Warum E-Mails im Spam landen: SPF, DKIM und DMARC verständlich erklärt

Wenn E-Mails Ihres Unternehmens im Spam-Ordner landen, fehlt in vielen Fällen der technische Nachweis, dass die Nachricht wirklich von Ihnen stammt. Diesen Nachweis liefern drei Einträge im DNS Ihrer Domain: SPF, DKIM und DMARC. Große Postfach-Anbieter wie Gmail und Yahoo verlangen sie inzwischen ausdrücklich – fehlen sie, werden Mails aussortiert oder abgelehnt.

Warum Postfächer so streng prüfen

Absenderadressen lassen sich leicht fälschen. Betrüger verschicken täglich Mails, die aussehen, als kämen sie von Banken, Paketdiensten oder Geschäftspartnern. Die Postfach-Anbieter schützen ihre Nutzer, indem sie prüfen, ob eine Mail tatsächlich vom Server der angegebenen Domain kommt. Kann eine Domain das nicht belegen, gilt die Nachricht als verdächtig – auch wenn sie völlig harmlos ist.

SPF, DKIM und DMARC in einfachen Worten

• SPF (Sender Policy Framework): eine Liste im DNS, welche Server Mails für Ihre Domain versenden dürfen – zum Beispiel Ihr Mailserver, Ihr Newsletter-Dienst und Ihr Online-Shop.
• DKIM (DomainKeys Identified Mail): eine digitale Signatur, die jeder ausgehenden Mail angehängt wird. Der Empfänger prüft sie mit einem öffentlichen Schlüssel aus Ihrem DNS und erkennt so, dass die Mail unterwegs nicht verändert wurde.
• DMARC: die Regel, was mit Mails passieren soll, die weder SPF noch DKIM bestehen: zustellen und beobachten (p=none), in den Spam verschieben (p=quarantine) oder ablehnen (p=reject). Zusätzlich können Sie sich Berichte schicken lassen, wer in Ihrem Namen versendet.

Alle drei zusammen sorgen dafür, dass echte Mails ankommen und gefälschte Mails mit Ihrer Domain gar nicht erst zugestellt werden. Das schützt also nicht nur Ihre Zustellbarkeit, sondern auch Ihre Kunden vor Betrugsversuchen in Ihrem Namen.

Was Gmail und Yahoo verlangen

Seit dem 1. Februar 2024 gelten bei Gmail verbindliche Regeln für Absender. Jede Domain, die Mails an Gmail-Adressen schickt, braucht mindestens SPF oder DKIM. Wer mehr als 5.000 Mails pro Tag an Gmail-Adressen sendet, braucht SPF, DKIM und DMARC sowie bei Werbe-Mails eine Abmeldung mit einem Klick. Yahoo hat vergleichbare Anforderungen eingeführt, Microsoft hat für Outlook.com 2025 nachgezogen. Auch wenn Ihr Unternehmen weit unter 5.000 Mails am Tag bleibt: Eine vollständige Einrichtung ist heute der sichere Weg.

Typische Fehler in der Praxis

In der Praxis sehen wir oft Domains, bei denen die Grundeinrichtung zwar vorhanden ist, aber nicht mehr zur Realität passt:

• Vergessene Versanddienste: Newsletter-Tool, Shop, Buchhaltung oder CRM verschicken Mails, stehen aber nicht im SPF-Eintrag.
• Zu viele SPF-Verweise: SPF erlaubt höchstens zehn DNS-Abfragen. Wer viele Dienste per include einbindet, überschreitet die Grenze schnell – dann ist der ganze Eintrag ungültig.
• Mehrere SPF-Einträge: Pro Domain darf es nur einen geben. Zwei Einträge heben sich gegenseitig auf.
• DMARC dauerhaft auf „none“: Als Einstieg sinnvoll, schützt aber nicht vor Fälschungen. Ziel ist nach einer Beobachtungsphase quarantine oder reject.
• Domains ohne Mailversand: Auch Domains, die keine Mails verschicken, sollten das per SPF und DMARC festlegen – sonst eignen sie sich für Fälschungen.

So prüfen Sie Ihre Domain in einer Minute

Ob Ihre Domain richtig eingestellt ist, zeigt der kostenlose E-Mail-Check von Medienfeuer®: Geben Sie Ihre Domain oder E-Mail-Adresse ein, und das Werkzeug liest SPF, DKIM, DMARC und weitere Einträge aus. Sie sehen sofort, was fehlt, mit verständlichen Erklärungen und konkreten nächsten Schritten.

Die Einrichtung selbst erfolgt beim Anbieter, der Ihre Domain verwaltet. Die genauen Werte hängen davon ab, welche Dienste in Ihrem Namen Mails versenden. Wenn Sie dabei Unterstützung möchten, übernimmt Medienfeuer® das im Rahmen von Wartung und Hosting – inklusive Kontrolle der DMARC-Berichte.