SPF, DKIM und DMARC: Schutz vor gefälschten E-Mails

Was sind SPF, DKIM und DMARC?

Jeder kann eine E-Mail mit Ihrer Absenderadresse verschicken, auch ohne Ihre Erlaubnis. Drei Mechanismen schaffen Ordnung. SPF (Sender Policy Framework) ist eine Liste der Server, die für Ihre Domain Mails senden dürfen. DKIM (DomainKeys Identified Mail) fügt jeder Mail eine digitale Signatur hinzu, mit der der Empfänger prüft, ob sie unverändert von Ihrer Domain stammt. DMARC bündelt beides: Es legt die Regel fest, was bei einem Fehlschlag geschieht, und liefert Berichte. Die Stufen heissen p=none (nur beobachten), p=quarantine (in den Spam) und p=reject (abweisen).

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Ohne diese Einträge können Dritte Mails mit Ihrer Absenderadresse verschicken, etwa gefälschte Rechnungen an Ihre Kunden. Mit SPF, DKIM und DMARC können Empfänger solche Mails eher erkennen und aussortieren. Eine Garantie gibt es nicht, aber das Risiko sinkt. Auch die Zustellung Ihrer eigenen Mails kann davon abhängen, ob diese Einträge vorhanden sind. Für Google-Suche und KI-Assistenten hat der Punkt keinen bekannten direkten Einfluss. Er schützt Ihren Ruf und Ihre Kunden, denn eine Fälschung trifft immer auch Ihren Namen.

So prüfen Sie es selbst

Die Einträge sind öffentlich und lassen sich mit einem DNS-Abfragewerkzeug lesen, etwa mit dem Befehl nslookup -type=TXT ihre-firma.ch für SPF und nslookup -type=TXT _dmarc.ihre-firma.ch für DMARC. Der SPF-Eintrag beginnt mit v=spf1, der DMARC-Eintrag mit v=DMARC1. Für DKIM brauchen Sie den «Selector», einen Namen, den Ihr Mailanbieter vergibt; von aussen ist er nicht auffindbar. Der Gratis-Check von KI-Sichtradar prüft darum nur SPF und DMARC, und zwar für die Domain der bestätigten E-Mail-Adresse.

So beheben Sie es

DNS-Einträge ändert die Person, die Ihre Domain oder Ihr Hosting betreut. Ein Fehler kann die Zustellung Ihrer Mails stören. Notieren Sie zuerst den aktuellen Stand der Einträge als Sicherung und listen Sie alle Dienste auf, die in Ihrem Namen Mails senden. Führen Sie DMARC schrittweise ein: erst p=none mit einer Berichtsadresse, die Berichte einige Wochen auswerten, dann quarantine und erst am Ende reject. Sonst können legitime Mails abgewiesen werden. Beispiel mit Platzhaltern:

; SPF: nur ein Eintrag pro Domain
ihre-firma.ch.   TXT   "v=spf1 include:spf.ihr-mailanbieter.example ~all"

; DKIM: Name und Schlüssel liefert Ihr Mailanbieter
selector1._domainkey.ihre-firma.ch.   TXT   "v=DKIM1; k=rsa; p=HIER-OEFFENTLICHER-SCHLUESSEL"

; DMARC, Startstufe: nur beobachten
_dmarc.ihre-firma.ch.   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.ch"

; DMARC, spätere Stufe (erst nach Auswertung der Berichte)
; "v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-firma.ch"

1. Notieren Sie die bestehenden DNS-Einträge als Sicherung und listen Sie alle Dienste auf, die Mails in Ihrem Namen senden (Mailanbieter, Newsletter, Buchhaltung, Website-Formular).
2. Lassen Sie von der Person, die Ihre Domain betreut, einen SPF-Eintrag setzen, der alle diese Dienste enthält.
3. Aktivieren Sie DKIM beim Mailanbieter und tragen Sie den gelieferten Schlüssel im DNS ein.
4. Setzen Sie DMARC zuerst mit p=none und einer Adresse für die Berichte.
5. Werten Sie die Berichte einige Wochen aus und beheben Sie Absender, die durchfallen.
6. Stellen Sie danach auf p=quarantine und später auf p=reject, jeweils mit Kontrolle der Mailzustellung.