SPF, DKIM, DMARC einrichten: Schritt für Schritt

Eine Offerte, die im Spam landet, ist eine Offerte, die nie gelesen wird. Seit Februar 2024 setzt Gmail strengere Regeln für Absender durch, Yahoo hat ähnliche Anforderungen, und Microsoft leitet seit Mai 2025 Mails von Absendern grosser Mengen ohne gültige Authentifizierung in den Junk-Ordner. Die Grundlage dafür sind drei DNS-Einträge: SPF, DKIM und DMARCSPF, DKIM und DMARC sind drei Einträge im DNS einer Domain, mit denen empfangende Mailserver prüfen, ob eine E-Mail wirklich vom angegebenen Absender stammt.…Mehr erfahren →. Sie sind die technische Grundlage der E-Mail-Zustellbarkeit.

Was die drei Begriffe bedeuten, steht im Glossar unter SPF, DKIM und DMARC. Diese Anleitung ist der praktische Teil: wie du die Einträge für deine DomainEine Domain ist der eindeutige Name einer Website im Internet, etwa beispiel.ch. Sie besteht aus dem frei wählbaren Namen (Second-Level-Domain) und der Endung…Mehr erfahren → einrichtest, in welcher Reihenfolge, welche Fehler am häufigsten vorkommen und wie du prüfst, ob alles wirkt. Du brauchst dafür Zugang zur DNS-Verwaltung deiner Domain, meist beim Hoster oder Domain-Registrar, und Zugang zu den Diensten, die Mails verschicken.

Was die grossen Postfächer verlangen

Die Anforderungen der drei grössten Postfachanbieter unterscheiden sich im Detail, laufen aber auf dasselbe hinaus. Für alle Absender gilt mindestens SPF oder DKIM. Wer grosse Mengen verschickt, braucht alle drei.

Anforderung	Gmail	Yahoo	Outlook.com
Alle Absender: SPF oder DKIM	Ja	Ja	keine Angabe
Grosse Absender: SPF und DKIM	Ja	Ja	Ja
Grosse Absender: DMARC mindestens p=none	Ja	Ja	Ja
From-Domain muss zu SPF oder DKIM passen	Ja	Ja	Ja
Abmeldung mit einem Klick (Werbemails)	Ja	Ja	keine Angabe
Schwelle «grosser Absender»	mehr als 5'000 pro Tag	keine feste Zahl genannt	mehr als 5'000 pro Tag

Ein KMU mit einem monatlichen Newsletter an einige hundert Adressen ist kein grosser Absender. Trotzdem lohnt es sich, alle drei Einträge einzurichten. Erstens zählt die Menge pro Domain, also alle Systeme zusammen. Zweitens schützt DMARC deine Domain davor, dass Betrüger in deinem Namen Mails verschicken. Und drittens prüfen die Anbieter jede Mail, nicht nur die von grossen Absendern.

Die Anleitung

Im Folgenden die Schritte im Detail.

Schritt 1: die Bestandsaufnahme

Der häufigste Grund, warum DMARC später echte Mails blockiert, ist ein vergessener Absender. Die Buchhaltungssoftware schickt Rechnungen mit rechnung@muster-ag.ch, das Website-Formular sendet Bestätigungen mit info@muster-ag.ch, und niemand hat daran gedacht, weil es «einfach läuft».

Ein guter Trick: Durchsuche dein Postfach nach Mails, die von deiner eigenen Domain kommen, aber nicht von einer Person geschrieben wurden. Bestätigungen, Rechnungen, Erinnerungen, Passwort-Mails. Jede davon stammt von einem System, das in die Liste gehört. Auf unserer eigenen Website sind es zum Beispiel das Postfach, der Versanddienst für Formular-Bestätigungen und E-Book-Links sowie die Benachrichtigungen aus dem KundenportalEin Kundenportal ist ein geschützter Bereich auf der Website eines Unternehmens, in dem Kunden nach dem Login ihre eigenen Daten, Dokumente, Aufträge oder…Mehr erfahren →.

Schritt 2: der SPF-Eintrag

SPF legt fest, welche ServerEin Server ist ein Computer oder ein Programm, das anderen Geräten Dienste bereitstellt: Er liefert Websites aus, speichert Daten, verschickt E-Mails oder…Mehr erfahren → Mails für deine Domain versenden dürfen. Der Eintrag ist ein TXT-Eintrag direkt auf der Domain. Ein Beispiel mit Microsoft 365 und einem Newsletter-Dienst:

v=spf1 include:spf.protection.outlook.com include:spf.newsletter-dienst.example ~all

Die include:-Angaben stehen in der Hilfe des jeweiligen Dienstes. Das obige Beispiel für den Newsletter-Dienst ist ein Platzhalter. Drei Regeln sind wichtig:

Nur ein SPF-Eintrag pro Domain. Wenn ein Dienst «Fügen Sie folgenden SPF-Eintrag hinzu» schreibt, legst du keinen zweiten Eintrag an, sondern ergänzt den bestehenden um dessen include:.

