SPF, DKIM und DMARC: E-Mail-Domains systematisch absichern

Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 20.08.2026.

Eine gefälschte Absenderadresse sieht für Empfänger oft überzeugend aus. SPF, DKIM und DMARC erschweren solchen Missbrauch – aber nur, wenn alle legitimen Versandwege bekannt sind, die Domänen zueinander passen und Änderungen kontrolliert ausgewertet werden. Dieser Leitfaden zeigt einen belastbaren Weg von der Bestandsaufnahme bis zur wirksamen DMARC-Richtlinie.

Warum ein einzelner DNS-Eintrag nicht genügt

Unternehmens-E-Mail entsteht selten nur in Microsoft 365 oder auf einem einzigen Mailserver. Auch Warenwirtschaft, CRM, Ticketsystem, Websiteformular, Newsletterdienst, Multifunktionsgerät oder Monitoring versenden Nachrichten. Jeder vergessene Dienst kann beim späteren Verschärfen der Richtlinie legitime E-Mails beeinträchtigen.

Deshalb beginnt E-Mail-Authentifizierung nicht mit dem Kopieren eines Beispielwertes, sondern mit einem Versandinventar. Zu jedem Dienst gehören die verwendete Absenderadresse, die technische Versanddomäne, die autorisierten Server, eine verantwortliche Person und ein Testweg.

Die drei Verfahren verständlich getrennt

Für einen DMARC-Erfolg muss nicht beides gleichzeitig bestehen: Ein gültiges und ausgerichtetes SPF-Ergebnis oder eine gültige und ausgerichtete DKIM-Signatur genügt. In der Praxis ist die saubere Einrichtung beider Verfahren sinnvoll, weil Weiterleitungen SPF beeinträchtigen können und einzelne Versandsysteme unterschiedlich arbeiten.

Was „Alignment“ konkret bedeutet

Empfänger sehen vor allem die Adresse im Feld „From“. SPF prüft dagegen die Domäne des technischen Envelope-Absenders; DKIM verwendet die Domäne im Signaturparameter d=. DMARC vergleicht diese Identitäten mit der sichtbaren From-Domäne. Nur ein technisch bestandener Mechanismus mit passender Domäne zählt als ausgerichtet.

Ein externer Dienst kann daher SPF und DKIM technisch korrekt bestehen und DMARC trotzdem verfehlen, wenn er ausschließlich seine eigene Anbieterdomäne nutzt. Seriöse Dienste bieten für diesen Fall eine kundeneigene Versanddomäne, DKIM-Schlüssel oder beides an.

Ein sicherer Einführungsplan in sieben Schritten

1. Alle Absender und Domänen erfassen. Berücksichtigen Sie Hauptdomäne, Subdomänen, Cloud-Dienste, Anwendungen, Geräte und externe Dienstleister. Prüfen Sie auch Systeme, die nur selten Warnungen oder Rechnungen versenden.
2. SPF bereinigen. Für einen Domänennamen darf nur ein SPF-Record ausgewertet werden. Führen Sie vorhandene Regeln zusammen, entfernen Sie alte Anbieter und kontrollieren Sie Weiterleitungen sowie DNS-Lookups.
3. DKIM pro Versandsystem aktivieren. Verwenden Sie eindeutige Selektoren, ausreichend starke Schlüssel nach Vorgabe des Dienstes und dokumentieren Sie, wie Schlüssel gewechselt werden. Ein Test muss Signatur und Domäne prüfen, nicht nur den erfolgreichen Versand.
4. DMARC zunächst beobachtend starten. Eine Richtlinie mit p=none und einem kontrollierten Postfach für aggregierte Berichte schafft Sichtbarkeit, blockiert Missbrauch aber noch nicht. Das Berichtspostfach sollte organisatorisch betreut und gegen unnötige Datenweitergabe geprüft werden.
5. Reports regelmäßig auswerten. Ordnen Sie erkannte Absender einem legitimen Dienst, einer Fehlkonfiguration oder einem Missbrauchsversuch zu. Unbekannte Quellen werden nicht vorschnell freigeschaltet, sondern untersucht.
6. Fehler korrigieren und Richtlinie verschärfen. Wechseln Sie erst nach belegbaren Tests schrittweise zu quarantine und anschließend – wenn der Versandbestand vollständig beherrscht wird – zu reject. Subdomänen und prozentuale Einführung werden bewusst eingeplant.
7. Den Betrieb dauerhaft verankern. Neue Versanddienste brauchen vor der Freigabe einen Authentifizierungscheck. Zuständigkeiten, Änderungen, Tests und Schlüsselwechsel gehören in die normale Betriebsdokumentation.

