SPF, DKIM, DMARC: der Unterschied in Klartext
Drei Kürzel, ein Ziel: beweisen, dass Ihre Mail echt ist. Was SPF, DKIM und DMARC jeweils prüfen, warum keins allein reicht und in welcher Reihenfolge man sie einrichtet.
E-Mail wurde in den 1980ern ohne Absender-Prüfung entworfen: Jeder Server darf behaupten, in Ihrem Namen zu senden. SPF, DKIM und DMARC rüsten genau diese Prüfung nach — jedes beantwortet eine andere Frage, und erst zu dritt ergeben sie ein Schloss, das hält.
SPF: Wer darf senden?
SPF ist eine Liste im DNS Ihrer Domain: Diese Server dürfen für mich versenden. Der Empfänger vergleicht den tatsächlich einliefernden Server mit der Liste. Stärke: einfach einzurichten. Schwächen: Es prüft nur den technischen Umschlag-Absender (den der Leser nie sieht) und zerbricht bei Weiterleitungen, weil dann ein fremder Server einliefert.
DKIM: Ist die Mail echt und unverändert?
DKIM ist eine kryptografische Unterschrift an jeder Mail. Der Empfänger prüft sie mit dem öffentlichen Schlüssel aus Ihrem DNS: Stimmt die Unterschrift, stammt die Mail von einem berechtigten System und wurde unterwegs nicht verändert. Stärke: übersteht Weiterleitungen. Schwäche: Auch DKIM sagt für sich genommen noch nichts über die SICHTBARE Absenderadresse aus.
DMARC: Passt alles zur sichtbaren Adresse — und was tun, wenn nicht?
DMARC schließt die Lücke der beiden anderen: Es verlangt, dass SPF oder DKIM zur Absenderadresse passen, die der Empfänger im Postfach sieht („Ausrichtung“). Und es legt fest, was mit Durchgefallenem passiert: beobachten (p=none), in den Spam (p=quarantine) oder abweisen (p=reject). Dazu gibt es Berichte, wer überall in Ihrem Namen sendet. Ohne DMARC sind SPF und DKIM nur Hinweise — mit DMARC werden sie zur durchsetzbaren Regel.
Das Zusammenspiel an einem Beispiel
Ein Betrüger schickt eine Rechnung mit Ihrer Domain im Absender. SPF: Sein Server steht nicht in Ihrer Liste — Fehlschlag. DKIM: Er kann nicht mit Ihrem Schlüssel unterschreiben — Fehlschlag. DMARC mit p=reject: Die Mail wird abgewiesen, bevor sie ein Postfach erreicht. Fehlt DMARC, passiert trotz der beiden Fehlschläge womöglich — nichts.
Die richtige Reihenfolge
- 1. SPF setzen — alle Versanddienste in einen TXT-Eintrag.
- 2. DKIM je Versanddienst aktivieren — jeder signiert mit Ihrer Domain.
- 3. DMARC mit p=none und Berichtsadresse schalten, Berichte lesen.
- 4. Erst wenn die eigene Post sauber besteht: über quarantine auf reject verschärfen.
Häufige Fragen
Reichen SPF und DKIM ohne DMARC?
Nein. Ohne DMARC fehlt die Verbindung zur sichtbaren Absenderadresse und die Anweisung, Fälschungen abzuweisen. Außerdem verlangen Google und Yahoo für Massenversand ausdrücklich DMARC.
In welcher Reihenfolge prüft der Empfänger?
Praktisch parallel: SPF gegen den einliefernden Server, DKIM gegen die Unterschrift, dann wertet DMARC beide Ergebnisse samt Ausrichtung aus und wendet Ihre Richtlinie an.