Was sind SPF, DKIM und DMARC? Schrittweise Einrichtung für mehr E-Mail-Sicherheit

SPF steht für Sender Policy Framework. Dabei handelt es um einen DNS-basierten Standard, mit dem für die Domain verantwortliche Personen E-Mail-Server auflisten können, die E-Mails im Namen dieser Domain senden dürfen.

Wenn eine Nachricht eingeht, vergleicht der empfangende E-Mail-Server die Versand-IP-Adresse mit dem SPF-Datensatz im DNS. Der Empfangsserver gibt dann ein SPF-Ergebnis zurück, aus dem hervorgeht, ob die IP-Adresse durch den veröffentlichten SPF-Datensatz autorisiert ist.

Für SPF gelten gewisse Einschränkungen, die es zu beachten gilt. SPF überprüft die Return-Path-Adresse, nicht den sichtbaren „From“-Header, den die Anwender in ihrem Posteingang sehen. Darüber hinaus kann es bei der Weiterleitung von Nachrichten zu Problemen kommen, wenn die IP-Adresse des Weiterleitungsservers nicht im ursprünglichen SPF-Datensatz enthalten ist. Zusätzlich gilt für SPF-Datensätze ein Limit von 10 DNS-Lookups. Dies kann bei Unternehmen, die viele Versand-Services von Drittanbietern nutzen, zu Problemen führen.

DKIM steht für DomainKeys Identified Mail. Es nutzt Public-Key-Kryptografie, um zu beweisen, dass eine Nachricht von einer zulässigen Domain gesendet und im Laufe der Übertragung nicht geändert wurde.

Wenn eine E-Mail gesendet wird, nutzt der Versand-Server einen privaten Schlüssel, um dem Nachrichten-Header eine digitale Signatur hinzuzufügen. Der passende öffentliche Schlüssel wird in einem DNS-TXT-Datensatz unter einem DKIM-Selektor gespeichert. Der Empfangsserver sucht nach diesem öffentlichen Schlüssel und überprüft die Signatur. Wenn die Signatur gültig ist, bestätigt sie, dass der signierte Inhalt nicht geändert wurde und dass die signierende Domain die Signatur autorisiert hat.

DKIM übersteht die E-Mail-Weiterleitung oft besser als SPF, da die Signatur in der Nachricht verbleibt, solange der signierte Inhalt nicht geändert wird. Damit ist er ein starkes Signal für den DMARC-Abgleich, auf den wir als Nächstes eingehen werden.

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es baut auf SPF und DKIM auf und ergänzt sie um zwei Elemente, die keiner dieser beiden Standards bietet: den Domain-Abgleich und die Richtlinienkontrolle.

Im Rahmen des Domain-Abgleichs prüft DMARC, ob die von SPF oder DKIM genutzte Domain mit der sichtbaren „From“-Adresse übereinstimmt, die die Anwender in ihrem Posteingang sehen. Dieser Schritt ist wichtig, da die SPF- und DKIM-Prüfungen technisch gesehen auch bestanden werden können, obwohl eine andere Domain genutzt wird, als dem Leser der Nachricht angezeigt wird.

Mit DMARC können für Domains verantwortliche Personen auch eine Richtlinie veröffentlichen, die den empfangenden E-Mail-Servern mitteilt, wie sie verfahren müssen, wenn eine Nachricht sowohl den SPF- als auch den DKIM-Abgleich nicht besteht. Die drei Richtlinienoptionen lauten „p=none“ (nur überwachen, keine Maßnahmen ergreifen), „p=quarantine“ (unsichere Nachricht als Spam ablegen) und „p=reject“ (unsichere Nachricht blockieren). DMARC bietet auch Berichte, denen für Domains verantwortliche Personen entnehmen können, wer E-Mails über ihre Domain sendet und wo Prüfungen fehlschlagen.

Der im Mai 2026 veröffentlichte DMARC RFC 9989 ersetzte RFC 7489. Damit wurde DMARC von einem informativen RFC zu einem verbindlichen Standard-Leitfaden (Standards Track). Das zentrale SPF- und DKIM-Abgleichsmodell bleibt erhalten, der aktualisierte Standard präzisiert jedoch, wie Empfänger die Unternehmensdomain erkennen und die Richtlinie anwenden.

