Email · 10 Min. Lesezeit

Ihre E-Mails landen im Spam? SPF-, DKIM- und DMARC-Einträge richtig setzen

So professionell die Adresse auf Ihrer eigenen Domain auch aussieht: Vertraut der Server des Empfängers ihr nicht, bleibt die Nachricht im Spam-Ordner. Der Schlüssel zu diesem Vertrauen sind drei DNS-Einträge.

Kurz gesagt

• Ein SPF-Eintrag ist ein TXT-Eintrag, der auflistet, welche Server im Namen Ihrer Domain E-Mails senden dürfen; eine Domain kann nur einen SPF-Eintrag haben.
• DKIM fügt jeder gesendeten E-Mail eine verschlüsselte Signatur hinzu; der Empfänger prüft sie mit dem öffentlichen Schlüssel im DNS Ihrer Domain und weiß so, dass die Nachricht unterwegs nicht verändert wurde.
• Ein DMARC-Eintrag legt fest, was mit E-Mails geschehen soll, die SPF und DKIM nicht bestehen oder nicht zur Absenderadresse passen; p=none überwacht nur, p=quarantine verschiebt in den Spam, p=reject lehnt ab.
• Gmail verlangt SPF, DKIM und DMARC von Absendern, die mehr als 5.000 E-Mails am Tag verschicken; kleinere Absender brauchen mindestens SPF oder DKIM.
• Im Heyşirket-Unternehmenspanel prüft der E-Mail-Einrichtungsbildschirm diese Einträge Zeile für Zeile; liegt die Domain auf der Infrastruktur von Heyşirket, ergänzt er fehlende Einträge selbst und startet DMARC mit p=none, falls keiner vorhanden ist.

Sie haben das Angebot geschickt und der Kunde sagt „es ist nichts angekommen“. Benachrichtigungen aus dem Kontaktformular Ihrer Website landen in Ihrem eigenen Spam-Ordner. Die gemeinsame Ursache beider Beschwerden ist meist nicht der Inhalt, sondern die DNS-Einstellungen Ihrer Domain. Bei den meisten, die nach E-Mails landen im Spam suchen, fehlt einer der Einträge SPF, DKIM oder DMARC oder er ist falsch.

In diesem Artikel erklären wir, was die drei Einträge tun, wie Sie sie lesen und welche Fehler am häufigsten sind. Wie Sie eine geschäftliche E-Mail-Adresse von Grund auf einrichten, haben wir in Geschäftliche E-Mail einrichten beschrieben; hier geht es darum, dass E-Mails einer bestehenden Adresse auch ankommen.

Teil 1 · Ursache Warum landen E-Mails im Spam?

Der Mailserver des Empfängers stellt jeder eingehenden Nachricht dieselbe Frage: Kommt diese E-Mail wirklich vom Inhaber der Absenderadresse? Eine Nachricht ohne Authentifizierung lässt sich nicht von einer gefälschten unterscheiden. Deshalb sortieren große E-Mail-Anbieter nicht überprüfbare Nachrichten in den Spam oder nehmen sie gar nicht an.

Auch andere Dinge beeinflussen die Spam-Entscheidung: eine neue Domain, viele E-Mails in kurzer Zeit, Beschwerdequoten, verkürzte Links und verdächtige Anhänge. Fehlen aber die DNS-Einträge, reicht es nicht, den Rest zu korrigieren. Hier schauen Sie zuerst nach.

Teil 2 · SPF Was ist ein SPF-Eintrag und wie lesen Sie ihn?

