Du schickst einem wichtigen Kunden ein Angebot, und dann passiert nichts. Keine Antwort, keine Rückfrage. Zwei Wochen später ruft er an und sagt, er habe nie etwas von dir bekommen. Ihr sucht gemeinsam, und irgendwann taucht deine Mail im Spam-Ordner auf, ungelesen zwischen Gewinnspielen und Werbung. Ärgerlich, und im schlimmsten Fall ist der Auftrag weg.
Woran das liegt, hat fast nie mit dem Inhalt deiner Nachricht zu tun, sondern mit drei technischen Kürzeln, von denen die meisten noch nie gehört haben. Sie heißen SPF, DKIM und DMARC und entscheiden mit darüber, ob dein Postfach als vertrauenswürdig gilt oder aussortiert wird. Das klingt technisch, ist aber schnell verstanden. Und als Geschäftsführer solltest du zumindest wissen, worum es geht, weil es deinen Umsatz und deinen guten Ruf betrifft.
Worum es bei SPF, DKIM und DMARC geht
Stell dir vor, deine E-Mail ist ein Brief, und die Server der Empfänger, etwa von Google oder Microsoft, sind eine sehr misstrauische Poststelle. Diese Poststelle will vor der Zustellung drei Dinge wissen. Kommt der Brief wirklich von dem Absender, der draufsteht? Wurde er unterwegs geöffnet oder verändert? Und was soll passieren, wenn etwas nicht stimmt? Genau diese drei Fragen beantworten SPF, DKIM und DMARC.
Was die drei Kürzel wirklich tun
SPF ist die Liste der berechtigten Absender. Du hinterlegst, welche Server in deinem Namen E-Mails verschicken dürfen. Kommt eine Mail von einem Server, der nicht auf der Liste steht, wird die Poststelle stutzig.
DKIM ist so etwas wie ein fälschungssicheres Siegel. Jede Mail bekommt eine unsichtbare digitale Unterschrift, mit der der Empfänger prüfen kann, ob die Nachricht wirklich von dir stammt und unterwegs nicht verändert wurde.
DMARC ist die Regel, was mit einer verdächtigen Mail geschehen soll. Du legst fest, ob sie durchgelassen, in den Spam verschoben oder ganz abgewiesen wird. Zusätzlich bekommst du Berichte darüber, wer in deinem Namen Mails verschickt, auch die, die du gar nicht kennst.
Erst zusammen ergeben die drei ein stimmiges Bild. SPF und DKIM liefern die Nachweise, DMARC sagt, was im Zweifel passiert.
Warum das Thema gerade Betriebe rund um Nürnberg trifft
Ob Handwerksbetrieb, Kanzlei oder Zulieferer im Raum Nürnberg, Ansbach und Rothenburg, fast dein gesamter Geschäftsverkehr läuft über E-Mail. Angebote, Rechnungen, Terminabsprachen, alles wandert durchs Postfach. Wenn diese Nachrichten regelmäßig im Spam landen oder Kunden plötzlich gefälschte Mails in deinem Namen bekommen, steht schnell mehr auf dem Spiel als ein bisschen Technik. Es geht dann um Aufträge und um Vertrauen.
Dazu kommt noch etwas. Viele Betriebe verschicken ihre Mails nicht nur über ein einziges Postfach, sondern auch über Newsletter-Dienste, ein Buchhaltungsprogramm oder das CRM. Jeder dieser Wege muss sauber hinterlegt sein, sonst hält der Empfänger einen echten Versand für eine Fälschung. Genau hier entstehen die meisten Zustellprobleme.
Und dann ist da noch der Ruf deiner Domain. Große Anbieter merken sich über die Zeit, wie sich E-Mails aus deinem Haus verhalten. Landen viele davon im Spam oder werden als Fälschung markiert, sinkt das Vertrauen in deine Absenderadresse insgesamt, und selbst saubere Nachrichten haben es danach schwerer. Einmal beschädigt, lässt sich dieser Ruf nur langsam wieder aufbauen. Deshalb lohnt es sich, das Thema früh anzugehen.
