SPF, DKIM und DMARC verständlich erklärt: Warum Unternehmensmails im Spam landen

E-Mails können technisch korrekt versendet werden und trotzdem im Spamordner landen. Ein häufiger Grund ist, dass der empfangende Mailserver nicht eindeutig erkennen kann, ob eine Nachricht wirklich im Namen der angegebenen Domain versendet werden durfte. Genau hier setzen SPF, DKIM und DMARC an.

Die drei Verfahren gehören heute zur Grundausstattung einer professionell betriebenen Unternehmensdomain. Sie helfen Mailanbietern dabei, legitime Nachrichten von gefälschten Absendern zu unterscheiden. Gleichzeitig erschweren sie es Angreifern, die eigene Domain für Phishing oder sogenanntes Spoofing zu missbrauchen.

Allerdings ist E-Mail-Authentifizierung kein einzelner Schalter. SPF, DKIM und DMARC übernehmen unterschiedliche Aufgaben und funktionieren am besten gemeinsam. Wer nur einen SPF-Eintrag anlegt und das Thema damit als erledigt betrachtet, kann weiterhin Zustellprobleme haben.

Warum Unternehmensmails im Spam landen können

Spamfilter bewerten eine Nachricht nicht nur nach ihrem Inhalt. Sie berücksichtigen unter anderem die technische Authentifizierung, den Ruf der Absenderdomain und der sendenden Systeme, das bisherige Versandverhalten sowie Reaktionen der Empfänger. Eine sauber eingerichtete E-Mail-Authentifizierung garantiert deshalb nicht, dass jede Nachricht im Posteingang landet. Sie beseitigt aber eine wichtige Fehlerquelle und schafft eine technische Vertrauensbasis.

Das ist inzwischen auch für normale geschäftliche Kommunikation relevant. Bei der E-Mail-Authentifizierung verlangt Google für Nachrichten an private Gmail-Adressen mindestens SPF oder DKIM. Wer etwa 5.000 oder mehr Nachrichten pro Tag an Gmail-Konten sendet, muss zusätzlich SPF und DKIM gemeinsam sowie DMARC einrichten; für direkte Nachrichten verlangt Google außerdem Alignment zur sichtbaren From-Domain. Für kleine Unternehmen ist die praktische Konsequenz trotzdem einfach: Auch bei wenigen täglichen E-Mails sollten alle drei Verfahren sauber eingerichtet sein.

SPF, DKIM und DMARC im Überblick

Verfahren	Vereinfacht gesagt	Hauptaufgabe
SPF	Welche Systeme dürfen für meine Domain senden?	Erlaubte Mailserver und Versanddienste festlegen
DKIM	Ist die DKIM-Signatur gültig und sind die signierten Nachrichtenteile unverändert?	Nachricht kryptografisch signieren und Integrität prüfen
DMARC	Passt die technische Authentifizierung zum sichtbaren Absender?	SPF und DKIM mit der Absenderdomain verbinden und Regeln für Fehler festlegen

Die drei Verfahren lösen also nicht dasselbe Problem. SPF betrachtet vor allem den versendenden Server, DKIM versieht Nachrichten mit einer überprüfbaren Signatur und DMARC bringt diese Informationen mit der Domain zusammen, die der Empfänger im Feld „Von“ sieht.

SPF: Welche Systeme dürfen im Namen der Domain senden?

SPF steht für Sender Policy Framework. Der Domaininhaber veröffentlicht im DNS einen Eintrag, der festlegt, welche Mailserver oder Versanddienste E-Mails für diese Domain versenden dürfen.

Das klingt zunächst einfach. In Unternehmensumgebungen gibt es aber oft mehr Absender als erwartet. Neben Microsoft 365 oder Google Workspace können zum Beispiel ein Ticketsystem, eine Buchhaltungssoftware, ein CRM, ein Newsletterdienst oder die eigene Webseite E-Mails unter der Unternehmensdomain verschicken.

Fehlt einer dieser Dienste im SPF-Eintrag, kann dessen Versand bei Empfängern als nicht autorisiert erscheinen. Umgekehrt sollte ein SPF-Eintrag nicht unnötig viele Systeme freigeben, denn jede zusätzliche Freigabe vergrößert den Kreis der Systeme, die technisch im Namen der Domain senden dürfen.

