Das Problem: Absender lassen sich fälschen
E-Mail prüft von Haus aus nicht, ob der angezeigte Absender stimmt. Ohne zusätzliche Absicherung kann jeder eine Nachricht verschicken, die aussieht, als käme sie von Ihrer Domain – etwa eine Rechnung mit geänderter Bankverbindung an Ihre Kunden.
SPF: Wer darf senden?
SPF (Sender Policy Framework) ist ein Eintrag im DNS Ihrer Domain. Er listet die Server auf, die in Ihrem Namen E-Mails versenden dürfen – zum Beispiel Microsoft 365 und Ihr Newsletter-Dienst.
DKIM: Ist die Nachricht echt und unverändert?
DKIM (DomainKeys Identified Mail) versieht jede ausgehende E-Mail mit einer digitalen Signatur. Der Empfänger prüft sie anhand eines öffentlichen Schlüssels im DNS und erkennt so, ob die Nachricht tatsächlich von Ihrer Domain stammt und unterwegs nicht verändert wurde.
DMARC: Was passiert bei einem Fehlschlag?
DMARC verbindet beides und gibt Empfängern eine Anweisung: Nachrichten, die weder SPF noch DKIM passend zur Absenderdomain bestehen, werden nur beobachtet (none), in den Spam verschoben (quarantine) oder abgelehnt (reject). Zusätzlich liefert DMARC Berichte darüber, wer im Namen Ihrer Domain sendet.
Der häufigste Fehler: angelegt, aber nicht durchgesetzt
Viele Domains haben einen DMARC-Eintrag mit der Richtlinie „none“. Das liefert Berichte, schützt aber niemanden. Wirksam wird DMARC erst mit „quarantine“ oder „reject“ – nachdem anhand der Berichte geprüft wurde, dass alle legitimen Absender korrekt eingerichtet sind.
So gehen Sie vor
- Alle Systeme erfassen, die in Ihrem Namen senden: Mailserver, Newsletter, CRM, Rechnungs- und Ticketsystem.
- SPF und DKIM für jedes dieser Systeme einrichten.
- DMARC mit „none“ starten und die Berichte einige Wochen auswerten.
- Schrittweise auf „quarantine“ und dann auf „reject“ verschärfen.
Große Postfachanbieter wie Google und Yahoo verlangen seit 2024 von Massenversendern SPF, DKIM und DMARC. Ein sauberes Setup verbessert damit auch die Zustellbarkeit Ihrer eigenen E-Mails.
Stand: November 2026