Darüber hinaus ändert RFC 9989 die Domain- und Richtlinienerkennung und führt Tags für Grenzen von Unternehmensdomains, nicht existierende Subdomains und Tests ein. Einzelheiten zur Implementierung finden Sie im technischen Leitfaden zu den neuen DMARC-Tags.

SPF, DKIM und DMARC sind keine konkurrierenden Standards. Sie sollen als Gruppe zusammenarbeiten, wobei jeder Standard einen anderen Teil des Problems behandelt.

SPF überprüft den Versand-Server. DKIM verifiziert eine Nachrichtensignatur. DMARC wertet den Abgleich aus und sagt den Empfängern, wie sie mit Nachrichten verfahren müssen, die die Prüfungen nicht bestehen.

Bei der Übertragung einer Nachricht vom Absender zum Empfänger nehmen SPF, DKIM und DMARC jeweils eine eigene Aufgabe wahr. Der Prozess läuft folgendermaßen ab:

• Der E-Mail-Server des Absenders sendet die Nachricht.
• Der empfangende E-Mail-Server vergleicht die Versand-IP-Adresse mit dem SPF-Datensatz des Absenders im DNS.
• Darüber hinaus prüft der Empfangsserver die DKIM-Signatur, indem er nach dem öffentlichen Schlüssel sucht, der unter dem DKIM-Selektor im DNS gespeichert ist.
• Anschließend prüft DMARC auf Abweichungen. Stimmt die Domain, die von SPF oder DKIM validiert wurde, mit der sichtbaren „From“-Adresse überein?
• Der Empfänger verarbeitet die Nachricht entsprechend der DMARC-Richtlinie (none, quarantine oder reject).
• Der Empfänger sendet aggregierte Berichte an die für die Domain verantwortliche Person zurück, aus denen hervorgeht, welche Nachrichten die Prüfungen bestanden haben und welche nicht.

Die DMARC-Prüfungen gelten als bestanden, wenn entweder die SPF-Prüfungen für die Authentifizierung und den Abgleich oder die DKIM-Prüfungen für die Authentifizierung und den Abgleich bestanden wurden. Es müssen nicht beide Prüfungen bestanden werden. Dennoch müssen Unternehmen sowohl SPF als auch DKIM konfigurieren, da SPF-Prüfungen bei weitergeleiteten E-Mails fehlschlagen können, während DKIM die Validierung fortsetzen kann.

Wenn SPF, DKIM und DMARC nicht ordnungsgemäß konfiguriert werden, können Angreifer scheinbar von Ihrer Domain stammende E-Mails einfacher versenden. Angreifer nutzen diese Schwachstelle für Phishing-Kampagnen, Business Email Compromise-Betrug (BEC) und Domain-Spoofing-Angriffe, die das Vertrauen der Kunden erschüttern und Geld kosten.

Infolgedessen erwarten E-Mail-Anbieter jetzt eine stärkere Authentifizierung von Absendern. Google und Yahoo haben im Februar 2024 damit begonnen, SPF, DKIM und DMARC für Massenversender vorzuschreiben. Microsoft folgte im Mai 2025. Die Anforderungen und Durchsetzungspraktiken entwickeln sich ständig weiter. Daher müssen Absender die aktuellen Richtlinien der einzelnen E-Mail-Anbieter überprüfen.

SPF, DKIM und DMARC verbessern nicht nur die Sicherheit, sondern auch die E-Mail-Zustellbarkeit. Nachrichten, die alle drei Prüfungen bestehen, erreichen mit größerer Wahrscheinlichkeit den Posteingang, während Nachrichten, die diese nicht bestehen, eher herausgefiltert oder blockiert werden.

Eine sorgfältige, gestaffelte Einrichtung senkt das Risiko für Beeinträchtigungen bei legitimen E-Mails. Denken Sie daran, dass durch überstürztes Handeln gültige E-Mails blockiert werden könnten, während die Domain bei zu zögerlichen Vorgehen ungeschützt sein könnte. Ziel ist es, Transparenz sicherzustellen, Abweichungen zu erkennen und zu korrigieren und dann zielstrebig mit der Durchsetzung zu beginnen.