Eine häufige Fehlkonfiguration sind mehrere voneinander unabhängige SPF-Einträge für dieselbe Domain. SPF ist nicht dafür gedacht, dass jeder neue Dienst einfach einen weiteren vollständigen Eintrag erhält. Stattdessen müssen die tatsächlich benötigten Versandquellen in einer gültigen SPF-Konfiguration zusammengeführt werden.

Zusätzlich gilt bei SPF ein technisches Limit: Während einer SPF-Prüfung dürfen insgesamt höchstens zehn DNS-auslösende Mechanismen und Modifikatoren ausgewertet werden, etwa include, a, mx, exists oder redirect. Wird dieses Limit überschritten, endet die Prüfung mit einem permanenten Fehler (permerror). Gerade historisch gewachsene SPF-Einträge mit mehreren Cloud-Diensten können deshalb formal vorhanden sein und trotzdem fehlerhaft ausgewertet werden.

Wichtig ist außerdem: SPF prüft technisch nicht einfach nur die Adresse, die der Empfänger im sichtbaren „Von“-Feld sieht. Deshalb kann eine Nachricht einen SPF-Test bestehen und trotzdem nicht zu der sichtbaren Absenderdomain passen. Genau diese Lücke ist einer der Gründe, warum DMARC zusätzlich benötigt wird.

DKIM: Eine überprüfbare Signatur für ausgehende E-Mails

DKIM steht für DomainKeys Identified Mail. Beim Versand ergänzt das Mail-System die Nachricht um eine kryptografische Signatur. Der zugehörige öffentliche Schlüssel wird im DNS der Domain veröffentlicht. Der empfangende Server kann damit prüfen, ob die Signatur gültig ist.

Damit beantwortet DKIM zwei wichtige Fragen: Wurde die Nachricht von einem System signiert, das Zugriff auf den passenden privaten Schlüssel hatte, und wurden die signierten Bestandteile der Nachricht nach dem Versand verändert?

Für den Empfänger ist das ein zusätzliches Vertrauenssignal. Vor allem bei Cloud-Maildiensten wird DKIM häufig vom Anbieter unterstützt, muss für die eigene Domain aber trotzdem korrekt aktiviert und mit passenden DNS-Einträgen verbunden werden.

DKIM arbeitet mit sogenannten Selektoren. Dadurch können für eine Domain mehrere Schlüssel parallel existieren, etwa für unterschiedliche Versandplattformen oder während eines Schlüsselwechsels. Das ist praktisch, weil ein Unternehmen nicht alle Systeme gleichzeitig auf denselben Schlüssel festlegen muss.

Auch DKIM allein beweist jedoch noch nicht, dass die signierende Domain mit der sichtbaren Absenderadresse übereinstimmt. Ein legitimer Versanddienst kann technisch korrekt signieren, während im „Von“-Feld eine andere Domain steht. Für diese Zuordnung ist DMARC entscheidend.

DMARC: Passt die Authentifizierung zum sichtbaren Absender?

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Vereinfacht gesagt verbindet DMARC die Ergebnisse von SPF und DKIM mit der Domain, die der Empfänger als Absender sieht.

Dieses Prinzip nennt sich Alignment. Damit DMARC erfolgreich ist, muss mindestens SPF oder DKIM die Authentifizierungsprüfung bestehen und die dabei authentifizierte Domain zur sichtbaren Absenderdomain im From-Feld ausgerichtet sein. Je nach DMARC-Einstellung kann dieses Alignment „relaxed“ oder „strict“ sein. Dadurch wird es deutlich schwieriger, lediglich eine technisch gültige Nachricht zu erzeugen und gleichzeitig eine fremde Unternehmensdomain als sichtbaren Absender vorzutäuschen.

Zusätzlich kann der Domaininhaber über DMARC festlegen, wie Empfänger mit Nachrichten umgehen sollen, die diese Prüfung nicht bestehen. Typische Richtlinien sind:

• p=none: Fehler werden beobachtet, ohne eine Behandlung wie Spam oder Ablehnung durch die DMARC-Richtlinie zu verlangen.
• p=quarantine: Nicht passende Nachrichten sollen nach Möglichkeit besonders behandelt werden, typischerweise als verdächtig oder Spam.
• p=reject: Nicht passende Nachrichten sollen abgewiesen werden.

