Ratgeber für Unternehmen · SPF, DKIM, DMARC, IP-Reputation
Die E-Mail-Reputation Deiner Domain hängt vor allem von korrekt konfiguriertem SPF, DKIM und DMARC ab, dazu von sauberem Versandverhalten (keine Spam-Beschwerden, valide Empfängerlisten) und einer guten IP-Reputation. Fehlende Authentifizierung ist der häufigste Grund, warum legitime Mails im Spam landen.
Was ist E-Mail-Reputation?
E-Mail-Reputation ist der Vertrauenswert, den E-Mail-Provider (Gmail, Microsoft, GMX, Telekom) Deiner Absender-Domain und -IP zuordnen. Je höher der Wert, desto wahrscheinlicher landet Deine Mail im Posteingang - nicht im Spam.
Empfänger-Server prüfen bei jeder eingehenden Mail:
- Ist der Absender autorisiert, im Namen dieser Domain zu senden? (SPF)
- Wurde die Mail unverändert übertragen? (DKIM)
- Was soll mit nicht-authentifizierten Mails passieren? (DMARC)
- Hat die versendende IP eine saubere Reputation? (IP-Reputation / RBL-Checks)
Fehlt auch nur einer dieser Punkte, steigt die Chance auf Spam-Einstufung drastisch.
SPF, DKIM, DMARC erklärt
SPF - Sender Policy Framework
SPF definiert, welche Server im Namen Deiner Domain Mails versenden dürfen.
Ein SPF-Record ist ein DNS-TXT-Eintrag. Er listet alle autorisierten Mailserver. Wenn eine Mail von einem nicht autorisierten Server kommt, schlägt SPF fehl - und der Empfänger-Server misstraut der Mail.
Häufige Fehler: Zu viele Includes (DNS-Lookup-Limit = 10), vergessene Drittanbieter (Newsletter-Tool, CRM, Helpdesk), „~all” statt „-all” (Softfail statt Hardfail).
DKIM - DomainKeys Identified Mail
DKIM signiert ausgehende Mails kryptographisch - der Empfänger kann prüfen, ob die Mail unverändert angekommen ist.
DKIM fügt einen Signatur-Header zur Mail hinzu. Die Signatur wird mit einem privaten Schlüssel erstellt; der öffentliche Schlüssel liegt im DNS. Empfänger prüfen die Signatur - stimmt sie nicht, ist die Mail verdächtig.
Häufige Fehler: Kein DKIM für Drittanbieter (Newsletter-Dienst ohne DKIM-Key), veralteter Schlüssel, falscher Selektor.
DMARC - Domain-based Message Authentication, Reporting & Conformance
DMARC verbindet SPF und DKIM zu einer Policy: Was soll passieren, wenn eine Mail SPF oder DKIM nicht besteht?
DMARC-Policies:
none- nur Monitoring, keine Aktion (Einstieg)quarantine- verdächtige Mails in Spamreject- verdächtige Mails werden abgelehnt (sicherste Stufe)
DMARC-Reports: DMARC liefert täglich aggregierte Reports an eine von Dir definierte E-Mail-Adresse. Diese zeigen, welche Server Mails in Deinem Namen versenden - inklusive unautorisierten Versuchen.
Versand-Best-Practices
Saubere Empfängerlisten
Bounces und Spam-Beschwerden beschädigen Deine Reputation. Prüfe regelmäßig: Sind alle Empfänger in Deiner Liste valide und opt-in? Entferne Hard-Bounces sofort, Soft-Bounces nach wenigen Wiederholungen.
Konsistentes Versandvolumen
Plötzliche Volumen-Spitzen (Newsletter an 50.000 nach Monaten ohne Versand) alarmieren Anti-Spam-Filter. Warme Deine Domains und IPs auf, wenn Du große Listen hast.
Separate Domains für transaktionale + Marketing-Mails
Halte seraph-it.de (geschäftliche Mails) getrennt von news.seraph-it.de (Newsletter). Reputation eines Kanals schadet nicht dem anderen.
Monitoring deiner IP-Reputation
Prüfe regelmäßig, ob Deine IP auf einer Blocklist (RBL) steht. Tools: MXToolbox, MultiRBL. Unser Self-Check deckt das ab.
