E-Mail-Zustellung: SPF, DKIM und DMARC richtig einrichten

Für einen kleinen Betrieb ist das Kontaktformular oft der wichtigste Vertriebskanal der Website. Es ersetzt den Anruf, es kommt außerhalb der Öffnungszeiten an, und es liefert die Anfrage schriftlich – nicht ohne Grund gehört die Kontaktseite zu den fünf wichtigsten Seiten einer Website. Genau deshalb wiegt es schwer, wenn diese Nachricht den Weg ins Postfach nicht findet. Der Betrieb wartet auf Anfragen, die längst gestellt wurden. Die Interessentin wartet auf eine Antwort, die nicht kommen kann. Und weil auf keiner Seite eine Fehlermeldung auftaucht, sucht auch niemand nach der Ursache.

Der Grund ist technisch schlicht: Empfangende Systeme prüfen heute, ob eine Nachricht wirklich von der Domain stammt, die im Absender steht. Fällt diese Prüfung negativ aus oder fehlt sie ganz, landet die Mail im Spam-Ordner oder wird schon beim Zustellversuch abgewiesen. Das Bundesamt für Sicherheit in der Informationstechnik hat diese Erwartung in der Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung, veröffentlicht in der Version 1.0 am 15. Februar 2024 (BSI), in prüfbare Anforderungen an E-Mail-Diensteanbieter übersetzt. Ziel ist es ausdrücklich, authentische E-Mail-Kommunikation vergleichbarer und verbreiteter zu machen (BSI).

Die Richtung ist eindeutig, und sie wird schärfer. Im Mai 2026 wurde die ursprüngliche DMARC-Spezifikation von 2015 durch drei neue Dokumente auf dem Standards Track abgelöst (IETF RFC 9989) – aus einem informativen Vorschlag ist ein regulärer Internet-Standard-Entwurf geworden. Wer im Namen einer Domain sendet, ohne das nachweisen zu können, hat es bei großen Postfachanbietern schwer. Für eine Praxis, eine Kanzlei oder einen Handwerksbetrieb bedeutet das: Zustellbarkeit ist kein Randthema der IT, sondern Teil der Erreichbarkeit.

SPF steht für Sender Policy Framework. Im DNS Ihrer Domain liegt ein Texteintrag, der mit v=spf1 beginnt und danach aufzählt, welche Server senden dürfen – über IP-Adressen, über den Verweis auf andere Einträge oder über die Server, die im MX-Eintrag stehen. Am Ende steht die Aussage, wie mit allem Übrigen zu verfahren ist. Der empfangende Server schlägt diesen Eintrag nach und vergleicht ihn mit der Adresse, von der die Verbindung tatsächlich kommt.

Zwei Regeln aus der Spezifikation sind der häufigste Stolperstein. Erstens darf eine Domain nur einen einzigen SPF-Eintrag haben; sind es zwei, ist das Ergebnis nicht mehr eindeutig und die Prüfung schlägt fehl (IETF RFC 7208). Zweitens gibt es ein Abfragebudget: Höchstens 10 DNS-Abfragen dürfen bei einer Prüfung ausgelöst werden, und die Zahl der ergebnislosen Abfragen soll auf 2 begrenzt bleiben (IETF RFC 7208). Jeder Verweis auf einen weiteren Dienst verbraucht davon mindestens eine Abfrage. Wer nacheinander Hoster, Newsletter-Werkzeug, Buchungssystem und Rechnungsprogramm einträgt, reißt das Budget schneller, als man denkt – und danach schlägt die Prüfung für alle Nachrichten fehl, auch für die aus dem Kontaktformular.

SPF und DKIM prüfen jeweils einen technischen Bezug, aber nicht das, was die Empfängerin sieht: die Absenderadresse im Nachrichtenkopf. Genau diese Lücke schließt DMARC. Der Eintrag liegt im DNS unter dem Namen _dmarc vor Ihrer Domain und verlangt, dass mindestens eine der beiden Prüfungen besteht und zur sichtbaren Absenderdomain passt. Diese Übereinstimmung heißt Ausrichtung; sie wird standardmäßig entspannt geprüft, sodass Unterdomains derselben Organisationsdomain zusammenpassen (IETF RFC 9989). Erst danach kommt die eigentliche Entscheidung: Was soll geschehen, wenn nichts passt?

Der zweite, oft übersehene Teil von DMARC ist die Rückmeldung. Über eine Adresse im Eintrag erhalten Sie Aggregatberichte, die je sendender Quelle zeigen, wie viele Nachrichten mit welchem Ergebnis verarbeitet wurden – einschließlich SPF- und DKIM-Ergebnis, Ausrichtung und der tatsächlich angewandten Behandlung (IETF RFC 9990). Ergänzend gibt es Fehlerberichte zu einzelnen Nachrichten (IETF RFC 9991). Diese Berichte sind der einzige verlässliche Weg, um zu erkennen, dass ein Teil Ihrer Post unterwegs verloren geht, bevor Kunden sich beschweren.

In der Arbeit an bestehenden Websites tauchen dieselben Muster auf. Sie haben nichts mit Nachlässigkeit zu tun, sondern damit, dass Website, Postfach und DNS häufig aus verschiedenen Quellen stammen und niemand die Kette als Ganzes betrachtet.

Der erste Punkt ist der wichtigste und zugleich der am leichtesten zu behebende. Ein Kontaktformular sollte die Benachrichtigung mit einer Adresse Ihrer eigenen Domain verschicken, etwa formular@ihrefirma.de, und die Adresse des Absenders in das Feld Reply-To setzen. Dann besteht die Nachricht alle Prüfungen, und die Antwort geht per Klick trotzdem an die Interessentin. Das ist kein Komfortdetail, sondern der Unterschied zwischen einer Anfrage im Posteingang und einer Anfrage, die es nicht bis ins Postfach schafft. Wie Formulardaten dabei datenschutzkonform zu behandeln sind, beschreibt unser Beitrag zu den DSGVO-Grundlagen für kleine Websites.

Für einen kleinen Betrieb ist der Aufwand überschaubar. Die folgende Liste beschreibt, was nach der Einrichtung vorhanden sein sollte – unabhängig davon, wer die Website betreut.

Zur Abgrenzung: In diesem Beitrag geht es ausschließlich um die Zustellbarkeit und die technischen Einträge dahinter – nicht um die Wahl der Wunschadresse oder um rechtliche Pflichten rund um die Domain selbst. Welche Adresse zu Ihrem Betrieb passt und warum eine eigene Domain den ersten Eindruck prägt, behandelt der Beitrag zur eigenen Domain und geschäftlichen E-Mail-Adresse. Wer sich zusätzlich für die Pflichten rund um Inhaberdaten interessiert, findet die Einordnung im Text zu den Pflichten bei .de-Domains und Inhaberdaten.