EA Digital Solutions

E-Mail-Sicherheit

E-Mails, die ankommen und sich nicht fälschen lassen.

Landen Ihre Angebote im Spam, oder verschickt jemand Mails in Ihrem Namen? Beides hat meist dieselbe Ursache: SPF, DKIM und DMARC fehlen oder passen nicht zu den Diensten, die tatsächlich für Ihre Domain senden. Wir bringen das in Ordnung, ohne dass zwischendurch legitime Mails verloren gehen.

  • Alle Absender Ihrer Domain erfasst
  • DMARC bis „reject“, Schritt für Schritt
  • Antwort in unter 24 h
Schriftlich anfragen

Kurz gesagt

SPF legt fest, welche Server für Ihre Domain senden dürfen, DKIM signiert jede Mail, und DMARC sagt dem Empfänger, was mit Mails passiert, die beides nicht bestehen, und schickt Ihnen Berichte. Google und Yahoo setzen seit Februar 2024 Mindestanforderungen durch: Jeder Absender braucht SPF oder DKIM, wer viel sendet, alle drei samt DMARC, dazu einen Abmeldelink mit einem Klick und eine Spamrate unter 0,3 %. Outlook.com verlangt seit Mai 2025 von Domains mit mehr als 5.000 Mails pro Tag SPF, DKIM und DMARC.

Die wichtigsten Fakten

Gmail: Regeln seit Februar 2024
Alle Absender brauchen SPF oder DKIM. Wer an Gmail-Konten rund 5.000 Mails oder mehr pro Tag sendet, braucht SPF, DKIM und DMARC (mindestens p=none), eine passende Absenderdomain und bei Werbemails eine Abmeldung mit einem Klick.
Spamrate unter 0,3 %
Google und Yahoo nennen 0,3 % als Grenze für die gemeldete Spamrate. Darüber drohen Drosselung oder Ablehnung.
Yahoo: dieselbe Richtung
SPF und DKIM, DMARC mindestens p=none, Abmeldung per List-Unsubscribe-Header mit einem Klick. Abmeldungen sollen innerhalb von zwei Tagen umgesetzt sein.
Outlook.com: seit Mai 2025
Domains mit mehr als 5.000 Mails pro Tag an Outlook-, Hotmail- und Live-Adressen müssen SPF, DKIM und DMARC bestehen. Microsoft weist nicht konforme Mails ab.
SPF: höchstens 10 DNS-Abfragen
Jedes „include“ zählt. Bei mehr als zehn Abfragen schlägt SPF mit einem Fehler fehl, auch für korrekte Mails (RFC 7208). Das passiert schnell, wenn viele Dienste eingetragen sind.
MTA-STS und BIMI
MTA-STS sorgt dafür, dass Mails an Ihre Domain nur verschlüsselt zugestellt werden. BIMI zeigt Ihr Logo im Posteingang, setzt aber DMARC mit „quarantine“ oder „reject“ voraus.

Stand: 26.10.2026 · Allgemeine Information, keine Rechtsberatung.

Wann sich das lohnt

  • Ihre Mails, Angebote oder Rechnungen landen bei Kunden im Spam oder werden abgewiesen.
  • Mehrere Dienste senden in Ihrem Namen: Microsoft 365 oder Google Workspace, Newsletter-Tool, Shop, CRM, Buchhaltung, Ticketsystem.
  • Jemand hat Mails mit Ihrer Absenderadresse verschickt, etwa gefälschte Rechnungen an Ihre Kunden.
  • Kunden oder Versicherer fragen nach DMARC, etwa in Fragebögen zur Informationssicherheit oder im Rahmen von NIS2.

Die Vorgaben von Google, Yahoo und Microsoft richten sich vor allem an Absender großer Mengen. Gegen gefälschte Absender und für eine gute Zustellung hilft eine saubere Einrichtung aber jeder Domain.

