Ihr SaaS sendet Rechnungen, Passwort-Resets und Betriebswarnungen von drei Anbietern: internes SMTP, SendGrid, Helpdesk. Alles „funktioniert“ bis zu dem Tag, an dem Microsoft 365 40 % der E-Mails als Junk klassifiziert. Der SPF der Hauptdomäne lässt zu viele Personen zu, DKIM läuft nur auf dem Helpdesk und niemand hat den ersten aggregierten DMARC-Bericht gelesen.
SPF, DKIM und DMARC sind keine drei Schlagworte, die man beim E-Mail-Host überprüfen sollte. Dies sind drei komplementäre Mechanismen mit einer oft vergessenen Bedingung: Ausrichtung.
SPF: Wer kann von Ihrer Domain aus senden?
SPF listet autorisierte Server über einen TXT „_spf.example.com“ auf. Klassische Fehler: „+all“, zu viele Einschlüsse (kaskadierendes „include:“), Vergessen des Transaktions-ESP, Beschränkung auf 10 DNS-Suchen.
SPF prüft den SMTP-Umschlag (MAIL FROM), nicht unbedingt den sichtbaren Absender. Ein Angreifer kann „you@example.com“ in From anzeigen, während er SPF auf seiner eigenen Domain weitergibt.
DKIM: kryptografische Signatur
DKIM signiert Teile der Nachricht mit einem im DNS veröffentlichten Schlüssel. Überlebt oft eine bescheidene Weiterleitung. Konfigurieren Sie separate Selektoren pro Dienst („s1._domainkey“, „helpdesk._domainkey“).
Schlüsselrotation: Zeitplan vor Ablauf; Einige Registrare erzwingen lange TXTs – überprüfen Sie die Fragmentierung.
DMARC: Richtlinien und Berichterstattung
DMARC sagt Ihnen, was zu tun ist, wenn SPF oder DKIM fehlschlägt und die From-Ausrichtung fehlerhaft ist. Beginnen Sie mit „p=none; rua=mailto:dmarc@example.com`.
| Phase | Politik | Ziel |
|---|---|---|
| 1 | p=keine | Inventar legitimer Absender |
| 2 | p=Quarantäne | Spoofing reduzieren |
| 3 | p=ablehnen | Spoofing blockieren |
Lesen Sie aggregierte XML-Berichte – automatisieren Sie die Analyse, wenn das Volumen hoch ist.
Ausrichtung: das Detail, das tötet
Entspannt: „mail.example.com“ stimmt mit „example.com“ überein. Streng: genaue Gleichheit der Domäne.
Häufiges Szenario: Von „hello@example.com“ hat DKIM „d=esp.net“ signiert → SPF/DKIM OK, DMARC schlägt fehl. Korrigieren Sie den Return-Path, den DKIM-Signer oder verwenden Sie eine dedizierte Subdomain („bounce.example.com“).
Checkliste für mehrere Anbieter
- Inventar der sendenden IPs/Domains.
- Einzelne konsolidierte SPF oder Subdomains pro Kanal.
- DKIM von ESP + Test mit mail-tester.com.
- DMARC p=keine, mindestens 30 Tage.
- BIMI optional, nur nach Ablehnung stabil.
Auswirkungen auf die Wahl des E-Mail-Hostings
Senden von einem gemeinsam genutzten VPS-SMTP teilt häufig IP und PTR mit Spam-Nachbarn. Selbst bei perfektem SPF/DKIM/DMARC kommt es zu einem Plateau bei der IP-Reputation. Transaktions-ESPs isolieren diese Ebene – erfordern jedoch einen DKIM/Return-Path, der auf Ihre Domain ausgerichtet ist, nicht nur auf die eigene.
Wenn Sie selbst gehostet bleiben, prüfen Sie, ob der Host ausgehende Port-25-, benutzerdefinierte PTR- und lange TXT-Einträge für 2048-Bit-DKIM zulässt. Einige Panels kürzen TXTs: ein häufiges Zeichen für „intermittierendes DKIM“.
Halten Sie das Bild am Leben: Dienst → Selektor DKIM → SPF einschließen → DMARC-Richtlinie. Für jedes neue Tool (CRM, Newsletter, Support) eine Zeile – sonst wird im nächsten Gesamtbericht ein vergessener Absender angezeigt.
