E-Mail-Sicherheit: Was sind SPF, DKIM und DMARC?

Drei DNS-basierte Verfahren halten Ihre E-Mails aus dem Spam-Ordner und verhindern, dass Ihre Domain für gefälschte E-Mails missbraucht wird: SPF, DKIM und DMARC. Sie arbeiten zusammen.

SPF (Sender Policy Framework)

Es veröffentlicht die Liste der Server, die für Ihre Domain E-Mails senden dürfen, als TXT-Eintrag im DNS. Der empfangende Server prüft, ob eine Nachricht von einem berechtigten Server stammt.

Beispieleintrag: v=spf1 include:_spf.beispiel-anbieter.de ~all

DKIM (DomainKeys Identified Mail)

Es fügt ausgehenden E-Mails eine digitale Signatur hinzu. Der öffentliche Schlüssel wird als TXT-Eintrag im DNS veröffentlicht; der Empfänger prüft damit die Signatur und erkennt, dass die Nachricht unterwegs nicht verändert wurde und wirklich von Ihrer Domain stammt. Den Schlüssel erzeugt meist Ihr E-Mail- oder Hosting-Anbieter.

DMARC

Die Richtlinie, die dem Empfänger anhand der SPF- und DKIM-Ergebnisse sagt, was zu tun ist: none (nur berichten), quarantine (verdächtige Nachrichten in den Spam) oder reject (ablehnen). Außerdem erhalten Sie Zusammenfassungsberichte.

Beispieleintrag (_dmarc.beispiel.de): v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

Wo anfangen?

1. Tragen Sie die SPF- und DKIM-Einträge Ihres E-Mail-Anbieters in die DNS-Einstellungen Ihrer Domain ein.
2. Aktivieren Sie DMARC zunächst mit p=none und beobachten Sie die Berichte einige Wochen.
3. Wenn alle legitimen Mails SPF oder DKIM bestehen, wechseln Sie zu quarantine und dann zu reject.

Häufige Fehler

• Mehr als einen SPF-Eintrag für eine Domain anlegen; es darf nur einen geben.
• So viele includes im SPF verwenden, dass das Limit von 10 DNS-Abfragen überschritten wird.
• DMARC ohne Auswertung der Berichte direkt auf reject stellen.

DNS-Änderungen brauchen Minuten bis wenige Stunden, bis sie überall gelten. Wenn Sie nicht weiterkommen, eröffnen Sie eine Support-Anfrage.