DMARC-Reports auswerten
DMARC-Reports sind Dein Frühwarnsystem für E-Mail-Missbrauch und Konfigurationsprobleme.
Du bekommst XML-Reports - täglich, per Mail, schwer lesbar. Was zu tun ist:
- Report-Empfang einrichten (DMARC-Record mit
rua=) - Reports auswerten (Tools: Google Postmaster, MXToolbox, DMARC Analyzer)
- Unbekannte Sender identifizieren - Konfigurationsfehler oder Spoofing-Versuche
- Policy schrittweise verschärfen:
none→quarantine→reject
Bis Du reject erreichst, dauert es typisch 4-8 Wochen für eine saubere Umgebung.
Häufige Fehler
| Fehler | Auswirkung | Lösung |
|---|---|---|
| Kein SPF-Record | Mails landen in Spam | SPF anlegen, alle Mailserver listen |
| SPF mit mehr als 10 DNS-Lookups | SPF schlägt fehl | SPF-Flattening, Include-Optimierung |
| Kein DKIM für Drittanbieter | Mails des Drittanbieters unzuverlässig | DKIM-Key für jeden Dienst einrichten |
DMARC auf none stehen gelassen | Kein Schutz vor Spoofing | Schrittweise auf reject |
| Mischung aus opt-in + cold Lists | Spam-Beschwerderate steigt | Listen bereinigen, nur Opt-In versenden |
Häufige Fragen zu E-Mail-Reputation
Warum landen meine Mails bei Google-Empfängern im Spam, bei anderen nicht? Gmail hat besonders strenge Authentifizierungsanforderungen. Seit 2024 verlangt Gmail für Massenversender SPF + DKIM + DMARC. Prüfe, ob alle drei korrekt konfiguriert sind - auch für Drittanbieter.
Muss ich DMARC auf reject setzen?
Nicht sofort. Starte mit none (Monitoring), auswerten, dann schrittweise auf quarantine und reject. Übereiltes reject ohne saubere Konfiguration kann legitime Mails blockieren.
Wie lange dauert es, eine beschädigte E-Mail-Reputation wiederherzustellen? 4-12 Wochen - je nach Ausmaß der Beschädigung und Provider. Google Postmaster zeigt Deinen Reputationsverlauf. IP-Blocklist-Einträge müssen manuell delistet werden.
Was ist BIMI - muss ich das umsetzen?
BIMI (Brand Indicators for Message Identification) zeigt Dein Logo im Posteingang bei Gmail/Yahoo. Voraussetzung: DMARC auf reject. Für Markenwahrnehmung gut, technisch optional.
Unser IT-Dienstleister sagt, wir haben SPF - warum landen Mails trotzdem im Spam? SPF ist notwendig, aber nicht ausreichend. Prüfe: Ist DKIM konfiguriert? Für alle Dienste (CRM, Newsletter, Helpdesk)? Ist DMARC vorhanden? Ist Deine IP auf einer Blocklist?
Was ist der Unterschied zwischen SPF, DKIM und DMARC? SPF legt fest, welche Server in Deinem Namen senden dürfen. DKIM signiert die Mail kryptografisch, sodass der Empfänger Herkunft und Unverändertheit prüfen kann. DMARC verknüpft beides mit einer Regel für den Fehlschlag und liefert Berichte darüber, wer unter Deiner Domain versendet. Erst alle drei zusammen ergeben einen wirksamen Schutz gegen Fälschungen.
Was bedeutet der SPF-Fehler „too many DNS lookups”? SPF erlaubt bei der Prüfung höchstens zehn DNS-Abfragen. Jeder include-Eintrag für einen Drittanbieter verbraucht mindestens eine davon, oft mehr. Wird das Limit überschritten, gilt der Datensatz als fehlerhaft und die Prüfung schlägt fehl - selbst bei Mails vom richtigen Server. Abhilfe schaffen das Entfernen ungenutzter Dienste und SPF-Flattening.
