SPF, DKIM und DMARC: E-Mail-Absender nachvollziehbar machen

Empfang und Versand nicht verwechseln

MX-Einträge zeigen, welche Mailserver Nachrichten für eine Domain annehmen sollen. SPF-, DKIM- und DMARC-Angaben beschreiben dagegen Aspekte der Authentifizierung ausgehender Nachrichten. Eine Website kann deshalb erreichbar sein und eine Domain gültige MX-Einträge haben, während ein Newsletter trotzdem nicht korrekt authentifiziert wird. Änderungen an der Website-Adresse lösen dieses Problem nicht automatisch.

Erstelle eine Liste aller Systeme, die im Namen deiner Domain senden. Dazu gehören Postfächer, Rechnungssoftware, CRM, Newsletter und Formulare. Bei einem Kontaktformular ist außerdem wichtig, wie Absender und Antwortadresse gesetzt werden. Eine fremde Besucheradresse als scheinbar eigene Versandidentität zu verwenden, kann zu Authentifizierungsproblemen führen. Der tatsächliche Versandweg sollte bewusst konfiguriert werden.

SPF und DKIM erfüllen verschiedene Prüfungen

SPF veröffentlicht, welche Systeme für die im Protokoll verwendete Versanddomain berechtigt sind. Diese Domain muss nicht identisch mit der für Menschen sichtbaren From-Adresse sein. Der Standard berücksichtigt unter anderem MAIL FROM und HELO. Die SPF-Konfiguration muss alle vorgesehenen Versandwege umfassen und die Regeln des Standards einhalten; mehrere unabhängig angelegte SPF-Richtlinien sind keine sinnvolle Zusammenführung.

DKIM versieht Nachrichten mit einer Signatur, die sich anhand eines veröffentlichten Schlüssels prüfen lässt. Die signierende Domain und der verwendete Selektor gehören zur Konfiguration des jeweiligen Versanddiensts. Ein veröffentlichter Schlüssel hilft nur, wenn Nachrichten tatsächlich passend signiert werden. Prüfe daher die Ergebnisse an Testnachrichten, statt ausschließlich die Existenz eines TXT-Eintrags zu betrachten.

DMARC verbindet Authentifizierung und sichtbaren Absender

DMARC betrachtet, ob erfolgreiches SPF oder DKIM zur sichtbaren From-Domain ausgerichtet ist. Eine Nachricht kann grundsätzlich eine erfolgreiche einzelne Authentifizierungsprüfung haben und trotzdem die DMARC-Bedingung verfehlen, wenn die Domains nicht passend zusammengehören. Die genauen Ausrichtungsregeln sind Teil des Standards. Für die Praxis ist deshalb der kombinierte Ergebnisbericht einer Nachricht hilfreich.

Die DMARC-Richtlinie beschreibt, welche Behandlung der Domaininhaber für fehlschlagende Nachrichten anregt. Empfangende Systeme treffen weiterhin eigene Entscheidungen. DMARC ist kein Zustellprivileg und keine Garantie gegen jede Form betrügerischer Nachricht. Auch Anzeigenamen oder ähnlich geschriebene fremde Domains bleiben ein gesondertes Risiko.

Die Einführung in nachvollziehbaren Schritten planen

Richte die legitimen Versanddienste nach ihren offiziellen Angaben ein und prüfe repräsentative Nachrichten. Betrachte persönliche Post, automatische Website-Nachrichten und externe Kampagnen jeweils separat. Weiterleitungen und veränderte Nachrichten können einzelne Prüfungen beeinflussen. Eine funktionierende Nachricht aus einem Postfach belegt deshalb nicht, dass auch sämtliche anderen Versandwege richtig eingerichtet sind.

Beginne mit einer zur Ausgangslage passenden Beobachtung und werte Ergebnisse aus, bevor du eine strengere Behandlung festlegst. Falls Berichte an einen externen Auswertungsdienst gehen, müssen Datenschutz, berechtigte Empfänger und der konkrete Dienst berücksichtigt werden. Berichte können technische Informationen über Versandquellen enthalten. Sie gehören nicht unkontrolliert in öffentliche Dateien.

Anforderungen des Empfängers und laufenden Betrieb beachten

Große Empfänger veröffentlichen zusätzliche Anforderungen für Absender. Google unterscheidet allgemeine Anforderungen und solche für größere Versandmengen; die Bedingungen sind nicht für jede Absendergruppe identisch. Prüfe die aktuellen Originalangaben für deinen Versandfall. Authentifizierung ist nur ein Teil: Versandpraxis, Beschwerden, Adressqualität und gegebenenfalls Abmeldemöglichkeiten beeinflussen ebenfalls die Bewertung.

Nach einem Dienstwechsel oder einer neuen Formularlösung muss die Übersicht aktualisiert werden. Entferne alte Berechtigungen erst, wenn sie nicht mehr benötigt werden, und prüfe Schlüsselwechsel nach Anleitung des Anbieters. Eine dokumentierte Versandlandkarte mit getesteten Beispielen hilft, DNS-Änderungen nachvollziehbar auszuführen. Sie macht Zustellprobleme gezielter untersuchbar, ohne eine pauschale Posteingangsgarantie zu behaupten.

Notiere zu jedem Versanddienst eine zuständige Person und ein getestetes Nachrichtenbeispiel. Wenn später ein neuer Dienst hinzukommt, lässt sich die Änderung damit gezielt einordnen. Das ist hilfreicher als eine DNS-Zone, deren einzelne Berechtigungen niemand mehr erklären kann.