Das Wichtigste in Kürze
- SPF (RFC 7208): Veröffentlicht die Liste der IP-Adressen und Versanddienste, die E-Mails mit Ihrer Domain im Envelope-Absender (Return-Path) versenden dürfen.
- DKIM (RFC 6376): Versieht jede Nachricht mithilfe eines asymmetrischen Schlüsselpaars mit einer kryptografischen Signatur. Diese belegt, dass die signierende Domain den Versand autorisiert hat und die Nachricht unterwegs nicht verändert wurde.
- DMARC (RFC 7489): Legt fest, wie empfangende Server mit E-Mails umgehen sollen, die das SPF- und DKIM-Alignment nicht bestehen (none, quarantine oder reject), und wohin aggregierte Berichte gesendet werden.
- Seit Februar 2024 verlangen Gmail und Yahoo von Bulk-Versendern (Gmail definiert diese als Absender von mehr als 5.000 Nachrichten pro Tag an private Gmail-Konten), sich sowohl per SPF als auch per DKIM zu authentifizieren, einen DMARC-Eintrag zu veröffentlichen (mindestens
p=none) und die From-Domain auf SPF oder DKIM auszurichten.
Wenn ein empfangender Mailserver wie Google Workspace, Microsoft 365 oder Yahoo Mail eine Nachricht von contact@yourcompany.com annimmt, durchläuft sie eine Reihe technischer Prüfungen. Damit entscheiden die Filtersysteme, ob die Nachricht tatsächlich vom rechtmäßigen Inhaber der Domain stammt oder ob es sich um einen Spoofing- bzw. Phishing-Versuch handelt.
Fehlen Ihrer Domain die erforderlichen Authentifizierungseinträge im DNS (Domain Name System), wird die Nachricht als hohes Risiko eingestuft. Sie landet dann voraussichtlich im Spam-Ordner oder wird bereits auf SMTP-Ebene abgewiesen, was Ihre Versandplattform als Bounce verbucht.
1. Die drei zentralen Verfahren der E-Mail-Authentifizierung
Um zu verstehen, wie die Sicherheitsmechanismen im E-Mail-Verkehr zusammenwirken, lohnt sich ein Blick auf die unterschiedliche, aber sich ergänzende Rolle jedes Protokolls:
SPF (Sender Policy Framework)
SPF funktioniert wie eine öffentliche Allowlist in Ihrem DNS. Der Eintrag legt fest, welche Server Mails im Namen Ihrer Domain versenden dürfen – angegeben per IP-Adresse oder über einen include-Mechanismus, der auf einen Anbieter wie Amazon SES, SendGrid oder Mailgun verweist. Empfänger prüfen SPF anhand der Domain des Envelope-Absenders (MAIL FROM / Return-Path), nicht anhand der sichtbaren From-Adresse.
DKIM (DomainKeys Identified Mail)
DKIM sichert die Integrität der Nachricht. Verlässt eine E-Mail den Versandserver, wird mit einem privaten Schlüssel eine digitale Signatur erzeugt und der Nachricht als DKIM-Signature-Header hinzugefügt. Der empfangende Server ruft den passenden öffentlichen Schlüssel aus Ihrem DNS ab und prüft damit die Signatur. So ist sichergestellt, dass die signierten Header und der Nachrichtentext unterwegs weder gefälscht noch verändert wurden.
DMARC (Domain-based Message Authentication, Reporting, and Conformance)
DMARC ist die Ebene, die SPF und DKIM miteinander verbindet. Der empfangende Server muss prüfen, ob die Domain in der sichtbaren Absenderadresse (Header From) mit der per SPF oder DKIM authentifizierten Domain übereinstimmt – diese Prüfung heißt Alignment. Eine Nachricht besteht DMARC, wenn mindestens eines der beiden Verfahren erfolgreich ist und übereinstimmt. Zudem legt DMARC fest, was der Empfänger bei fehlgeschlagener Authentifizierung tun soll, und stellt einen Kanal für aggregierte Berichte (RUA) bereit.