Was wir für Sie tun

  1. 1

    Bestandsaufnahme aller Absender

    Wir erfassen jeden Dienst, der als Ihre Domain sendet, auch die vergessenen. Erste DMARC-Berichte zeigen, was tatsächlich unterwegs ist.

  2. 2

    SPF zusammenführen

    Ein SPF-Eintrag, der alle legitimen Absender abdeckt und unter zehn DNS-Abfragen bleibt; nicht mehr genutzte Einträge fliegen raus.

  3. 3

    DKIM für jeden Absender

    Eigene DKIM-Schlüssel pro Dienst, damit Signatur und Absenderdomain zusammenpassen.

  4. 4

    DMARC bis „reject“

    Start mit p=none und Auswertung der Berichte, dann schrittweise „quarantine“ und „reject“, erst wenn alle legitimen Mails bestehen.

  5. 5

    MTA-STS und, auf Wunsch, BIMI

    Erzwungene Verschlüsselung für eingehende Mails mit TLS-Berichten; BIMI, wenn Sie Ihr Logo im Posteingang zeigen möchten.

Wie gut Ihre Mails ankommen, hängt auch von Inhalten, Listenpflege und Versandverhalten ab. Wir sorgen für die technische Grundlage und sagen Ihnen offen, wo wir sonst Handlungsbedarf sehen.

Kostenlos vorab prüfen

Kostenlose Checkliste

E-Mail-Sicherheits-Checkliste: 12 Punkte für SPF, DKIM und DMARC

E-Mail-Sicherheits-Checkliste: 12 Punkte für SPF, DKIM und DMARC

Damit Ihre Mails im Posteingang landen und niemand in Ihrem Namen verschickt. Den aktuellen Stand Ihrer Domain zeigt der kostenlose E-Mail-Check auf ea-digitalsolutions.at/tools/email-check.

Absender-Inventur, SPF, DKIM, DMARC bis reject, MTA-STS: die 12 Punkte für sichere und zustellbare E-Mails, als PDF zum Ausdrucken.

E-Mail eingeben, um den vollständigen Inhalt zu erhalten

Kostenlos herunterladen — E-Mail eingeben

Sie melden sich damit auch zu unserem Newsletter an (zweimal im Monat). Abmeldung jederzeit.

Häufige Fragen

Woran sehe ich, ob meine Domain SPF, DKIM und DMARC hat?

Mit unserem kostenlosen E-Mail-Check: Domain eingeben, und Sie sehen, welche Einträge vorhanden sind und wo es hakt. Ob jeder einzelne Dienst korrekt signiert, zeigen erst die DMARC-Berichte.

Gelten die Regeln von Google und Yahoo auch für kleine Unternehmen?

SPF oder DKIM verlangt Google von allen Absendern. Die strengeren Regeln mit DMARC und Abmeldung per Klick gelten für Absender großer Mengen. Wer DMARC dennoch einrichtet, schützt sich gegen gefälschte Absender und verbessert die Zustellung.

Kann DMARC dazu führen, dass meine eigenen Mails nicht mehr ankommen?

Ja, wenn man zu früh auf „reject“ stellt. Deshalb beginnen wir mit „none“, werten die Berichte aus und verschärfen erst, wenn alle legitimen Absender bestehen.

Was ist MTA-STS, und brauche ich das?

MTA-STS legt fest, dass andere Server Mails an Ihre Domain nur über eine verschlüsselte, geprüfte Verbindung zustellen. Es schützt Ihren Posteingang, nicht Ihren Versand, und ist ein sinnvoller Zusatz, sobald SPF, DKIM und DMARC stehen.

Wie lange dauert die Umstellung bis „reject“?

Das hängt davon ab, wie viele Dienste senden und wie schnell sich ihre Einstellungen anpassen lassen. Die Berichte brauchen ohnehin einige Wochen, damit auch selten genutzte Absender auftauchen. Einen Zeitplan nennen wir nach der Bestandsaufnahme.

Quellen

Verwandte Leistungen