Firmen-E-Mails landen im Spam? SPF, DKIM und DMARC Schritt für Schritt

Sie senden ein Angebot, und Ihre Kundschaft bekommt es nicht. Die Rechnung liegt im Spam-Ordner. Jemand erhält eine „dringende Überweisungsbitte“ von einer Adresse, die aussieht wie Ihre. Diese drei Probleme haben oft eine gemeinsame Ursache: Die Domain der Firma hat nicht korrekt eingerichtete SPF-, DKIM- und DMARC-Einträge.

Das sind drei kurze Einträge in den Domain-Einstellungen (DNS). Sie erfordern weder ein neues Programm noch den Wechsel des Postfachs, und in vielen Firmen fehlen sie seit Jahren. Unten erkläre ich, was sie sind, was Gmail, Yahoo und Outlook verlangen und wie Sie sie sicher einrichten.

SPF, DKIM und DMARC in einem Absatz

• SPF ist die Liste der Server, die E-Mails von Ihrer Domain senden dürfen. Der Empfangsserver prüft, ob die E-Mail von einem Server aus dieser Liste kam.
• DKIM ist eine digitale Signatur. Ihr Mailserver signiert jede E-Mail, und der Empfangsserver prüft die Signatur mit einem öffentlichen Schlüssel, der im DNS steht. Die Signatur bestätigt, dass die E-Mail wirklich von Ihrer Domain gesendet und unterwegs nicht verändert wurde.
• DMARC sagt dem Empfangsserver, was mit einer E-Mail geschehen soll, die sich als Ihre Domain ausgibt, aber SPF oder DKIM nicht besteht: durchlassen, in den Spam verschieben oder ablehnen. Außerdem schickt es Ihnen Berichte darüber, wer in Ihrem Namen E-Mails sendet.

Damit eine E-Mail DMARC besteht, muss sie SPF oder DKIM bestehen, und die Domain aus dieser Prüfung muss zur Absenderadresse passen, die beim Empfang angezeigt wird.

Was Gmail, Yahoo und Outlook verlangen

Seit Februar 2024 verlangen Gmail und Yahoo von allen Absendern mindestens SPF oder DKIM, einen korrekten Reverse-Eintrag (PTR) für den sendenden Server und eine niedrige Quote an Spam-Meldungen (unter 0,3 %). Gmail verlangt außerdem eine verschlüsselte Verbindung (TLS).

Firmen, die täglich etwa 5.000 E-Mails oder mehr an Gmail senden, müssen gleichzeitig SPF und DKIM, einen DMARC-Eintrag und in Marketing-E-Mails einen Abmeldelink mit einem Klick haben. Seit November 2025 verschärft Google die Durchsetzung der Regeln: E-Mails, die sie nicht erfüllen, können vorübergehend oder dauerhaft abgelehnt werden.

Microsoft verlangt seit dem 5. Mai 2025 dasselbe von Domains, die täglich mehr als 5.000 E-Mails an Postfächer von Outlook.com, Hotmail und Live senden: SPF, DKIM und DMARC mindestens im Beobachtungsmodus. E-Mails, die die Anforderungen nicht erfüllen, landen im Junk-Ordner oder werden mit dem Fehler 550 5.7.515 abgelehnt.

Ihre Firma versendet vermutlich keine 5.000 E-Mails am Tag. Aber Mailserver bewerten jede Nachricht, und eine E-Mail ohne SPF und DKIM ist für sie weniger vertrauenswürdig. Das ist einer der Gründe, warum ein ganz gewöhnliches Angebot im Spam landet.

Ist das eine gesetzliche Pflicht?

In Polen schreibt das Gesetz zur Bekämpfung von Missbrauch in der elektronischen Kommunikation (ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, Dz.U. 2024 Pos. 1803, Art. 24, im polnischen Gesetzblatt) E-Mail-Anbietern mit mindestens 500.000 Nutzern und öffentlichen Stellen den Einsatz von SPF, DKIM und DMARC vor. Eine private kleine Firma betrifft diese Pflicht nicht. CERT Polska empfiehlt diese Schutzmaßnahmen jedoch allen, auch Domains, die gar keine E-Mails versenden, denn genau solche nutzen Betrüger gern.

Schritt 1: Prüfen Sie, was Sie jetzt haben

Bevor Sie etwas ändern, prüfen Sie die aktuellen Einträge:

• in meinem Tool Website prüfen, das MX, SPF und DMARC zusammen mit dem Rest der Website zeigt,
• im Tool Bezpieczna Poczta von CERT Polska (auf Polnisch),
• indem Sie eine Test-E-Mail an die Adresse von learndmarc.com senden, wo Schritt für Schritt gezeigt wird, wie der Empfangsserver SPF, DKIM und DMARC prüft.

Notieren Sie auch alle Dienste, die E-Mails mit Ihrer Domain im Absenderfeld versenden. Neben dem Postfach können das sein: Rechnungsprogramm, Onlineshop, Newsletter, CRM, Formular auf der Website. Jeder von ihnen muss im SPF berücksichtigt werden oder die E-Mails mit einem DKIM-Schlüssel signieren, sonst landen seine E-Mails nach der Verschärfung von DMARC im Spam.