Sollte der SPF-Record auf -all oder ~all enden? Ziel ist -all, also Hardfail: Mails von nicht gelisteten Servern sollen klar durchfallen. Der Weg dorthin führt über ~all, solange Du nicht sicher bist, ob alle legitimen Versender erfasst sind. Die DMARC-Berichte zeigen Dir, wann das der Fall ist. Ein dauerhaftes ~all lässt Fälschungen unnötig lange durch.
Was ist DMARC-Alignment? Alignment heißt, dass die für den Empfänger sichtbare Absenderdomain zu der Domain passt, die SPF oder DKIM geprüft haben. Daran scheitern viele Setups: Ein Newsletter-Dienst besteht SPF für seine eigene Domain, nicht für Deine - technisch korrekt, für DMARC trotzdem ein Fehlschlag. Deshalb braucht jeder Drittanbieter einen eigenen DKIM-Schlüssel auf Deiner Domain.
Wie richte ich DKIM für Microsoft 365 ein? Im Microsoft-Defender-Portal die DKIM-Signierung für Deine Domain vorbereiten und die beiden vorgegebenen CNAME-Einträge - Selektor 1 und 2 - beim DNS-Anbieter anlegen. Erst danach lässt sich die Signierung aktivieren. Die zwei Selektoren existieren, damit Microsoft die Schlüssel rotieren kann, ohne dass der Versand abreißt.
Brauchen wir DMARC auch für Domains, von denen wir gar nicht senden? Ja, gerade dann. Ungenutzte oder geparkte Domains sind beliebte Absender für Betrugsmails, weil dort selten jemand hinschaut. Für solche Domains ist die strengste Einstellung sofort möglich und richtig: eine DMARC-Policy auf reject plus ein SPF-Eintrag, der jeden Versand ausschließt. Das kostet nichts und schließt eine offene Tür.
Wie erkenne ich, ob meine Domain oder IP auf einer Blacklist steht? Über Abfragedienste wie MXToolbox oder MultiRBL, die die gängigen Blocklisten gleichzeitig prüfen. Wichtig ist die Unterscheidung zwischen einer Sperre der Versand-IP und einer schlechten Bewertung der Domain - bei Cloud-Diensten teilst Du die IP mit vielen anderen Absendern. Unser kostenloser Self-Check deckt diesen Punkt mit ab.
Wie komme ich von einer Blacklist wieder herunter? Zuerst die Ursache abstellen: ein kompromittiertes Postfach, ein als offenes Relay missbrauchter Server oder Versand an gekaufte Adressen. Danach beim Betreiber der Liste die Entfernung beantragen - die meisten haben ein Formular, manche entfernen nach einer sauberen Frist automatisch. Wer ohne Ursachenbehebung delisten lässt, steht kurz darauf wieder drauf.
Was ist ein Spam-Score und wie senke ich ihn? Empfänger-Server bewerten jede Mail mit Punkten für auffällige Merkmale: fehlende Authentifizierung, reine Bild-Mails, verdächtige Formulierungen, gekürzte Links, ein schlechtes Verhältnis von Text zu HTML. Ab einem Schwellwert landet die Mail im Spam. Den größten Hebel hat die Authentifizierung, danach helfen sauberes HTML, ein sachlicher Betreff und ein funktionierender Abmeldelink.
Bringt eine eigene Versand-IP eine bessere Zustellbarkeit? Nur bei hohem, regelmäßigem Volumen. Eine eigene IP hat anfangs überhaupt keine Reputation und muss über Wochen aufgewärmt werden; bei geringem Versand bleibt sie dauerhaft unbekannt und wird eher schlechter behandelt als eine gepflegte gemeinsame IP. Für die meisten Betriebe ist der Versand über einen etablierten Anbieter die bessere Wahl.
Domain jetzt prüfen
→ Kostenlosen SPF-Check starten - zeigt sofort, ob Dein SPF-Record korrekt ist → DMARC-Status prüfen - Policy-Stufe + Report-Einrichtung → Vollständigen Self-Check starten - 15 Module für Deine Domain
Georgij Boguslawskij - Geschäftsführer Seraph IT
Verwandte Themen
Tools: SPF-Check · DMARC-Check · Domain Self-Check Services: Managed Workplace · Security as a Service Wiki: IT-Dienstleister auswählen · Cyberversicherung