Warum Ihre Mails im Spam landen
„Ihre Rechnung ist bei uns im Spam gelandet.“ Wenn Sie diesen Satz öfter hören, fehlen Ihrer Domain wahrscheinlich die richtigen Einträge. Seit 2024 verlangen große Postfachanbieter wie Google und Yahoo von Absendern eine saubere Authentifizierung, besonders bei vielen Mails. Microsoft hat für Outlook.com nachgezogen.
Gleichzeitig schützen dieselben Einträge davor, dass Betrüger Mails in Ihrem Namen verschicken.
Die drei Bausteine einfach erklärt
- SPF: Eine Liste in Ihrer Domain, welche Server Mails für Sie verschicken dürfen.
- DKIM: Eine digitale Unterschrift jeder Mail. Der Empfänger prüft sie mit einem öffentlichen Schlüssel aus Ihrer Domain.
- DMARC: Die Regel, was mit Mails passieren soll, die SPF oder DKIM nicht bestehen, plus Berichte darüber.
Schritt 1: Alle Absender sammeln
Bevor Sie etwas eintragen, schreiben Sie auf, wer alles Mails mit Ihrer Domain verschickt:
- Ihr Postfach-Anbieter (z. B. Microsoft 365, Google Workspace, IONOS)
- Newsletter-Tool
- Buchhaltung oder Rechnungsprogramm
- Kontaktformular der Website
- Shop, Ticketsystem, Multifunktionsdrucker
Dieser Schritt wird am häufigsten übersprungen und führt danach zu verschwundenen Mails.
Schritt 2: SPF eintragen
Ein einziger TXT-Eintrag pro Domain, etwa:
v=spf1 include:spf.protection.outlook.com include:_spf.newsletteranbieter.de -all
Wichtig:
- Nur ein SPF-Eintrag, mehrere machen ihn ungültig
- Höchstens zehn DNS-Abfragen über alle
include-Angaben - Mit
~allstarten, später-all
Schritt 3: DKIM aktivieren
DKIM wird beim jeweiligen Dienst eingeschaltet. Der Dienst nennt Ihnen ein oder zwei Einträge (meist CNAME), die Sie in Ihrer Domain hinterlegen. Das wiederholen Sie für jeden Absender aus Schritt 1, der DKIM anbietet.
Schritt 4: DMARC schrittweise verschärfen
Starten Sie beobachtend:
_dmarc.ihre-domain.de TXT v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de
- Einige Wochen p=none: Berichte sammeln, fehlende Absender ergänzen.
- p=quarantine: Durchgefallene Mails landen im Spam.
- p=reject: Durchgefallene Mails werden abgelehnt. Das ist das Ziel.
Die Berichte sind technische XML-Dateien. Kostenlose oder günstige Auswertungsdienste machen daraus lesbare Übersichten. Achten Sie dabei auf den Datenschutz des Anbieters, denn in den Berichten stehen IP-Adressen.
Auch ungenutzte Domains schützen
Haben Sie weitere Domains, die keine Mails verschicken? Dann für diese SPF mit v=spf1 -all und DMARC mit p=reject setzen. Sonst nutzen Betrüger genau diese.
Typische Fehler
- Zwei SPF-Einträge nach einem Anbieterwechsel
- DMARC sofort auf reject, ohne die Berichte anzusehen
- Kontaktformular verschickt mit Ihrer Absenderadresse über einen fremden Server
- Der alte Anbieter steht nach dem Umzug noch im SPF
Häufige Fragen
Kann ich das selbst einrichten? Wer Zugriff auf die DNS-Verwaltung hat, kann es mit etwas Sorgfalt selbst. Wichtig ist Schritt 1, damit keine Mails verloren gehen.
Wie prüfe ich, ob es funktioniert? Eine Testmail an ein Gmail-Konto schicken und dort „Original anzeigen“ wählen. SPF, DKIM und DMARC sollten „PASS“ zeigen.
Fazit
SPF, DKIM und DMARC sind ein einmaliger Aufwand mit doppeltem Nutzen: bessere Zustellung und Schutz vor gefälschten Absendern. Sie sind auch Teil unserer Microsoft-365-Grundeinstellungen. Wenn Sie Hilfe bei der Einrichtung möchten, schreiben Sie mir.
