DKIM, SPF und DMARC: Der komplette Leitfaden zur E-Mail-Authentifizierung für 2026

Im Februar 2024 haben Google und Yahoo die E-Mail-Authentifizierung für Massenversender zur Pflicht gemacht. Wenn Sie mehr als 5.000 E-Mails pro Tag versenden, müssen Sie SPF, DKIM und DMARC eingerichtet haben — andernfalls werden Ihre E-Mails abgelehnt oder landen im Spam-Ordner.

Doch selbst wenn Sie weniger E-Mails versenden, sind diese drei Protokolle für die Zustellbarkeit unverzichtbar. Sie belegen gegenüber den Posteingangsanbietern, dass Ihre E-Mails tatsächlich von Ihnen stammen und während der Übertragung nicht verändert wurden.

In diesem Leitfaden erkläre ich, was jedes Protokoll leistet, wie sie zusammenarbeiten und wie Sie sie korrekt einrichten — auch wenn Sie kein technischer Experte sind.

Die drei Säulen der E-Mail-Authentifizierung

Stellen Sie sich die E-Mail-Authentifizierung wie die Sicherheitskontrolle am Flughafen vor:

Alle drei arbeiten zusammen. SPF ohne DMARC ist wie ein Reisepass, den niemand bei der Passkontrolle prüft. DKIM ohne DMARC ist ein Siegel, das niemand kontrolliert.

SPF: Sender Policy Framework

Was SPF leistet

SPF ist ein DNS-TXT-Eintrag, der die IP-Adressen und Server auflistet, die berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden. Erhält ein empfangender Mailserver eine E-Mail von you@yourdomain.com, it checks your domain's SPF record to confirm the sending server is authorized.

So richten Sie SPF ein

Fügen Sie einen TXT-Eintrag in den DNS-Einstellungen Ihrer Domain hinzu:

Type: TXT
Host/Name: @ (or yourdomain.com)
Value: v=spf1 include:_spf.google.com include:sendgrid.net ~all

Aufschlüsselung der Syntax:

Häufige SPF-Fehler, die Sie vermeiden sollten

• Mehrere SPF-Einträge: Pro Domain darf es nur EINEN SPF-Eintrag geben. Wenn Sie zwei haben, werden beide ungültig.
• Zu viele DNS-Abfragen: SPF erlaubt maximal 10 DNS-Abfragen pro Prüfung. Verwenden Sie Tools wie spf-record.com to validate.
• Verwenden von +all: Damit wird jedem erlaubt, im Namen Ihrer Domain zu senden – das Gegenteil dessen, was Sie wollen.
• Vergessen, Drittanbieter-Absender einzubeziehen: Ihr E-Mail-Dienstleister (ESP), Ihr CRM, Ihr Helpdesk und alle anderen Tools, die E-Mails über Ihre Domain versenden.

DKIM: DomainKeys Identified Mail

Was DKIM leistet

DKIM fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu. Der empfangende Server nutzt Ihren öffentlichen Schlüssel (veröffentlicht im DNS), um zu überprüfen, dass die E-Mail auf dem Transportweg nicht verändert wurde und tatsächlich von Ihrer Domain stammt.

So richten Sie DKIM ein

Die meisten E-Mail-Anbieter generieren DKIM-Schlüssel für Sie. So sieht der typische Ablauf aus:

1. Schlüssel generieren im Dashboard Ihres E-Mail-Anbieters (Google Workspace, Brevo, SendGrid usw.)
2. DNS-Eintrag hinzufügen den sie bereitstellen:

Typ: TXT
Host/Name: google._domainkey.yourdomain.com  (variiert je nach Anbieter)
Wert: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

3. DKIM-Signierung aktivieren in den Einstellungen deines Anbieters
4. Prüfen mit einem DKIM-Prüfwerkzeug

DKIM-Selektoren

Der "Selektor" (google, s1, smtp, etc.) is an identifier that tells the receiving server which DKIM key to use. Your ESP provides the selector — it's part of the DNS hostname:

<selector>._domainkey.yourdomain.com

Du kannst mehrere DKIM-Selektoren für verschiedene Dienste verwenden (z. B. google._domainkey for Google Workspace, s1._domainkey for your ESP).

