Geschäftliche E-Mails sollen zwei Dinge zuverlässig erfüllen: Sie müssen beim Empfänger ankommen und der Empfänger sollte überprüfen können, ob eine Nachricht tatsächlich von der angegebenen Domain stammt.
Genau dabei spielen drei technische Verfahren eine zentrale Rolle: SPF, DKIM und DMARC.
Die Begriffe wirken zunächst kompliziert. Das Grundprinzip dahinter ist jedoch vergleichsweise einfach: SPF legt fest, welche Server E-Mails für eine Domain versenden dürfen, DKIM versieht Nachrichten mit einer überprüfbaren digitalen Signatur und DMARC definiert, wie mit Nachrichten umgegangen werden soll, die diese Prüfungen nicht bestehen.
Dieser Artikel erklärt SPF, DKIM und DMARC verständlich, zeigt, warum die drei Verfahren zusammengehören und weshalb eine korrekte Konfiguration für Unternehmen heute zur grundlegenden E-Mail-Infrastruktur gehört.
Warum muss eine E-Mail überhaupt authentifiziert werden?
Eine Absenderadresse in einer E-Mail lässt sich grundsätzlich leichter fälschen, als viele Nutzer vermuten.
Angreifer können beispielsweise versuchen, eine Nachricht so aussehen zu lassen, als stamme sie von rechnung@ihre-firma.ch, obwohl die E-Mail tatsächlich über ein fremdes System versendet wurde.
Dieses Vortäuschen einer fremden Absenderidentität wird häufig als E-Mail-Spoofing bezeichnet. Es spielt unter anderem bei Phishing- und Betrugsversuchen eine wichtige Rolle.
SPF, DKIM und DMARC helfen empfangenden Mailservern dabei, solche Nachrichten technisch besser zu beurteilen.
Was ist SPF?
SPF steht für Sender Policy Framework.
Über einen Eintrag im DNS einer Domain wird festgelegt, welche Mailserver oder Systeme berechtigt sind, E-Mails im Namen dieser Domain zu versenden.
Vereinfacht gesagt beantwortet SPF die Frage:
„Darf dieser Server überhaupt E-Mails für diese Domain versenden?“
Ein einfaches Beispiel
Angenommen, ein Unternehmen versendet seine E-Mails ausschliesslich über einen bestimmten Mailserver.
Im SPF-Eintrag kann festgelegt werden, dass dieser Server zum Versand berechtigt ist. Erhält ein fremder Mailserver anschliessend eine Nachricht, kann er die SPF-Regel der Absenderdomain überprüfen.
Kommt die Nachricht von einem autorisierten System, besteht sie diese Prüfung.
Wird sie dagegen über einen nicht vorgesehenen Server versendet, kann dies bei der Bewertung der Nachricht berücksichtigt werden.
Warum SPF allein nicht genügt
SPF ist wichtig, löst das Problem der E-Mail-Authentifizierung aber nicht alleine.
Unter anderem können Weiterleitungen und komplexere Versandstrukturen die SPF-Prüfung beeinflussen. Ausserdem authentifiziert SPF nicht einfach den sichtbaren Absender so, wie ihn ein Benutzer in seinem E-Mail-Programm wahrnimmt.
Deshalb wird SPF in einer sauberen E-Mail-Konfiguration mit weiteren Verfahren kombiniert.
Was ist DKIM?
DKIM steht für DomainKeys Identified Mail.
Während SPF den versendenden Server überprüft, arbeitet DKIM mit einer kryptografischen Signatur.
Der sendende Mailserver versieht eine E-Mail mit einer digitalen Signatur. Der dazugehörige öffentliche Schlüssel wird über das DNS der Domain bereitgestellt.
Der empfangende Mailserver kann dadurch überprüfen, ob die DKIM-Signatur gültig ist.
Vereinfacht beantwortet DKIM damit die Frage:
„Ist diese Nachricht mit einer gültigen Signatur der betreffenden Domain versehen?“
Warum DKIM für die Zustellbarkeit wichtig ist
Mailanbieter müssen täglich enorme Mengen legitimer, unerwünschter und betrügerischer Nachrichten unterscheiden.
Eine korrekt konfigurierte DKIM-Signatur liefert dabei ein zusätzliches technisches Vertrauenssignal.
DKIM allein garantiert zwar nicht, dass eine Nachricht im Posteingang landet. Zusammen mit einer sauberen Versandkonfiguration, SPF, DMARC und einer guten Absenderreputation trägt es jedoch zu einer professionellen E-Mail-Infrastruktur bei.