Schritt 2: SPF korrigieren

Der SPF-Eintrag ist ein TXT-Eintrag im DNS der Domain, z. B. für E-Mail bei OVH:

v=spf1 include:mx.ovh.com ~all

Die häufigsten Fehler:

• Zwei SPF-Einträge. Eine Domain darf nur einen haben. Fügen Sie einen neuen Dienst hinzu, z. B. Google Workspace, ergänzen Sie ihn im bestehenden Eintrag, statt einen zweiten anzulegen: v=spf1 include:mx.ovh.com include:_spf.google.com ~all.
• Zu viele Dienste. SPF erlaubt höchstens 10 DNS-Abfragen, einschließlich verschachtelter Einträge. Wird das Limit überschritten, funktioniert der gesamte Eintrag nicht mehr.
• Endung +all. Sie bedeutet, dass E-Mails Ihrer Domain von jedem beliebigen Server der Welt gesendet werden dürfen.

Die Endung ~all bedeutet „andere Server dürfen wahrscheinlich nicht senden“, und -all bedeutet „sie dürfen nicht“. Sicherer ist es, mit ~all zu beginnen. Zu -all wechseln Sie erst, wenn Sie sicher sind, dass im Eintrag alle Dienste stehen.

Schritt 3: DKIM aktivieren

DKIM aktivieren Sie im Panel Ihres E-Mail-Anbieters, der die Schlüssel selbst erzeugt. Die empfohlene Schlüssellänge beträgt 2048 Bit. Beispielpfade:

• OVHcloud (MX Plan): Web Cloud → MX Plan → Ihre Domain → Tab „Allgemeine Informationen“ → rotes Label „DKIM“ in der Spalte „Diagnose“ → „Aktivieren“. Bei Email Pro ist es der Tab „Zugewiesene Domains“. Die Aktivierung dauert 30 Minuten bis 24 Stunden.
• home.pl: Kundenpanel → Domains → gewählte Domain → Bereich DKIM → „Aktivieren“. Funktioniert, wenn Domain und Hosting bei home.pl liegen.
• nazwa.pl: Kundenpanel → Dienste → Domains → „konfigurieren“ → Erweiterte Einstellungen → „SPF, DKIM, DMARC“. Der Schlüssel wird nur dann automatisch hinzugefügt, wenn die Domain die DNS-Server von nazwa.pl nutzt.

Versenden Sie E-Mails auch aus anderen Diensten (Newsletter, Rechnungen), aktivieren Sie DKIM auch dort. Jeder hat in den Einstellungen eine Anleitung zum Hinzufügen des eigenen Eintrags.

Schritt 4: DMARC hinzufügen und schrittweise verschärfen

Der DMARC-Eintrag ist ein TXT-Eintrag unter dem Namen _dmarc, z. B.:

v=DMARC1; p=none; rua=mailto:dmarc@ihrefirma.pl

Die Richtlinie p hat drei Stufen:

1. p=none, also nur Beobachtung. An der Zustellung der E-Mails ändert sich nichts, aber Sie erhalten tägliche Berichte an die Adresse aus rua.
2. p=quarantine: E-Mails, die die Prüfung nicht bestehen, landen im Spam.
3. p=reject: Solche E-Mails werden abgelehnt und kommen gar nicht an.

Beginnen Sie mit p=none und lesen Sie die Berichte einige Wochen lang. Die Berichte sind XML-Dateien, daher lassen sie sich leichter in einem kostenlosen Tool zur DMARC-Analyse durchsehen. Sehen Sie in den Berichten nur noch Ihre eigenen Dienste mit korrektem SPF oder DKIM, wechseln Sie zu quarantine und nach weiteren Wochen zu reject. Microsoft und CERT Polska empfehlen genau diesen schrittweisen Übergang. Seit Mai 2026 gilt eine neue Version des DMARC-Standards (RFC 9989). Statt des alten Parameters pct, mit dem die Richtlinie nur auf einen Teil der E-Mails angewandt werden konnte, führt sie den Testmodus t=y ein.

Auf meiner eigenen Domain robimyweb.pl bin ich von p=none auf p=quarantine gewechselt, nachdem ich geprüft hatte, dass alle meine E-Mails, aus dem Postfach und aus dem Formular auf der Website, SPF bestehen.

Bonus: Firmenlogo neben E-Mails (BIMI)

Ist DMARC auf quarantine oder reject gesetzt, können Sie das Firmenlogo neben Ihren E-Mails im Postfach der empfangenden Person anzeigen lassen. Diese Technik heißt BIMI und erfordert ein Logo im Format SVG Tiny PS sowie ein Zertifikat (VMC für eine eingetragene Marke oder CMC ohne Markeneintragung). Das ist ein nettes Extra für Firmen, die viele E-Mails an ihre Kundschaft senden, fangen Sie aber nicht damit an.

Häufigste Symptome und ihre Ursachen

Was es kostet

Die Einträge selbst kosten nichts, Sie brauchen nur Zugang zum Domain-Panel. Wenn Sie das nicht selbst machen möchten, richte ich SPF, DKIM und DMARC im Rahmen der technischen Betreuung ab 149 PLN pro Monat ein oder bei einem Sicherheitsaudit ab 990 PLN. Domain und Firmen-E-Mail mit fertiger Konfiguration bereite ich ab 390 PLN pro Jahr vor. Alle Preise sind netto.

Prüfen Sie Ihre Domain

Geben Sie die Adresse Ihrer Website im Tool Website prüfen ein und sehen Sie, wie die E-Mail in Ihrer Domain abschneidet. Gibt es etwas zu verbessern, senden Sie mir den Bericht unter dem Ergebnis oder schreiben Sie mir über das Formular. Ich antworte innerhalb von 24 Stunden, und wer zum ersten Mal mit mir arbeitet, erhält 20 % Rabatt auf den ersten Auftrag.