Typische Fehler und ihre Folgen

Mehrere SPF-Records

Mehrere parallel veröffentlichte SPF-Records sind kein Sicherheitsplus. Sie führen zu einem dauerhaften Fehler bei der Auswertung. Benötigte Mechanismen gehören in genau einen konsolidierten Record.

p=none als Endzustand

Der Beobachtungsmodus ist wertvoll für Einführung und Analyse, weist Empfänger aber nicht an, fehlgeschlagene Nachrichten abzuweisen oder in Quarantäne zu stellen. Wer dauerhaft dort stehen bleibt, nutzt DMARC überwiegend als Messinstrument.

Nur die Hauptplattform wird berücksichtigt

Microsoft 365 oder ein zentraler Mailserver ist oft gut dokumentiert. Ausfälle entstehen häufiger durch übersehene Systeme: Scanner, Shops, Alarmmeldungen, ERP, Marketing oder alte SMTP-Zugänge.

Zu frühes SPF-Hardfail am Empfängereingang

Die im Mai 2026 veröffentlichte DMARC-Spezifikation RFC 9989 weist darauf hin, dass eine sehr frühe Ablehnung allein aufgrund von SPF -all die DMARC-Auswertung und damit auch gewünschte Berichte verhindern kann. Empfänger sollten ihre Filterlogik daher als Gesamtsystem betrachten.

So wird die Einrichtung belastbar getestet

• Testnachrichten aus jedem legitimen Versandsystem an mehrere externe Empfänger senden.
• In den vollständigen Kopfzeilen SPF, DKIM, DMARC und die jeweils geprüften Domänen kontrollieren.
• Weiterleitung, automatische Antworten und typische Anwendungsszenarien gesondert testen.
• Aggregierte DMARC-Berichte über mehrere reguläre Versandzyklen auswerten.
• Bei jeder DNS- oder Plattformänderung einen dokumentierten Wiederholungstest durchführen.

Google verlangt für Absender an private Gmail-Konten mindestens SPF oder DKIM; für Absender mit mehr als 5.000 Nachrichten pro Tag an Gmail sind SPF, DKIM und DMARC einschließlich Alignment gefordert. Unabhängig von dieser Schwelle ist die Kombination für Unternehmensdomänen eine sinnvolle Schutz- und Betriebsmaßnahme. Auch Microsoft beschreibt die drei Methoden als zusammenwirkende Bestandteile der E-Mail-Authentifizierung.

Aktueller Standard: DMARC wurde 2026 überarbeitet

RFC 9989 ist seit Mai 2026 die aktuelle DMARC-Spezifikation und ersetzt RFC 7489 sowie RFC 9091. Die aggregierte Berichterstattung ist nun separat in RFC 9990 beschrieben. Für bestehende Umgebungen bedeutet das keinen Anlass für hektische DNS-Änderungen, wohl aber einen guten Zeitpunkt, alte Einführungsunterlagen, Reportauswertung und Betriebsprozesse zu überprüfen.

Wie SCREENUS unterstützen kann

Wir unterstützen bei der Bestandsaufnahme der Versandwege, beim Aufbau und Test von SPF, DKIM und DMARC sowie bei der Einordnung auffälliger Quellen. Dazu gehören auch E-Mail-Sicherheit, Cybersicherheit und die nachvollziehbare Dokumentation für den laufenden Betrieb.

E-Mail-Domains prüfen lassen

Dieser Beitrag dient der allgemeinen technischen Information. Er ersetzt weder Rechtsberatung noch eine individuelle Prüfung der konkreten Mailumgebung, Verträge oder Datenschutzanforderungen.