Was ist DMARC?
DMARC steht für Domain-based Message Authentication, Reporting and Conformance.
DMARC baut auf SPF und DKIM auf und ergänzt diese um Regeln und Berichtsmöglichkeiten.
Der Domaininhaber kann über einen DMARC-Eintrag festlegen, wie empfangende Systeme mit Nachrichten umgehen sollen, bei denen die vorgesehenen Authentifizierungsprüfungen und die erforderliche Zuordnung zur Absenderdomain nicht erfüllt sind.
DMARC beantwortet damit vereinfacht die Frage:
„Was soll passieren, wenn eine Nachricht die vorgesehenen Prüfungen nicht korrekt besteht?“
Die drei möglichen DMARC-Richtlinien
DMARC kennt im Wesentlichen drei Richtlinien:
- p=none – beobachten, ohne eine Behandlung der Nachricht aufgrund der DMARC-Richtlinie anzufordern
- p=quarantine – fehlgeschlagene Nachrichten sollen beispielsweise als verdächtig behandelt werden
- p=reject – Nachrichten, welche die DMARC-Prüfung nicht bestehen, sollen abgewiesen werden
Gerade bei DMARC ist es wichtig, nicht einfach ohne Prüfung die strengste Einstellung zu aktivieren.
Ein Unternehmen versendet möglicherweise nicht nur über seinen normalen Mailserver, sondern zusätzlich über:
- Newsletter-Systeme
- CRM-Software
- Webshops
- Kontaktformulare
- Support-Systeme
- externe Cloud-Dienste
Werden diese legitimen Versandquellen nicht berücksichtigt, können eigene E-Mails Probleme bei der Authentifizierung bekommen.
SPF, DKIM und DMARC im Zusammenspiel
Die drei Verfahren erfüllen unterschiedliche Aufgaben und sollten deshalb nicht als Alternativen betrachtet werden.
- SPF: Welche Systeme dürfen für die Domain E-Mails versenden?
- DKIM: Ist die Nachricht mit einer überprüfbaren digitalen Signatur versehen?
- DMARC: Passen Authentifizierung und Absenderdomain entsprechend den DMARC-Regeln zusammen und wie soll bei Fehlern verfahren werden?
Erst das Zusammenspiel schafft eine deutlich bessere Grundlage, um legitime Nachrichten von missbräuchlich versendeten E-Mails im Namen einer Domain zu unterscheiden.
Was bedeutet DMARC Alignment?
Ein wichtiger Bestandteil von DMARC ist das sogenannte Alignment.
Dabei wird vereinfacht geprüft, ob die für SPF beziehungsweise DKIM verwendeten Domains zur Domain passen, die der Empfänger als Absender sieht.
Das ist wichtig, weil eine Nachricht technisch eine SPF- oder DKIM-Prüfung bestehen kann, ohne dass diese Authentifizierung tatsächlich zur sichtbaren Absenderdomain gehört.
DMARC verbindet deshalb die technischen Prüfungen mit der Domain, die gegenüber dem Empfänger als Absender auftritt.
DMARC-Reports: sehen, wer im Namen Ihrer Domain versendet
Ein besonders interessanter Bestandteil von DMARC sind die Berichtsmöglichkeiten.
Domaininhaber können sogenannte aggregierte DMARC-Berichte erhalten. Diese liefern Informationen darüber, welche Systeme E-Mails unter Verwendung der Domain versenden und wie SPF- und DKIM-Prüfungen dabei ausfallen.
Das kann helfen:
- vergessene legitime Versanddienste zu entdecken
- Fehlkonfigurationen zu erkennen
- unbekannte Versandquellen sichtbar zu machen
- eine strengere DMARC-Richtlinie kontrolliert vorzubereiten
DMARC sollte deshalb idealerweise nicht einfach eingerichtet und anschliessend vergessen werden.
Verbessern SPF, DKIM und DMARC die E-Mail-Zustellbarkeit?
Eine korrekte Authentifizierung ist ein wichtiger Bestandteil professioneller E-Mail-Zustellbarkeit. Sie ist jedoch keine Garantie dafür, dass jede Nachricht im Posteingang landet.
Mailanbieter berücksichtigen zahlreiche weitere Faktoren, beispielsweise:
- Reputation des sendenden Servers
- Reputation der Domain
- Versandverhalten und Volumen
- Inhalt der Nachricht
- Reaktionen der Empfänger
SPF, DKIM und DMARC schaffen somit eine wichtige technische Grundlage, ersetzen aber keine insgesamt saubere E-Mail-Infrastruktur.
