich. DKIM übersteht Weiterleitungen und ist damit die verlässlichere Hälfte für DMARC.

DMARC steht unter _dmarc.example.de. Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die geprüfte Domain zur Domain der Absenderadresse passt (Alignment). Ein Anbieter, der mit seiner eigenen Domain signiert, hilft erst, wenn Sie DKIM für Ihre Domain einrichten.

rua=mailto: bittet Empfänger um tägliche Sammelberichte (XML), welche Server als Ihre Domain gesendet haben und ob sie bestanden. Mit diesen Berichten finden Sie vergessene Absender, bevor Sie die Richtlinie verschärfen.

• Erfassen Sie alles, was als Ihre Domain Mails verschickt: Postfächer, Website-Formulare, Newsletter, Rechnungsversand, Support-System.
• Veröffentlichen Sie einen SPF-Eintrag, der alle abdeckt, und aktivieren Sie DKIM in jedem davon.
• Fügen Sie v=DMARC1; p=none; rua=mailto:… hinzu und lesen Sie zwei bis vier Wochen lang die Berichte.
• Beheben Sie jeden legitimen Absender, der scheitert, wechseln Sie dann zu p=quarantine (bei Bedarf schrittweise mit pct=) und später zu p=reject.
• Domains, die nie Mails senden, sollten v=spf1 -all und v=DMARC1; p=reject veröffentlichen, damit niemand sie fälschen kann.

• MTA-STS und TLS-RPT sorgen dafür, dass andere Server nur über verifiziertes TLS an Sie zustellen und Probleme melden.
• BIMI zeigt Ihr Logo neben Ihren Nachrichten in unterstützten Postfächern; Voraussetzung ist DMARC mit quarantine oder reject.

Der E-Mail-Sicherheitscheck liest MX, SPF (mit Anzahl der DNS-Abfragen), DKIM für gängige oder Ihre eigenen Selectoren, DMARC, MTA-STS, TLS-RPT und BIMI und zeigt gefundene Probleme. Führen Sie ihn nach jeder DNS-Änderung erneut aus; je nach TTL dauert es einige Minuten bis eine Stunde, bis neue Einträge sichtbar sind.