Mails landen im Spam: SPF, DKIM und DMARC einrichten

Du schreibst von info@deinedomain.de, und beim Empfänger mit Gmail-Adresse landet die Mail im Spam. Oder sie kommt gar nicht an, und Du bekommst eine Fehlermeldung wie 550 5.7.26 von Google oder 550 5.7.515 von Outlook.com zurück. Der Grund ist fast immer derselbe: Deine Domain sagt der Welt nicht, wer in ihrem Namen Mails verschicken darf. Gmail, Outlook und Yahoo verlangen das seit 2024 und 2025 ausdrücklich.

Diese Anleitung erklärt die drei Verfahren SPF, DKIM und DMARC so, dass Du sie verstehst, zeigt die DNS-Einträge, mit denen Du sie einrichtest, und führt Dich in einer Reihenfolge durch, bei der keine einzige legitime Mail verloren geht. Du brauchst Zugang zur DNS-Verwaltung Deiner Domain und zum Kundenbereich Deines Mailanbieters.

Die drei Verfahren in einfachen Worten

Alle drei sind Einträge im DNS Deiner Domain, die der empfangende Mailserver bei jeder Mail abfragt.

• SPF (Sender Policy Framework) ist eine Liste der Server, die Mails für Deine Domain verschicken dürfen. Der Empfänger prüft, ob die Mail von einem dieser Server kam. Definiert ist SPF in RFC 7208.
• DKIM (DomainKeys Identified Mail) ist eine digitale Unterschrift. Dein Mailserver signiert jede ausgehende Mail mit einem privaten Schlüssel, der öffentliche Schlüssel steht im DNS. Der Empfänger prüft damit, dass die Mail wirklich von Dir stammt und unterwegs nicht verändert wurde. Definiert in RFC 6376.
• DMARC verbindet beides mit dem Absender, den der Empfänger im Mailprogramm sieht. Es legt fest, was mit Mails passieren soll, die weder SPF noch DKIM passend bestehen, und schickt Dir Berichte darüber. Definiert in RFC 7489.

Der Knackpunkt ist das Wort passend. SPF prüft eigentlich nur die technische Absenderadresse im Umschlag der Mail, DKIM nur die Domain in der Signatur. Beide können bestehen, obwohl im sichtbaren Von-Feld eine ganz andere Domain steht. DMARC verlangt deshalb, dass mindestens eines der beiden Verfahren für dieselbe Domain besteht, die auch im Von-Feld steht. Das nennt sich Alignment, und es ist der Grund, warum viele Mails trotz SPF im Spam landen.

Was die großen Anbieter verlangen

Google verlangt laut seinen Richtlinien für E-Mail-Absender von jedem Absender mindestens SPF oder DKIM. Wer mehr als rund 5.000 Mails am Tag an Gmail-Adressen schickt, braucht SPF, DKIM und einen DMARC-Eintrag. Microsoft stellt für Outlook.com, Hotmail und Live seit Mai 2025 dieselben Anforderungen an Absender mit großem Volumen und lehnt Mails sonst mit Fehler 550 5.7.515 ab.

Für eine private Domain oder einen kleinen Betrieb gilt die strenge Grenze also formal nicht. In der Praxis landen Mails ohne alle drei Einträge trotzdem deutlich häufiger im Spam. Richte deshalb immer alle drei ein, auch wenn Du nur zehn Mails am Tag verschickst.

Schritt 1: Bestandsaufnahme, wer für Dich Mails verschickt

Bevor Du einen Eintrag anlegst, schreib auf, welche Dienste Mails mit Deiner Domain als Absender verschicken. Typisch sind:

• Dein Mailanbieter für das normale Postfach, etwa ein Hoster, Google Workspace oder Microsoft 365
• ein Newsletter-Dienst
• das Kontaktformular Deiner Website, die Bestellbestätigungen eines Shops oder Benachrichtigungen aus einer App
• Rechnungs- oder Buchhaltungssoftware, die Rechnungen in Deinem Namen mailt

Jeder dieser Absender muss später in SPF stehen oder mit DKIM für Deine Domain signieren. Ein vergessener Absender ist der häufigste Grund, warum nach dem Umstellen auf eine strenge DMARC-Regel plötzlich Rechnungen nicht mehr ankommen.

Schritt 2: den SPF-Eintrag bauen

SPF ist ein einzelner TXT-Eintrag direkt auf Deiner Domain, also ohne Subdomain (im DNS-Editor oft als @ geschrieben). Er beginnt immer mit v=spf1, listet dann die erlaubten Absender und endet mit einer Regel für alle anderen. Ein typischer Eintrag für einen Mailanbieter und einen Newsletter-Dienst sieht so aus:

v=spf1 include:_spf.deinmailanbieter.de include:spf.newsletterdienst.com ~all

Die Werte hinter include: stehen in der Hilfe Deines jeweiligen Anbieters, meist unter einem Stichwort wie „SPF-Eintrag“ oder „DNS-Einstellungen für eigene Domain“. Ersetze die Beispielwerte durch genau diese Angaben. Das abschließende ~all heißt: Alles, was nicht aufgeführt ist, gilt als verdächtig. Das strengere -all (alles andere ablehnen) kannst Du setzen, sobald DMARC ein paar Wochen sauber läuft.

