SPF, DKIM und DMARC: So authentifizieren Sie Ihre E-Mails

SPF, DKIM und DMARC: So authentifizieren Sie Ihre E-Mails

E-Mails zu authentifizieren bedeutet, den Mailanbietern zu beweisen, dass Sie der legitime Absender Ihrer Nachrichten sind. Es beruht auf drei sich ergänzenden Standards: SPF, DKIM und DMARC. Zusammen verhindern sie, dass jemand Ihre Domain fälscht, verbessern Ihre Zustellbarkeit und werden inzwischen von Gmail und Yahoo für Massenversender verlangt. Dieser Leitfaden erklärt, was jeder ist, wie er funktioniert und wie Sie sie mit Mailpro einrichten.

Das Wichtigste in Kürze

• SPF gibt an, welche Server im Namen Ihrer Domain senden dürfen.
• DKIM fügt eine kryptografische Signatur hinzu, die beweist, dass die Nachricht nicht verändert wurde.
• DMARC verbindet SPF und DKIM, sagt Anbietern, was bei einem Fehler zu tun ist, und sendet Ihnen Berichte.
• Seit Februar 2024 verlangen Gmail und Yahoo alle drei von Absendern mit mehr als 5.000 E-Mails pro Tag.
• Ohne Authentifizierung landen Ihre E-Mails im Spam oder werden ganz abgewiesen.

Warum wurde Authentifizierung unverzichtbar?

Authentifizierung löst ein einfaches Problem: Standardmäßig kann jeder eine beliebige Adresse in das "Von"-Feld einer E-Mail schreiben. Das macht Phishing möglich. SPF, DKIM und DMARC schließen diese Tür, indem sie dem empfangenden Server erlauben, zu prüfen, dass Ihre E-Mail wirklich von Ihrer Domain stammt.

Seit Februar 2024 haben Gmail und Yahoo es zur Pflicht gemacht: Jeder Absender mit mehr als 5.000 Nachrichten pro Tag muss SPF, DKIM und DMARC eingerichtet haben, eine Ein-Klick-Abmeldung anbieten und die Spam-Beschwerden sehr niedrig halten. Nicht konforme E-Mails werden gefiltert oder abgewiesen. Authentifizierung ist keine optionale Best Practice mehr, sie ist die Eintrittskarte zum Posteingang.

SPF: Wer darf für Ihre Domain senden?

SPF (Sender Policy Framework) ist eine im DNS veröffentlichte Liste der Server, die im Namen Ihrer Domain E-Mails senden dürfen. Wenn ein Anbieter eine Nachricht erhält, gleicht er den sendenden Server mit dieser Liste ab. Steht der Server darauf, besteht SPF; wenn nicht, ist die E-Mail verdächtig.

In der Praxis ist SPF ein TXT-Eintrag in Ihrer DNS-Zone, etwa v=spf1 include:_spf.mailpro.com -all. Das abschließende -all weist Anbieter an, jeden nicht gelisteten Server abzuweisen. SPF bekämpft direkt das Spoofing: Niemand kann behaupten, von Ihrer Domain zu senden, ohne in Ihrem Eintrag zu stehen. Seine Grenze: SPF prüft die technische Sendedomain, nicht immer die Adresse, die der Empfänger sieht, weshalb DKIM und DMARC weiterhin nötig sind.

DKIM: Die Signatur, die Integrität garantiert

DKIM (DomainKeys Identified Mail) fügt jeder E-Mail eine kryptografische Signatur hinzu. Ihr Sendeserver signiert die Nachricht mit einem privaten Schlüssel; der passende öffentliche Schlüssel wird in Ihrem DNS veröffentlicht. Der empfangende Anbieter holt diesen öffentlichen Schlüssel, prüft die Signatur und bestätigt zwei Dinge: Die Nachricht kommt wirklich von Ihrer Domain und wurde unterwegs nicht verändert.

In der Praxis sitzt die Signatur als Verschlüsselungsschlüssel im Nachrichtenkopf. Der Empfänger sieht sie nie, aber sein Anbieter nutzt sie, um Vertrauen zu gewähren. DKIM ist besonders wichtig, weil seine Gültigkeit das Weiterleiten einer E-Mail übersteht, wo SPF brechen kann. Mit Mailpro wird die DKIM-Signatur Ihrer Kampagnen für Sie verwaltet.

Keine Lust, DNS-Einträge von Hand zu bearbeiten? Mailpro führt die E-Mail-Authentifizierung durchgängig für Sie.

