Deine Mails landen im Spam? SPF, DKIM und DMARC einfach erklärt

Du schickst eine Offerte, wartest eine Woche auf Antwort — und dann ruft der Kunde an: «Ich habe nichts bekommen.» Später findet er die Mail im Spam-Ordner. Oder umgekehrt: Ein Lieferant meldet sich, weil er eine Rechnung «von dir» bekommen hat, mit neuer Kontonummer. Du hast sie nie geschrieben.

Beides hat oft dieselbe Ursache: Deiner Mail-Domain fehlen drei kleine Einträge, die beweisen, dass eine Mail wirklich von dir kommt. Sie heissen SPF, DKIM und DMARC. Klingt nach IT-Abteilung, ist aber in einer Stunde erledigt — wenn man weiss, worauf es ankommt.

Warum Mails im Spam landen

E-Mail ist alt. Als das System erfunden wurde, ging man davon aus, dass sich alle anständig benehmen. Darum kann bis heute jeder eine Mail verschicken, die behauptet, von [email protected] zu kommen — so wie jeder auf einen Briefumschlag einen beliebigen Absender schreiben kann.

Die grossen Mail-Anbieter wie Gmail, Outlook.com oder Bluewin wehren sich dagegen, indem sie jede eingehende Mail prüfen: Darf dieser Server überhaupt im Namen dieser Domain senden? Ist die Mail unterwegs verändert worden? Was will der Domain-Inhaber, dass mit verdächtigen Mails passiert? Findet der empfangende Server darauf keine Antworten, wird er misstrauisch — und deine Mail landet im Spam oder wird gar nicht zugestellt.

SPF, DKIM, DMARC: die drei Ausweise deiner Mails

Am einfachsten stellst du dir das wie bei einem Paketdienst vor:

SPF ist die Liste der berechtigten Kuriere. In deinem DNS steht, welche Server Mails für deine Domain verschicken dürfen — zum Beispiel Microsoft 365 und dein Newsletter-Tool. Kommt eine Mail von einem Server, der nicht auf der Liste steht, ist sie verdächtig.
DKIM ist das Siegel auf dem Paket. Jede Mail bekommt eine digitale Unterschrift. Der Empfänger prüft sie mit einem öffentlichen Schlüssel aus deinem DNS. Passt sie, ist klar: Die Mail kommt wirklich von dir und wurde unterwegs nicht verändert.
DMARC ist die Anweisung an die Poststelle. Sie sagt, was passieren soll, wenn eine Mail weder von einem berechtigten Kurier kommt noch ein gültiges Siegel trägt: durchlassen, in den Spam verschieben oder ablehnen. Und sie sorgt dafür, dass du Berichte bekommst, wer alles in deinem Namen Mails verschickt.

Alle drei sind einfache Texteinträge im DNS deiner Domain — dort, wo auch festgelegt ist, wohin deine Website und deine Mails zeigen.

Was die grossen Anbieter inzwischen verlangen

Lange waren diese Einträge eine Empfehlung. Das hat sich geändert:

Google und Yahoo verlangen seit Februar 2024 von allen Absendern mindestens SPF oder DKIM. Wer täglich mehr als 5000 Mails an Gmail-Adressen schickt, braucht SPF, DKIM und DMARC, dazu einen Abmeldelink mit einem Klick und eine tiefe Spam-Beschwerdequote.
Microsoft zieht seit Mai 2025 für Outlook.com, Hotmail und Live nach: Wer mehr als 5000 Mails pro Tag dorthin schickt, braucht ebenfalls SPF, DKIM und DMARC. Wer das nicht erfüllt, landet im Junk-Ordner — und Microsoft hat angekündigt, solche Mails später auch ganz abzulehnen.

«5000 pro Tag, das sind wir nie», denkst du vielleicht. Für deine normalen Mails stimmt das. Aber die Anbieter bewerten auch kleinere Absender strenger, wenn die Einträge fehlen. Und spätestens dein Newsletter, die automatischen Mails aus dem Webshop oder die Rechnungen aus der Buchhaltung laufen über deine Domain. Ohne saubere Einträge ist jede dieser Mails ein Kandidat für den Spam-Ordner.

Was das für ein KMU konkret heisst

Der häufigste Fehler ist nicht ein fehlender Eintrag, sondern ein vergessener Absender. Ein typisches KMU verschickt Mails über mehrere Dienste:

das Mailprogramm über Microsoft 365 oder Google Workspace,
den Newsletter über ein Tool wie Mailchimp, Brevo oder CleverReach,
Bestellbestätigungen aus dem Webshop,
Rechnungen und Mahnungen aus der Buchhaltung,
Kontaktformulare von der Website.

Jeder dieser Dienste muss im SPF-Eintrag stehen, und bei jedem solltest du DKIM aktivieren. Die nötigen Werte findest du jeweils in der Hilfe oder den Einstellungen des Dienstes, meist unter «Domain authentifizieren» oder «Absender-Domain».