Mehr dazu erklären wir im Beitrag E-Mail-Sicherheit und Zustellbarkeit für KMU .
Schützen SPF, DKIM und DMARC vor Spam und Phishing?
Hier ist eine wichtige Unterscheidung notwendig.
SPF, DKIM und DMARC helfen insbesondere dabei, den Missbrauch einer Domain als gefälschte Absenderidentität zu erschweren und empfangenden Systemen zusätzliche Informationen zur Bewertung einer Nachricht bereitzustellen.
Sie verhindern jedoch nicht jede Form von Phishing.
Ein Angreifer kann beispielsweise eine eigene, ähnlich aussehende Domain registrieren und von dieser technisch korrekt authentifizierte E-Mails versenden.
Deshalb sind zusätzliche Schutzmechanismen notwendig. Ein professioneller Spamfilter analysiert eingehende Nachrichten anhand weiterer Kriterien.
Wie diese zusätzliche Schutzebene funktioniert, erklären wir im Ratgeber SpamExperts: Wie professioneller Spam- und Phishing-Schutz funktioniert .
Die Domain ist das Fundament der E-Mail-Sicherheit
SPF, DKIM und DMARC werden über DNS-Einträge der eigenen Domain konfiguriert.
Damit zeigt sich erneut, wie eng Domain und E-Mail technisch miteinander verbunden sind.
Fehlerhafte DNS-Einstellungen können nicht nur eine Website beeinträchtigen, sondern auch direkte Auswirkungen auf die E-Mail-Kommunikation haben.
Die Grundlagen dazu finden Sie im Artikel Domain & E-Mail – warum beides untrennbar zusammengehört .
Typische Fehler bei SPF, DKIM und DMARC
In der Praxis treten immer wieder ähnliche Konfigurationsfehler auf.
- mehrere voneinander unabhängige SPF-Records
- vergessene externe Versanddienste
- nicht mehr benötigte Systeme bleiben im SPF-Eintrag enthalten
- DKIM wurde beim Anbieter aktiviert, aber im DNS nicht korrekt eingerichtet
- DMARC wird zu schnell auf eine strenge Richtlinie gesetzt
- DMARC-Berichte werden eingerichtet, aber nicht ausgewertet
- Änderungen an Mailservern erfolgen ohne Anpassung der DNS-Einträge
Gerade bei Unternehmen, die mehrere Systeme für den E-Mail-Versand verwenden, ist eine Bestandsaufnahme vor Änderungen sinnvoll.
Warum zentrale Verwaltung die Sache einfacher macht
Probleme entstehen häufig dann, wenn Domain, DNS, Hosting und E-Mail bei verschiedenen Dienstleistern verwaltet werden.
Im Fehlerfall beginnt dann schnell die Suche nach der Zuständigkeit: Ist der Mailserver das Problem? Der DNS-Anbieter? Die Domain? Das Newsletter-System? Oder die Website?
Eine koordinierte Verwaltung reduziert diese Schnittstellen und erleichtert sowohl die Einrichtung als auch die spätere Fehlersuche.
Informationen zu den E-Mail-Lösungen von CURIAWEB finden Sie unter: E-Mail-Services & E-Mail-Sicherheit .
Fazit: SPF, DKIM und DMARC gehören zusammen
SPF, DKIM und DMARC wirken auf den ersten Blick wie drei komplizierte technische Abkürzungen. Das Grundprinzip ist jedoch nachvollziehbar.
SPF definiert zulässige Versandquellen, DKIM ergänzt E-Mails um eine überprüfbare Signatur und DMARC verbindet diese Verfahren mit der sichtbaren Absenderdomain und definiert den Umgang mit Fehlern.
Gemeinsam bilden sie eine wichtige Grundlage für moderne geschäftliche E-Mail-Kommunikation. Sie erschweren den Missbrauch der eigenen Domain, unterstützen die technische Vertrauenswürdigkeit legitimer Nachrichten und liefern mit DMARC zusätzliche Möglichkeiten zur Kontrolle.
Sie ersetzen jedoch weder einen professionellen Spamfilter noch sichere Zugangsdaten oder einen bewussten Umgang mit verdächtigen Nachrichten.
E-Mail-Sicherheit funktioniert am besten, wenn Domain, DNS, Authentifizierung, Spamfilterung und Benutzerkonten als zusammenhängendes System betrachtet werden.
