SPF, DKIM, DMARC einrichten: E-Mails, die ankommen
„Warum landet meine eigene Geschäfts-E-Mail im Spam?“ hat selten etwas mit dem zu tun, was Sie geschrieben haben. Es geht um drei DNS-Einträge, von denen Ihnen niemand gesagt hat, dass Sie sie einrichten müssen: SPF, DKIM und DMARC. Mit ihnen können Postfach-Anbieter bestätigen, dass Ihre Mail wirklich von Ihnen stammt; ohne sie ist eine völlig legitime Nachricht für einen automatisierten Filter nicht von jemandem zu unterscheiden, der Ihren Namen fälscht.
Drei Einträge, drei unterschiedliche Aufgaben
SPF – wer in Ihrem Namen senden darf – ein TXT-Eintrag, veröffentlicht bei Ihrer Domain, der die Mailserver auflistet, die E-Mails senden dürfen, die vorgeben, von Ihnen zu stammen. Ein empfangender Server prüft den tatsächlichen Ursprung gegen diese Liste; eine Abweichung ist ein starkes Signal – wenn auch für sich genommen keine sofortige Ablehnung –, dass die Nachricht vielleicht nicht wirklich von Ihnen stammt.
DKIM – Beweis, dass nichts manipuliert wurde – der sendende Server signiert jede Nachricht kryptografisch mit einem privaten Schlüssel, den nur er besitzt; der passende öffentliche Schlüssel ist in Ihrem DNS veröffentlicht. Eine gültige Signatur beweist zugleich, dass eine Inhaberin Ihres Schlüssels die Nachricht gesendet hat und dass nach der Signierung nichts während der Übertragung verändert wurde.
DMARC – die Richtlinie, die beide verbindet – legt fest, ob SPF und DKIM mit der Domain in der sichtbaren „Von“-Adresse übereinstimmen müssen, sagt empfangenden Servern, was zu tun ist, wenn eine Nachricht beide Prüfungen nicht besteht (nichts, Quarantäne oder Ablehnung), und bittet um regelmäßige Berichte darüber, was unter Ihrem Namen versendet wird, bestanden oder nicht.
Woher diese Datensätze tatsächlich stammen
1
Wissen Sie, was Ihre E-Mails tatsächlich versendet
Nicht Ihr Website-Hoster – sondern der Mailbox- oder Versanddienst, von dem die Nachricht tatsächlich abgeht: Google Workspace, Microsoft 365, Zoho, Proton oder ähnlich.
2
Veröffentlichen Sie SPF für diesen Absender
Ihr Mail-Anbieter veröffentlicht seine exakte SPF-Zeile in seiner Einrichtungsdokumentation; Sie fügen sie im DNS Ihrer Domain ein, in derselben Oberfläche, die Sie für jeden anderen DNS-Eintrag nutzen.
3
Aktivieren Sie die DKIM-Signierung bei diesem Anbieter
Die meisten Anbieter erzeugen das Schlüsselpaar für Sie und geben Ihnen den exakten DNS-Eintrag zur Veröffentlichung – die DKIM-Einrichtung geht vom Anbieter aus und ist nichts, was Sie von Hand zusammenbauen.
4
Fügen Sie einen DMARC-Eintrag hinzu, zunächst nur zur Überwachung
Schreiben Sie selbst einen DMARC-TXT-Eintrag, beginnend mit p=none, und verschärfen Sie ihn erst, wenn die Berichte bestätigen, dass jeder echte Absender sauber besteht.
Wie Olmira das löst
Mandantenbezogenes SMTP ist Olmiras Antwort genau darauf: Verbinden Sie für jeden Zweck – Transaktional, Marketing, Support, Abrechnung und mehr – Ihr eigenes Mail-Konto, sodass eine Nachricht tatsächlich über ein Konto verlassen wird, das Sie bereits kontrollieren, mit der „Von“-Adresse, die Sie festlegen. Ihre Zustellbarkeit stützt sich dann auf das SPF, DKIM und DMARC, das die eigene Domain dieses Kontos bereits hat: Verbinden Sie ein echtes Geschäftspostfach, von dem Sie bereits senden, und dessen bestehende Authentifizierung deckt auch Ihre von Olmira versendete Mail ab.
Eine Regel zählt am meisten: Legen Sie die „Von“-Adresse eines Zwecks auf derselben Domain fest, von der das verbundene Konto tatsächlich zum Senden autorisiert ist – die beiden nicht übereinstimmen zu lassen, ist auf jeder Plattform die häufigste Ursache für einen wie gefälscht wirkenden Fehlschlag. Ein Zweck, den Sie unkonfiguriert lassen, fällt einfach auf Olmiras eigenes Relay zurück, statt gar nicht zu senden. Der Rest dessen, was Integrationen abdecken: Integrationen.
Weiterführende Artikel
Technisch wird die Mail versendet, aber SPF und DKIM eines privaten Webmail-Anbieters authentifizieren dessen Domain, nicht eine eigene, die Sie ins Absenderfeld eintragen — Mail, die angeblich von Ihrer Geschäftsdomain stammt, aber über die authentifizierten Server eines anderen verschickt wird, scheitert in der Regel am Alignment. Ein echtes Postfach auf Ihrer eigenen Domain sollten Sie einrichten, bevor Sie in größerem Umfang glaubwürdig wirken müssen.
SPF und DKIM sind inzwischen nahezu Pflicht – mehrere große Mailbox-Anbieter verlangen von Massenversendern bereits mindestens eines davon. DMARC ist das, was beide tatsächlich zusammenführt und den Empfängern sagt, was im Fehlerfall zu tun ist; es wegzulassen zerstört nicht sofort etwas, aber es ist der Teil, der aus „authentifiziert“ ein „durchgesetzt“ macht.
Authentifizierung belegt, dass die Nachricht wirklich von Ihnen stammt; sie befreit sie nicht von der üblichen Spamfilterung. Inhalt, Sendevolumen, Empfängerreaktionen und Domain-Reputation zählen weiterhin, zusätzlich zu einer sauber bestandenen Authentifizierung.
Dieselbe DNS-Propagierungsverzögerung wie bei jedem anderen Eintrag – unter DNS-Einträge der Domain verbinden steht, was währenddessen tatsächlich passiert und warum „noch nicht“ nicht dasselbe ist wie „falsch“.
Jede echte Versandquelle — Ihr alltägliches Postfach, eine Marketing-Plattform, ein Kontaktformular der Website — muss in denselben SPF-Eintrag aufgenommen werden und, sofern der Anbieter das unterstützt, eine eigene DKIM-Signatur haben. Eine davon zu vergessen ist mit Abstand der häufigste Grund, warum ein legitimes Tool plötzlich Prüfungen nicht besteht, obwohl alles „schon eingerichtet war“.