Quelle: https://hostingwissen.de/wissen/email-spf-dkim-dmarc/

Datenstand: 2026-11-03. Anbieter: webhoster.de AG.

Sicherheit / Praxiswissen

# SPF, DKIM und DMARC: E-Mail-Absender nachvollziehbar machen

E-Mail-Authentifizierung hilft empfangenden Systemen, die Verwendung einer Absenderdomain zu beurteilen. SPF, DKIM und DMARC übernehmen dabei unterschiedliche Aufgaben. Sie ersetzen weder den MX-Eintrag für eingehende Post noch garantieren sie eine Zustellung im Posteingang. Für eine verlässliche Einrichtung brauchst du zuerst eine Übersicht sämtlicher legitimer Versandwege – vom persönlichen Postfach bis zum Newsletter und dem Kontaktformular deiner Website.

Redaktion HostingwissenStand: 3. November 20264 Min. Lesezeit

![Messingfarbenes Vorhängeschloss vor drei petrolfarbenen Ordnern; KI-Illustration](https://hostingwissen.de/assets/wissen-sicherheit.webp)

Illustratives Bildmotiv · KI-generiert

In diesem ArtikelDie wichtigsten Gedanken

* SPF prüft erlaubte Versandquellen, DKIM eine digitale Signatur.
* DMARC verbindet die sichtbare Absenderdomain mit ausgerichtetem SPF oder DKIM.
* Eine strengere Richtlinie sollte erst nach Prüfung aller legitimen Versender folgen.
Grafik: Unterschiedliche Nachweise für eine Absenderdomain Versanddienst → SPF · Quelle → DKIM · Signatur → DMARC · Ausrichtung. Schematische Darstellung, keine Messwerte.

Unterschiedliche Nachweise für eine Absenderdomain · schematisch

## Empfang und Versand nicht verwechseln

MX-Einträge zeigen, welche Mailserver Nachrichten für eine Domain annehmen sollen. SPF-, DKIM- und DMARC-Angaben beschreiben dagegen Aspekte der Authentifizierung ausgehender Nachrichten. Eine Website kann deshalb erreichbar sein und eine Domain gültige MX-Einträge haben, während ein Newsletter trotzdem nicht korrekt authentifiziert wird. Änderungen an der Website-Adresse lösen dieses Problem nicht automatisch.

Erstelle eine Liste aller Systeme, die im Namen deiner Domain senden. Dazu gehören Postfächer, Rechnungssoftware, CRM, Newsletter und Formulare. Bei einem Kontaktformular ist außerdem wichtig, wie Absender und Antwortadresse gesetzt werden. Eine fremde Besucheradresse als scheinbar eigene Versandidentität zu verwenden, kann zu Authentifizierungsproblemen führen. Der tatsächliche Versandweg sollte bewusst konfiguriert werden.

## SPF und DKIM erfüllen verschiedene Prüfungen

SPF veröffentlicht, welche Systeme für die im Protokoll verwendete Versanddomain berechtigt sind. Diese Domain muss nicht identisch mit der für Menschen sichtbaren From-Adresse sein. Der Standard berücksichtigt unter anderem MAIL FROM und HELO. Die SPF-Konfiguration muss alle vorgesehenen Versandwege umfassen und die Regeln des Standards einhalten; mehrere unabhängig angelegte SPF-Richtlinien sind keine sinnvolle Zusammenführung.

DKIM versieht Nachrichten mit einer Signatur, die sich anhand eines veröffentlichten Schlüssels prüfen lässt. Die signierende Domain und der verwendete Selektor gehören zur Konfiguration des jeweiligen Versanddiensts. Ein veröffentlichter Schlüssel hilft nur, wenn Nachrichten tatsächlich passend signiert werden. Prüfe daher die Ergebnisse an Testnachrichten, statt ausschließlich die Existenz eines TXT-Eintrags zu betrachten.

## DMARC verbindet Authentifizierung und sichtbaren Absender

DMARC betrachtet, ob erfolgreiches SPF oder DKIM zur sichtbaren From-Domain ausgerichtet ist. Eine Nachricht kann grundsätzlich eine erfolgreiche einzelne Authentifizierungsprüfung haben und trotzdem die DMARC-Bedingung verfehlen, wenn die Domains nicht passend zusammengehören. Die genauen Ausrichtungsregeln sind Teil des Standards. Für die Praxis ist deshalb der kombinierte Ergebnisbericht einer Nachricht hilfreich.

Die DMARC-Richtlinie beschreibt, welche Behandlung der Domaininhaber für fehlschlagende Nachrichten anregt. Empfangende Systeme treffen weiterhin eigene Entscheidungen. DMARC ist kein Zustellprivileg und keine Garantie gegen jede Form betrügerischer Nachricht. Auch Anzeigenamen oder ähnlich geschriebene fremde Domains bleiben ein gesondertes Risiko.

| Verfahren | Kernfrage |
| --- | --- |
| SPF | Ist diese Versandquelle für die verwendete Domain erlaubt? |
| DKIM | Ist eine passende kryptografische Signatur prüfbar? |
| DMARC | Passt erfolgreiche Authentifizierung zur sichtbaren Absenderdomain? |
| MX | Wohin wird eingehende Post zugestellt? |

## Die Einführung in nachvollziehbaren Schritten planen

Richte die legitimen Versanddienste nach ihren offiziellen Angaben ein und prüfe repräsentative Nachrichten. Betrachte persönliche Post, automatische Website-Nachrichten und externe Kampagnen jeweils separat. Weiterleitungen und veränderte Nachrichten können einzelne Prüfungen beeinflussen. Eine funktionierende Nachricht aus einem Postfach belegt deshalb nicht, dass auch sämtliche anderen Versandwege richtig eingerichtet sind.

