DMARC einrichten: SPF und DKIM für Ihre Firmendomain

Eine Offerte, die nie ankommt, oder eine Rechnung, die beim Kunden im Spam-Ordner liegt, kostet Zeit und Vertrauen. Oft liegt die Ursache nicht im Inhalt, sondern in der Domain: Der Empfängerserver kann nicht prüfen, ob die Mail wirklich von Ihnen stammt. Genau das sollen die drei DNS-Einträge SPF, DKIM und DMARC klären.

Hinzu kommt die Gegenrichtung. Wer für die eigene Domain nichts hinterlegt hat, kann von Dritten nachgeahmt werden, etwa für gefälschte Zahlungsaufforderungen an Ihre Kundschaft. Dieser Beitrag erklärt, was die Einträge leisten, wie sie in vier Schritten gesetzt werden und wo die Stolperstellen liegen.

Was SPF, DKIM und DMARC prüfen

Die drei Verfahren ergänzen sich, jedes beantwortet eine andere Frage.

• SPF beantwortet: Darf dieser Server für diese Domain senden? Im DNS steht eine Liste erlaubter Server und Dienste.
• DKIM beantwortet: Wurde die Mail unterwegs verändert? Das Versandsystem signiert jede Mail, der öffentliche Schlüssel liegt im DNS.
• DMARC beantwortet: Passt das Ergebnis zur sichtbaren Absenderadresse, und was soll bei einem Fehlschlag passieren? Dazu kommt die Berichtsfunktion.

Die Richtlinie in DMARC kennt laut RFC 7489 drei Stufen: p=none verlangt keine Aktion, p=quarantine behandelt durchgefallene Mails als verdächtig, p=reject weist sie ab. Mit dem Tag rua geben Sie eine Adresse an, an die Empfänger tägliche Sammelberichte schicken.

Was Google und Microsoft verlangen

Seit dem 1. Februar 2024 gilt bei Google: Alle Absender brauchen mindestens SPF oder DKIM, eine TLS-Verbindung, gültige PTR-Einträge und eine gemeldete Spam-Rate unter 0,3 %. Wer mehr als 5000 Mails pro Tag an Gmail-Adressen schickt, muss SPF, DKIM und DMARC einrichten. Die DMARC-Richtlinie darf dabei auf none stehen. Google empfiehlt für DKIM Schlüssel mit 2048 Bit, mindestens verlangt sind 1024 Bit.

Microsoft zog nach: Seit dem 5. Mai 2025 landen Mails von Domains mit mehr als 5000 Mails pro Tag an Outlook.com, Hotmail und Live ohne bestandene Prüfung im Junk-Ordner. Für die spätere Ablehnung nannte Microsoft in der Ankündigung vom April 2025 noch kein Datum. Der Fehlercode lautet dann 550 5.7.515, und die Liste sicherer Absender hebelt ihn nicht aus.

Die Schwellen von 5000 Mails liegen weit über dem, was ein Handwerksbetrieb oder eine Treuhandkanzlei versendet. Trotzdem lohnt sich die Einrichtung: Empfängerserver bewerten fehlende Authentifizierung generell schlechter, und Newsletter, Bestellbestätigungen und Rechnungsmails summieren sich schneller, als man meint.

DMARC einrichten in vier Schritten

1. Alle Versandquellen erfassen

Bevor ein Eintrag entsteht, braucht es eine Liste aller Systeme, die in Ihrem Namen Mails senden. Meist sind es mehr als das Postfach:

• Das Mail-System selbst (Microsoft 365, Google Workspace, Hosting-Postfächer)
• Newsletter-Tool und CRM
• Buchhaltungs- und Rechnungssoftware
• Online-Shop und Website-Formulare
• Ticket- oder Terminsysteme

Fragen Sie in jedem Tool nach dem Menüpunkt «Domain authentifizieren» oder «Eigene Domain». Dort steht, welche SPF-Angaben und DKIM-Schlüssel zu setzen sind.

2. SPF-Eintrag setzen

SPF ist ein einziger TXT-Eintrag auf der Hauptdomain. Ein Beispiel für eine Firma mit Microsoft 365 und einem Newsletter-Dienst:

v=spf1 include:spf.protection.outlook.com include:spf.newsletter-anbieter.example ~all

Zwei Regeln sind wichtig. Pro Domain darf es nur einen SPF-Eintrag geben, weitere Dienste werden im bestehenden Eintrag ergänzt. Und die Prüfung erlaubt höchstens 10 DNS-Abfragen, jedes include zählt mit. Wer ein Dutzend Dienste einbindet, überschreitet das Limit, und SPF schlägt dann komplett fehl.

