SPF, DKIM und DMARC erklärt: so kommen Ihre E-Mails an.

Gmail, Outlook, Bluewin und alle anderen prüfen jede eingehende Nachricht: Darf dieser Server überhaupt für diese Domain senden? Ist die Mail unterwegs verändert worden? Und was will der Inhaber der Domain, wenn etwas nicht stimmt?

Die Antworten stehen im DNS Ihrer Domain, in drei Einträgen: SPF, DKIM und DMARC. Fehlt einer oder steht er falsch, landen auch ganz gewöhnliche Geschäftsmails im Spam — oder kommen gar nicht an.

SPF (Sender Policy Framework) ist eine Liste der Server, die Mails im Namen Ihrer Domain verschicken dürfen. Sie steht als TXT-Eintrag direkt auf der Domain und beginnt mit v=spf1. Der Empfänger vergleicht die Adresse des sendenden Servers mit dieser Liste.

Zwei Fehler sind häufig. Zwei SPF-Einträge auf derselben Domain — das passiert, wenn ein zweiter Dienst dazukommt, etwa ein Newsletter-Werkzeug, und jemand einen neuen Eintrag anlegt, statt den bestehenden zu ergänzen. Zwei Einträge machen SPF vollständig ungültig; richtig ist einer, der alle Absender nennt. Und zu viele Verweise: ein SPF-Eintrag darf höchstens zehn weitere Namensabfragen auslösen. Wer viele Dienste per include: einbindet, überschreitet das schnell — dann gilt der Eintrag als Fehler.

DKIM (DomainKeys Identified Mail) ist eine digitale Unterschrift. Der sendende Server signiert jede Mail mit einem geheimen Schlüssel; der passende öffentliche Schlüssel steht in Ihrem DNS. Der Empfänger rechnet nach: Passt die Unterschrift, kommt die Mail von einem berechtigten Server und ist unterwegs nicht verändert worden.

Der öffentliche Schlüssel ist eine lange Zeichenkette. Beim Kopieren von Hand wird sie gerne in mehrere Zeilen zerrissen oder um ein Zeichen gekürzt — dann schlägt jede Prüfung fehl, obwohl der Eintrag auf den ersten Blick da ist.

SPF und DKIM sagen dem Empfänger, ob eine Mail echt ist. DMARC sagt ihm, was er tun soll, wenn sie es nicht ist. Der Eintrag steht unter _dmarc vor Ihrer Domain und kennt drei Stufen:

• p=none (beobachten): Der Empfänger stellt trotzdem zu, und Sie können sich Berichte schicken lassen. Das schützt noch nicht vor Fälschungen — ist aber der richtige Anfang.
• p=quarantine (Quarantäne): Gefälschte Mails landen im Spam.
• p=reject (ablehnen): Gefälschte Mails werden gar nicht angenommen.

DMARC prüft ausserdem, ob die Domain im sichtbaren Absender zu SPF oder DKIM passt. Genau das macht es wirksam: Ein Fälscher kann nicht einfach einen fremden, ordentlich eingerichteten Server benutzen.

Stufenweise vorgehen. Mit p=reject verschwinden auch Ihre eigenen Mails, wenn sie über einen Weg laufen, den SPF und DKIM nicht kennen — etwa über ein Newsletter-Werkzeug oder ein altes Büro-Programm beim Internetanbieter. Beginnen Sie mit «beobachten», prüfen Sie, ob alle Ihre Absender sauber durchgehen, und verschärfen Sie erst dann.

Die grossen Anbieter haben die Regeln verschärft: Gmail und Yahoo verlangen seit Februar 2024, Outlook seit Mai 2025 von Absendern grosser Mengen — ab rund 5 000 Mails am Tag — SPF, DKIM und einen DMARC-Eintrag. Und auch bei wenig Post sortieren sie Mails ohne gültige Prüfung bevorzugt aus. Wer die drei Einträge sauber setzt, macht es den Filtern leicht, ihm zu vertrauen.

Stehen alle drei auf pass und die Mails landen trotzdem im Spam, liegt es meist nicht an der Technik, sondern am Ruf: Eine frisch registrierte Domain ist den Filtern noch unbekannt, und dagegen hilft nur Zeit. Beginnen Sie mit gewöhnlicher Geschäftspost an Menschen, die Ihnen antworten, und verschicken Sie grössere Aussendungen erst später.

Liegt Ihre Domain bei techQ, setzt ein Knopf im Kundencenter alle Einträge für Ihre E-Mail auf einmal: MX, SPF, DKIM und DMARC. Die Karte «E-Mail-Vertrauen (DNS)» zeigt bei jedem Eintrag, ob er stimmt, fehlt oder angepasst werden muss. Ihre DMARC-Stufe wählen Sie selbst — wir stufen nicht automatisch hoch, weil nur Sie wissen, über welche Wege Ihre Post sonst noch hinausgeht.