1. Erfassen sie alle Absender

Bevor Sie DNS-Änderungen vornehmen, listen Sie jeden Service auf, der E-Mails im Namen Ihrer Domain versendet. Dazu gehören Ihre primäre E-Mail-Plattform (z. B. Microsoft 365 oder Google Workspace) sowie CRM-Tools, Marketing-Plattformen, HR-Systeme, Abrechnungsservices, Ticket-Systeme und alle Drittanbieter. Wenn auch nur ein Absender fehlt, bestehen legitime E-Mails eventuell nicht die DMARC-Prüfungen.

2. Veröffentlichen oder aktualisieren Sie den SPF-Datensatz

Erstellen Sie einen einzelnen SPF-Datensatz im DNS, der alle zulässigen Versand-Services für Ihre Domain auflistet. Achten Sie auf das Limit von 10 DNS-Lookups. Wenn Sie viele Drittanbieter nutzen, können Sie diese Obergrenze schnell überschreiten. Entfernen Sie alte oder nicht mehr genutzte Services, um den Datensatz sauber zu halten.

3. Aktivieren Sie die DKIM-Signatur für jeden Absender

Richten Sie DKIM-Signaturen für jeden Service ein, der in Ihrem Namen E-Mails sendet. Dafür müssen Sie ein Schlüsselpaar erstellen, den öffentlichen Schlüssel als DNS-TXT-Datensatz unter einem DKIM-Selektor veröffentlichen und die Signaturfunktion in den Versand-Services aktivieren. Verwenden Sie einen 2048-Bit-Schlüssel, sofern der Versand-Service diesen Schlüsseltyp unterstützt.

4. Veröffentlichen Sie den DMARC-Datensatz im Überwachungsmodus

Fügen Sie dem DNS einen DMARC-TXT-Datensatz mit der Richtlinie „p=none“ hinzu. Auf diese Weise können Sie die DMARC-Ergebnisse überwachen, ohne die empfangenden E-Mail-Server aufzufordern, Nachrichten, die die Prüfungen nicht bestehen, unter Quarantäne zu stellen oder abzulehnen. Fügen Sie ein rua-Tag ein, damit aggregierte Berichte an eine von Ihnen überwachte Adresse gesendet werden.

5. Überprüfen Sie Berichte und beheben Sie auftretende Fehler

Nutzen Sie die DMARC-Berichte, um Absender zu identifizieren, die bei der SPF- oder DKIM-Prüfung oder beim Abgleich durchfallen. Einige dieser Services haben Sie vielleicht noch nicht in Ihren SPF-Datensatz aufgenommen oder müssen noch für DKIM eingerichtet werden. Korrigieren Sie jede Abweichung, bevor Sie die Richtlinie verschärfen.

6. Verschieben Sie Nachrichten zunächst in Quarantäne und lehnen Sie sie später ab

Sobald alle gültigen Absender die SPF-, DKIM- und DMARC-Prüfungen bestanden haben, fahren Sie mit der Richtlinie „p=quarantine“ fort. Überwachen Sie die Berichte erneut, um verbleibende Probleme zu identifizieren. Wenn Sie sich sicher sind, fahren Sie mit „p=reject“ fort. Dadurch werden die Empfänger aufgefordert, Nachrichten abzulehnen, die die DMARC-Prüfungen nicht bestehen.

7. Ziehen Sie nach der Durchsetzung BIMI in Erwägung

Mit Brand Indicators for Message Identification (BIMI) kann eine Domain ein Logo veröffentlichen, das E-Mail-Anbieter, die diese Funktion unterstützen, neben den authentifizierten Nachrichten anzeigen können. BIMI baut auf DMARC auf und erfordert im Allgemeinen die Durchsetzungsrichtlinie „p=quarantine“ oder „p=reject“. Überprüfen Sie die BIMI-Implementierungsanforderungen, bevor Sie einen BIMI-Datensatz veröffentlichen.

8. Pflegen Sie Ihre Datensätze kontinuierlich

SPF-, DKIM- und DMARC-Datensätze müssen kontinuierlich gepflegt werden. Überprüfen Sie sie, wenn Sie einen Anbieter hinzufügen oder entfernen, ein neues E-Mail-Tool einführen, eine Domain ändern oder im Zuge einer Firmenübernahme. Veraltete Datensätze können dazu führen, dass Prüfungen nicht bestanden und legitime E-Mails blockiert werden.

