SPF, DKIM & DMARC – Was es ist, warum es wichtig ist, und wie man es selbst einrichtet
Stellen Sie sich vor, jemand verschickt in Ihrem Namen Rechnungen mit einer fremden Bankverbindung. Oder Ihre Kunden erhalten E-Mails die scheinbar von Ihnen kommen – mit gefälschten Zahlungsaufforderungen. Das Geld ist weg, das Vertrauen auch.
Das klingt nach einem Hollywood-Szenario. Es passiert aber täglich – und zwar bei ganz normalen Unternehmen, Praxen, Kanzleien und Einzelunternehmerinnen. Nicht weil jemand gehackt wurde. Sondern weil drei simple DNS-Einträge fehlen die zusammen genau das verhindern: SPF, DKIM und DMARC.
Dieser Artikel erklärt was diese drei Begriffe bedeuten, warum sie für jede Domain wichtig sind – und wie Sie es in 10 Minuten selbst einrichten, ohne technische Vorkenntnisse und ohne dafür zu bezahlen.
Das Problem: Jeder kann E-Mails in Ihrem Namen versenden
E-Mail wurde in den 1970er Jahren entwickelt – in einer Zeit in der das Internet eine kleine, vertrauenswürdige Forschergemeinschaft war. Niemand hat damals daran gedacht, dass jemand absichtlich falsche Absenderadressen verwenden könnte.
Das Ergebnis: Das E-Mail-System vertraut standardmäßig jedem. Wer weiß wie es geht, kann heute eine E-Mail verschicken die aussieht als käme sie von office@ihrunternehmen.at – ohne jemals Zugriff auf Ihr Postfach zu haben. Kein Einbruch, kein Hack, keine Spur.
Genau hier setzen SPF, DKIM und DMARC an. Sie sind die drei Mechanismen die das Vertrauen ins E-Mail-System nachträglich eingebaut haben. Und sie funktionieren – aber nur wenn sie eingerichtet sind.
SPF – Wer darf E-Mails in meinem Namen verschicken?
SPF steht für Sender Policy Framework. Es ist im Grunde eine Liste die Sie in Ihrem DNS hinterlegen und die sagt: „Diese und nur diese Server dürfen E-Mails mit meiner Domain als Absender verschicken."
Stellen Sie sich SPF wie eine Gästeliste vor. Wenn jemand eine E-Mail von office@ihrunternehmen.at verschickt, schaut der empfangende Mailserver in Ihre Gästeliste: Steht dieser Server drauf? Wenn ja – E-Mail wird zugestellt. Wenn nein – Warnung oder Ablehnung.
Ein typischer SPF-Eintrag sieht so aus:
v=spf1 mx a include:spf.ihrhoster.net ~all
Das bedeutet übersetzt: „Version SPF1. Erlaubt sind die Server die im MX-Eintrag stehen, die Server die im A-Eintrag stehen, und die Server von meinem Hoster. Alles andere ist verdächtig."
Was bedeutet ~all am Ende?
Das Tilde-Zeichen vor all bedeutet „SoftFail" – also: E-Mails von nicht autorisierten Servern werden als verdächtig markiert, aber nicht automatisch abgelehnt. Das ist der sichere Einstieg.
Strenger wäre -all (HardFail) – E-Mails von nicht autorisierten Servern werden sofort abgelehnt. Das sollte man erst setzen wenn man sicher ist dass alle legitimen Mailserver im SPF-Eintrag stehen.
DKIM – Die digitale Unterschrift unter jeder E-Mail
DKIM steht für DomainKeys Identified Mail. Während SPF kontrolliert von wo eine E-Mail kommt, kontrolliert DKIM ob die E-Mail unterwegs verändert wurde.
Funktioniert wie eine digitale Unterschrift: Ihr Mailserver versieht jede ausgehende E-Mail mit einer unsichtbaren kryptografischen Signatur. Der empfangende Mailserver prüft diese Signatur gegen einen öffentlichen Schlüssel der in Ihrem DNS hinterlegt ist. Stimmt die Signatur – E-Mail ist echt und unverändert. Stimmt sie nicht – jemand hat manipuliert.
Die gute Nachricht: Bei den meisten österreichischen Hostern ist DKIM bereits automatisch aktiv. Sie müssen nichts tun – Ihr Hoster hat das bereits im Hintergrund eingerichtet. Im Zweifelsfall einfach beim Hoster nachfragen: „Ist DKIM für meine Domain aktiv?"
