Warum SPF, DKIM und DMARC zusammengehören

Angreifer nutzen bei E-Mail häufig eine simple Schwachstelle: Absenderdaten wirken „glaubwürdig“, obwohl sie nicht zur tatsächlichen Versandstrecke passen. Genau dafür wurden die drei Standards entwickelt. Sie funktionieren wie ein Prüfverfahren: erst Herkunft, dann Integrität, dann gemeinsame Auswertung.

Merksatz

SPF prüft den Versandweg, DKIM schützt den Inhalt, DMARC sorgt dafür, dass Empfänger konsequent handeln.

SPF: Wer darf E-Mails für Ihre Domain senden?

SPF (Sender Policy Framework) ist eine DNS-Richtlinie. Sie sagt Empfängern, welche Server für den Versand von E-Mails für eine Domain autorisiert sind. Typisch ist das relevant bei Newsletter-Tools, externen Mail-Relays oder Servern, die im Auftrag Ihres Unternehmens senden.

Was SPF in der Praxis leistet

  • Herkunftsprüfung: Empfänger vergleichen die „Return-Path“-Information mit Ihrer SPF-Liste.
  • Fehlalarme vermeiden: Wenn Sie alle Versandwege korrekt abbilden, sinkt die Wahrscheinlichkeit für „falsche“ Blockierungen.
  • Spoofing erschweren: Angreifer bekommen weniger Spielraum, Absender zu fälschen.

Wichtig: SPF ist kein „Signieren“ der Nachricht. Es ist vor allem ein Abgleich von Versandautorisierungen.

DKIM: Eine digitale Signatur, die den Inhalt belastbar macht

DKIM (DomainKeys Identified Mail) fügt der Nachricht eine Signatur hinzu. Diese Signatur wird mit einem privaten Schlüssel erstellt und über DNS über einen öffentlichen Schlüssel verifizierbar gemacht. Damit kann ein Empfänger prüfen, ob bestimmte Inhalte der E-Mail auf dem Weg verändert wurden.

Wo DKIM besonders hilft

  • Integrität: Manipulationen werden leichter erkennbar.
  • Beweisbarkeit: Sie erhalten eine technisch nachvollziehbare Grundlage, warum eine Nachricht vertrauenswürdig ist.
  • Bessere Zustellbarkeit: Viele Empfängerbewertungen nutzen DKIM-Signale.

Damit DKIM „sitzt“, müssen die Signaturparameter im Versandprozess stimmen, und die DNS-Einträge müssen zur jeweiligen Domain und Selector-Kombination passen.

DMARC: Richtlinie, Berichte und Durchsetzung

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist das Management-Level: Es kombiniert SPF und DKIM zu einer gemeinsamen Logik für Domain-Konformität und definiert, was Empfänger tun sollen, wenn Prüfungen scheitern.

Die zwei wichtigsten DMARC-Komponenten

  • Policy: Legt fest, ob nicht-konforme E-Mails akzeptiert, in Quarantäne gestellt oder abgewiesen werden sollen.
  • Reporting: Liefert Rückmeldungen, welche Quellen tatsächlich senden und wie häufig Prüfungen bestehen.

In KMU-Umgebungen ist das besonders wertvoll, weil sich im Laufe der Zeit Versandwege ansammeln (externe Tools, unterschiedliche Abteilungen, Dienstleister). DMARC hilft Ihnen, diese Landschaft sichtbar zu machen.

Praktischer Start für Schweizer KMU

Wenn Sie SPF, DKIM und DMARC einführen, planen Sie es wie ein kleines Projekt. Nicht „alles auf einmal“, sondern sauber und nachvollziehbar.

1) Versandwege inventarisieren

Listen Sie auf, welche Systeme in Ihrem Namen E-Mails versenden: Unternehmensmailserver, Marketing-Tools, Ticket- oder Support-Systeme, externe Dienstleister.

2) SPF-Einträge korrekt und vollständig pflegen

Stellen Sie sicher, dass alle autorisierten Sender/Relays abgedeckt sind. Achten Sie dabei auf Subdomains, die ebenfalls E-Mail nutzen.

3) DKIM richtig konfigurieren und testen

Aktivieren Sie DKIM pro Versandsystem. Prüfen Sie, ob die Signatur konsistent ist und ob der DNS-Eintrag zum Selector passt.

4) DMARC schrittweise verschärfen

Starten Sie häufig mit einer „Beobachten“-Phase (Reporting), bis Sie sehen, welche Quellen konform sind. Erst danach erhöhen Sie den Durchsetzungsgrad.

Wenn Sie das Thema ganzheitlich angehen wollen:

Vergleich: Standard-Schulungen vs. modulare Online-Skill-Plattform für KMU

Kurzfazit

SPF, DKIM und DMARC geben Ihrer Domain eine überprüfbare Identität im E-Mail-Verkehr. Für KMU lohnt sich die Kombination besonders, weil Sie damit Spoofing wirksam reduzieren und Zustellbarkeit sowie Compliance-Routine verbessern.

Nächster sinnvoller Schritt: Beginnen Sie mit einem Inventar Ihrer Versandwege, dann setzen Sie SPF und DKIM sauber um, und nutzen Sie DMARC, um die Durchsetzung kontrolliert aufzubauen.