3. DKIM bei jedem Versandsystem aktivieren

DKIM wird pro Versandsystem eingerichtet. Der Anbieter gibt einen oder zwei CNAME- oder TXT-Einträge vor, die Sie im DNS Ihrer Domain hinterlegen. Danach signiert das System automatisch. Prüfen Sie bei der Gelegenheit die Schlüssellänge und wählen Sie, wo möglich, 2048 Bit.

4. DMARC mit Überwachung starten

Der DMARC-Eintrag ist ein TXT-Eintrag auf _dmarc.ihre-domain.ch:

v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihre-domain.ch

Mit p=none ändert sich am Mailverkehr nichts, Sie erhalten aber Berichte. Diese sind XML-Dateien und für Menschen mühsam lesbar, darum gibt es Auswertungsdienste, die sie übersetzen. Mehrere bieten kostenlose Stufen für kleine Domains an. Prüfen Sie dort die Datenhaltung, denn die Berichte enthalten IP-Adressen und Absenderdomains.

Lassen Sie diese Phase vier bis sechs Wochen laufen. Dann zeigen die Berichte, welche Systeme durchfallen: vergessene Newsletter-Tools, ein alter Server, ein Dienstleister, der in Ihrem Namen sendet.

Von p=none zu p=reject

Erst wenn alle legitimen Quellen bestehen, lohnt der Schritt zur Durchsetzung. Der übliche Weg führt über p=quarantine und nach einigen weiteren Wochen zu p=reject.

Das Bundesamt für Cybersicherheit (BACS) empfiehlt in seinem Wochenrückblick vom 10. Februar 2026 eine strikte DMARC-Richtlinie (p=reject) für die eigene Domain. Sie hilft, den Missbrauch der eigenen Identität einzuschränken, etwa wenn Angreifer Ihre Adresse als Absender fälschen und Rückläufer-Mails («Backscatter») erzeugen. Das BACS schreibt dazu auch, dass sich das Problem damit nicht ganz vermeiden lässt.

Beim Wechsel auf reject gilt: Systeme, die in den Berichten nie auftauchten, weil sie nur selten senden (etwa der jährliche Versand der Mitgliederrechnung), werden leicht übersehen. Ein Zwischenschritt mit quarantine fängt solche Fälle ab, ohne dass Mails verloren gehen.

Wo DMARC an Grenzen stösst

DMARC schützt Ihre exakte Domain. Es verhindert keine Mails von ihre-domaln.ch mit einem vertauschten Buchstaben, und es erkennt kein gekapertes Postfach, dessen Mails korrekt signiert sind. Gegen CEO-Betrug und Rechnungsfälschung helfen deshalb zusätzlich Rückruf-Regeln bei Zahlungsänderungen und Zwei-Faktor-Anmeldung an den Postfächern.

Auch der Aufwand ist nicht null. Bei einer Domain mit einem einzigen Mail-System sind die Einträge in einer Stunde erledigt. Bei gewachsenen Umgebungen mit mehreren Dienstleistern geht es um Abklärungen: Wer hat Zugriff aufs DNS, welche Tools senden, wer pflegt den Eintrag nach einem Anbieterwechsel? Ein Einrichtungsfehler zeigt sich zudem erst, wenn Mails ausbleiben.

Ein Hinweis zur Technik: Seit 2026 gilt RFC 9989 als DMARC-Standard und ersetzt RFC 7489. Bestehende Einträge mit p, rua und sp funktionieren weiter. Neu ist das Tag np für nicht existierende Subdomains, das Tag pct entfällt. Für den Einstieg ändert das wenig, die Dokumentation Ihres DNS-Anbieters sollte aber den aktuellen Stand nennen.

Prüfliste vor dem Wechsel auf p=reject

1. Alle Versandsysteme sind erfasst, in den Berichten erscheinen keine unbekannten Quellen mehr.
2. SPF ist ein einziger Eintrag und bleibt unter 10 DNS-Abfragen.
3. Jedes System signiert mit DKIM auf Ihrer Domain.
4. Die Berichte der letzten vier Wochen zeigen für legitime Mails keine Fehlschläge.
5. Sie haben mit p=quarantine einen Probelauf gemacht.
6. Jemand ist dafür zuständig, den Eintrag bei neuen Tools oder Anbieterwechseln zu aktualisieren.

Unterstützung bei der Einrichtung

Hedinger-Digital richtet die Einträge im Rahmen der Digitalberatung ein: Bestandsaufnahme der Versandsysteme, Setzen von SPF, DKIM und DMARC sowie Auswertung der ersten Berichte. Wo Mails aus selbst gebauten Anwendungen oder Formularen stammen, lässt sich der Versand in der Softwareentwicklung sauber über einen authentifizierten Dienst führen.

Einen ersten Überblick erhalten Sie, wenn Sie den aktuellen Stand Ihrer Domain prüfen lassen. Über das Kontaktformular lässt sich dafür ein Termin vereinbaren.