Drei Einträge im öffentlichen Verzeichnis Ihrer Domain entscheiden darüber, ob Empfänger wie Gmail und Outlook Ihre Nachrichten annehmen – und ob sie erkennen können, wenn jemand in Ihrem Namen schreibt. Sie heißen SPF, DKIM und DMARC. Jeder von ihnen beantwortet eine andere Frage.
SPF: Wer darf für Sie senden?
SPF ist eine Liste. In ihr steht, welche Server und Dienste Nachrichten mit Ihrer Absenderadresse verschicken dürfen. Ist sie hinterlegt, können Empfänger fremde Absender aussortieren.
Fehlt sie, kann jeder Server behaupten, in Ihrem Namen zu senden. Empfänger haben keinen Anhaltspunkt, das zu prüfen – die Folge sind gefälschte Rechnungen in Ihrem Namen und schlechtere Zustellung Ihrer echten Mails.
Eine Liste, die mit einer Regel endet, die alle Absender durchlässt, ist wirkungslos: Sie sieht aus wie ein Schutz, ist aber keiner.
SPF hat eine technische Grenze, die im Alltag oft übersehen wird: Beim Prüfen darf ein Empfänger höchstens zehn weitere Abfragen auslösen. Jeder eingebundene Dienst kostet davon. Wird die Grenze überschritten, werten Empfänger den ganzen Eintrag als fehlerhaft – er wirkt dann, als wäre er nicht da.
DKIM: Ist die Nachricht unterwegs unverändert geblieben?
DKIM ist eine digitale Unterschrift. Ihr Mail-Anbieter unterschreibt jede ausgehende Nachricht, der Empfänger prüft die Unterschrift gegen einen Schlüssel im Verzeichnis Ihrer Domain. Stimmt sie, weiß er zweierlei: Die Nachricht kommt wirklich von Ihnen, und sie wurde unterwegs nicht verändert.
Ob eine Unterschrift existiert, lässt sich von außen nicht mit Sicherheit sagen. Der Name, unter dem der Schlüssel liegt, ist frei wählbar; wir können nur die gebräuchlichen Namen durchprobieren. Findet sich keiner, heißt das nicht zwingend, dass keine Unterschrift existiert – aber es heißt, dass Empfänger Veränderungen an Ihren Mails nicht erkennen können, wenn tatsächlich keine da ist.
DMARC: Was soll mit Fälschungen geschehen?
SPF und DKIM sagen, was stimmt. DMARC sagt, was passieren soll, wenn etwas nicht stimmt. Es ist die Regel, die Empfänger anweist, gefälschte Nachrichten in den Spam-Ordner zu legen oder ganz abzuweisen.
Ohne DMARC können Empfänger nicht prüfen, ob eine Nachricht wirklich von Ihnen kommt – selbst dann nicht, wenn SPF und DKIM sauber eingerichtet sind. Und eine Regel, die ausdrücklich anweist, nichts zu unternehmen, schützt nicht: Als Zwischenschritt beim Einrichten ist das richtig, als Dauerzustand nicht.
Wonach wir bewerten
Alle drei Einträge sind öffentlich, und ihre Regeln sind nachlesbar. Wir bewerten nach denselben Regeln, die auch Ihre Empfänger anwenden:
- Absender-Freigabe: RFC 7208
- Digitale Signatur: RFC 6376
- Schutz vor Fälschungen: RFC 7489
Was wir dabei nicht tun: Wir sehen keine E-Mails, wir sagen nicht voraus, ob eine einzelne Nachricht bei einem bestimmten Empfänger ankommt, und wir prüfen nicht, wie Ihr Mailserver eingerichtet ist – sondern nur, was im Verzeichnis steht.