DKIM, DMARC und SPF einrichten: So geht es sicher

Eine gefälschte E-Mail mit Ihrer Firmenadresse kann reichen, um eine Rechnung umzuleiten, Zugangsdaten abzugreifen oder Vertrauen bei Kunden zu verlieren. DKIM, DMARC und SPF einzurichten verhindert nicht jede betrügerische Nachricht. Es macht es Angreifern aber deutlich schwerer, Ihre Domain glaubwürdig als Absender zu missbrauchen. Gleichzeitig steigt die Chance, dass Ihre echten E-Mails zuverlässig im Posteingang landen.

Für kleine und mittlere Unternehmen ist das kein Projekt nur für grosse Konzerne. Wer Angebote, Rechnungen, Terminbestätigungen oder Newsletter per E-Mail versendet, sollte seine Absenderdomain schützen. Entscheidend ist dabei nicht, möglichst viele technische Einstellungen zu setzen. Entscheidend ist, alle tatsächlichen Versandwege zu kennen und die drei Verfahren in der richtigen Reihenfolge einzuführen.

Warum SPF, DKIM und DMARC zusammengehören

SPF, DKIM und DMARC erfüllen unterschiedliche Aufgaben. Erst ihr Zusammenspiel schafft einen brauchbaren Schutz.

SPF legt fest, welche Server E-Mails im Namen Ihrer Domain senden dürfen. Der empfangende Mailserver prüft dann, ob die sendende Infrastruktur auf dieser Liste steht. Das schützt vor einem Teil der Fälschungen, hat aber eine Grenze: Bei Weiterleitungen kann eine ansonsten korrekte E-Mail beim SPF-Test scheitern.

DKIM versieht ausgehende Nachrichten mit einer digitalen Signatur. Der empfangende Server kann damit prüfen, ob die Nachricht tatsächlich von einem berechtigten System stammt und unterwegs nicht verändert wurde. Das funktioniert bei Weiterleitungen meist besser als SPF.

DMARC verbindet beide Prüfungen mit einer klaren Anweisung. Sie legen damit fest, was ein Empfänger bei fehlgeschlagenen Prüfungen tun soll: zunächst nur beobachten, später verdächtige Nachrichten in Quarantäne stellen oder ablehnen. Zusätzlich erhalten Sie Berichte darüber, welche Systeme Ihre Domain verwenden.

Der geschäftliche Nutzen ist klar: Ihre Absenderdomain wird weniger leicht für Betrug missbraucht, und Mailanbieter können legitime Nachrichten besser einordnen. Eine Garantie für die Zustellung gibt es dennoch nicht. Inhalt, Anhänge, Versandverhalten und die Reputation der sendenden Systeme bleiben ebenfalls relevant.

DKIM, DMARC und SPF einrichten: zuerst den Versand erfassen

Der häufigste Fehler passiert vor dem ersten DNS-Eintrag: Es wird nur Microsoft 365 berücksichtigt. In vielen Unternehmen versenden aber weitere Systeme mit der eigenen Domain. Dazu zählen etwa die Website, ein Kontaktformular, ein ERP-System, ein Scanner, ein Newsletter-Dienst, eine Zeiterfassung oder ein Ticketsystem.

Erstellen Sie deshalb zuerst eine vollständige Übersicht. Für jedes System sollten Sie festhalten, ob es extern E-Mails verschickt, mit welcher sichtbaren Absenderadresse es arbeitet und ob SPF und DKIM vom Anbieter unterstützt werden. Auch einzelne Fachabteilungen gehören dazu. Ein Marketing-Tool, das ohne Wissen der IT genutzt wird, ist keine Seltenheit.

Prüfen Sie zudem, wer DNS-Einträge ändern darf und wo Ihre Domain verwaltet wird. Ohne geordneten Zugriff auf die DNS-Verwaltung wird jede spätere Anpassung unnötig langsam und fehleranfällig. Dokumentieren Sie die bestehenden Einträge, bevor Sie etwas ändern. So lässt sich bei Problemen nachvollziehen, was geändert wurde.

SPF: nur berechtigte Versender zulassen

Ein SPF-Eintrag ist ein TXT-Eintrag in der DNS-Zone Ihrer Domain. Er enthält die erlaubten Versandquellen. Für Microsoft 365 wird der passende Microsoft-Eintrag eingebunden. Externe Dienste liefern in der Regel eigene Vorgaben für ihren SPF-Eintrag.

Wichtig ist: Pro Domain darf es nur einen SPF-TXT-Eintrag geben. Mehrere getrennte SPF-Einträge sind kein zusätzlicher Schutz, sondern führen zu fehlerhaften Prüfungen. Wenn Microsoft 365, ein Newsletter-System und ein ERP-System versenden, müssen deren erlaubte Quellen in einem gemeinsamen Eintrag berücksichtigt werden.

Am Ende des SPF-Eintrags steht häufig eine Regel wie `~all` oder `-all`. `~all` markiert nicht aufgeführte Versender als verdächtig, `-all` lehnt sie strikt ab. Ein strenger Abschluss ist sinnvoll, aber erst dann, wenn die Versandübersicht vollständig ist. Sonst können legitime Mails scheitern.

Achten Sie auch auf die technische Grenze von SPF: Bei der Prüfung sind nur zehn DNS-Abfragen erlaubt. Werden zu viele externe Dienste über verschachtelte Einträge eingebunden, kann SPF ungültig werden. Das ist ein guter Grund, alte Versandwege aufzuräumen, statt jeden historischen Dienst dauerhaft mitzuschleppen.

DKIM aktivieren und Signaturen prüfen

Bei DKIM wird für die Domain ein Schlüsselpaar verwendet. Der private Schlüssel signiert ausgehende E-Mails beim Versanddienst. Der öffentliche Teil wird über DNS veröffentlicht, damit Empfänger die Signatur prüfen können.

