Ratgeber · AT-R09REV. 2026-A
Warum landen meine E-Mails im Spam? SPF, DKIM und DMARC verständlich erklärt
Von Felix GötzGeschäftsführung · Informatikkaufmann (IHK)Stand:
Der Anruf kommt meistens so: „Der Kunde sagt, er hat unser Angebot nie bekommen. Bei uns steht es aber im Gesendet-Ordner.“
Und ja, es wurde gesendet. Es wurde nur nicht zugestellt. Zumindest nicht dorthin, wo jemand hinschaut.
Das ist deutlich teurer als es klingt. Eine Rechnung im Spam wird nicht bezahlt. Ein Angebot im Spam wird nicht angenommen. Und Sie erfahren es in der Regel gar nicht, weil niemand anruft, um Ihnen zu sagen, dass er nichts von Ihnen gehört hat.
Was auf der Gegenseite passiert
Wenn Ihre Mail beim Empfänger ankommt, stellt dessen Server drei Fragen, bevor er sie ins Postfach legt:
Durfte dieser Server überhaupt in Ihrem Namen senden?
Wurde die Mail unterwegs verändert?
Und was soll ich tun, wenn eine der beiden Antworten nein lautet?
Für jede dieser Fragen gibt es einen Eintrag, den Sie in Ihrem DNS hinterlegen. Das ist der Ort, an dem die Einstellungen zu Ihrer Domain liegen, meistens beim Hoster. Fehlen die Einträge, muss der Empfängerserver raten. Und im Zweifel rät er zu Ihren Ungunsten.
SPF: Wer darf in Ihrem Namen senden?
SPF ist eine Liste. Darin steht, welche Server Mails für Ihre Domain verschicken dürfen. Kommt eine Mail von einem Server, der nicht auf der Liste steht, ist das ein Warnsignal.
Ein Detail, das später noch wichtig wird: Geprüft wird dabei nicht die Absenderadresse, die der Empfänger im Postfach sieht, sondern die technische Rückläufer-Adresse auf dem Umschlag der Mail. Die beiden können auseinanderfallen. Genau dafür gibt es DMARC.
Klingt simpel, und ist es auch. Zwei Fallen gibt es trotzdem.
Erstens: Es darf pro Domain nur einen SPF-Eintrag geben. Wir finden regelmäßig zwei oder drei, weil bei jedem neuen Dienst einfach ein weiterer angelegt wurde. Das Ergebnis ist nicht doppelt so gut, sondern kaputt. Alles muss in einen Eintrag.
Zweitens: Denken Sie an alles, was in Ihrem Namen sendet. Nicht nur den Mailserver. Auch das Newsletter-Tool, das Buchhaltungsprogramm, das Rechnungen verschickt, das Kontaktformular auf der Website. Wird einer davon vergessen, landet ausgerechnet dieser Versand im Spam.
DKIM: Das Siegel auf dem Umschlag
DKIM setzt eine digitale Signatur auf jede ausgehende Mail. Der Empfänger prüft diese Signatur gegen einen Schlüssel, den Sie in Ihrem DNS veröffentlicht haben.
Passt sie, weiß er zwei Dinge: Die Mail stammt tatsächlich aus Ihrem Haus, und unterwegs hat niemand daran herumgeschrieben.
Die Einrichtung übernimmt in der Regel der Mailanbieter. Bei Microsoft 365 sind das ein paar Klicks plus zwei DNS-Einträge, bei Google Workspace genügt ein einziger. Der lästige Teil ist wieder derselbe: Jeder Dienst, der in Ihrem Namen sendet, braucht seinen eigenen Schlüssel.
DMARC: Die Anweisung, was im Zweifel passieren soll
SPF und DKIM stellen nur fest, ob etwas nicht stimmt. Was dann geschehen soll, sagt DMARC.
Sie hinterlegen eine von drei Anweisungen:
- none heißt: nichts tun, nur berichten
- quarantine heißt: ab in den Spam-Ordner
- reject heißt: gar nicht erst annehmen
DMARC prüft aber noch etwas Zweites, und daran scheitern die meisten: Die Domain, die SPF oder DKIM bestanden hat, muss zu der Domain passen, die der Empfänger im Absender sieht. Typischer Fall ist das Newsletter-Tool. Es verschickt technisch sauber über seine eigene Domain, SPF steht auf PASS, und DMARC fällt trotzdem durch, weil im Absender Ihre Firmenadresse steht. Lösen lässt sich das, indem der Dienst die Mails mit einem DKIM-Schlüssel Ihrer Domain signiert oder über eine Absender-Adresse Ihrer Domain verschickt.