Maximal zehn DNS-Abfragen. Die SPF-Norm (RFC 7208) begrenzt die Zahl der DNS-Abfragen bei der Prüfung auf zehn. Jedes include: zählt, und viele Dienste verschachteln intern weitere. Wer acht Dienste einbindet, überschreitet die Grenze schnell, und dann schlägt SPF für alle fehl.

~all zum Start. Die Endung bestimmt, was mit Mails von nicht aufgeführten Servern passiert. ~all (Softfail) markiert sie als verdächtig, -all (Fail) lehnt sie ab. Mit DMARC zusammen genügt ~all, weil DMARC die eigentliche Entscheidung trifft.

Schritt 3: DKIM für jeden Dienst

DKIM unterschreibt jede Mail digital. Der empfangende Server prüft die Unterschrift mit einem öffentlichen Schlüssel, der in deinem DNSDas DNS (Domain Name System) ist das Adressbuch des Internets: Es übersetzt einen Domainnamen wie beispiel.ch in die IP-Adresse des Servers, auf dem die…Mehr erfahren → steht. Weil jeder Dienst seine eigene Unterschrift setzt, braucht jeder Dienst seinen eigenen DKIM-Eintrag. Die Einträge unterscheiden sich durch den Selector, etwa selector1._domainkey.muster-ag.ch.

Der Ablauf ist bei allen Diensten ähnlich: In den Einstellungen gibt es einen Bereich wie «Domain authentifizieren» oder «DKIM». Der Dienst zeigt die DNS-Einträge an, die du anlegst, und prüft danach, ob sie gefunden werden. Manche Dienste nutzen CNAME-Einträge, die auf ihre eigenen Server zeigen. Das hat den Vorteil, dass sie Schlüssel wechseln können, ohne dass du etwas ändern musst.

Zur Schlüssellänge: Gmail verlangt mindestens 1'024 Bit und empfiehlt 2'048 Bit, wo der Dienst das unterstützt. Wenn du die Wahl hast, nimm 2'048.

Schritt 4: DMARC mit p=none

DMARC verbindet SPF und DKIM mit der Absenderadresse, die der Empfänger sieht. Eine Mail besteht DMARC, wenn SPF oder DKIM bestanden wird und die geprüfte Domain zur Domain im «From» passt. Diese Übereinstimmung heisst Alignment. Genau sie fehlt oft: Ein Newsletter-Tool versendet zwar mit gültigem SPF, aber für seine eigene Domain, nicht für deine. Deshalb ist DKIM mit deiner Domain bei Newsletter-Tools so wichtig.

Der Eintrag ist ein TXT-Eintrag auf _dmarc.muster-ag.ch:

v=DMARC1; p=none; rua=mailto:dmarc-berichte@muster-ag.ch

p=none heisst: Mails, die nicht bestehen, werden trotzdem zugestellt. rua ist die Adresse für die täglichen Sammelberichte der Empfänger. Diese Adresse muss existieren und gelesen werden. Ein Platzhalter aus einer Vorlage, etwa eine Beispieldomain, schickt die Berichte ins Leere, und dann fehlt dir genau die Information, die DMARC liefern soll. Prüf deshalb nach dem Eintragen, ob die Adresse wirklich deine ist.

Die Berichte kommen als XML-Dateien und sind von Hand mühsam zu lesen. Viele Newsletter- und Sicherheitsdienste bieten Auswertungen an, oft mit Gratis-Stufe.

Schritt 5: prüfen

Die einfachste Prüfung braucht nur ein Gmail-Konto. Schick aus jedem Dienst eine Testmail dorthin, öffne sie, klick auf die drei Punkte und wähle «Original anzeigen». Oben stehen drei Zeilen: SPF, DKIM, DMARC, jeweils mit PASS oder FAIL. Steht bei DKIM die Domain des Dienstes statt deiner eigenen, fehlt das Alignment.

Wer lieber im Terminal arbeitet, fragt die Einträge direkt ab:

dig +short TXT muster-ag.ch
dig +short TXT _dmarc.muster-ag.ch
dig +short TXT selector1._domainkey.muster-ag.ch

Unter Windows funktioniert dasselbe mit nslookup -type=TXT muster-ag.ch. Für Absender, die regelmässig an Gmail-Adressen schreiben, lohnt sich zusätzlich Google Postmaster Tools. Dort sieht man unter anderem die Spam-Rate. Laut Gmail-Hilfe muss die Spam-Rate unter 0,3 Prozent liegen, empfohlen wird, sie unter 0,1 Prozent zu halten.

