SPF, DKIM und DMARC sind drei DNS-Einträge, die belegen, dass eine E-Mail wirklich von Ihrer Domain stammt. Fehlen sie, landen viele E-Mails im Spam oder werden abgewiesen. Sie sind nötig, aber nicht genug: Was Sie senden, an wen und wie oft, zählt ebenso.
Was Zustellbarkeit bedeutet
Vorab ein wichtiger Hinweis für Leser im deutschsprachigen Raum: Werbe-E-Mails ohne vorherige Einwilligung sind in Deutschland nach § 7 UWG grundsätzlich unzulässig, auch an Unternehmen. Dieser Text erklärt die Technik. Sie gilt für jede geschäftliche E-Mail, also auch für Angebote, Rechnungen und Newsletter. Zur Rechtslage lesen Sie bitte Ist Kaltakquise per E-Mail erlaubt?
Eine E-Mail kann zugestellt sein und trotzdem nie gesehen werden. Zugestellt heißt nur: Der Empfangsserver hat sie angenommen. Zustellbarkeit fragt genauer: Posteingang oder Spam-Ordner?
Anbieter wie Gmail, Outlook, GMX oder Web.de entscheiden das für jede Nachricht. Sie achten auf drei Dinge:
- Identität. Kann der Absender belegen, wer er ist? Hier kommen SPF, DKIM und DMARC ins Spiel.
- Reputation. Wie haben Empfänger bisher auf E-Mails dieser Domain reagiert? Antworten helfen. Spam-Beschwerden und Rückläufer schaden.
- Inhalt und Verhalten. Sieht die Nachricht nach Massenwerbung aus, und ist die Menge plötzlich gestiegen?
SPF, DKIM und DMARC erklärt
Alle drei sind Texteinträge in den DNS-Einstellungen Ihrer Domain. Sie tragen sie dort ein, wo Ihre Domain verwaltet wird.
| Eintrag | Bedeutung | Bild aus dem Alltag |
|---|---|---|
| SPF | Eine Liste der Server, die für Ihre Domain E-Mails senden dürfen. | Die Gästeliste am Eingang. |
| DKIM | Eine digitale Signatur an jeder E-Mail. Der Empfänger prüft sie mit einem öffentlichen Schlüssel in Ihrem DNS. Sie zeigt, dass die E-Mail von Ihrer Domain stammt und unterwegs nicht verändert wurde. | Das Siegel auf einem Brief. |
| DMARC | Eine Richtlinie. Sie sagt dem Empfänger, was er tun soll, wenn SPF und DKIM scheitern, und wohin Berichte gehen. Sie prüft auch, ob die Domain der sichtbaren Absenderadresse dazu passt. | Die Anweisung an den Türsteher samt Besucherprotokoll. |
So sehen die Einträge aus. Das sind nur Beispiele, die genauen Werte nennt Ihr E-Mail-Anbieter.
SPF, ein TXT-Eintrag auf Ihrer Domain:
v=spf1 include:_spf.ihranbieter.de ~allDKIM, ein TXT- oder CNAME-Eintrag unter einem Namen wie selector1._domainkey.ihredomain.de. Den langen Schlüssel liefert Ihr E-Mail-Anbieter.
DMARC, ein TXT-Eintrag unter _dmarc.ihredomain.de:
v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de
DMARC kennt drei Stufen. p=none beobachtet und berichtet nur. p=quarantine bittet den Empfänger, fehlerhafte E-Mails in den Spam zu legen. p=reject bittet ihn, sie abzulehnen. Beginnen Sie mit none, lesen Sie die Berichte und verschärfen Sie erst, wenn alle echten E-Mails bestehen.
Einrichten und prüfen
- Alle Absender auflisten. Ihr Postfach-Anbieter, das Website-Formular, das Rechnungsprogramm, das Newsletter-Tool. Jeder muss abgedeckt sein.
- Einen SPF-Eintrag anlegen. Nur einen pro Domain. Zwei SPF-Einträge machen SPF ungültig. Fassen Sie alle Absender in einem Eintrag zusammen.
- DKIM einschalten im Adminbereich Ihres E-Mail-Anbieters und den angezeigten Eintrag im DNS ergänzen.
- DMARC-Eintrag anlegen mit p=none und einer Berichtsadresse.