Beginne mit einer zur Ausgangslage passenden Beobachtung und werte Ergebnisse aus, bevor du eine strengere Behandlung festlegst. Falls Berichte an einen externen Auswertungsdienst gehen, müssen Datenschutz, berechtigte Empfänger und der konkrete Dienst berücksichtigt werden. Berichte können technische Informationen über Versandquellen enthalten. Sie gehören nicht unkontrolliert in öffentliche Dateien.

## Anforderungen des Empfängers und laufenden Betrieb beachten

Große Empfänger veröffentlichen zusätzliche Anforderungen für Absender. Google unterscheidet allgemeine Anforderungen und solche für größere Versandmengen; die Bedingungen sind nicht für jede Absendergruppe identisch. Prüfe die aktuellen Originalangaben für deinen Versandfall. Authentifizierung ist nur ein Teil: Versandpraxis, Beschwerden, Adressqualität und gegebenenfalls Abmeldemöglichkeiten beeinflussen ebenfalls die Bewertung.

Nach einem Dienstwechsel oder einer neuen Formularlösung muss die Übersicht aktualisiert werden. Entferne alte Berechtigungen erst, wenn sie nicht mehr benötigt werden, und prüfe Schlüsselwechsel nach Anleitung des Anbieters. Eine dokumentierte Versandlandkarte mit getesteten Beispielen hilft, DNS-Änderungen nachvollziehbar auszuführen. Sie macht Zustellprobleme gezielter untersuchbar, ohne eine pauschale Posteingangsgarantie zu behaupten.

Notiere zu jedem Versanddienst eine zuständige Person und ein getestetes Nachrichtenbeispiel. Wenn später ein neuer Dienst hinzukommt, lässt sich die Änderung damit gezielt einordnen. Das ist hilfreicher als eine DNS-Zone, deren einzelne Berechtigungen niemand mehr erklären kann.

Nachlesen im Original

## Quellen & Dokumentation

Primärquellen, geprüft am 3. November 2026. Angaben gelten im beschriebenen Zusammenhang; die konkrete Umgebung und der gebuchte Leistungsumfang bleiben maßgeblich.

* [IETF RFC 7208: SPF ↗](https://www.rfc-editor.org/rfc/rfc7208.html)
* [IETF RFC 6376: DKIM ↗](https://www.rfc-editor.org/rfc/rfc6376.html)
* [IETF RFC 9989: DMARC (Mai 2026) ↗](https://www.rfc-editor.org/rfc/rfc9989.html)
* [Google: Anforderungen an E-Mail-Absender ↗](https://support.google.com/mail/answer/81126?hl=de)

**Transparenz**

Dieser Artikel stammt von der Redaktion Hostingwissen, einem Angebot der webhoster.de AG. Die Gesellschaft bietet selbst Webhosting und Managed Server an. Allgemeine Erklärungen und konkrete Produktleistungen sind gesondert zu prüfen.

In diesem Artikel[← Zur Bibliothek](https://hostingwissen.de/wissen/)

Weiterdenken

## Dazu passt auch

[![Papiermodell aus Laptop, Server, Datenbank und Ordnern mit verbindenden Wegen; KI-Illustration](https://hostingwissen.de/assets/wissen-grundlagen.webp)](https://hostingwissen.de/wissen/dns-eintraege-verstehen/)

Grundlagen · 4 Min.

### [A, AAAA, CNAME und MX: DNS-Einträge verständlich erklärt](https://hostingwissen.de/wissen/dns-eintraege-verstehen/)

Welche DNS-Einträge steuern Website und E-Mail? Lerne A, AAAA, CNAME, MX und TTL kennen und prüfe Änderungen ohne die Dienste zu verwechseln.

↗

[![Geöffnete Archivschublade mit Papieren über zwei petrolfarbenen Sicherungsebenen; KI-Illustration](https://hostingwissen.de/assets/wissen-betrieb.webp)](https://hostingwissen.de/wissen/domainumzug-und-ttl/)

Betrieb · 4 Min.

### [Domainumzug und TTL: Eine Umschaltung ohne blinde Flecken planen](https://hostingwissen.de/wissen/domainumzug-und-ttl/)

Registrarwechsel, DNS-Änderung und Website-Migration sind verschiedene Schritte. So planst du TTL, Tests, Mail-Einträge und einen klaren Rückweg.

↗

[![Geöffnete Archivschublade mit Papieren über zwei petrolfarbenen Sicherungsebenen; KI-Illustration](https://hostingwissen.de/assets/wissen-betrieb.webp)](https://hostingwissen.de/wissen/website-umzug-checkliste/)

Betrieb · 4 Min.

### [Website umziehen: Eine Checkliste für Daten, DNS und Freigabe](https://hostingwissen.de/wissen/website-umzug-checkliste/)

Ein Website-Umzug umfasst mehr als Dateien. So planst du Anwendung, Postfächer, DNS, HTTPS und die letzten Änderungen vor der Umschaltung.

↗