2. Aufbau und Syntax eines SPF-Eintrags
Ein SPF-Eintrag wird als TXT-Record auf der Domain veröffentlicht, die im Envelope-Absender verwendet wird. Bei Mails von Ihren eigenen Servern oder aus Google Workspace ist das in der Regel die Stammdomain:
Host / Name: @ (or yourcompany.com)
Value / Content: v=spf1 include:amazonses.com ~all
Was die einzelnen Bestandteile bedeuten:
v=spf1: Gibt die verwendete SPF-Version an. Dieser Begriff muss am Anfang des Eintrags stehen.include:amazonses.com: Berechtigt die Versand-IP-Bereiche von Amazon Simple Email Service (SES), Mails für die Domain zu versenden. Nutzen Sie zusätzlich SendGrid, lautet das Pendantinclude:sendgrid.net. Beachten Sie: Bei Amazon SES greift das SPF-Alignment für DMARC nur, wenn Sie eine eigene MAIL-FROM-Subdomain konfigurieren (zum Beispielbounce.yourcompany.com) und diesen Eintrag zusammen mit dem von SES bereitgestellten MX-Record auf dieser Subdomain veröffentlichen. Ist bei SendGrid die Domain-Authentifizierung mit „Automated Security“ aktiviert, verwaltet SendGrid SPF für seine Return-Path-Subdomain über einen CNAME. Ein include auf Stammdomain-Ebene ist dann nicht erforderlich.~all(SoftFail): Mails von Servern, die nicht auf der Liste stehen, sollen als verdächtig behandelt, in der Regel aber dennoch angenommen werden. Das ist die gängigste Wahl, vor allem solange Sie Ihre Versandquellen noch erfassen.-all(HardFail): Mails aus nicht autorisierten Quellen gelten als eindeutig fehlgeschlagen. Empfänger können sie abweisen, wobei viele große Mailbox-Provider inzwischen das DMARC-Ergebnis heranziehen, statt allein aufgrund von SPF abzulehnen.
include, a, mx, ptr, exists und redirect, einschließlich verschachtelter Abfragen). Versenden mehrere Dienste über dieselbe Domain (zum Beispiel Google Workspace und Amazon SES), fassen Sie diese in einem Eintrag zusammen: v=spf1 include:_spf.google.com include:amazonses.com ~all.
3. DKIM einrichten
Für DKIM wird in der Regel ein RSA-Schlüsselpaar erzeugt; als empfohlenes Minimum gelten derzeit 2048-Bit-Schlüssel. Wenn Sie einen Versandanbieter über eMailBase anbinden, gehen Sie so vor:
- Der Anbieter erzeugt die DNS-Einträge für seine DKIM-Selektoren. Amazon SES Easy DKIM stellt drei
CNAME-Records im Format<token>._domainkey.yourcompany.combereit; SendGrid liefert zwei DKIM-CNAME-Records (s1._domainkeyunds2._domainkey) sowie einen weiteren für seine Return-Path-Subdomain; Mailgun stellt üblicherweise einen TXT-Record mit dem öffentlichen Schlüssel bereit. - Melden Sie sich im Verwaltungsbereich Ihres DNS-Anbieters an und legen Sie jeden Eintrag exakt wie vorgegeben an.
- eMailBase fragt das DNS automatisch ab und bestätigt die Aktivierung, sobald die Einträge propagiert sind.
4. DMARC-Durchsetzung sicher einführen
Wer gleich am ersten Tag eine strenge DMARC-Richtlinie veröffentlicht, riskiert, dass legitime Mails abgewiesen werden, falls eine Versandquelle noch nicht vollständig durch SPF oder DKIM abgedeckt ist. Der DMARC-Eintrag wird als TXT-Record unter _dmarc.yourcompany.com veröffentlicht; die übliche Einführung verläuft in drei Phasen:
| Phase | Syntax der Richtlinie | Operatives Ziel |
|---|---|---|
| Phase 1: Überwachen | v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.com |
Aggregierte Berichte sammeln und alle legitimen Versandquellen identifizieren, ohne die Zustellung zu beeinträchtigen. |
| Phase 2: Quarantäne | v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourcompany.com |
Die Quarantäne-Richtlinie (meist Zustellung in den Spam-Ordner) auf 25 % der fehlschlagenden Nachrichten anwenden und den Anteil erhöhen, sobald die Berichte bestätigen, dass legitime Mails bestehen. Die Unterstützung von pct ist je nach Empfänger unterschiedlich, und die DMARCbis-Überarbeitung des Standards streicht den Parameter. |
| Phase 3: Abweisen | v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com |
Empfänger anweisen, alle Mails abzuweisen, die DMARC nicht bestehen, und so die unbefugte Nutzung Ihrer Domain zu unterbinden. |
5. DNS-Einträge prüfen und Fehler beheben
Sind die Einträge angelegt, können Sie sie mit gängigen Kommandozeilen-Tools prüfen:
dig +short TXT yourcompany.com
# Check a DKIM record (replace the selector with your own)
dig +short CNAME selector._domainkey.yourcompany.com
# Check the DMARC record
dig +short TXT _dmarc.yourcompany.com
In einem eMailBase-Workspace laufen diese Prüfungen automatisch über den DNS & Deliverability Manager, der Syntaxkonflikte und fehlende Einträge meldet, sobald sie auftreten.
