E-Mail-Zustellbarkeit: SPF, DKIM und DMARC richtig einrichten

DNS-Einträge für SPF, DKIM und DMARC einer Unternehmensdomain

30 July 2026

Warum Ihre Angebote im Spamordner landen

Kaum ein Thema kostet im Tagesgeschäft so viel Nerven wie eine Mail, die nicht ankommt. Das Angebot ist raus, der Kunde hat es nie gesehen, und niemand merkt es, bis jemand nachtelefoniert. Die Ursache liegt fast immer in drei DNS-Einträgen, die entweder fehlen, veraltet sind oder sich widersprechen: SPF, DKIM und DMARC.

SPF legt fest, welche Server für Ihre Domain überhaupt Mails versenden dürfen. Der Eintrag wird typischerweise dann zum Problem, wenn über die Jahre Dienste dazukommen — der Newsletterversand, das ERP, die Zeiterfassung, das Ticketsystem. Jeder Dienst will in den SPF-Eintrag, und irgendwann ist das Limit von zehn DNS-Abfragen überschritten. Ab da wertet die Gegenseite den Eintrag als fehlerhaft, und zwar stillschweigend.

DKIM signiert Ihre ausgehenden Mails kryptografisch. Der Empfänger prüft die Signatur gegen einen öffentlichen Schlüssel in Ihrem DNS und weiß dadurch, dass die Nachricht unterwegs nicht verändert wurde und wirklich aus Ihrem Haus stammt. Wichtig: Die Signatur muss für jeden versendenden Dienst eingerichtet sein, nicht nur für den Hauptmailserver.

DMARC verbindet beides und legt fest, was passieren soll, wenn die Prüfung fehlschlägt — annehmen, in Quarantäne verschieben oder ablehnen. Zusätzlich lassen Sie sich Berichte schicken, die zeigen, wer in Ihrem Namen Mails verschickt. Für viele Geschäftsführer ist das der erste Moment, in dem sichtbar wird, dass die eigene Domain für Phishingversuche missbraucht wird.

Die Reihenfolge macht den Unterschied

Der häufigste Fehler ist der Sprung ans Ende. Wer DMARC sofort auf Ablehnung stellt, blockiert zuverlässig die eigene Buchhaltungssoftware. Sinnvoll ist ein Weg in drei Schritten über etwa sechs bis acht Wochen.

Zuerst wird inventarisiert: Welche Systeme versenden im Namen Ihrer Domain? Erfahrungsgemäß findet man dabei zwei bis drei Dienste, an die niemand mehr gedacht hat. Danach werden SPF und DKIM für jeden dieser Absender sauber gesetzt. Erst dann kommt DMARC — zunächst rein beobachtend, damit ausschließlich Berichte fließen und nichts blockiert wird. Erst wenn die Berichte über mehrere Wochen sauber sind, wird auf Quarantäne und schließlich auf Ablehnung verschärft.

Ein Nebeneffekt, den viele unterschätzen: Sobald DMARC greift, wird der Missbrauch Ihrer Domain für gefälschte Rechnungen deutlich schwerer. Das ist gelebter Schutz Ihrer Kundenbeziehungen — und ein Punkt, den Cyberversicherungen zunehmend abfragen.

Wenn Sie Ihre Mail ohnehin gerade neu aufstellen: Wir betreiben für unsere Kunden einen eigenen IMAP-Mailserver, bei dem diese Einträge von Anfang an korrekt gesetzt sind, und ergänzen auf Wunsch eine revisionssichere E-Mail-Archivierung. Für Unternehmen in Stuttgart, Nürtingen, Kirchheim unter Teck und im Landkreis Göppingen prüfen wir Ihre bestehenden Einträge auch einzeln — melden Sie sich einfach über unser Kontaktformular.