DMARC: Die Schicht, die alles verbindet

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist der Standard, der SPF und DKIM Sinn gibt. Er tut drei Dinge. Erstens prüft er die "Ausrichtung": Die von SPF oder DKIM validierte Domain muss zur Domain passen, die der Empfänger sieht. Zweitens sagt er Anbietern, was zu tun ist, wenn eine E-Mail die Authentifizierung nicht besteht, über eine Richtlinie: p=none (nur beobachten), p=quarantine (in den Spam) oder p=reject (abweisen). Drittens sendet er Ihnen regelmäßige Berichte darüber, wer in Ihrem Namen E-Mails sendet, legitim oder betrügerisch.

DMARC wird ebenfalls als DNS-Eintrag veröffentlicht, unter _dmarc.ihredomain.com. Best Practice ist, bei p=none zu beginnen, um zu beobachten, und dann schrittweise auf quarantine und danach reject zu verschärfen, sobald Ihre gesamte legitime Post besteht. Diese Steigerung schützt Ihre Domain wirklich vor Phishing.

Und BIMI?

BIMI (Brand Indicators for Message Identification) ist die Belohnung der Authentifizierung: Es zeigt Ihr Markenlogo neben Ihren E-Mails im Posteingang. BIMI erfordert eine DMARC-Richtlinie auf quarantine oder reject und oft ein geprüftes Markenzertifikat. Es ist ein Vertrauens- und Sichtbarkeitsbonus, ergibt aber erst Sinn, wenn SPF, DKIM und DMARC solide stehen.

So richten Sie SPF, DKIM und DMARC mit Mailpro ein

Die Einrichtung erfolgt einmal, auf Ebene Ihrer Domain:

• SPF: Fügen Sie einen TXT-Eintrag hinzu oder erweitern Sie ihn, der Mailpros Sendeserver einschließt. Nur ein SPF-Eintrag pro Domain, sonst wird er ungültig.
• DKIM: Veröffentlichen Sie den von Mailpro bereitgestellten öffentlichen Schlüssel in Ihrem DNS; Mailpros Tool erzeugt und verwaltet die Signatur.
• DMARC: Erstellen Sie den _dmarc-Eintrag, beginnen Sie bei p=none mit einer Berichtsadresse und verschärfen Sie dann die Richtlinie.

Für Transaktions- oder Massenversand wendet unser SMTP-Server diese Authentifizierung auf jede Nachricht an. Und um zu prüfen, ob sich die Arbeit auszahlt, beobachten Sie nach jedem Versand Ihre E-Mail-Statistiken.

Häufige Fehler, die Sie vermeiden sollten

• Zwei SPF-Einträge veröffentlichen: Eine Domain darf nur einen haben.
• Bei p=none stecken bleiben: Beobachten schützt nicht, Sie müssen die DMARC-Richtlinie verschärfen.
• Ein Drittanbieter-Tool (CRM, Rechnung) vergessen, das in Ihrem Namen sendet, ohne in SPF autorisiert zu sein.
• Glauben, Authentifizierung genüge: Sie öffnet die Tür, aber Ihre Listenqualität entscheidet, ob Sie im Posteingang bleiben. Das ist das Thema unseres Leitfadens, um Spam zu vermeiden.

Häufige Fragen

Sind SPF, DKIM und DMARC Pflicht?

Für Massenversender ja. Seit Februar 2024 verlangen Gmail und Yahoo alle drei von Konten, die mehr als 5.000 E-Mails pro Tag senden. Für kleine Mengen sind sie nicht streng vorgeschrieben, aber dringend empfohlen: Ohne sie bricht die Zustellbarkeit ein.

Was ist der Unterschied zwischen SPF und DKIM?

SPF prüft, ob der Sendeserver für Ihre Domain autorisiert ist; DKIM prüft per kryptografischer Signatur, dass die Nachricht wirklich von Ihnen kommt und nicht verändert wurde. SPF validiert den technischen Absender, DKIM validiert den Inhalt. Sie ergänzen sich, und DMARC verbindet sie.

Stoppt DMARC wirklich Phishing?

Eine DMARC-Richtlinie auf reject hindert Anbieter daran, E-Mails zuzustellen, die Ihre exakte Domain fälschen. Sie blockiert keine ähnlichen Domains, schützt aber Ihren echten Domainnamen, was direkte Fälschung stark reduziert.

Wie lange bis die Authentifizierung aktiv ist?

DNS-Einträge verbreiten sich meist innerhalb weniger Stunden, manchmal bis zu 48. Nach der Verbreitung werden SPF und DKIM bei jedem Versand geprüft; DMARC liefert ab den ersten Nachrichten Berichte.