Für Unternehmen ist besonders wichtig, DMARC nicht vorschnell auf eine strenge Richtlinie zu setzen. Wenn noch unbekannte legitime Versandquellen existieren, können sonst zum Beispiel Rechnungen, Kontaktformular-Nachrichten oder Benachrichtigungen aus Fachanwendungen betroffen sein. Ein kontrollierter Einstieg mit p=none und der Auswertung von DMARC-Aggregatberichten über rua ist deshalb meist sinnvoller als ein sofortiges p=reject.

Ein typisches Beispiel aus einem kleinen Unternehmen

Angenommen, ein Unternehmen verwendet Microsoft 365 für die persönliche E-Mail-Kommunikation. Die Webseite verschickt Anfragen aus einem Kontaktformular, ein CRM sendet automatische Terminbestätigungen und die Buchhaltungssoftware verschickt Rechnungen. Für den Empfänger sehen alle Nachrichten so aus, als kämen sie von derselben Unternehmensdomain.

Technisch stammen sie aber aus mehreren unterschiedlichen Systemen.

SPF muss deshalb die tatsächlich berechtigten Versandwege berücksichtigen. Die Systeme, die DKIM unterstützen, sollten Nachrichten mit der Unternehmensdomain signieren. DMARC prüft anschließend, ob die Authentifizierung zu der sichtbaren Absenderdomain passt.

Genau an solchen Kombinationen entstehen viele Zustellprobleme. Die normalen Microsoft-365-Nachrichten funktionieren, während Rechnungen oder Formularmails sporadisch im Spam landen. Das Problem liegt dann nicht zwingend beim Postfach selbst, sondern häufig bei einem zusätzlichen Dienst, der anders oder unvollständig authentifiziert ist.

Warum „SPF ist vorhanden“ noch keine saubere Konfiguration bedeutet

Bei der Fehlersuche sollte nicht nur geprüft werden, ob irgendwo ein SPF-, DKIM- oder DMARC-Eintrag existiert. Entscheidend ist, ob die gesamte Versandlandschaft zur Konfiguration passt.

Typische Ursachen für Probleme sind:

• ein zusätzlicher Versanddienst wurde nicht in die E-Mail-Konfiguration aufgenommen,
• DKIM ist beim Mailanbieter zwar verfügbar, für die eigene Domain aber nicht aktiviert,
• SPF und DKIM funktionieren technisch, sind jedoch nicht korrekt zur sichtbaren Absenderdomain ausgerichtet,
• nach einem Anbieterwechsel sind alte DNS-Einträge übrig geblieben,
• ein neues CRM, Ticketsystem oder Newslettertool versendet bereits produktiv, obwohl die Domain noch nicht vollständig eingerichtet wurde,
• DMARC wurde zu streng aktiviert, bevor alle legitimen Versandquellen bekannt waren.

Hinzu kommen Faktoren, die SPF, DKIM und DMARC nicht lösen können. Eine Domain mit schlechter Versandhistorie, ungewöhnlich hohen Versandmengen, vielen Beschwerden oder problematischen Empfängerlisten kann trotz korrekter Authentifizierung weiterhin Zustellprobleme haben. E-Mail-Authentifizierung ist deshalb eine notwendige technische Grundlage, aber kein Freifahrtschein durch jeden Spamfilter.

Weiterleitungen sind ein Sonderfall

E-Mail-Weiterleitungen zeigen gut, warum mehrere Authentifizierungsverfahren sinnvoll sind. Bei einer klassischen Weiterleitung ändert sich der tatsächlich weiterleitende Server. Dadurch kann SPF beim endgültigen Empfänger fehlschlagen, obwohl die ursprüngliche Nachricht legitim war.

Eine gültige DKIM-Signatur kann eine Weiterleitung dagegen überstehen, solange die signierten Bestandteile der Nachricht nicht so verändert werden, dass die Signatur ungültig wird. DMARC kann dann weiterhin über DKIM erfolgreich sein.

Das bedeutet nicht, dass DKIM jede Weiterleitung problemlos überlebt. Mailinglisten, Gateways oder Sicherheitssysteme können Nachrichten verändern. Für die Praxis reicht aber eine wichtige Erkenntnis: SPF, DKIM und DMARC sind als Zusammenspiel robuster als die Abhängigkeit von nur einem einzelnen Verfahren.