9. Ziehen Sie gehostete Authentifizierungsservices in Erwägung

Große Unternehmen können gehostete Authentifizierungsservices nutzen, um SPF-, DKIM- und DMARC-Datensätze zu verwalten, Berichte zu normalisieren, Versandquellen zu identifizieren und den operativen Aufwand für laufende Änderungen zu reduzieren. Diese Services können nützlich sein, wenn viele Unternehmenseinheiten, Domains und Plattformen von Drittanbietern E-Mails im Namen des Unternehmens versenden.

Teams können auch nach der Einrichtung noch auf Probleme stoßen. Dazu gehören:

• Veraltete SPF-Datensätze, in denen noch alte Anbieter aufgeführt sind
• Überschreitung des SPF-Limits von 10 DNS-Lookups
• Fehlende DKIM-Einrichtung für Drittabsender
• Lücken in der DKIM-Schlüsselrotation, die dazu führen, dass alte Schlüssel zu lange aktiv bleiben
• Abweichende „From“-Domains, die DMARC-Fehler bei gültigen E-Mails verursachen
• Zu lange bei „p=none“ bleiben, ohne zur Durchsetzung überzugehen

Es gibt auch eine wichtige Grenze, die Sie beachten sollten. DMARC schützt Ihre genaue Domain vor Spoofing, deckt jedoch nicht jede Angriffsmethode ab. Doppelgänger-Domains (wie „yourc0mpany.com“ statt „yourcompany.com“), Display Name-Spoofing und E-Mails von kompromittierten Lieferantenkonten können alle DMARC-Prüfungen umgehen. Diese Bedrohungen erfordern zusätzliche Abwehrmaßnahmen, die über SPF, DKIM und DMARC hinausgehen.

Eine stärkere SPF-, DKIM- und DMARC-Einrichtung kann das Risiko verringern, dass Angreifer gefälschte Nachrichten über ihre Domain versenden. Sie kann das Vertrauen Ihrer Kunden, Partner und Mitarbeiter in Ihre Domains schützen. Sie kann auch die Zustellbarkeit verbessern, indem sie E-Mail-Anbietern hilft, legitime Unternehmensnachrichten zu authentifizieren.

Ein weiterer wichtiger Vorteil besteht darin, dass die Authentifizierung den Teams klarere Daten darüber liefert, wer E-Mails im Namen des Unternehmens versendet. Diese Transparenz kann bei Gesprächen über Governance, Risikoprüfungen, Audits, Diskussionen zu Cyberversicherungen und Updates auf Vorstandsebene hilfreich sein. Sicherheitsverantwortliche können belegen, dass das Unternehmen über aktive Kontrollen für die Absenderidentität, einen Prozess für die Durchsetzung und über Berichte verfügt, die das laufende Management unterstützen.

Keines dieser Ergebnisse ist garantiert. Der Schritt zur Durchsetzung von DMARC ist jedoch wichtig, weil die Teams damit die vertrauenswürdige E-Mail-Kommunikation stärken.

SPF, DKIM und DMARC sind Teil einer übergeordneten Vertrauensebene für die Identitätsverwaltung im Bereich der E-Mails. Sie prüfen, ob eine Versand-Domain eine Nachricht autorisiert hat, und stellen sicher, dass der Inhalt der signierten Nachricht nicht geändert wurde.

Aus diesem Grund ist eine Authentifizierung unerlässlich. Sie prüft legitime Absender und reduziert direktes Domain-Spoofing. Moderner E-Mail-Betrug kann aber auch Doppelgänger-Domains, die Nachahmung von Lieferanten, kompromittierte Partnerkonten, Display Name-Spoofing und Änderungen der Reply-to-Adresse beinhalten.

Mit Proofpoint Email Fraud Defense können Unternehmen die DMARC-Implementierung optimieren, die gehostete Authentifizierung verwalten, E-Mail-Quellen erkennen, die vertrauenswürdige Domains und Doppelgänger verwenden, und lieferantenbezogene Risiken verstehen. Dadurch erhalten die Teams mehr Kontrolle über die Durchsetzung, ohne den legitimen E-Mail-Verkehr zu beeinträchtigen.

Erfahren Sie mehr über Proofpoint Email Fraud Defense.