Und hier ist der Punkt, an dem die meisten stehenbleiben. DMARC wird auf „none“ gesetzt, weil das ungefährlich ist, und dann bleibt es dort. Für immer. Damit haben Sie zwar einen Eintrag, aber keinerlei Schutz. Jeder kann weiterhin Mails mit Ihrer Adresse verschicken.
DMARC bringt außerdem Berichte mit. Sie bekommen regelmäßig eine Aufstellung darüber, wer in Ihrem Namen sendet. Da tauchen dann Dienste auf, die längst niemand mehr nutzt. Und gelegentlich Absender, die nie etwas mit Ihnen zu tun hatten.
So prüfen Sie, ob es funktioniert
Dafür brauchen Sie kein Werkzeug und keinen Dienstleister. Schicken Sie sich eine Mail von Ihrer Firmenadresse an ein Gmail-Konto. In Gmail öffnen Sie die Nachricht, klicken auf die drei Punkte und wählen „Original anzeigen“.
Oben stehen dann drei Zeilen: SPF, DKIM, DMARC. Dahinter jeweils PASS oder FAIL.
Dreimal PASS ist das Ziel. Alles andere ist eine Aufgabe.
Der Test dauert zwei Minuten und sagt Ihnen mehr als jede Vermutung. Machen Sie ihn auch nach jeder Änderung noch einmal, und machen Sie ihn für jeden Versandweg getrennt. Der Server kann sauber sein, während das Newsletter-Tool durchfällt.
Woran es in der Praxis meistens hakt
Zwei oder drei SPF-Einträge gleichzeitig. Kommt öfter vor, als man denkt.
Der Newsletter-Versand oder das ERP-System steht in keinem der Einträge, weil beides erst zwei Jahre nach der Mail-Einrichtung dazukam.
DMARC steht seit drei Jahren auf „none“ und niemand liest die Berichte.
Der SPF-Eintrag hat zu viele Verweise. Es sind maximal zehn Abfragen erlaubt, und jeder eingebundene Dienst zählt mit. Darüber hinaus wird der Eintrag komplett ungültig, ohne dass irgendwo eine Fehlermeldung erscheint.
Und der Klassiker: Es wurde alles eingerichtet, aber niemand hat je geprüft, ob es tatsächlich greift.
Was das nicht löst
Ehrlich gesagt: Selbst mit dreimal PASS können Mails im Spam landen. Die Technik ist die Voraussetzung, nicht die Garantie. Wenn Ihre Betreffzeile nach Werbung klingt, wenn Sie plötzlich zweitausend Mails auf einmal verschicken oder wenn Ihre Domain erst seit letzter Woche existiert, hilft der beste DNS-Eintrag wenig.
Aber ohne die Einträge haben Sie von vornherein verloren. Und seit 2024 verlangen Google und Yahoo — inzwischen auch Microsoft — für größere Versandmengen ohnehin, dass alle drei vorhanden sind.
Die Reihenfolge
- Alle Systeme auflisten, die in Ihrem Namen Mails verschicken. Wirklich alle.
- Einen einzelnen SPF-Eintrag anlegen, der sie alle abdeckt. Vorhandene Duplikate entfernen.
- DKIM beim Mailanbieter aktivieren und für jeden weiteren Versanddienst einrichten.
- DMARC zunächst auf „none“ setzen und die Berichte ein paar Wochen auswerten.
- Wenn nichts Wichtiges mehr durchfällt, auf „quarantine“ hochstufen. Später auf „reject“.
- Gmail-Test. Nach jeder Änderung.
Punkt 4 ist der, den man nicht überspringen sollte. Wer direkt auf „reject“ geht, blockiert im Zweifel den eigenen Rechnungsversand.
Für Punkt 5 gibt es noch einen Grund zur Vorsicht. Sobald eine Mail weitergeleitet wird, über einen Alias, einen Verteiler oder eine Mailingliste, bricht SPF systembedingt: Der weiterleitende Server steht ja nicht auf Ihrer Liste. Was die Mail dann noch rettet, ist eine intakte DKIM-Signatur, denn die übersteht eine Weiterleitung. Auf „reject“ sollten Sie deshalb erst gehen, wenn DKIM auf allen Versandwegen wirklich sitzt.
Wer die Liste nicht selbst durchgehen will: Genau solche Einrichtungen übernehmen wir im Rahmen des IT-Supports für Unternehmen.