SPF, DKIM, DMARC: E-Mail-Authentifizierung richtig einrichten (2026)

Du kannst SPF, DKIM und DMARC nicht „erahnen“ – du kannst sie im Header nachsehen. Der schnellste Praxis-Test: Sende dir selbst eine Mail (z. B. an Gmail) und öffne die Originalnachricht. Dort findest du die Authentifizierungszeilen, die verraten, ob deine Domain sauber aufgestellt ist.

Schritt 1: Die wichtigste Zeile finden

Suche im Header nach einer Zeile, die so oder ähnlich aussieht:

Authentication-Results: ...

Darin stehen die Ergebnisse für spf, dkim und dmarc. Wenn du nur eine Zeile liest, dann diese.

Schritt 2: SPF prüfen (darf dieser Server überhaupt senden?)

Typisch ist etwas wie:

spf=pass (sender SPF authorized) [email protected]

• pass: Der sendende Server ist im SPF erlaubt.
• fail/softfail: SPF passt nicht (oft fehlt ein Include oder es wird über einen anderen Dienst gesendet).
• neutral/none: Kein (oder kein verwertbarer) SPF-Eintrag gefunden.

Wichtig: SPF bezieht sich meist auf den Envelope-Sender (smtp.mailfrom), nicht zwingend auf die sichtbare Absenderadresse.

Schritt 3: DKIM prüfen (wurde die Mail unterwegs verändert?)

Suche nach:

dkim=pass header.d=deinedomain.de header.s=selector1

• pass: Signatur ok – Inhalt und Absender-Domain wurden bestätigt.
• fail: Signatur ungültig (häufig: falscher DNS-Record, kaputter Selector, Weiterleitungen/Modifikationen).
• none: Keine DKIM-Signatur vorhanden.

Tipp: header.d= ist die Domain, für die DKIM signiert. Die sollte später zur From-Domain passen (Stichwort Alignment).

Schritt 4: DMARC prüfen (passt das Alignment und was macht der Empfänger?)

DMARC siehst du häufig so:

dmarc=pass (p=quarantine) header.from=deinedomain.de

• pass: SPF oder DKIM (oder beide) sind ok und alignen zur From-Domain.
• fail: Auth ok, aber kein Alignment – oder SPF/DKIM schlagen fehl.
• none: Kein DMARC-Record (oder vom Empfänger nicht ausgewertet).

Merksatz: DMARC ist der Schiedsrichter. SPF/DKIM sind die Spieler. Ohne Alignment gibt’s keine Punkte.

Schritt 5: Alignment in 10 Sekunden grob checken

• header.from= sollte deine sichtbare Absenderdomain sein.
• smtp.mailfrom= (SPF) sollte idealerweise dieselbe Root-Domain nutzen.
• header.d= (DKIM) sollte ebenfalls dieselbe Root-Domain nutzen.

Wenn du hier verschiedene Domains siehst (z. B. ein Tracking- oder Versand-Subdomain-Chaos), ist DMARC-Fail fast schon vorprogrammiert.

Typische Fehlerbilder (und was sie meistens bedeuten)

• spf=softfail: SPF ist da, aber nicht vollständig (fehlendes Include, falscher Versandweg, zu viele Lookups).
• dkim=fail: Selector zeigt ins Leere, falscher Key, Record wurde abgeschnitten oder der Versanddienst signiert nicht.
• dmarc=fail bei spf=pass: SPF besteht, aber nicht aligned (Envelope-Domain passt nicht zur From-Domain).
• dmarc=fail bei dkim=pass: DKIM besteht, aber header.d passt nicht zur From-Domain.

Praxis-Tipp: Teste nicht nur an Gmail. Schicke auch an Outlook/Hotmail und Yahoo, denn manche werten Details leicht unterschiedlich aus. Wenn SPF/DKIM/DMARC überall „pass“ sind, hast du die Basis im Griff – dann geht’s im nächsten Schritt um Reputation und Engagement.

• Strict Alignment (aspf=s): Die Domain der Header.From und der DKIM-Domain müssen identisch sein. 
• Relaxed Alignment (aspf=r): Lediglich die Root Domain der Header.From und der DKIM-Domain müssen identisch sein (Subdomains sind also erlaubt.)

1) Was bedeutet „spf=pass“, aber „dmarc=fail“?

Dann darf der Server zwar laut SPF senden, aber die SPF-Domain ist nicht zur sichtbaren Absenderdomain (header.from) ausgerichtet. Häufig nutzt dein Tool eine andere Return-Path/Envelope-Domain. Lösung: Alignment herstellen oder DKIM so konfigurieren, dass header.d zur From-Domain passt. Mehr dazu: Domain Alignment.

2) Was ist ein SPF „permerror“ (und warum ist das so häufig)?

Ein SPF permerror bedeutet: Der SPF-Record ist technisch „kaputt“ oder nicht auswertbar, z. B. wegen mehr als 10 DNS-Lookups (zu viele include/redirect). Ergebnis: SPF wird im Zweifel nicht zuverlässig berücksichtigt. Lösung: SPF entrümpeln, Anbieter konsolidieren oder SPF „flatten“ (mit Vorsicht, weil IPs sich ändern können).

3) DKIM fail: Woran liegt’s meistens?

In der Praxis sind es fast immer: falscher Selector, DKIM-Record in der falschen DNS-Zone, abgeschnittener Key (Copy/Paste) oder ein System verändert die Mail unterwegs (Weiterleitung, Gateways, Footer-Tools). Prüfe im Header header.s (Selector) und header.d (DKIM-Domain) und ob der TXT-Record exakt dazu passt.

4) Welche DMARC-Policy soll ich setzen: none, quarantine oder reject?

Wenn du neu startest: p=none, um Reports zu sammeln und alle legitimen Sender zu finden. Sobald klar ist, wer wirklich sendet: p=quarantine. Wenn sauber und stabil: p=reject. (Und ja: Das ist eher ein Prozess als ein DNS-Häkchen.)

5) Brauche ich DMARC-Reports wirklich?

Ja, wenn du nicht raten willst. DMARC-Reports zeigen dir, welche Systeme in deinem Namen senden und wo SPF/DKIM/Alignment scheitern. Ohne Reports merkst du Probleme oft erst, wenn Sales fragt, warum Mails plötzlich „weg“ sind.

6) Was ist „Domain Alignment“ in einem Satz?

Alignment bedeutet: Die Domain der sichtbaren Absenderadresse (header.from) muss zur SPF-Domain (smtp.mailfrom) und/oder zur DKIM-Domain (header.d) passen, sonst kann DMARC trotz „pass“ bei SPF/DKIM scheitern. Kurz & knackig erklärt hier: Domain Alignment.

7) Warum ist „List-Unsubscribe“ (One-Click) plötzlich so wichtig?

Weil große Provider Abmeldbarkeit als Qualitätsmerkmal werten: Wer einfach abmelden kann, klickt seltener auf „Spam“. Achte auf einen funktionierenden List-Unsubscribe-Header (idealerweise inkl. One-Click) und teste das in Gmail & Co. Das ist ein kleiner Hebel mit oft großer Wirkung.

8) BIMI: Lohnt sich das wirklich?

BIMI ist „Nice-to-have“, kein Must-have. Es kann Vertrauen und Brand-Visibility erhöhen, setzt aber i. d. R. DMARC (quarantine/reject) voraus und oft ein kostenpflichtiges VMC-Zertifikat. Erst die Basics grün bekommen (SPF/DKIM/DMARC + Alignment), dann BIMI.