Was Unternehmen regelmäßig prüfen sollten

Eine funktionierende Konfiguration ist keine einmalige Aufgabe. Neue Cloud-Dienste, ein Wechsel des Mailanbieters oder eine neue Webseite können die Versandwege verändern. Deshalb sollte die E-Mail-Konfiguration immer dann geprüft werden, wenn ein weiteres System Nachrichten mit der Unternehmensdomain versenden soll.

Eine kompakte Prüfung umfasst:

• Welche Systeme verschicken aktuell E-Mails mit der eigenen Domain?
• Ist der SPF-Eintrag gültig, sind alle benötigten Versandquellen berücksichtigt und bleibt die Auswertung innerhalb des SPF-Limits von zehn DNS-auslösenden Mechanismen und Modifikatoren?
• Ist DKIM für die produktiv verwendeten Mail- und Versanddienste aktiviert?
• Besteht DMARC und gibt es mindestens einen erfolgreichen SPF- oder DKIM-Pass mit passendem Alignment zur sichtbaren Absenderdomain?
• Werden DMARC-Berichte ausgewertet, bevor die Richtlinie verschärft wird?
• Sind alte Versanddienste und nicht mehr benötigte DNS-Einträge entfernt?
• Werden Zustellfehler nicht nur anhand einzelner Testmails, sondern anhand von Headern, Serverantworten und dem betroffenen Versandweg untersucht?

Gerade der erste Punkt wird häufig unterschätzt. Für eine saubere Konfiguration braucht es zunächst eine vollständige Bestandsaufnahme aller Absender. Ohne diese Übersicht lässt sich nicht zuverlässig beurteilen, ob ein DNS-Eintrag wirklich vollständig ist.

Was bei Microsoft 365, Google Workspace und externen Diensten zu beachten ist

Bei Microsoft 365 oder Google Workspace kann die Grundeinrichtung der Domain korrekt sein und trotzdem ein externer Dienst Probleme verursachen. Das betrifft zum Beispiel Newsletter, Bewerbermanagement, Ticketsysteme, Monitoring, Rechnungsversand oder Webseiten.

Deshalb sollte ein neuer Dienst nicht nur mit einer Absenderadresse eingerichtet werden. Vor dem produktiven Einsatz muss geklärt werden, wie der Anbieter SPF und DKIM unterstützt, welche Domain tatsächlich signiert wird und ob das Ergebnis mit der eigenen DMARC-Konfiguration zusammenpasst.

Bei einem Anbieterwechsel gilt dasselbe in umgekehrter Richtung. Alte Freigaben sollten nach der Migration entfernt werden. Ein historisch gewachsener SPF-Eintrag mit mehreren nicht mehr verwendeten Diensten ist nicht nur unübersichtlich, sondern erschwert auch spätere Fehlersuche und Pflege.

Wenn Sie die Mailumgebung Ihres Unternehmens zentral betreuen lassen möchten, ist eine professionell betreute E-Mail-Lösung sinnvoller als einzelne DNS-Änderungen ohne Gesamtüberblick.

Fazit: Drei Verfahren, eine gemeinsame Aufgabe

SPF, DKIM und DMARC sollen Empfängern helfen zu erkennen, ob eine E-Mail technisch glaubwürdig zur angegebenen Absenderdomain gehört. SPF legt erlaubte Versandwege fest. DKIM signiert Nachrichten. DMARC verbindet die Authentifizierung mit der sichtbaren Absenderdomain und ermöglicht Regeln für fehlgeschlagene Prüfungen.

Für Unternehmen ist weniger wichtig, jeden technischen Detailstandard auswendig zu kennen. Entscheidend ist, dass alle tatsächlichen Versandquellen erfasst, sauber eingerichtet und bei Änderungen erneut geprüft werden. Besonders bei mehreren Cloud-Diensten entstehen Zustellprobleme häufig dort, wo ein System außerhalb der ursprünglich eingerichteten Mailplattform versendet.

Wenn Unternehmensmails wiederholt im Spam landen oder Sie nicht sicher sind, ob Ihre Domain vollständig eingerichtet ist, können wir SPF, DKIM, DMARC und die beteiligten Versandwege gemeinsam prüfen. Kontaktieren Sie Wernecke IT für eine unverbindliche Einschätzung.