SPF, DKIM & DMARC Check

Was zeigt ein SPF DKIM DMARC Check, und wozu brauchen Sie ihn?

Ein SPF DKIM DMARC Check liest die Einträge für E-Mail Authentifizierung Ihrer Domain von außen und zeigt Ihnen vorab das Urteil der empfangenden Server. Bevor Gmail, Outlook oder GMX eine Nachricht zustellen, stellen sie drei Fragen und suchen die Antwort in Ihrem DNS. Fehlt also ein Eintrag oder ist er fehlerhaft, landet Ihre Mail im Spam oder kommt gar nicht an.

• SPF: Darf dieser Server für diese Domain senden?
• DKIM: Kam die Nachricht unverändert an, und wer hat sie signiert?
• DMARC: Passt die Domain im From Feld zu einer dieser Prüfungen, und was passiert sonst?

Bei jeder Firmenwebsite, die ich baue, mache ich diese Prüfung in der ersten Woche. Denn Benachrichtigungen aus dem Kontaktformular und Angebotsmails gehen meist wegen eines fehlenden DNS Eintrags verloren, nicht wegen des Designs. Deshalb stehen DNS, SSL und E-Mail Authentifizierung in meinen Webdesign Projekten auf derselben Übergabeliste. Richten Sie gerade Firmenmail ein, hilft Ihnen mein Ratgeber zur E-Mail mit eigener Domain bei der Wahl des Anbieters.

Wie funktioniert das SPF Limit von 10 DNS Abfragen?

Ein SPF Eintrag ist mehr als seine eigene Zeile. Jeder include Term ruft den SPF Eintrag einer anderen Domain ab, und dieser kann weitere includes enthalten. RFC 7208 begrenzt die Summe der Terme include, a, mx, ptr, exists und redirect in dieser Kette auf 10. Ein Eintrag über dem Limit liefert permerror, und SPF besteht dann bei keiner Nachricht.

Das Problem wächst meist unbemerkt. Zum Beispiel stehen im Eintrag nur drei includes, aber einer davon öffnet allein fünf weitere Abfragen. Das Tool zeigt den Baum deshalb nummeriert: Jede Zeile nennt ihre Abfragenummer, alles nach der zehnten wird rot. Außerdem zählt es leere Abfragen (void) getrennt; hier liegt das Limit bei 2.

Wird es eng, gehe ich in dieser Reihenfolge vor:

1. Entfernen Sie includes von Diensten, die Sie nicht mehr nutzen.
2. Lassen Sie Marketingplattformen aus dem Haupteintrag; die meisten nutzen eine eigene Subdomain für den Umschlagabsender und richten sich über DKIM aus.
3. Verlagern Sie großen Versand auf eine Subdomain wie news.beispiel.de mit eigenem SPF Eintrag.

Manche Tools empfehlen, includes in IP Adressen aufzulösen (Flattening). Allerdings veraltet ein solcher Eintrag still, sobald ein Anbieter seine IP Bereiche ändert. Ich setze das daher nur ein, wenn jemand den Eintrag überwacht.

Warum zählen DKIM Selektor und Schlüssellänge?

Ein DKIM Schlüssel liegt nicht auf der Hauptdomain, sondern unter selektor._domainkey.beispiel.de. Konkret legt der Anbieter den Namen des Selektors fest. Google Workspace nutzt standardmäßig google, Microsoft 365 nutzt selector1 und selector2, Yandex 360 nutzt mail. cPanel und Plesk nutzen default. Dienste wie Amazon SES und Postmark erzeugen dagegen zufällige oder datumsbasierte Selektoren, die kein Tool erraten kann. Nehmen Sie dann den Wert s= aus dem Header einer gesendeten Mail und tragen Sie ihn ins Selektor Feld ein.

Ist ein Schlüssel gefunden, zählt vor allem die Länge. RFC 8301 verlangt von Signierenden mindestens 1024 Bit und empfiehlt 2048 Bit. Google akzeptiert für Mails an private Gmail Konten ebenfalls nichts unter 1024 Bit. Das Tool dekodiert den Schlüssel aus dem DNS und zeigt die echte Bitlänge. Sehen Sie 1024 Bit, empfehle ich einen neuen Schlüssel mit 2048 Bit aus dem Panel Ihres Anbieters.

• Leeres p=: Der Schlüssel ist widerrufen; bei einem alten Selektor in Ordnung.
• t=y: Die Domain testet DKIM; nach der Einrichtung entfernen.
• CNAME ohne Schlüssel: Bei Microsoft 365 normal für den Reserve Selektor, als einziger Selektor funktioniert DKIM aber nicht.

Wie bringen Sie DMARC von none zu reject?

Der DMARC Eintrag liegt unter _dmarc.beispiel.de. Er sagt Empfängern, was mit Mails ohne bestandene Prüfung geschehen soll (p) und wohin die Berichte gehen (rua). p=none beobachtet nur, gefälschte Mails kommen also weiter an. Dagegen schickt p=quarantine sie in den Spam, und p=reject lehnt sie ab.

Ich stelle nie in einem Schritt um. Zunächst starte ich mit p=none und rua und lese zwei bis vier Wochen lang die Sammelberichte. Währenddessen richte ich jeden legitimen Absender über SPF oder DKIM aus. Stehen in den Berichten nur noch gefälschte Quellen, folgt p=quarantine, nach einigen ruhigen Wochen dann p=reject.