Bewährte Methoden für DKIM

• Verwende eine 2048-Bit-Schlüssel als Mindestwert. 1024-Bit-Schlüssel gelten nicht mehr als sicher.
• Schlüssel regelmäßig austauschen (alle 6–12 Monate)
• Stelle sicher, dass dein E-Mail-Dienstleister E-Mails tatsächlich mit DKIM signiert, bevor du den DNS-Eintrag hinzufügst

DMARC: Domain-based Message Authentication, Reporting & Conformance

Was DMARC leistet

DMARC ist die Richtlinienebene, die SPF und DKIM miteinander verbindet. Es teilt empfangenden Servern Folgendes mit:

1. Was geprüft werden soll (SPF, DKIM oder beides)
2. Was bei fehlgeschlagener Prüfung geschehen soll (nichts tun, in Quarantäne verschieben oder ablehnen)
3. Wohin Berichte über die Authentifizierungsergebnisse gesendet werden sollen

So richtest du DMARC ein

Füge deiner Domain einen TXT-Eintrag hinzu:

Typ: TXT
Host/Name: _dmarc.yourdomain.com
Wert: v=DMARC1; p=Quarantäne; rua=mailto:dmarc-Berichte@yourdomain.com; ruf=mailto:dmarc-Forensik@yourdomain.com; pct=100

Richtlinienstufen (p=):

Empfohlener Einführungspfad:

1. Beginne mit der p=none and rua (aggregate reports) for 1–2 weeks
2. DMARC-Berichte prüfen, um unbefugte Absender zu identifizieren
3. Wechseln zu p=quarantine for another 1–2 weeks
4. Wechseln zu p=reject once you're confident all legitimate senders pass

Wie die drei zusammenarbeiten

Wenn Sie eine E-Mail senden, passiert auf dem empfangenden Server Folgendes:

1. SPF Haben Sie: "Ist die IP des sendenden Servers im SPF-Eintrag enthalten?"
   → PASS oder FAIL

2. DKIM Haben Sie: "Stimmt die DKIM-Signatur mit dem öffentlichen Schlüssel im DNS überein?"
   → PASS oder FAIL

3. DMARC Haben Sie: "Was sollte ich anhand der SPF/DKIM-Ergebnisse tun?"
   → NONE: Zustellen –
   → QUARANTINE: Senden auf auch Ordner
   → REJECT: Blockieren vollständig (Bounce)

Damit DMARC besteht, muss mindestens eine der beiden Prüfungen, SPF oder DKIM, bestanden werden UND mit der sendenden Domain übereinstimmen. Das bedeutet:

• Wenn SPF besteht, DKIM aber fehlschlägt → DMARC kann bestehen
• Wenn DKIM besteht, SPF aber fehlschlägt → DMARC kann bestehen
• Wenn beide fehlschlagen → DMARC schlägt fehl

Test Ihrer Authentifizierungskonfiguration

Nutzen Sie diese kostenlosen Tools, um Ihre Konfiguration zu überprüfen:

1. Google Admin Toolbox CheckMX: Gehen Sie zu https://toolbox.googleapps.com/apps/checkmx/ and enter your domain
2. MXToolbox: Prüfen Sie SPF, DKIM und DMARC einzeln unter https://mxtoolbox.com/
3. DMARC Analyzer von Dmarcian: DMARC-Berichte für detaillierte Analysen hochladen
4. Test-E-Mail senden an check-auth@verifier.port25.com — it replies with a detailed SPF/DKIM/DMARC report

Häufige Fehler, die die Authentifizierung stören

1. SPF nicht aktualisieren, wenn man den E-Mail-Dienstleister wechselt

Wenn Sie von Mailchimp zu Brevo (oder einem anderen E-Mail-Dienstleister) wechseln, aktualisieren Sie Ihren SPF-Eintrag, sodass er auch den neuen Anbieter enthält, und behalten Sie den alten während der Umstellung bei.

2. DKIM-Schlüssel zu kurz

DKIM-Schlüssel mit 1024 Bit sind veraltet. Google und Microsoft könnten sie ablehnen. Verwenden Sie immer mindestens 2048 Bit.

3. DMARC rua Email Doesn't Exist

Der rua address receives aggregate XML reports. If this mailbox doesn't exist or is full, you lose visibility into authentication failures.

4. SPF-PermError (zu viele Abfragen)

Jeder include:, a, mx, and ptr mechanism counts as a DNS lookup. The limit is 10. If you exceed it, SPF fails with a PermError — which means it's treated as if it doesn't exist.

Lösung: Nutzen Sie einen gehosteten SPF-Flattening-Dienst oder fassen Sie Ihre include-Einträge zusammen.

Die wichtigsten Erkenntnisse

• SPF + DKIM + DMARC sind verpflichtend für Massenversender (Anforderung von Google/Yahoo seit Februar 2024)
• Beginne mit der p=none, überwachen Sie dies 2 Wochen lang und wechseln Sie dann zu p=quarantine then p=reject
• Überprüfen Sie Ihre Einrichtung mit Google CheckMX, MXToolbox oder der Testadresse von Port25
• Nur ein SPF-Eintrag — mehrere Einträge machen beide ungültig
• DKIM-Schlüssel mit 2048 Bit oder höher
• Prüfen Sie Ihre E-Mail-Liste mit einem Verifizierungstool, um sicherzustellen, dass Sie nicht an ungültige Adressen senden — Authentifizierung ist nur die halbe Gleichung, die Qualität der Liste ist die andere Hälfte