E-Mail richtig aufsetzen: SPF, DKIM und DMARC für deine Domain

Jeder kann behaupten, eine Mail komme von deiner Domain. Empfangende Server prüfen deshalb, ob der absendende Server dazu berechtigt ist. Fehlen die passenden DNS-Einträge, stufen Gmail, Microsoft und Co. deine Mails eher als verdächtig ein.

Drei Einträge in der DNS-Zone deiner Domain beantworten diese Frage: SPF, DKIM und DMARC. Sie sind keine Garantie für die Zustellung, aber ohne sie hast du schlechte Karten.

• SPF legt fest, welche Server für deine Domain senden dürfen.
• DKIM signiert jede Nachricht, sodass Empfänger Veränderungen erkennen.
• DMARC sagt dem Empfänger, was er mit Mails tun soll, bei denen SPF und DKIM nicht passen, und schickt dir Berichte.

SPF ist ein TXT-Eintrag auf deiner Domain. Er beginnt mit v=spf1 und listet auf, wer senden darf. Ein Beispiel mit einem Platzhalter für deinen Mail-Anbieter:

v=spf1 include:spf.mail-anbieter.example ~all

Den richtigen include-Wert nennt dein Mail-Anbieter. Diese Fehler passieren am häufigsten:

• Mehrere SPF-Einträge: Pro Domain darf es nur einen TXT-Eintrag mit v=spf1 geben. Brauchst du mehrere Absender, setzt du mehrere include-Angaben in denselben Eintrag.
• Zu viele Abfragen: SPF erlaubt höchstens zehn DNS-Abfragen. Jedes include zählt, und verschachtelte include-Angaben ebenfalls.
• Alter Anbieter noch eingetragen: Nach einem Wechsel gehört der alte Eintrag weg.
• Falsches Ende: ~all markiert nicht gelistete Server als verdächtig, -all weist sie ab. Starte mit ~all, wenn du dir nicht sicher bist.

DKIM funktioniert mit einem Schlüsselpaar. Der private Schlüssel liegt beim Mail-Server und signiert ausgehende Mails. Den öffentlichen Schlüssel veröffentlichst du als TXT-Eintrag in der DNS-Zone, damit Empfänger die Signatur prüfen können.

1. Hol den öffentlichen Schlüssel bei deinem Mail-Anbieter. Er besteht aus einem Selektor (zum Beispiel dkim) und einem langen Wert, der mit v=DKIM1 beginnt.
2. Lege einen TXT-Eintrag mit dem Namen selektor._domainkey.deinedomain.ch an und füge den Wert ein.
3. Lange Werte teilen manche DNS-Oberflächen in mehrere Teile. Achte darauf, dass beim Kopieren keine Leerzeichen oder Zeilenumbrüche dazukommen.

Bei my Solution zeigt das Portal im Modul für Transaktionsmails die DNS-Einträge für deine Domain an, darunter SPF, DKIM und DMARC. Für andere Mail-Konten gilt, was dein jeweiliger Mail-Anbieter dir nennt. Für Webspace-Postfächer nennt dir der Support die Werte.

DMARC ist ein TXT-Eintrag auf _dmarc.deinedomain.ch. Starte im Beobachtungsmodus, damit keine legitime Mail verloren geht:

v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.ch

1. Setze p=none und eine Adresse für die Berichte (rua). Du bekommst in den folgenden Tagen zusammengefasste Berichte von grossen Empfängern.
2. Lies die Berichte oder lass sie von einem kostenlosen Auswertungs-Dienst darstellen. Prüfe, ob alle deine legitimen Absender SPF oder DKIM bestehen, zum Beispiel Newsletter-Tool, Webshop und Kontaktformular.
3. Wenn alles sauber ist, wechsle auf p=quarantine. Mails, die durchfallen, landen dann im Spam.
4. Wer streng sein möchte, geht später auf p=reject. Das ist optional und lohnt sich erst, wenn die Berichte über längere Zeit sauber sind.

Nach jeder Änderung an der DNS-Zone solltest du prüfen, ob alles ankommt. Das geht ohne Spezialwissen:

• Sende eine Testmail an eine Gmail-Adresse und öffne im Menü «Original anzeigen». Dort stehen die Ergebnisse für SPF, DKIM und DMARC (pass oder fail).
• Kostenlose Online-Prüfer für SPF, DKIM und DMARC lesen deine DNS-Einträge aus und zeigen Syntaxfehler. Suche nach «DMARC checker» oder «SPF checker».
• Mit dem Befehl dig TXT deinedomain.ch (oder nslookup) siehst du, was im DNS tatsächlich veröffentlicht ist. Beachte die TTL: Änderungen brauchen etwas Zeit.

Teste mit einer Adresse bei einem anderen Anbieter, nicht nur mit einer Adresse auf derselben Domain.

• Ein einziger SPF-Eintrag (v=spf1) pro Domain, alle Absender als include darin
• Keine Anbieter mehr im SPF, die du nicht mehr nutzt
• DKIM-Schlüssel beim Mail-Anbieter geholt und als TXT-Eintrag selektor._domainkey veröffentlicht
• DMARC mit p=none und einer Berichtsadresse (rua) gesetzt
• Testmail an Gmail gesendet: SPF, DKIM und DMARC zeigen pass
• Berichte nach ein bis zwei Wochen gelesen, alle legitimen Absender bestehen
• Danach p=quarantine setzen und weiter beobachten

• WordPress-Umzug zu my Solution
• Webhosting bei my Solution