Warum Ihre E-Mails im Spam landen: SPF, DKIM und DMARC verständlich erklärt

Ein Angebot geht raus, der Kunde meldet sich nicht. Nach einer Woche ruft man an: „Da ist nichts angekommen.“ Die Mail lag im Spam-Ordner, zwischen Werbung und Phishing. Oder der umgekehrte Fall: Ein Kunde ruft an und fragt, warum Sie ihm eine Rechnung mit neuer Bankverbindung geschickt haben. Haben Sie nicht. Jemand hat Ihre Absenderadresse benutzt. Beides hat dieselbe Ursache: Der empfangende Server kann nicht prüfen, ob eine Mail wirklich von Ihnen stammt. Genau dafür gibt es drei Einträge in Ihrer Domain, und bei vielen Betrieben fehlen sie oder sind unvollständig.

Wie ein Empfänger entscheidet, was Spam ist

E-Mail ist alt. Das Verfahren stammt aus einer Zeit, in der jeder jedem vertraute, und deshalb kann technisch jeder Server eine Mail mit jeder Absenderadresse verschicken. Der Empfänger muss also selbst prüfen, ob der Absender echt ist. Dazu sieht er in der Domain des Absenders nach, ob dort Regeln hinterlegt sind. Findet er keine, bleibt ihm nur das Raten anhand des Inhalts, und im Zweifel sortiert er die Mail in den Spam. Findet er klare Regeln und die Mail hält sie ein, kommt sie durch. Die drei Regeln heißen SPF, DKIM und DMARC. Sie klingen technisch, lassen sich aber in je einem Satz erklären.

SPF: Wer darf in Ihrem Namen senden?

SPF ist eine Liste der Server, die Mails mit Ihrer Domain verschicken dürfen. Bei einem Betrieb mit Microsoft 365 steht dort Microsoft drauf. Dazu kommt alles, was sonst noch in Ihrem Namen sendet: der Newsletter-Dienst, das Rechnungsprogramm, der Webshop, der Multifunktionsdrucker, der Scans verschickt. Fehlt einer davon in der Liste, landen genau dessen Mails im Spam, und niemand versteht, warum ausgerechnet die Rechnungen nicht ankommen. Der häufigste Fehler ist deshalb nicht ein fehlender SPF-Eintrag, sondern ein unvollständiger.

DKIM: Die Unterschrift unter jeder Mail

DKIM versieht jede ausgehende Mail mit einer digitalen Unterschrift, die nur Ihr Mailserver erzeugen kann. Der Empfänger prüft die Unterschrift gegen einen Schlüssel, der in Ihrer Domain hinterlegt ist. Stimmt sie, weiß er zwei Dinge: Die Mail kommt wirklich von Ihrem Server, und sie wurde unterwegs nicht verändert. Bei Microsoft 365 ist DKIM mit wenigen Klicks aktiviert, aber nicht von allein: Bei vielen Betrieben ist es nie eingeschaltet worden.

DMARC: Was passiert mit Mails, die durchfallen?

SPF und DKIM prüfen. DMARC entscheidet. Der DMARC-Eintrag sagt dem Empfänger, was er mit einer Mail tun soll, die weder SPF noch DKIM besteht: nichts, in den Spam sortieren oder ablehnen. Und er sagt, wohin Berichte darüber geschickt werden sollen. Diese Berichte sind der eigentliche Gewinn: Sie zeigen Ihnen, wer überall Mails mit Ihrer Domain verschickt, auch die, von denen Sie nichts wissen. Wir sehen in solchen Berichten regelmäßig vergessene Dienste, alte Server und gelegentlich Versuche von außen, die Adresse zu fälschen. Ohne DMARC bleibt das unsichtbar.

Die Einführung geht in Stufen. Zuerst nur beobachten, damit keine echte Mail verloren geht, weil ein Dienst in der SPF-Liste fehlt. Dann, wenn die Berichte sauber sind, auf „in den Spam“ und schließlich auf „ablehnen“. Erst in der letzten Stufe ist Ihre Adresse gegen Fälschung wirklich geschützt.

Warum das jetzt dringender ist als vor zwei Jahren

Google und Microsoft haben die Anforderungen an Absender in den vergangenen Jahren schrittweise verschärft. Wer größere Mengen an Gmail- oder Outlook-Adressen verschickt, braucht SPF, DKIM und DMARC, sonst werden die Mails zurückgewiesen. Die Grenze sinkt, und auch kleinere Absender merken die Wirkung: Mails ohne saubere Einträge landen öfter im Spam als früher. Dazu kommt die Versicherungsfrage. In Fragebögen von Cyber-Versicherern steht inzwischen regelmäßig die Frage nach DMARC, weil gefälschte Rechnungsmails einer der häufigsten Schadensfälle sind.

Wie wir vorgehen

Im kostenlosen Erstgespräch prüfen wir Ihre Domain und sagen Ihnen, welche der drei Einträge fehlen oder unvollständig sind. Dafür müssen wir nichts installieren, die Einträge sind öffentlich einsehbar. Dann stellen wir eine vollständige Liste aller Dienste zusammen, die in Ihrem Namen senden, richten SPF, DKIM und DMARC ein und werten die ersten Berichte mit Ihnen aus, bevor wir die Regeln scharf stellen. Für Kunden in der laufenden Betreuung über DCOSO Remote Guard behalten wir die Berichte dauerhaft im Blick, damit ein neuer Dienst nicht wieder unbemerkt im Spam landet. Was sonst zu einer sauberen E-Mail-Umgebung gehört, von Spam-Filter bis Postfach-Sicherung, steht auf unserer Seite zur E-Mail-Infrastruktur und -Sicherheit.

Eine Frage zum Schluss: Wissen Sie, welche Dienste außer Ihrem Mailprogramm Mails mit Ihrer Adresse verschicken? Wenn Sie zählen müssen, ist die Liste wahrscheinlich unvollständig.

Illustration: mit KI erstellt.