Was ist E-Mail-Sicherheit für eine Domain?
Im E-Mail-Protokoll kann jeder Server eine beliebige Absenderadresse eintragen. Ein Betrüger verschickt also ohne Weiteres eine Mail von [email protected], obwohl er mit der Firma nichts zu tun hat. Dieses Spoofing ist die Grundlage vieler Phishing-Angriffe, zum Beispiel einer scheinbar echten Rechnung mit falscher Bankverbindung.
Auch die eigene Zustellbarkeit leidet. Ohne Authentifizierung können empfangende Server echte und gefälschte Mails schlecht unterscheiden. Im Zweifel landen dann auch legitime E-Mails im Spam-Ordner. E-Mail-Sicherheit auf Domain-Ebene meint deshalb die Einträge, mit denen Sie belegen, welche Mails wirklich von Ihnen kommen.
Hinter den drei Verfahren stehen offene Standards: SPF ist in RFC 7208 vom April 2014 beschrieben, DKIM in RFC 6376 vom September 2011. DMARC stand ursprünglich in RFC 7489 von 2015. Im Mai 2026 hat die IETF eine Neufassung in drei Teilen veröffentlicht, RFC 9989, 9990 und 9991. Für E-Mail-Dienstanbieter hat das BSI außerdem die Technische Richtlinie TR-03182 zur E-Mail-Authentifizierung herausgegeben.
Wie funktionieren SPF, DKIM und DMARC?
Alle drei Verfahren laufen über Einträge im DNS Ihrer Domain. Erhält ein Mailserver eine Nachricht, fragt er diese Einträge ab. Er vergleicht die IP-Adresse des Absenders mit der SPF-Liste, prüft die DKIM-Signatur mit dem veröffentlichten Schlüssel und liest danach die DMARC-Regel. Besteht die Mail keine der Prüfungen passend zur Absenderdomain, wendet er die Regel an und meldet das Ergebnis in einem Bericht an Sie.
Seit dem 1. Februar 2024 gelten bei Gmail strengere Regeln. Alle Absender brauchen SPF oder DKIM, einen gültigen Reverse-DNS-Eintrag (PTR) und eine TLS-Verbindung, und die Spamrate soll unter 0,3 Prozent bleiben. Wer mehr als 5.000 Mails am Tag an Gmail-Adressen schickt, braucht SPF, DKIM und DMARC mit passendem Alignment; die Policy darf auf none stehen. Marketing-Mails brauchen eine Abmeldung mit einem Klick. Yahoo hat zur gleichen Zeit ähnliche Anforderungen für Massenversender eingeführt, ohne eine feste Mengengrenze zu nennen.
Die wichtigsten Bausteine
SPF
Das Sender Policy Framework ist ein TXT-Eintrag, der die Server und Dienste auflistet, die für Ihre Domain senden dürfen. Am Ende steht -all für eine harte Ablehnung aller anderen Server oder ~all für eine weiche Markierung. Pro Domain darf es nur einen SPF-Eintrag geben. Die Auswertung darf laut RFC 7208 höchstens zehn DNS-Abfragen auslösen.
DKIM
Bei DomainKeys Identified Mail signiert Ihr Mailserver jede ausgehende Nachricht mit einem privaten Schlüssel. Den öffentlichen Schlüssel veröffentlichen Sie unter einem Selektor im DNS. Der Empfänger prüft damit, ob die Signatur stimmt und ob der Inhalt unterwegs verändert wurde. Bei Weiterleitungen bleibt die Signatur meist gültig, während SPF dabei oft scheitert.
DMARC
DMARC baut auf SPF und DKIM auf. Der Eintrag unter _dmarc nennt mit p die Richtlinie und mit rua die Adresse für Sammelberichte. Mit sp legen Sie eine eigene Regel für Subdomains fest. Ältere Zusätze wie pct sind in der Neufassung nicht mehr vorgesehen.
Alignment
DMARC verlangt, dass die geprüfte Domain zur sichtbaren Absenderadresse im Feld „Von“ passt. Versendet ein Newsletter-Dienst mit eigener Domain und eigenem Schlüssel, bestehen SPF und DKIM zwar, DMARC schlägt aber trotzdem fehl. Abhilfe schafft eine DKIM-Signatur mit Ihrer eigenen Domain, die fast alle Versanddienste anbieten.
Domains ohne Mailversand
Auch Tippfehler-Domains oder Domains alter Projekte lassen sich für gefälschte Mails missbrauchen. Für sie genügen ein SPF-Eintrag „v=spf1 -all“, eine DMARC-Regel mit p=reject und sp=reject sowie ein Null-MX-Eintrag nach RFC 7505. Einen DKIM-Schlüssel brauchen solche Domains nicht.
Typische Fehler
- Zwei SPF-Einträge für dieselbe Domain.
- Zu viele include-Angaben: Über zehn DNS-Abfragen schlägt SPF komplett fehl.
- Vergessene Absender wie das Kontaktformular der Website, die Buchhaltungssoftware oder ein Drucker.
- DMARC sofort auf reject: Eigene Rechnungen oder Newsletter kommen dann nicht mehr an.
- DMARC dauerhaft auf none: Die Domain bleibt ohne wirksamen Schutz gegen Spoofing.
- Newsletter-Versand ohne DKIM-Signatur der eigenen Domain.
- Ungenutzte Domains ohne Schutzeinträge.
Wie Sie prüfen
Ob Ihre Einträge stimmen, zeigt eine DNS-Abfrage. Unter macOS und Linux nutzen Sie dig, etwa mit dig TXT example.com +short für SPF und dig TXT _dmarc.example.com +short für DMARC. Den DKIM-Eintrag fragen Sie mit dem Selektor ab, zum Beispiel selektor._domainkey.example.com. Unter Windows funktioniert nslookup -type=TXT _dmarc.example.com.
Genauer ist der Blick in eine echte Nachricht. Schicken Sie sich eine Mail an ein Gmail-Postfach und öffnen Sie dort „Original anzeigen“. Gmail zeigt für SPF, DKIM und DMARC jeweils PASS oder FAIL.
Die DMARC-Berichte an die rua-Adresse sind XML-Dateien. Sie zeigen, welche Server in Ihrem Namen senden und ob SPF und DKIM dabei bestehen. Lassen Sie p=none einige Wochen laufen und werten Sie die Berichte aus. Erst wenn keine unbekannten legitimen Absender mehr auftauchen, gehen Sie auf quarantine und später auf reject.
Häufige Fragen
In welcher Reihenfolge richte ich SPF, DKIM und DMARC ein?
Zuerst SPF und DKIM, danach DMARC mit p=none. Nach der Auswertung der Berichte folgen quarantine und später reject.
Funktioniert DMARC ohne DKIM?
Technisch ja, wenn SPF besteht und zur Absenderdomain passt. Weil SPF bei Weiterleitungen oft scheitert, lohnt sich DKIM trotzdem.
Brauche ich DMARC für eine Domain, die keine Mails versendet?
Ja. Mit „v=spf1 -all“ und p=reject verhindern Sie, dass Betrüger diese Domain für gefälschte Mails nutzen.
Gelten die Regeln von Gmail auch für kleine Absender?
Ja, teilweise. SPF oder DKIM, PTR-Eintrag, TLS und eine niedrige Spamrate gelten für alle Absender. DMARC ist bei Gmail ab mehr als 5.000 Mails pro Tag Pflicht.
