Ein Angebot wird verschickt, der Kunde meldet sich nicht, und Wochen später stellt sich heraus: Die E-Mail lag die ganze Zeit im Spam-Ordner. Dieses Szenario kostet Unternehmen regelmäßig Aufträge, ohne dass sie es überhaupt bemerken, weil niemand kontrolliert, wo die eigenen E-Mails tatsächlich ankommen. Die Ursache liegt fast immer bei denselben drei technischen Einträgen: SPF, DKIM und DMARC.
Warum E-Mail-Anbieter überhaupt so genau prüfen
Weil ein Großteil aller versendeten E-Mails weltweit Spam oder Betrugsversuche sind, prüfen große Mail-Anbieter jede eingehende Nachricht auf technische Vertrauenssignale, bevor sie im Posteingang landet. Fehlen diese Signale, wird eine E-Mail vorsichtshalber aussortiert, selbst wenn ihr Inhalt völlig legitim ist.
Diese Prüfung passiert automatisiert und ohne Rücksicht auf die Größe des versendenden Unternehmens. Ein kleiner Betrieb ohne korrekt gesetzte Einträge wird genauso behandelt wie eine Betrugsmasche, weil der Mail-Anbieter technisch keinen Unterschied erkennen kann.
SPF legt fest, wer im Namen der Domain senden darf
Ein SPF-Eintrag ist ein technischer Vermerk im DNS einer Domain, der auflistet, welche Server berechtigt sind, E-Mails im Namen dieser Domain zu versenden. Empfängt ein Mail-Server eine Nachricht von einem Absender, der laut SPF nicht dazu berechtigt ist, wertet er das als starkes Warnsignal.
Fehlt der SPF-Eintrag komplett, hat ein Empfänger-Server überhaupt keine Möglichkeit zu prüfen, ob eine E-Mail tatsächlich von einem berechtigten Absender stammt. Genau das ist einer der häufigsten Gründe, warum völlig legitime Geschäfts-E-Mails im Spam landen.
DKIM signiert jede einzelne Nachricht
Während SPF auf Ebene der gesamten Domain festlegt, wer senden darf, signiert DKIM jede einzelne E-Mail mit einem kryptografischen Schlüssel. Der Empfänger kann anhand dieser Signatur prüfen, ob eine Nachricht tatsächlich unverändert von der angegebenen Domain stammt oder auf dem Weg manipuliert wurde.
DKIM und SPF ergänzen sich dabei, statt sich zu ersetzen: SPF prüft die Berechtigung des sendenden Servers, DKIM die Unversehrtheit der einzelnen Nachricht. Erst beide zusammen ergeben ein belastbares Vertrauenssignal für den Empfänger.
DMARC entscheidet, was mit verdächtigen E-Mails passiert
DMARC baut auf SPF und DKIM auf und legt fest, was passieren soll, wenn eine E-Mail eine dieser Prüfungen nicht besteht: zustellen, in den Spam-Ordner verschieben oder komplett ablehnen. Ohne einen DMARC-Eintrag überlassen Unternehmen diese Entscheidung vollständig dem jeweiligen Empfänger-Server, mit unterschiedlichem Ergebnis je nach Anbieter.
Zusätzlich ermöglicht DMARC Berichte darüber, wer im Namen der eigenen Domain E-Mails versendet, auch unberechtigte Absender. Genau darüber werden Unternehmen häufig erst auf einen Missbrauch ihrer eigenen Domain aufmerksam.
So lässt sich die eigene Zustellbarkeit selbst prüfen
Ob SPF, DKIM und DMARC korrekt gesetzt sind, lässt sich ohne technisches Fachwissen in wenigen Schritten überprüfen:
- Eine Test-E-Mail an ein kostenloses Prüfwerkzeug für E-Mail-Authentifizierung senden
- Den Bericht auf fehlende oder fehlerhafte SPF-, DKIM- und DMARC-Einträge prüfen
- Bei mehreren genutzten Versanddiensten, etwa einem Newsletter-Tool zusätzlich zum normalen Postfach, kontrollieren, ob alle im SPF-Eintrag berücksichtigt sind
- Den DMARC-Eintrag zunächst im überwachenden Modus setzen, um Auswirkungen zu beobachten, bevor strenger blockiert wird
- Die Prüfung nach jeder Änderung an der Mail-Infrastruktur wiederholen
Warum das kein einmaliges Projekt ist
SPF, DKIM und DMARC werden oft einmal eingerichtet und danach nie wieder angesehen, obwohl sich die dahinterliegende Infrastruktur mit der Zeit ändert. Wird ein zusätzlicher Versanddienst in Betrieb genommen, etwa für Rechnungen oder einen Newsletter, muss der SPF-Eintrag angepasst werden, sonst gilt genau dieser neue Dienst plötzlich als unberechtigt.
Eine regelmäßige Kontrolle dieser Einträge, gerade nach jeder Änderung an der E-Mail-Infrastruktur, verhindert, dass sich das Problem unbemerkt wieder einschleicht.
Was zusätzlich zur Zustellbarkeit beiträgt
Neben den drei technischen Einträgen spielt auch die Absenderreputation eine Rolle, also wie vertrauenswürdig eine Domain über die Zeit von großen Mail-Anbietern eingestuft wird. Ein plötzlicher, ungewöhnlich hoher Versand vieler E-Mails auf einmal, etwa bei einer Massenaussendung, kann diese Reputation kurzfristig belasten, selbst wenn SPF, DKIM und DMARC korrekt gesetzt sind.
Wer regelmäßig größere Mengen an E-Mails versendet, etwa für einen Newsletter, sollte diesen Versand deshalb über einen dafür ausgelegten, separaten Dienst abwickeln, statt ihn über dasselbe Postfach zu schicken, das auch für die normale Geschäftskorrespondenz genutzt wird.
Fazit
SPF, DKIM und DMARC sind die drei technischen Einträge, die gemeinsam darüber entscheiden, ob eine geschäftliche E-Mail im Posteingang oder im Spam-Ordner landet. Sie lassen sich einmalig einrichten, brauchen danach aber eine regelmäßige Kontrolle, besonders wenn sich an der Mail-Infrastruktur etwas ändert. Wie diese Einträge technisch korrekt im DNS gesetzt werden, zeigt die Seite zum DNS Hosting mit technischer Kontrolle.