Ratgeber · E-Mail & Domains

SPF, DKIM und DMARC erklärt: Warum deine E-Mails im Spam landen

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 5 Min. Lesezeit

Deine Rechnungen landen im Spamordner der Kunden oder kommen gleich zurück. In neun von zehn Fällen ist nicht der Inhalt das Problem. Die empfangenden Server können schlicht nicht bestätigen, dass die Mail wirklich von deiner Domain stammt. Darüber entscheiden drei DNS-Einträge.

Die drei Einträge in einfachen Worten

SPF: wer senden darf

SPF ist ein TXT-Eintrag deiner Domain, der die Server auflistet, die ihre Mails verschicken dürfen. Ein typischer, für eine Firma mit Google Workspace und einem Newsletter-Tool:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Jedes include: bindet die Liste eines Anbieters ein. Das Ende sagt, was mit allem anderen passiert: -all heißt „ablehnen“, ~all heißt „misstrauisch behandeln“. SPF prüft den versteckten Umschlag-Absender (den Return-Path), nicht die From-Zeile, die Menschen sehen, und reicht deshalb allein nicht aus.

Die Falle: SPF erlaubt bei der Auswertung höchstens zehn DNS-Abfragen. Jedes include, a, mx und exists zählt mit, auch die innerhalb der Anbieterlisten. Ein Dienst zu viel, und SPF scheitert bei jeder Nachricht, ohne dass es jemand merkt.

DKIM: eine Signatur auf jeder Nachricht

Dein Maildienst signiert jede ausgehende Nachricht mit einem privaten Schlüssel und veröffentlicht den öffentlichen Schlüssel im DNS unter einem Selektor, bei selektor._domainkey.deinedomain. Der Empfänger prüft die Signatur; passt sie, ist die Nachricht wirklich über einen Server mit deinem Schlüssel gelaufen und unterwegs nicht verändert worden. DKIM-Einträge schreibst du nicht von Hand: Jeder Maildienst gibt dir den Eintrag, den du veröffentlichst, und du schaltest das Signieren in seinen Einstellungen ein.

DMARC: an die From-Adresse binden und eine Policy festlegen

DMARC liegt unter _dmarc.deinedomain. Er sagt: Eine Nachricht gilt nur, wenn SPF oder DKIM für dieselbe Domain wie die From-Adresse bestehen (das nennt man Alignment), und hier steht, was sonst passieren soll.

v=DMARC1; p=none; rua=mailto:dmarc-reports@deinedomain

p=none sammelt nur Berichte; p=quarantine schickt Fehlschläge in den Spam; p=reject lehnt sie ab. Die rua-Adresse bekommt täglich zusammenfassende Berichte von großen Empfängern, mit jedem Server, der Mails in deinem Namen verschickt hat. Über diese Berichte findest du die Dienste, die du vergessen hattest.

Ein Praxisbeispiel: eine Domain, die überhaupt keine Mails verschickt

Wir haben den Domain-Report von iplover am 9. November 2026 für example.com laufen lassen, die Dokumentationsdomain. Sein E-Mail-Abschnitt, wie angezeigt:

So sollte eine Domain aussehen, die nie Mails verschickt, und es lohnt sich, das für jede Domain zu übernehmen, die dir gehört, die du aber nicht für E-Mail nutzt:

• v=spf1 -all erlaubt überhaupt keinen Server, also scheitert jede Nachricht, die angeblich von dort kommt, an SPF.
• p=reject mit sp=reject bittet Empfänger, Fehlschläge für die Domain und ihre Subdomains abzulehnen. adkim=s und aspf=s verlangen exaktes (striktes) Alignment, statt Subdomains zuzulassen.
• Ein Null-MX-Eintrag sagt, dass die Domain auch keine Mails annimmt.

Der DKIM-Hinweis ist ehrlich, was seine Grenze angeht: kein Schlüssel unter den Selektoren, die wir probiert haben. Eine Domain, die nichts verschickt, hat keinen Grund, einen zu veröffentlichen. Bei einer Domain, die verschickt, kann „nicht gefunden“ auch heißen, dass wir den Selektor nicht erraten haben; die Header einer Mail, die du selbst verschickt hast (achte auf s= in der DKIM-Signature-Zeile), verraten dir den echten.

Deine eigene Domain prüfen

dig +short TXT deinedomain.de | grep spf1
dig +short TXT _dmarc.deinedomain.de
dig +short TXT selektor._domainkey.deinedomain.de   # deinen echten Selektor einsetzen

Unter Windows: nslookup -type=TXT _dmarc.deinedomain.de. Oder starte den Domain-Report, der all das erledigt und die SPF-Abfragen für dich zählt.

Der beste Test überhaupt: Schick eine Nachricht an ein Gmail-Konto, das du kontrollierst, öffne sie, wähle Original anzeigen und lies die Zeilen zu SPF, DKIM und DMARC oben. Genau das hat der Empfänger über dich geschlossen.

Wenn deine Mails im Spam landen: die Reparaturliste

Wenn die Berichte nur noch deine eigenen Dienste mit bestandenen Prüfungen zeigen, verschärf DMARC Schritt für Schritt: p=quarantine, dann p=reject. Direkt auf reject zu gehen, bevor du jeden Absender gefunden hast, ist der Weg, auf dem Firmen ihre eigenen Rechnungen verlieren.

Was diese Einträge nicht leisten

SPF, DKIM und DMARC schützen genau deine Domain vor Fälschung. Sie verhindern nicht, dass jemand eine ähnliche Domain registriert, sie machen spamartige Mails nicht willkommen, und sie sagen nichts darüber, ob der Inhalt einer Nachricht ehrlich ist. Sie sind das Minimum, damit Empfänger deiner Domain vertrauen, keine Garantie für den Posteingang.