Warum das wichtig ist
E-Mails ohne Authentifizierung sehen für die Empfänger-Server aus wie Fälschungen. Sie landen im Spam oder werden abgewiesen. Seit 2024 verlangen Gmail und Yahoo von allen Absendern SPF oder DKIM, von Absendern mit mehreren Tausend E-Mails pro Tag zusätzlich DMARC und eine Abmeldung per Klick.
SPF
Legen Sie genau einen TXT-Eintrag an. Zwei SPF-Einträge sind ein Fehler, den viele erst bemerken, wenn E-Mails nicht ankommen. Fassen Sie deshalb alle Versandquellen in einem Eintrag zusammen, etwa Ihr Postfach und Ihr Newsletter-Werkzeug.
| Anbieter | Beispiel (TXT, @) |
|---|---|
| Google Workspace | v=spf1 include:_spf.google.com ~all |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all |
Mit der aktuellen Dokumentation Ihres Anbieters abgleichen; höchstens 10 DNS-Abfragen.
DKIM
- Google Workspace: Admin-Konsole → Apps → Google Workspace → Gmail → E-Mails authentifizieren. Einen 2048-Bit-Schlüssel erzeugen, den TXT-Eintrag (z. B. google._domainkey) veröffentlichen und die Authentifizierung starten.
- Microsoft 365: Im Microsoft-Defender-Portal unter den Einstellungen zur E-Mail-Authentifizierung DKIM für Ihre Domain einschalten und die beiden CNAME-Einträge (selector1, selector2) veröffentlichen.
- Warten, bis die Einträge im DNS sichtbar sind (einige Minuten bis 48 Stunden), dann prüfen, ob signiert wird.
DMARC
- Start: v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.ch
- Danach: p=quarantine
- Ziel: p=reject, sobald alle legitimen Absender die Prüfung bestehen
Prüfen
Schicken Sie sich selbst eine E-Mail an eine Gmail-Adresse und öffnen Sie „Original anzeigen“. Dort sollte bei SPF, DKIM und DMARC jeweils „PASS“ stehen. Repmight prüft die Einträge Ihrer Domain, wenn Sie ein Postfach verbinden, und zeigt Ihnen, was fehlt.
Häufige Fragen
Brauche ich wirklich alle drei Einträge?
Bei kleinen Mengen genügt technisch SPF oder DKIM. Für eine gute Zustellbarkeit sollten Sie trotzdem alle drei einrichten; wer große Mengen versendet, muss es.