SPF (Sender Policy Framework) ist ein TXT-Eintrag, der die Server auflistet, die im Namen Ihrer Domain E-Mails senden dürfen. Der empfangende Server prüft, ob der Server, der die Nachricht zustellt, auf dieser Liste steht.

v=spf1 include:_spf.example-provider.com ~all

• v=spf1: zeigt an, dass dies ein SPF-Eintrag ist. Jeder SPF-Eintrag beginnt damit.
• include: bindet die Liste erlaubter Server eines anderen Dienstes ein, zum Beispiel die Ihres E-Mail-Anbieters.
• ~all: E-Mails von allem, was nicht auf der Liste steht, werden als „verdächtig“ markiert. -all bedeutet sofortige Ablehnung; verwenden Sie es erst, wenn Sie alle Ihre Versandquellen kennen.

Teil 3 · DKIM Was ist DKIM und was bewirkt es?

DKIM (DomainKeys Identified Mail) fügt jeder gesendeten E-Mail eine verschlüsselte Signatur hinzu. Der sendende Server signiert die Nachricht mit einem privaten Schlüssel. Der Empfänger prüft die Signatur mit dem öffentlichen Schlüssel im DNS Ihrer Domain.

Ein DKIM-Eintrag liegt in Ihrer Domain unter einem Namen wie selector._domainkey. Der Selector ist ein kurzer Name, den der Anbieter Ihnen gibt, damit verschiedene Dienste getrennte DKIM-Schlüssel auf derselben Domain haben können. Anders als SPF bleibt die Signatur auch dann intakt, wenn die E-Mail über einen anderen Server weitergeleitet wird.

Teil 4 · DMARC Was ist DMARC und mit welcher Richtlinie beginnen Sie?

DMARC verknüpft die Ergebnisse von SPF und DKIM mit der Absenderadresse und legt fest, was mit E-Mails geschieht, die durchfallen. Es liegt als TXT-Eintrag mit dem Namen _dmarc in Ihrer Domain.

v=DMARC1; p=none;

Die Kernidee von DMARC ist das Alignment. Bestehen allein reicht nicht; die Domain, die bestanden hat, muss zur selben Organisationsdomain gehören wie die Adresse in der Von-Zeile der E-Mail. Eine E-Mail von quotes@yoursite.com muss zum Beispiel für yoursite.com oder eine ihrer Subdomains signiert sein.

Fügen Sie dem Eintrag rua=mailto:... hinzu, schicken Ihnen große Anbieter zusammengefasste Berichte, die zeigen, wer im Namen Ihrer Domain E-Mails versendet. Wenn Sie diese einige Wochen ansehen, bevor Sie die Richtlinie verschärfen, entdecken Sie eine vergessene Versandquelle, etwa einen Rechnungs- oder Newsletter-Dienst.

Teil 5 · Regeln Was verlangen Gmail und die großen Anbieter?

Google veröffentlicht schriftliche Regeln für alle, die E-Mails an Gmail-Adressen senden. Alle brauchen mindestens SPF oder DKIM. Von Absendern, die mehr als 5.000 E-Mails am Tag verschicken, werden SPF, DKIM und DMARC alle drei erwartet, dazu Alignment mit der Von-Adresse, Abmeldung mit einem Klick und eine niedrige Spam-Beschwerderate.

Ein kleines Unternehmen erreicht selten 5.000 E-Mails am Tag. Trotzdem steigert das gemeinsame Einrichten aller drei Einträge Ihre Zustellrate und macht es schwerer, in Ihrem Domainnamen gefälschte E-Mails zu verschicken. Eine gefälschte Rechnung oder eine E-Mail mit geänderter IBAN, die Ihre Kunden erreicht, ist ein viel teureres Problem als der Spam-Ordner.

Teil 6 · Kontrollen Wie prüfen Sie SPF-, DKIM- und DMARC-Einträge?

Eine Prüfung in fünf Minuten

1. Eine Test-E-Mail an sich selbst senden

   Senden Sie eine E-Mail von Ihrer Geschäftsadresse an eine Gmail-Adresse. Öffnen Sie sie in Gmail und wählen Sie im Menü „Original anzeigen“; die Zeilen für SPF, DKIM und DMARC sollten PASS anzeigen.