Planen Sie eine vierteljährliche Überprüfung der aggregierten Berichte mit Marketing: Sie fügen Tools ohne DNS-Tickets hinzu, Sie erben DMARC-Fehler.
Siebentägiger Aktionsplan
Tag 1 – Exportieren Sie alle vorhandenen TXT- und MX-Einträge. Listen Sie jeden Dienst auf, der E-Mails sendet (Anwendung, CRM, Newsletter, Überwachung, Support).
Tag 2 – Geben Sie SPF frei oder konsolidieren Sie es mit dem abschließenden „-all“ nach den Einbindungen. Überprüfen Sie den DNS-Suchzähler (weniger als zehn).
Tag 3 – DKIM auf dem ersten ESP aktivieren; Test an Gmail und Microsoft senden; Überprüfen Sie die Authentication-Results-Header.
Tag 4 – DMARC „p=none“ mit funktionierender Rua-Adresse veröffentlichen. Konfigurieren Sie den Box- oder Aggregatparser.
Tag 5 – Analysieren Sie erste Berichte: unbekannte legitime Quellen, Ausrichtungsfehler, Weiterleitung durch Dritte.
Tag 6 – Fehlende Return-Path- und Selektoren beheben. Testen Sie den Versand kritischer Transaktionen (Rechnung, Zurücksetzen des Passworts) erneut.
Tag 7 – Dokumentieren Sie das Runbook „Neuen Absender hinzufügen“: SPF-Einbindung, DKIM, DMARC-Test, Marketingvalidierung.
Diese Woche umgeht die klassische Falle: Aktivieren Sie am großen Tag alles durch Ablehnen und entdecken Sie über Kunden-Bounces ein vergessenes internes Tool.
Der Gipfel: Grüner Lichtschutzfaktor reicht nicht aus
Entscheide dich und gehe ohne blinden Fleck voran
Beginnen Sie mit einer ehrlichen Bestandsaufnahme: Welche Dienste senden E-Mails an die Produktion, wer verwaltet sie und welches Wartungsfenster ist akzeptabel? Dokumentieren Sie den aktuellen DNS-Status, bevor Sie Änderungen vornehmen. Stellen Sie SPF und DKIM und anschließend DMARC im Beobachtungsmodus für mindestens dreißig Tage bereit. Analysieren Sie aggregierte Berichte, bevor Sie die Richtlinie auf Quarantäne oder Ablehnung festlegen. Durchsuchen Sie zur E-Mail-Infrastruktur unser Hostverzeichnis, den Vergleicher und unsere Leitfäden.
Häufig gestellte Fragen
Reicht Lichtschutzfaktor allein aus?
Nein. SPF überlebt die Weiterleitung nicht und deckt keine gefälschten From-Header ab. DKIM und DMARC füllen diese blinden Flecken – die drei Protokolle sind ein Paket und keine austauschbaren Optionen.
Was ist DMARC-Ausrichtung?
Die From-Header-Domäne muss mit der validierten SPF- oder DKIM-Domäne übereinstimmen (streng) oder eine übergeordnete Domäne (relaxiert) sein. Ohne Abstimmung schlägt DMARC fehl, selbst wenn SPF und DKIM isoliert bestehen – dies ist der häufigste Grund für die Ablehnung bei Gmail und Microsoft.
Wo soll mit der Bereitstellung begonnen werden?
Veröffentlichen Sie SPF und DKIM, dann DMARC auf p=none mit rua/ruf-Berichten, analysieren Sie einen Monat lang, verschärfen Sie die Quarantäne und lehnen Sie sie dann ab. Gehen Sie niemals ohne vorherige Beobachtungsfrist direkt zur Ablehnung.
Erben Subdomains vom übergeordneten DMARC?
Nein automatisch. Fügen Sie sp= oder explizite DMARC-Richtlinien pro sendender Subdomain hinzu – jeder Kanal (Newsletter, Support, Transaktion) muss zugeordnet werden.
Öffnen Sie Ihren neuesten DMARC-Aggregatbericht, bevor Sie einen neuen ESP hinzufügen. Andernfalls erkennen Sie den Konflikt über Clients und nicht über DNS.