- Testen. Senden Sie eine E-Mail an eine Gmail-Adresse, öffnen Sie sie und wählen Sie Original anzeigen. Bei SPF, DKIM und DMARC sollte jeweils PASS stehen.
Häufige Fehler:
- Zwei SPF-Einträge auf derselben Domain.
- Ein Versandtool fehlt im SPF und hat kein eigenes DKIM.
- DKIM ist beim Anbieter aktiviert, der DNS-Eintrag wurde aber nie gesetzt.
- Eine strenge DMARC-Richtlinie, bevor geprüft wurde, ob alle echten E-Mails bestehen.
Was Gmail und Yahoo seit 2024 erwarten
Seit 2024 setzen Gmail und Yahoo veröffentlichte Anforderungen an Absender durch. Andere Anbieter gehen in dieselbe Richtung. Kurz gefasst:
- Alle Absender müssen ihre E-Mails mit SPF oder DKIM authentifizieren, gültige DNS-Einträge für den sendenden Server haben und die Spam-Beschwerden niedrig halten.
- Massenversender brauchen SPF und DKIM und einen DMARC-Eintrag, wobei die Absenderdomain dazu passen muss. Google versteht darunter Absender, die etwa 5.000 oder mehr Nachrichten pro Tag an private Gmail-Konten senden.
- Werbe-E-Mails von Massenversendern brauchen eine Abmeldung mit einem Klick, die zügig umgesetzt wird.
- Spam-Beschwerden: Google nennt als Grenze eine Beschwerderate unter 0,3 % in den Postmaster Tools und empfiehlt, deutlich darunter zu bleiben.
Ein kleiner Betrieb liegt weit unter der Schwelle für Massenversender. Nehmen Sie die Anforderungen trotzdem als Maßstab. Sie beschreiben, wie ein vertrauenswürdiger Absender aussieht. Die Google Postmaster Tools sind kostenlos und zeigen Beschwerderate und Reputation Ihrer Domain, sobald genug E-Mails an Gmail gehen.
Was die drei Einträge nicht lösen
Authentifizierung belegt, wer Sie sind. Willkommen macht sie Ihre E-Mail nicht. Eine einwandfrei signierte E-Mail, die Empfänger ärgert, landet trotzdem im Spam.
- Saubere Liste. Prüfen Sie Adressen vor dem Versand. Viele Rückläufer wirken wie ein sorgloser Absender.
- Relevanz. Schreiben Sie Menschen, zu deren Aufgabe das Angebot passt.
- Geringe, gleichmäßige Menge. Viele Absender bleiben bei einigen Dutzend E-Mails pro Postfach und Tag und steigern langsam. Das ist verbreitete vorsichtige Praxis, kein offizielles Limit. Mehr dazu: E-Mail-Domain aufwärmen.
- Eigene Domain für Akquise. Viele nutzen eine zweite, ähnliche Domain, damit ein Fehler nicht die tägliche Geschäftspost trifft.
- Schlichte E-Mails. Kurzer Text, wenige Links, keine Anhänge und keine großen Bilder in der ersten Nachricht.
- Ein einfacher Ausweg. Wer leicht Nein sagen kann, klickt seltener auf Spam.
Niemand kann den Posteingang garantieren. Die Anbieter legen ihre Filter nicht offen und ändern sie laufend.
Kurze Checkliste und wann Hilfe sinnvoll ist
- SPF: ein Eintrag, alle Absender enthalten.
- DKIM: eingeschaltet und bestanden.
- DMARC: Eintrag vorhanden, Berichte kommen an.
- Test an Gmail zeigt dreimal PASS.
- Liste geprüft, Abmeldungen entfernt.
- Postanschrift und Abmeldehinweis in jeder E-Mail.
Wenn Sie DNS nicht selbst anfassen möchten: Astranode bietet ein Cold-E-Mail-Setup auf Angebot an. Domains und Postfächer werden auf Ihren Namen gekauft, mit SPF, DKIM und DMARC, Aufwärmphase und Vorlagen. Versendet wird ausschließlich an Geschäftsadressen in den USA und im Vereinigten Königreich.
SPF legt fest, welche Server senden dürfen, DKIM signiert jede Nachricht, DMARC gibt die Richtlinie vor. Richten Sie alle drei ein, testen Sie mit Gmail und verdienen Sie sich die Reputation mit relevanten E-Mails.