Warum Mails im Spam landen – und was SPF, DKIM und DMARC damit zu tun haben
SPF, DKIM und DMARC sind DNS-Einträge, die belegen, dass eine Mail wirklich von Ihrer Domain kommt. Ohne sie stufen Gmail, Outlook und Co. Ihre Mails als weniger vertrauenswürdig ein, und Fremde können in Ihrem Namen senden. Jede Domain, die Mails verschickt, braucht alle drei; DMARC sollte am Ende auf quarantine oder reject stehen.
Die drei Einträge im Überblick
SPF
Wer darf senden?
Ein TXT-Eintrag auf der Domain mit den erlaubten Servern. Genau einer, höchstens 10 DNS-Abfragen.
DKIM
Ist die Mail unverändert?
Ihr Mailserver signiert jede Mail; der öffentliche Schlüssel liegt im DNS unter selektor._domainkey.
DMARC
Und wenn nicht?
Ein TXT-Eintrag unter _dmarc: none, quarantine oder reject, dazu eine Adresse für Berichte.
In fünf Schritten eingerichtet
- 1.Alles auflisten, was in Ihrem Namen sendet: Postfach, Website-Formulare, Newsletter, Shop, Rechnungsprogramm.
- 2.Deren Einträge zu einem SPF-Eintrag zusammenführen und unter 10 Abfragen halten.
- 3.DKIM beim Mailanbieter und in jedem sendenden Dienst einschalten und die Schlüssel veröffentlichen.
- 4.DMARC mit p=none und Berichtsadresse anlegen und die Berichte zwei bis vier Wochen lesen.
- 5.Wenn alle echten Absender bestehen, auf p=quarantine und später auf p=reject umstellen.
Häufige Fragen zum E-Mail-Check
Was sind SPF, DKIM und DMARC?
Drei DNS-Einträge, die belegen, dass Ihre Mails wirklich von Ihnen kommen. SPF nennt die Server, die für Ihre Domain senden dürfen. DKIM signiert jede Mail mit einem Schlüssel. DMARC sagt dem Empfänger, was passieren soll, wenn SPF oder DKIM nicht passen (zustellen, in den Spam, ablehnen), und schickt Ihnen Berichte.
Warum landen meine E-Mails im Spam?
Dafür gibt es viele Gründe, technisch am häufigsten aber fehlende oder fehlerhafte SPF-, DKIM- oder DMARC-Einträge. Google und Yahoo verlangen sie seit 2024 von Absendern mit vielen Mails, Microsoft seit 2025. Auch kleinere Absender spüren das, weil Filter geprüften Mails mehr vertrauen.
Was prüft der Check genau?
Er liest öffentliche DNS-Einträge der Domain: MX, den SPF-Eintrag samt aller eingebundenen Einträge, DMARC auf der Domain und der Hauptdomain, rund 20 gängige DKIM-Selektoren, MTA-STS und BIMI. Es wird keine Mail gesendet und kein Mailserver kontaktiert.
Der Check findet keinen DKIM-Schlüssel. Ist etwas falsch?
Nicht unbedingt. Ein DKIM-Schlüssel liegt unter einem Namen (Selektor), den der Anbieter festlegt. Wir fragen die gängigen ab; verwendet Ihrer einen anderen, sieht der Check ihn nicht. Öffnen Sie eine gesendete Mail und suchen Sie im Header nach „DKIM-Signature“: Steht es dort, funktioniert DKIM.
Soll ich DMARC gleich auf reject stellen?
Nein. Starten Sie mit p=none und einer Berichtsadresse. Die Berichte zeigen, welche Dienste in Ihrem Namen senden: Newsletter-Tool, Shop, Buchhaltung. Wenn alle SPF oder DKIM bestehen, auf quarantine und dann auf reject umstellen. Wer gleich reject setzt, riskiert, dass echte Mails abgewiesen werden.