Drei Regeln musst Du einhalten:

• Genau ein SPF-Eintrag pro Domain. Zwei TXT-Einträge, die mit v=spf1 beginnen, machen beide ungültig. Hat Dein Hoster schon einen angelegt, ergänze ihn, statt einen zweiten anzulegen.
• Höchstens zehn DNS-Abfragen. Jedes include:, a, mx und redirect kostet eine Abfrage, und ein include kann selbst weitere enthalten. Laut RFC 7208 schlägt SPF bei mehr als zehn Abfragen fehl, mit dem Ergebnis permerror. Wer viele Dienste kombiniert, stößt schnell an diese Grenze. Entferne dann Dienste, die Du nicht mehr nutzt, oder lass einzelne Dienste per DKIM statt SPF laufen.
• Kein +all. Das erlaubt jedem Server der Welt, in Deinem Namen zu senden.

Ob der Eintrag im DNS steht, prüfst Du im Terminal am Mac oder unter Linux:

dig TXT deinedomain.de +short

In der Ausgabe muss Deine Zeile mit v=spf1 erscheinen, genau einmal. Neue DNS-Einträge brauchen je nach Anbieter einige Minuten bis wenige Stunden, bis sie überall sichtbar sind.

Schritt 3: DKIM beim Mailanbieter aktivieren

DKIM richtest Du nicht selbst ein, sondern schaltest es beim Mailanbieter frei. Der erzeugt das Schlüsselpaar und zeigt Dir einen oder mehrere DNS-Einträge an, die Du anlegen sollst. Sie stehen immer unter einem sogenannten Selektor, gefolgt von ._domainkey, zum Beispiel:

s1._domainkey.deinedomain.de

Manche Anbieter wollen dort einen TXT-Eintrag mit dem öffentlichen Schlüssel, der mit v=DKIM1; k=rsa; p= beginnt und sehr lang ist. Andere wollen einen CNAME-Eintrag, der auf ihren eigenen Server zeigt, dann können sie den Schlüssel später selbst wechseln. Übernimm, was Dein Anbieter vorgibt, Zeichen für Zeichen. Danach klickst Du im Kundenbereich auf eine Schaltfläche wie Prüfen oder Aktivieren. Erst dann signiert der Anbieter Deine Mails.

Mit dem Selektor aus der Anleitung Deines Anbieters prüfst Du den Eintrag:

dig TXT s1._domainkey.deinedomain.de +short

Kommt der Schlüssel zurück, ist alles in Ordnung. Bei CNAME-Einträgen löst dig die Weiterleitung automatisch auf und zeigt am Ende ebenfalls den Schlüssel.

Mach das für jeden Dienst aus Deiner Bestandsaufnahme. Newsletter-Dienste und gute Shop-Systeme bieten DKIM für die eigene Domain an. Ein Dienst, der das nicht kann, braucht einen SPF-Eintrag, und zwar mit Alignment, was nur klappt, wenn er Deine Domain auch als technische Absenderadresse nutzt. Viele tun das nicht. Dann ist DKIM der einzige Weg.

Schritt 4: DMARC in drei Stufen

DMARC ist ein TXT-Eintrag auf der Subdomain _dmarc. Fang mit einer Regel an, die nur beobachtet und nichts blockiert:

_dmarc.deinedomain.de   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de"

Im DNS-Editor Deines Anbieters trägst Du als Name meist nur _dmarc ein, als Typ TXT und als Wert den Teil in Anführungszeichen. p=none heißt: Mails, die die Prüfung nicht bestehen, werden normal zugestellt. rua= ist die Adresse, an die große Mailanbieter tägliche Sammelberichte schicken. Leg dafür am besten ein eigenes Postfach oder einen Alias an, denn es kommen täglich mehrere Berichte.

Danach gehst Du schrittweise strenger vor:

1. Zwei bis vier Wochen p=none. Lies in dieser Zeit die Berichte (siehe unten) und behebe jeden Dienst, der noch nicht besteht.
2. p=quarantine. Mails, die nicht bestehen, landen beim Empfänger im Spamordner. Vorsichtige fangen mit p=quarantine; pct=25 an, dann gilt die Regel nur für ein Viertel der betroffenen Mails, und steigern über ein paar Wochen auf 100.
3. p=reject. Mails, die nicht bestehen, werden abgelehnt. Das ist der volle Schutz gegen Fälschungen Deiner Domain, etwa durch Phishing-Mails in Deinem Namen.

Der Eintrag für Stufe 2 sieht dann so aus:

v=DMARC1; p=quarantine; rua=mailto:dmarc@deinedomain.de

Bleib nicht dauerhaft bei p=none. Das reicht zwar formal für die Anforderungen von Google und Microsoft, schützt Deine Domain aber nicht vor Fälschern.