In Microsoft 365 wird DKIM üblicherweise im Tenant aktiviert. Dafür sind für jede verwendete Absenderdomain die vorgesehenen DNS-Einträge zu hinterlegen. Je nach Dienst sind das CNAME- oder TXT-Einträge. Erst wenn diese korrekt aufgelöst werden, sollte die Signierung aktiviert werden.

Auch alle weiteren Versanddienste brauchen eine eigene DKIM-Konfiguration. Verlassen Sie sich nicht auf Aussagen wie „der Anbieter unterstützt DKIM“. Entscheidend ist, ob er Nachrichten tatsächlich mit Ihrer eigenen Domain signiert. Eine Signatur mit der Domain des Dienstleisters verbessert die technische Prüfung nur eingeschränkt und hilft bei DMARC oft nicht ausreichend.

Nach der Aktivierung sollte eine Testmail an verschiedene externe Empfänger gesendet werden. Prüfen Sie in den Kopfzeilen, ob DKIM mit Ihrer Absenderdomain als bestanden erscheint. Das klingt technisch, spart aber später viel Fehlersuche.

DMARC schrittweise einführen statt blind blockieren

DMARC wird ebenfalls als TXT-Eintrag veröffentlicht. Er definiert die Richtlinie für fehlgeschlagene Nachrichten und eine Adresse für aggregierte Berichte. Diese Berichte zeigen, welche Server weltweit versuchen, im Namen Ihrer Domain zu senden.

Der sichere Start ist eine Richtlinie mit `p=none`. Damit werden verdächtige Mails noch nicht abgewiesen, aber Sie erhalten Einblick in die reale Versandlandschaft. Diese Phase ist keine Formalität. Sie deckt häufig vergessene Anwendungen, falsch konfigurierte Dienste und veraltete Systeme auf.

Erst wenn die Berichte über einen ausreichenden Zeitraum sauber aussehen, folgt der nächste Schritt: `p=quarantine`. Nicht korrekt geprüfte Nachrichten werden dann eher als verdächtig behandelt. Wenn auch damit keine legitimen Versandwege auffallen, kann `p=reject` der richtige Zielzustand sein. Empfänger sollen gefälschte E-Mails dann ablehnen.

Ob dieser letzte Schritt sofort sinnvoll ist, hängt von Ihrer Umgebung ab. Unternehmen mit wenigen, klar geregelten Versandwegen kommen meist rascher dorthin. Wer mehrere Fachanwendungen, externe Dienstleister oder Tochterdomains nutzt, braucht mehr Analyse. Tempo ist hier weniger wert als eine vollständige Konfiguration.

DMARC verlangt zudem eine sogenannte Ausrichtung: Die sichtbare Absenderdomain muss zu der Domain passen, die SPF oder DKIM erfolgreich bestätigt. Genau das verhindert, dass ein fremder Dienst eine beliebige Absenderadresse glaubwürdig nachahmt.

Berichte auswerten und Änderungen sauber begleiten

DMARC-Berichte kommen als technische XML-Dateien. Ohne Aufbereitung sind sie für viele Verantwortliche kaum lesbar. Sie sollten jedoch nicht ungelesen in einem Postfach liegen bleiben. Sie zeigen unter anderem, welche IP-Adressen senden, ob SPF und DKIM bestehen und welche Quellen auffällig sind.

Planen Sie eine feste Kontrolle ein, besonders nach Änderungen an Microsoft 365, einem Newsletter-Dienst oder der Website. Neue Tools werden oft kurzfristig eingeführt. Fehlt dann die Freigabe im SPF oder die DKIM-Signatur, leidet entweder die Zustellbarkeit oder die DMARC-Quote.

Für Unternehmen ohne eigene IT-Abteilung lohnt sich eine klare Zuständigkeit: Wer prüft neue Versanddienste vor dem Einsatz? Wer kann DNS-Einträge ändern? Wer bewertet die DMARC-Berichte? Bei Cloudschmiede ist diese laufende Betreuung Teil des Ansatzes hinter MailSchmiede - nicht nur ein einmaliger Eintrag in der DNS-Zone.

Typische Fehler, die Sie vermeiden sollten

Ein zu früher Wechsel auf `p=reject` ist riskant, wenn nicht alle Systeme bekannt sind. Ebenso problematisch sind mehrere SPF-Einträge, abgelaufene DKIM-Konfigurationen nach einem Dienstwechsel oder Absenderadressen, die von externen Anwendungen ohne passende Signatur verwendet werden.

Ein weiterer Fehler ist die Annahme, dass DMARC den gesamten E-Mail-Schutz ersetzt. Es schützt Ihre Domain als Absender, aber nicht automatisch Ihre Mitarbeitenden vor allen Phishing-Mails. Dafür bleiben sichere Konten, Mehrfaktor-Authentifizierung, gut konfigurierte Spamfilter, Schulung und ein verlässliches Backup relevant.

Auch die DNS-Einträge selbst brauchen Pflege. Werden Domains umbenannt, Dienste abgelöst oder Markenadressen stillgelegt, sollten SPF, DKIM und DMARC mitgeprüft werden. Was vor zwei Jahren richtig war, kann heute eine unnötige Freigabe oder eine Fehlerquelle sein.

Eine sauber geschützte Absenderdomain entsteht nicht durch einen einzelnen Haken im Admin-Portal. Sie entsteht durch eine vollständige Versandübersicht, vorsichtige Einführung und regelmässige Kontrolle. Wer diesen Weg strukturiert geht, schützt nicht nur die eigene Marke, sondern erspart Kunden und Mitarbeitenden auch vermeidbare Unsicherheit im täglichen E-Mail-Verkehr.