DMARC – Das Regelwerk das alles zusammenhält
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es baut auf SPF und DKIM auf und beantwortet die Frage: „Was soll passieren wenn eine E-Mail die SPF- oder DKIM-Prüfung nicht besteht?"
Außerdem – und das ist besonders wertvoll – schickt DMARC Ihnen tägliche Berichte. Sie erfahren also ob jemand versucht hat E-Mails in Ihrem Namen zu verschicken, von welchen Servern, und wie viele. Ein frühes Warnsystem das still im Hintergrund arbeitet.
DMARC hat drei Stufen:
- p=none – Beobachten: Nur Berichte, nichts wird blockiert. Immer hier starten – so lernen Sie erst was auf Ihrer Domain passiert, ohne das Risiko dass eigene E-Mails fälschlicherweise blockiert werden.
- p=quarantine – Strenger: E-Mails die SPF und DKIM nicht bestehen landen beim Empfänger im Spam-Ordner. Nach 4–6 Wochen mit p=none empfehlenswert.
- p=reject – Maximum: Gefälschte E-Mails werden vom empfangenden Server komplett abgelehnt – der Absender bekommt eine Fehlermeldung. Der stärkste Schutz.
Praxisbeispiel: Die Rechtsanwältin die nichts geahnt hat
Mag. Sandra K. betreibt eine kleine Anwaltskanzlei in Wien. Ihre Website ist ordentlich, ihre E-Mails funktionieren einwandfrei, ihre Mandanten sind zufrieden. Eines Montags ruft ein langjähriger Mandant aufgeregt an: Er habe eine E-Mail von ihr bekommen mit einer geänderten Bankverbindung für eine ausstehende Honorarnote – und habe bereits überwiesen.
Mag. K. hat diese E-Mail nie verschickt. Ihr Postfach wurde nicht gehackt. Jemand hat einfach eine E-Mail mit ihrer Absenderadresse verschickt – weil SPF und DMARC auf ihrer Domain fehlten. Der Mailserver des Mandanten hatte keinerlei Möglichkeit zu prüfen ob die E-Mail wirklich von ihr kam.
Das Geld war weg. Die Erklärung gegenüber dem Mandanten war unangenehm. Das Vertrauen – beschädigt.
Drei DNS-Einträge hätten das verhindert.
Wie richtet man es ein – Schritt für Schritt
Das Prinzip ist bei jedem Hoster gleich. Sie öffnen die DNS-Verwaltung Ihrer Domain und tragen zwei TXT-Einträge ein – DKIM ist bei den meisten österreichischen Hostern bereits automatisch aktiv. Was genau eingetragen wird hängt von Ihrem Hoster ab – aber die Struktur ist immer dieselbe.
Schritt 1: SPF-Eintrag setzen
In der DNS-Verwaltung Ihrer Domain einen neuen TXT-Eintrag anlegen:
- Subdomain/Name:
@ - Typ:
TXT - Wert:
v=spf1 mx a include:spf.IHRHOSTER.net ~all
Den genauen include:-Wert für Ihren Hoster finden Sie in dessen Dokumentation oder Support. Suchen Sie nach „SPF-Eintrag [Hostname]".
Häufige Werte österreichischer Hoster:
- Ledl/Domaintechnik:
v=spf1 mx a include:spf.ledl.net ~all - World4You:
v=spf1 mx include:spf.w4ymail.at ~all - Easyname:
v=spf1 mx include:spf.easyname.com ~all - HostProfis: SPF wird automatisch gesetzt – im Kundencenter prüfen
- Google Workspace:
v=spf1 include:_spf.google.com ~all - Microsoft 365:
v=spf1 include:spf.protection.outlook.com ~all
Wenn Sie mehrere Mailsysteme nutzen – z.B. Ledl für normale E-Mails und einen externen Newsletter-Dienst – können Sie beide kombinieren: v=spf1 mx a include:spf.ledl.net include:_spf.google.com ~all
Schritt 2: DKIM prüfen – bei den meisten Hostern nichts zu tun
Fragen Sie Ihren Hoster einfach: „Ist DKIM für meine Domain aktiv?"
Bei den meisten österreichischen Hostern – darunter Ledl/Domaintechnik – ist DKIM automatisch auf dem Mailserver aktiv. Kein eigener DNS-Eintrag nötig.
