Was SPF, DKIM und DMARC jeweils belegen, wie sie zusammenspielen, und ein Builder, der gültige SPF- und DMARC-Einträge schreibt und SPF-DNS-Abfragen zählt.
SPF listet die Server auf, die für deine Domain E-Mails senden dürfen. DKIM fügt eine Signatur hinzu, die belegt, dass eine Nachricht nicht verändert wurde, und die signierende Domain nennt. DMARC prüft, ob einer der beiden für die Domain in der Absenderzeile (From) besteht, und sagt Empfängern dann, ob sie fehlgeschlagene E-Mails zustellen, in Quarantäne verschieben oder ablehnen sollen.
Was jeder Eintrag ist und wo er liegt
Wenn du Rechnungen, Buchungsbestätigungen oder Newsletter von deiner eigenen Domain verschickst, entscheiden diese drei DNS-Einträge, ob sie im Posteingang oder im Spam-Ordner landen. Jeder davon ist ein TXT-Eintrag, also ein Freitext-Eintrag im DNS, den du bei deinem DNS-Anbieter anlegen kannst. Die Builder unten schreiben die SPF- und DMARC-Zeilen für dich und prüfen die Syntax anhand der veröffentlichten Standards. DKIM ist anders: Dein E-Mail-Anbieter erzeugt den Schlüssel, daher kopierst du seinen Wert, statt selbst einen zu schreiben.
Stand Oktober 2026 verlangt Gmail von jedem Absender SPF oder DKIM, und wer 5,000 oder mehr Nachrichten pro Tag an Gmail-Konten schickt, braucht SPF, DKIM und DMARC. Yahoo verlangt von Massenversendern SPF, DKIM und eine DMARC-Richtlinie von mindestens p=none. Alle drei einzurichten ist für jede Unternehmensdomain die einfache Antwort.
Das Zeichen vor all ist ein Qualifier. Ein Minus bedeutet fail, eine Tilde softfail, ein Fragezeichen neutral und ein Plus pass. Die meisten Domains enden mit -all oder ~all; +all würde jeden Server im Internet zulassen und sollte nie verwendet werden.
Laut SPF-Standard müssen Prüfer nach 10 Begriffen aufhören, die eine DNS-Abfrage brauchen: include, a, mx, ptr, exists und redirect. Auch includes innerhalb von includes zählen mit. Wer darüber liegt, erhält einen permanenten Fehler (permerror), sodass SPF nicht mehr als bestanden gilt.
DMARC zählt ein Bestehen nur, wenn die von SPF oder DKIM geprüfte Domain mit der Domain in der From-Zeile übereinstimmt. Die lockere Ausrichtung, der Standard, akzeptiert eine Subdomain derselben Organisation; die strikte Ausrichtung verlangt eine exakte Übereinstimmung.
Im Admin-Bereich deines E-Mail-Anbieters, meist unter Authentifizierung oder Domain-Einstellungen. Dort erhältst du einen Selector-Namen und einen öffentlichen Schlüssel. Du veröffentlichst ihn unter diesem Selector unterhalb von _domainkey, und der Anbieter signiert ausgehende E-Mails mit dem passenden privaten Schlüssel.
Das kann passieren, wenn ein Dienst, der im Namen deiner Domain sendet, in SPF fehlt und nicht mit DKIM signiert. Deshalb kommen die Berichte aus p=none zuerst: Sie listen jeden Server auf, der in deinem Namen sendet, damit du ihn korrigieren kannst, bevor du die Richtlinie verschärfst.
Tags werden durch Semikolons getrennt. v muss zuerst stehen und p ist Pflicht; alles andere ist optional.
DMARC-Tags aus RFC 7489
Ein include und eine IP-Adresse kosten zusammen eine einzige DNS-Abfrage, und alles andere schlägt fehl.
Der Selector s1 auf example.com wird unter s1._domainkey.example.com abgefragt. Den Schlüssel selbst bekommst du von deinem Anbieter.
Noch wird nichts blockiert; Empfänger schicken tägliche Zusammenfassungen darüber, wer im Namen deiner Domain gemailt hat.
SPF-Eintrags-Builder
Hake die Dienste an, die im Namen deiner Domain senden, und ergänze weitere Server. Das Ergebnis kommt in einen TXT-Eintrag unter @.
Dienste, die deine E-Mails senden
Zusätzliche IPv4-Adressen oder -Bereiche, durch Leerzeichen getrennt
Weitere include-Domains deiner Anbieter, durch Leerzeichen getrennt
E-Mails von nicht aufgeführten Servern
DMARC-Eintrags-Builder
Veröffentliche das Ergebnis als TXT-Eintrag mit dem Namen _dmarc. Beginne mit none und verschärfe dann.
Richtlinie (p)
Sammelberichte senden an (E-Mail)
Prozentsatz der fehlgeschlagenen E-Mails, für den die Richtlinie gilt (pct)
DKIM-Ausrichtung (adkim)
SPF-Ausrichtung (aspf)
Name des Eintrags
Wert des Eintrags
Ablehnen (-all)
Als verdächtig markieren (~all)
Keine Aussage (?all)
DNS-Abfragen in diesem Eintrag: {n} von 10. includes in den Einträgen deiner Anbieter kommen noch hinzu.
Mehr als 10 Abfragen: Empfänger melden einen permanenten Fehler.
Keine gültige IPv4-Adresse und kein gültiger Bereich: {v}
Kein gültiger Domainname: {v}
Nichts ist aufgeführt, daher lässt dieser Eintrag überhaupt keine Server zu.
none: nur berichten
quarantine: in den Spam verschieben
reject: Zustellung verweigern
Locker (r)
Strikt (s)
Die Berichtsadresse sieht nicht wie eine E-Mail-Adresse aus.
pct muss eine ganze Zahl von 0 bis 100 sein.
Die Syntax sieht gültig aus.
Kostenlos starten · Keine Kreditkarte nötig