Schritt 6: die Richtlinie verschärfen

Nach vier bis acht Wochen mit p=none zeigen die Berichte, welche Server in deinem Namen senden. Tauchen dort Dienste auf, die nicht bestehen, aber echt sind, richtest du für sie SPF und DKIM nach. Tauchen Server auf, die du nicht kennst, ist das oft ein Hinweis auf Missbrauch deiner Domain.

Erst wenn alle echten Absender bestehen, wechselst du auf p=quarantine (nicht bestehende Mails landen im Spam). Mit dem Zusatz pct= lässt sich die Richtlinie zunächst nur auf einen Teil der Mails anwenden. Nach weiteren Wochen ohne Probleme folgt p=reject. Diese Stufe ist der beste Schutz gegen gefälschte Mails mit deinem Namen, aber auch die unbarmherzigste, wenn ein Dienst vergessen wurde.

Die häufigsten Fehler

Der sechste Punkt verdient einen eigenen Satz. Viele ältere Websites verschicken Formularbestätigungen direkt über den Webserver, ohne Authentifizierung. Diese Mails bestehen weder SPF noch DKIM und sind die ersten, die nach einer DMARC-Verschärfung verschwinden. Die saubere Lösung ist ein Versand über einen Dienst mit DKIM für deine Domain. Bei einer Website, die wir betreuen, gehört das zur Website-Wartung. Bei eigener Software, die Mails verschickt, etwa ein Kundenportal oder eine Buchungsplattform, planen wir den Versand bei der Individualsoftware von Anfang an mit.

Newsletter auf einer Subdomain?

Manche Betriebe verschicken Newsletter über eine Subdomain wie news.muster-ag.ch. Der Gedanke: Wenn der Newsletter einmal Ärger mit Spam-Beschwerden hat, leidet nicht gleich die Zustellung der Offerten aus dem Hauptpostfach. Das funktioniert, wenn die Subdomain eigene SPF- und DKIM-Einträge hat. DMARC der Hauptdomain gilt standardmässig auch für Subdomains, ausser die Subdomain hat einen eigenen DMARC-Eintrag oder die Hauptdomain setzt mit sp= eine eigene Richtlinie für Subdomains.

Für ein KMU mit einem monatlichen Newsletter ist das kein Muss. Sinnvoll wird es, wenn Werbemails und geschäftskritische Mails in grossen Mengen über dieselbe Domain laufen. Wie die Strecken dahinter aussehen, beschreibt der Beitrag Lead Nurturing in fünf Mails, und welche Kennzahlen du danach beobachtest, der Beitrag Newsletter-Kennzahlen richtig lesen.

Konstruiertes Beispiel: die Muster AG

Konstruiertes Beispiel, kein Kundenfall. Die Muster AG nutzt Microsoft 365 für die Postfächer, ein Newsletter-Tool, eine Buchhaltungssoftware für Rechnungen per Mail und ein Kontaktformular auf der Website. Die Bestandsaufnahme ergibt vier Absender. Der SPF-Eintrag enthält drei include:-Angaben, das Formular wird auf den Versand über den Newsletter-Dienst umgestellt. DKIM wird in allen drei Diensten aktiviert. DMARC startet mit p=none. Nach sechs Wochen zeigen die Berichte, dass auch ein alter Drucker-Scanner Mails mit der Firmendomain verschickt. Er wird umkonfiguriert, danach wechselt die Muster AG auf p=quarantine.

Fazit

SPF, DKIM und DMARC sind drei DNS-Einträge, die an einem Nachmittag eingerichtet sind, wenn die Bestandsaufnahme stimmt. Der grösste Teil der Arbeit ist, alle Dienste zu finden, die in deinem Namen senden. Danach heisst es: DMARC mit p=none starten, Berichte lesen, schrittweise verschärfen. Wer eine neue Website oder Web-App bauen lässt, sollte den Mailversand gleich mitplanen. Der Rest ist Geduld mit den Berichten.

Quellen

1. Richtlinien für E-Mail-AbsenderGmail-Hilfe, Google · abgerufen am 11.11.2026
2. Sender Best PracticesYahoo Sender Hub · abgerufen am 11.11.2026
3. Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume SendersMicrosoft Tech Community · abgerufen am 11.11.2026
4. RFC 7208: Sender Policy Framework (SPF)IETF · abgerufen am 11.11.2026
5. RFC 6376: DomainKeys Identified Mail (DKIM) SignaturesIETF · abgerufen am 11.11.2026
6. RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC)IETF · abgerufen am 11.11.2026