2. SPF-Einträge zählen

   Sehen Sie im DNS-Panel Ihrer Domain nach, wie viele Einträge mit „v=spf1“ beginnen. Gibt es mehr als einen, führen Sie sie zusammen.

3. DKIM-Eintragsnamen prüfen

   Der Eintragsname muss zum Selector passen, den der Anbieter Ihnen gegeben hat. Wurde die Domain doppelt angehängt (z. B. selector._domainkey.ihreseite.de.ihreseite.de), korrigieren Sie das.

4. Prüfen, ob ein DMARC-Eintrag existiert

   Es sollte einen TXT-Eintrag mit dem Namen _dmarc geben, der mit „v=DMARC1“ beginnt. Falls nicht, beginnen Sie mit p=none.

5. Auf die Verbreitung warten

   DNS-Änderungen verbreiten sich meist innerhalb weniger Minuten bis Stunden. Sehen Sie nicht sofort ein Ergebnis, warten Sie und versuchen Sie es erneut, statt den Eintrag zu löschen und neu anzulegen.

Teil 7 · Heyşirket Wie werden diese Einträge im Heyşirket-Unternehmenspanel eingerichtet?

In Heyşirket ist ein Postfach auf Ihrer eigenen Domain schon im kostenlosen Tarif Starter enthalten. Der Einrichtungsbildschirm im Bereich E-Mail des Unternehmenspanels hat drei Schritte: Methode, Einträge und Fertig. Im Schritt Methode sehen Sie je nach Domain diese Wege: Automatische Einrichtung, wenn Ihre Domain auf der Infrastruktur von Heyşirket liegt, sonst Leiten Sie Ihre E-Mail an uns weiter; in beiden Fällen Bisherige E-Mail behalten.

Hat Ihre Domain bereits einen funktionierenden E-Mail-Dienst, sagt der Bildschirm das und empfiehlt, ohne Eingriff darin einzurichten. Es wird kein DNS-Eintrag gelöscht und Ihr funktionierender MX-Eintrag wird nicht geändert.

Jede Zeile zeigt einen Live-Status: bestätigt, im DNS sichtbar und wird vom Anbieter geprüft, Eintrag hinzugefügt und wird verbreitet, oder dieser Eintrag muss in Ihrem DNS-Panel ergänzt werden. Liegt Ihre Domain auf der Infrastruktur von Heyşirket, ergänzt das Panel fehlende Einträge selbst. Andernfalls listet der Bildschirm die Einträge mit Namen und Werten auf, die Sie hinzufügen müssen, und prüft automatisch erneut; wenn Sie nicht warten möchten, gibt es die Schaltfläche Jetzt prüfen.

Haben Sie keinen DMARC-Eintrag, legt das Panel einen mit v=DMARC1; p=none; an, sodass nichts blockiert und nur überwacht wird. Ein bestehender DMARC-Eintrag wird nicht angetastet. Wichtig ist auch, dass die Versandeinträge auf einer Subdomain liegen: Nutzen Sie auf Ihrer Domain einen weiteren E-Mail-Dienst, tappen Sie nicht in die Falle, für zwei Dienste zwei getrennte SPF-Einträge anzulegen.

Haben Sie Ihre Domain noch nicht mit dem Unternehmenspanel verbunden, folgen Sie zuerst Eigene Domain verbinden; eine Zusammenfassung finden Sie auf der Seite Domain verbinden. Die Postfach- und Adresslimits der einzelnen Tarife stehen auf der Seite Geschäftliche E-Mail. Wenn Sie auf der DNS-Seite nicht weiterkommen, gibt es im Panel eine Schritt-für-Schritt-Anleitung: Hilfe › Domain-Probleme beheben.

E-Mail-Einträge prüfen Öffnen Sie den Einrichtungsbildschirm, um den Status von SPF, DKIM und DMARC Zeile für Zeile zu sehen und fehlende Einträge zu ergänzen. E-Mail-Einrichtung öffnen

Autor: Heyşirket-Redaktionsteam