Die im Mai 2026 veröffentlichte RFC 9989 hat RFC 7489 abgelöst und einiges geändert:

• Der Tag pct entfällt; an seine Stelle tritt das Testkennzeichen t=y. Google liest pct bei stufenweiser Einführung aber noch.
• Der Tag np legt eine eigene Richtlinie für nicht existierende Subdomains fest.
• Ein DNS Tree Walk ersetzt die Public Suffix Liste.
• Für allgemein genutzte Domains, deren Nutzer an Mailinglisten schreiben, empfiehlt die RFC quarantine statt reject.

Das Tool liest Ihren Eintrag nach beiden Standards und markiert veraltete Tags gesondert.

Erfüllt Ihr SPF DKIM DMARC Check die Regeln für Massenversender?

Google und Yahoo verlangen seit Februar 2024 dieselben Grundlagen von Massenversendern. Microsoft folgte für Outlook.com am 5. Mai 2025. Google spricht von etwa 5.000 Nachrichten an private Gmail Konten innerhalb von 24 Stunden. Microsoft nennt mehr als 5.000 am Tag, Yahoo nennt keine Zahl. Zudem lehnt Microsoft nicht konforme Mails mit dem Code 550 5.7.515 ab, und Gmail weist solchen Verkehr seit November 2025 vorübergehend oder dauerhaft zurück.

Allerdings zeigt das DNS nur einen Teil dieser Anforderungen. Der Reiter Absenderregeln trennt das klar:

• Im DNS sichtbar: gültiges SPF, ein DKIM Schlüssel mit mindestens 1024 Bit, DMARC mit mindestens p=none.
• Braucht eine echte Mail: Ausrichtung der From Domain, Abmeldung per Klick, TLS beim Versand.
• Braucht Ihre Versandplattform: Beschwerdequote unter 0,3 Prozent, Reverse DNS für die Versand IP, Abmeldungen innerhalb von zwei Tagen.

Kurz gesagt: Auch wenn im DNS alles grün ist, prüfen Sie den Header Ihres Newsletters einmal mit der Header Analyse. Die Beschwerdequote beobachten Sie kostenlos in den Google Postmaster Tools.

Was zeigt die E-Mail Header Analyse?

Korrekte DNS Einträge sind das eine; wie eine echte Nachricht geprüft wurde, zeigt nur der Header. Senden Sie sich eine Mail, öffnen Sie den Header und fügen Sie ihn ein. Das Tool wertet den Text ausschließlich in Ihrem Browser aus und sendet nichts an einen Server. Zudem gelangt der Header nie in geteilte Links.

• Authentication-Results: das Urteil des Empfangsservers zu spf, dkim und dmarc.
• Ausrichtungstabelle: lockere oder strikte Übereinstimmung der From Domain mit Umschlagdomain und Signaturdomain (d=).
• DKIM Signaturen: Selektor, Algorithmus, signierte Header und die Prüfung dieses Selektors per Klick.
• Abmeldung per Klick: die Header List-Unsubscribe und List-Unsubscribe-Post; RFC 8058 verlangt, dass die DKIM Signatur beide abdeckt.
• Zustellschritte: Verzögerungen zwischen den Servern aus den Received Zeilen und ob der letzte Schritt TLS nutzte.

Besteht eine Mail einer Marketingplattform DKIM, scheitert aber an der Ausrichtung, ist die Ursache fast immer dieselbe: Die Plattform signiert mit der eigenen Domain. Aktivieren Sie im Panel die Authentifizierung mit eigener Domain, dann wechselt die Signatur auf Ihre Domain, und DMARC besteht.

Wo tragen Sie die Einträge in cPanel und Plesk ein?

Klären Sie zuerst, wo Ihr DNS verwaltet wird: Sie tragen Einträge bei der Firma ein, auf die die Nameserver Ihrer Domain zeigen. Die Nameserver sehen Sie zum Beispiel mit der DNS Abfrage, den Registrar mit der Whois Abfrage. Liegen die Nameserver etwa bei Cloudflare, bewirkt die Zone in cPanel nichts.

• cPanel: Die Seite Email Deliverability installiert die vorgeschlagenen SPF und DMARC Einträge mit einem Klick. Außerdem erzeugt sie einen DKIM Schlüssel. Von Hand geht es über Zone Editor, dann Manage und Add Record.
• Plesk: Wählen Sie unter Websites & Domains Ihre Domain und legen Sie in DNS Settings einen TXT Eintrag an. Für DKIM genügt das Häkchen in den Mail Settings; Plesk veröffentlicht default._domainkey dann selbst.

Zwei Regeln gelten immer. Hat die Domain schon einen v=spf1 Eintrag, bearbeiten Sie ihn, statt einen zweiten anzulegen; zwei SPF Einträge ergeben permerror. Nutzen Sie außerdem MTA-STS, prüfen Sie das Zertifikat der Subdomain mta-sts mit dem SSL Check. Absender lesen die Richtliniendatei nur über ein gültiges Zertifikat. Warten Sie nach jeder Änderung, bis die TTL des alten Eintrags abläuft, und starten Sie das Tool dann erneut.