Die DMARC-Berichte lesen

Die Berichte kommen als gepackte XML-Datei im Anhang, meist als .zip oder .gz. Pro Absender-IP steht darin, wie viele Mails kamen und ob SPF und DKIM bestanden und zum Von-Feld passten. Ein Ausschnitt nach dem Entpacken:

<source_ip>203.0.113.25</source_ip>
<count>14</count>
<policy_evaluated>
  <disposition>none</disposition>
  <dkim>fail</dkim>
  <spf>pass</spf>
</policy_evaluated>

Diese Zeilen sagen: 14 Mails kamen von der IP 203.0.113.25, SPF bestand passend, DKIM nicht. Weil eines von beiden reicht, besteht DMARC hier trotzdem. Kritisch sind Zeilen, in denen beide auf fail stehen. Gehört die IP zu einem Deiner Dienste, fehlt dort SPF oder DKIM. Gehört sie Dir unbekannten Servern, versucht jemand, in Deinem Namen zu senden, und genau die blockierst Du später mit quarantine und reject.

Bei ein paar Berichten pro Woche reicht ein Texteditor. Wer viele Absender hat, lädt die Berichte in einen kostenlosen DMARC-Auswerter, von denen es auch selbst gehostete Varianten gibt.

Prüfen, ob es wirkt: der Mail-Header

Die schnellste Kontrolle ist eine Testmail an eine eigene Gmail-Adresse. Öffne sie, klick auf die drei Punkte rechts oben und wähle Original anzeigen. Ganz oben fasst Gmail SPF, DKIM und DMARC jeweils mit PASS oder FAIL zusammen. Darunter steht der vollständige Header, und die entscheidende Zeile sieht so aus:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@deinedomain.de header.s=s1;
       spf=pass smtp.mailfrom=info@deinedomain.de;
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=deinedomain.de

Alle drei sollen pass zeigen. Wichtig ist der Vergleich der Domains: header.i bei DKIM und smtp.mailfrom bei SPF sollen auf dieselbe Domain enden wie header.from. Steht bei DKIM eine fremde Domain wie die des Newsletter-Dienstes, ist DKIM für Deine Domain dort noch nicht aktiviert.

Sonderfälle

Kontaktformular auf der Website. Viele Websites, gerade mit WordPress, verschicken Mails direkt über die PHP-Funktion des Webservers. Diese Mails kommen von der IP des Webservers, die in keinem SPF-Eintrag steht, und tragen keine DKIM-Signatur. Die zuverlässige Lösung ist ein SMTP-Plugin, das die Mails über Dein normales Postfach beim Mailanbieter verschickt. Dann gelten automatisch dessen SPF und DKIM.

Newsletter-Dienst. Aktiviere dort die Authentifizierung der eigenen Domain. Danach signiert der Dienst mit Deiner Domain, und Gmail zeigt beim Empfänger nicht mehr „über newsletterdienst.com“ an.

Mehrere Absender, wenig Platz in SPF. Lass Dienste, die DKIM für Deine Domain können, aus dem SPF-Eintrag heraus. DMARC reicht ein passendes DKIM.

Domain, die gar keine Mails verschickt. Auch eine reine Website-Domain kann gefälscht werden. Sichere sie mit zwei Einträgen ab: SPF mit v=spf1 -all auf der Domain und DMARC mit v=DMARC1; p=reject auf _dmarc. Damit lehnt jeder Empfänger Mails mit dieser Absenderdomain ab.

Weiterleitungen. Leitet ein Empfänger Deine Mails automatisch weiter, schlägt SPF beim Endempfänger fehl, weil die Mail jetzt von einem fremden Server kommt. DKIM übersteht die Weiterleitung meist. Das ist ein weiterer Grund, DKIM nie wegzulassen.

Wenn es nach der Umstellung hakt

• 550 5.7.26 von Gmail: Die Mail hat weder SPF noch DKIM passend bestanden, und Deine DMARC-Regel steht auf reject, oder Du verschickst so viel, dass Google strenger prüft. Header einer Testmail prüfen, Dienst ergänzen.
• SPF zeigt permerror: zwei SPF-Einträge oder mehr als zehn DNS-Abfragen.
• DKIM zeigt fail mit body hash did not verify: Etwas verändert die Mail nach dem Signieren, häufig eine Signatur- oder Disclaimer-Funktion auf einem zweiten System. Diese Änderung muss vor dem Signieren passieren oder entfallen.

Ziehst Du gleichzeitig mit Deiner Website oder Domain um, nimm die Mail-Einträge in Deine Checkliste auf. Der Artikel Domain-Wechsel ohne SEO-Verlust: Umzug Schritt für Schritt beschreibt den Umzug, und die SPF-, DKIM- und DMARC-Einträge müssen auf der neuen Domain vor der ersten Mail stehen.