Wenn Ihr Hoster DKIM nicht automatisch aktiviert, stellt er Ihnen den nötigen DNS-Eintrag (einen TXT-Eintrag mit einem langen kryptografischen Schlüssel) zur Verfügung. Dieser Schlüssel ist individuell und kann nicht aus einer Anleitung kopiert werden – er kommt ausschließlich von Ihrem Hoster.
Schritt 3: DMARC-Eintrag setzen
In der DNS-Verwaltung Ihrer Domain einen neuen TXT-Eintrag anlegen:
- Subdomain/Name:
_dmarc - Typ:
TXT - Wert:
v=DMARC1; p=none; rua=mailto:info@ihredomain.at
Die E-Mail-Adresse bei rua= muss eine existierende Adresse sein die Sie regelmäßig lesen. Dort kommen die täglichen Berichte an. Keine neue Adresse extra dafür anlegen – sie muss wirklich existieren und gelesen werden.
Wichtig: Immer mit p=none starten. Nach 4–6 Wochen auf p=quarantine erhöhen.
Schritt 4: Prüfen ob alles korrekt ist
Nach dem Eintragen 30–60 Minuten warten (DNS-Propagation) und dann prüfen. DNS-Änderungen brauchen Zeit bis sie weltweit sichtbar sind – das ist normal und kein Fehler.
- SPF prüfen: mxtoolbox.com/spf.aspx
- DMARC prüfen: mxtoolbox.com/dmarc.aspx
- DMARC alternativ: dmarcian.com/dmarc-inspector
Domain eingeben – grüne Haken bedeuten alles korrekt. Das einzige dauerhafte Rot wird „DMARC Policy Not Enabled" sein – das ist kein Fehler, sondern Ihr bewusstes p=none als erster Schritt.
Schritt 5: Nach 4–6 Wochen auf p=quarantine wechseln
Wenn die täglichen Berichte zeigen dass alles normal läuft – also nur Ihre eigenen legitimen Server auftauchen – dann ist es Zeit auf die nächste Stufe zu wechseln. Einfach den DMARC-Eintrag im DNS-Panel öffnen und p=none durch p=quarantine ersetzen.
Wichtige Warnung: Wechseln Sie niemals direkt von p=none auf p=reject ohne die Zwischenstufe. Wenn noch ein legitimer Mailserver nicht im SPF-Eintrag steht – zum Beispiel ein Newsletter-Dienst oder ein Buchhaltungsprogramm das E-Mails verschickt – würden diese E-Mails plötzlich abgelehnt. Die Zwischenstufe quarantine gibt Ihnen die Chance das zu bemerken und zu korrigieren.
Was tun wenn DMARC-Berichte ankommen?
Die täglichen Berichte die an Ihre rua= Adresse geschickt werden sind XML-Dateien – technisch und auf den ersten Blick unleserlich. Sie müssen diese Dateien nicht selbst entschlüsseln. Es gibt kostenlose Tools die daraus verständliche Zusammenfassungen machen:
- dmarcian.com – kostenloser Einstieg, übersichtliche Darstellung
- dmarc.postmarkapp.com – kostenlos für kleine Domains
Was Sie in den Berichten suchen: Einträge mit dkim=fail oder spf=fail von unbekannten IP-Adressen. Das wäre ein Hinweis dass jemand versucht Ihre Domain zu missbrauchen.
Das Fazit: Zwei Zeilen Text, 10 Minuten, kein Budget
SPF und DMARC sind zwei TXT-Einträge in Ihrer DNS-Verwaltung. DKIM ist bei den meisten österreichischen Hostern bereits aktiv. Der gesamte Aufwand: 10 Minuten, kein Budget, keine technischen Vorkenntnisse.
Was Sie dafür bekommen: Eine Domain die gegen E-Mail-Missbrauch abgesichert ist. Tägliche Berichte wenn jemand versucht Ihre Identität zu missbrauchen. Und die Sicherheit, dass Ihre E-Mails auch wirklich als vertrauenswürdig erkannt werden – von Gmail, Outlook, und allen anderen großen Mailanbietern.
Das ist kein IT-Projekt. Das ist digitale Grundhygiene. Wie ein Schloss an der Eingangstür. Man braucht kein Schlosser-Studium um es zu montieren – man muss nur wissen dass es eines gibt.
Ich bin Petra Dippold – Webdesignerin aus Moosbrunn, in der Nähe von Wien, seit 2001 in dieser Branche. Ich beobachte neue Entwicklungen – und erkläre sie so, dass auch Nicht-Techniker sie verstehen und nutzen können. 😊