So sieht ein sauberer Satz Einträge für eine Firma mit Microsoft 365 und einem Newsletter-Tool aus (die Werte sind Beispiele, die richtigen liefert dein Anbieter):

; SPF – wer darf für beispiel.ch senden?
beispiel.ch.         TXT  "v=spf1 include:spf.protection.outlook.com include:spf.newsletter-dienst.example -all"

; DKIM – öffentlicher Schlüssel (bei Microsoft 365 zwei CNAME-Einträge)
selector1._domainkey.beispiel.ch.  CNAME  selector1-beispiel-ch._domainkey.beispielfirma.onmicrosoft.com.
selector2._domainkey.beispiel.ch.  CNAME  selector2-beispiel-ch._domainkey.beispielfirma.onmicrosoft.com.

; DMARC – was tun mit verdächtigen Mails? Erst beobachten.
_dmarc.beispiel.ch.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Bei Google Workspace heisst der SPF-Baustein include:_spf.google.com, und den DKIM-Schlüssel erzeugst du in der Admin-Konsole unter Gmail › «E-Mails authentifizieren».

DMARC schrittweise scharf stellen

DMARC kennt drei Stufen, und die Reihenfolge ist wichtig:

p=none – beobachten. Nichts wird blockiert, aber du bekommst Berichte, welche Server in deinem Namen senden. Nach zwei, drei Wochen siehst du, ob ein Absender vergessen ging — etwa das alte Kontaktformular oder der Drucker, der Scans per Mail verschickt.
p=quarantine – verdächtige Mails in den Spam. Erst, wenn in den Berichten nur noch deine bekannten Dienste auftauchen.
p=reject – Fälschungen ablehnen. Jetzt kommen gefälschte Mails mit deinem Absender gar nicht mehr an.

Die Berichte sind maschinenlesbare XML-Dateien und für Menschen schwer lesbar. Es gibt Dienste, die sie aufbereiten — viele bieten für kleine Mengen eine Gratis-Stufe an.

Wer direkt mit p=reject startet, riskiert, dass eigene, legitime Mails plötzlich nicht mehr ankommen. Darum: erst beobachten, dann verschärfen.

Die typischen Fehler

Zwei SPF-Einträge. Pro Domain ist nur ein SPF-Eintrag erlaubt. Wer für den Newsletter einfach einen zweiten hinzufügt, macht beide ungültig. Richtig: alle Dienste in einem Eintrag zusammenfassen.
Zu viele Verweise. Ein SPF-Eintrag darf höchstens zehn DNS-Abfragen auslösen. Jedes include: zählt mit, und manche Dienste verweisen intern auf weitere. Wer fünf, sechs Dienste einbindet, stösst schnell an die Grenze — dann ist der ganze Eintrag ungültig.
Der vergessene Dienst. Das Buchhaltungsprogramm verschickt Rechnungen mit deiner Adresse, steht aber nicht im SPF. Ergebnis: Ausgerechnet die Rechnungen landen im Spam.
~all statt -all — oder umgekehrt zu früh. ~all heisst «andere Server sind verdächtig», -all heisst «andere Server sind nicht erlaubt». Mit DMARC zusammen ist der Unterschied kleiner, als oft behauptet. Wichtiger ist, dass die Liste vollständig ist, bevor du verschärfst.
DKIM nur beim Hauptdienst. Microsoft 365 ist signiert, der Newsletter nicht. Für DMARC muss jede Mail mindestens eine der beiden Prüfungen bestehen — und zwar passend zu deiner Absender-Domain.

So prüfst du deine Domain

Der schnellste Weg: Lass deine Website durch den Website-Check laufen. Der Punkt «E-Mail-Domain vor Fälschung geschützt» zeigt dir, ob SPF und DMARC gesetzt sind.

DKIM lässt sich von aussen nur prüfen, wenn man den Namen des Schlüssels kennt. Dafür gibt es Testdienste wie mail-tester.com: Du schickst eine Mail an eine angezeigte Adresse und bekommst eine Auswertung, ob SPF, DKIM und DMARC bestehen. Für die Einträge selbst sind Prüfwerkzeuge wie MXToolbox praktisch — sie zeigen auch, ob dein SPF die Zehner-Grenze sprengt.

Mach den Test am besten mit allen Wegen, über die du Mails verschickst: eine normale Mail, ein Test-Newsletter, eine Bestellbestätigung aus dem Shop.

Fazit

SPF, DKIM und DMARC sind keine Kür mehr, sondern die Grundausstattung jeder Firmen-Domain. Sie sorgen dafür, dass deine Offerten ankommen und Betrüger nicht in deinem Namen Rechnungen verschicken können. Der Aufwand ist überschaubar — die eigentliche Arbeit ist, alle Dienste zu finden, die in deinem Namen senden.

Mehr zu den Grundlagen steht in Firmen-Mail mit eigener Domain, und was Fremde sonst noch über deine Website herausfinden, in Was Fremde in 10 Sekunden über deine Website herausfinden.

Wenn du das lieber nicht selbst im DNS ausprobieren willst: Genau das richte ich ein — alle Absender zusammentragen, Einträge setzen, DMARC schrittweise scharf stellen. Meld dich.