Seit 2024 verlangen die großen Postfachanbieter von Massenversendern eine Authentifizierung mit SPF und DKIM sowie eine veröffentlichte DMARC-Richtlinie. Auch für kleine Absender ist ein fehlerhafter Eintrag der schnellste Weg in den Spam-Ordner. Die drei Mechanismen beantworten drei verschiedene Fragen.

SPF: Darf dieser Server für die Domain senden?

SPF ist ein DNS-TXT-Eintrag Ihrer Absenderdomain, der die Server auflistet, die in ihrem Namen senden dürfen. Der empfangende Server betrachtet den Envelope-Absender (den Return-Path, nicht das sichtbare From) und prüft, ob die verbindende IP in dieser Liste steht. Typische Fehlerursachen: ein neuer Versanddienst wurde ohne Aktualisierung des Eintrags hinzugefügt, der Eintrag überschreitet das Limit von zehn Lookups, oder eine Weiterleitung hat die verbindende IP geändert.

DKIM: Wurde die Nachricht seit der Signatur verändert?

DKIM fügt ausgewählten Headern und dem Body eine kryptografische Signatur hinzu. Der öffentliche Schlüssel liegt im DNS unter einem Selektor. Wenn die Signatur stimmt, weiß der Empfänger, dass die Domain aus der Signatur die Nachricht signiert hat und sie nicht verändert wurde. Fehler entstehen meist durch einen fehlenden oder rotierten Schlüssel, eine nach dem Signieren angehängte Mailinglisten-Fußzeile oder ein Tool, das mit seiner eigenen statt Ihrer Domain signiert.

DMARC: Was soll der Empfänger tun, und passt es zum From?

DMARC verknüpft beides. Es fragt, ob mindestens eines von SPF oder DKIM bestanden hat und ob die bestandene Domain zur Domain im sichtbaren From-Header passt. Dann sagt es dem Empfänger, was bei Fehlern zu tun ist: p=none (beobachten), p=quarantine (Spam) oder p=reject. DMARC schickt Ihnen außerdem Aggregatberichte, die zeigen, wer in Ihrem Namen sendet.

Alignment ist der Punkt, an dem die meisten „aber SPF besteht doch“-Gespräche enden. Wenn Ihr Newsletter-Tool mit eigenem Return-Path sendet und mit eigener DKIM-Domain signiert, bestehen SPF und DKIM für die Domain des Tools, und DMARC scheitert trotzdem für Ihre.

Die Urteile im Test lesen

Wenn eine Nachricht ankommt, schreibt der empfangende Server seine Ergebnisse in einen Authentication-Results-Header, zum Beispiel:

Authentication-Results: mx.google.com;
  dkim=pass header.i=@example.com;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass (p=REJECT) header.from=example.com

Mailproof extrahiert diese Urteile für jedes Testpostfach, sodass Sie auf einen Blick sehen, ob jeder Anbieter Ihre Authentifizierung akzeptiert hat. Ein softfail, temperror oder none verdient Aufmerksamkeit, auch wenn die Nachricht noch im Posteingang gelandet ist: Reputation trägt eine Nachricht heute und lässt sie morgen fallen.

Eine Checkliste

  • Ein SPF-Eintrag pro Domain, unter zehn DNS-Lookups, endend mit -all oder ~all.
  • DKIM-Schlüssel mit mindestens 2048 Bit, rotiert bei Wechsel von Mitarbeitern oder Dienstleistern.
  • Ein DMARC-Eintrag auf der Organisationsdomain, beginnend mit p=none und Reporting, später quarantine und reject, sobald die Berichte sauber sind.
  • Eigene Return-Path- und DKIM-Domains in jedem Drittanbieter-Tool, damit alles zu Ihrer From-Domain passt.