Warum das Thema heute wichtiger ist als früher
Früher waren SPF, DKIM und DMARC eine Kür für Technikbegeisterte. Das hat sich geändert. Seit Anfang 2024 verlangen Google und Yahoo von allen Absendern mindestens eine Authentifizierung über SPF oder DKIM, und von größeren Versendern das komplette Paket aus SPF, DKIM und DMARC.¹ Wer diese Nachweise nicht liefert, dessen Mails werden strenger gefiltert oder gleich aussortiert.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nachgezogen. Im März 2024 veröffentlichte es die technische Richtlinie TR-03182 und empfiehlt darin ausdrücklich SPF, DKIM und DMARC, um „die Authentizität von E-Mails zu gewährleisten und Identitätsmissbrauch zu verhindern“.² Der Schutz vor Phishing und dem Fälschen von Absendern ist damit offiziell Stand der Technik.
Ein Beispiel aus der Region
Stell dir eine Steuerkanzlei aus dem Raum Ansbach vor, die ihren Mandanten wie immer die Unterlagen per Mail schickt. Seit ein paar Wochen häufen sich die Anrufe, ob bei ihr etwas liegengeblieben sei. Die Mails kommen an, aber im Spam-Ordner, weil die Kanzlei nie SPF und DKIM eingerichtet hat und ein neuer Filter bei den großen Anbietern jetzt genauer hinschaut.
Noch unangenehmer ist die zweite Variante. Ein Betrüger verschickt gefälschte Rechnungen im Namen der Kanzlei an deren Mandanten. Ohne DMARC kann der Empfänger nicht zuverlässig erkennen, dass die Mail nicht echt ist. Der Schaden ist dann nicht nur technisch, sondern trifft das Vertrauen, das eine Kanzlei über Jahre aufgebaut hat.
Weißt du, ob deine E-Mails sauber authentifiziert sind? IPEXX-Systems prüft in einem kurzen Check, wie es um SPF, DKIM und DMARC bei dir steht.
Was SPF, DKIM und DMARC konkret bedeuten
Alle drei sind keine Programme, die du installierst, sondern Einträge im sogenannten DNS deiner Domain, also im Adressbuch des Internets. Einmal richtig gesetzt, arbeiten sie unsichtbar im Hintergrund. Wichtig ist, sie in der richtigen Reihenfolge und vollständig einzurichten.
SPF, die Liste der erlaubten Absender
Mit SPF (Sender Policy Framework) hinterlegst du eine Liste der Server, die E-Mails für deine Domain verschicken dürfen. Dazu gehört dein eigener Mailserver, aber eben auch der Newsletter-Dienst oder das Rechnungsprogramm. Der Empfänger gleicht bei jeder Mail ab, ob der absendende Server auf dieser Liste steht. Der häufigste Fehler dabei ist, einen dieser zusätzlichen Dienste zu vergessen.
DKIM, der fälschungssichere Stempel
DKIM (DomainKeys Identified Mail) versieht jede ausgehende Mail mit einer digitalen Unterschrift. Der passende Schlüssel zum Prüfen dieser Unterschrift liegt öffentlich in deinem DNS. So kann der Empfänger zweifelsfrei feststellen, dass die Nachricht wirklich von dir kommt und auf dem Weg nicht manipuliert wurde. Das Siegel lässt sich nicht einfach nachmachen.
DMARC, die Regel gegen Fälschungen
DMARC (Domain-based Message Authentication, Reporting and Conformance) bringt SPF und DKIM zusammen und legt fest, was passiert, wenn die Prüfung fehlschlägt. Du beginnst am besten mit der Einstellung „nur beobachten“, bekommst Berichte über den tatsächlichen Mailverkehr und verschärfst die Regel erst dann schrittweise bis zum Abweisen echter Fälschungen. So sperrst du dich nicht versehentlich selbst aus.
So richtest du SPF, DKIM und DMARC richtig ein
Der Weg ist bei fast allen Betrieben derselbe, auch wenn der Aufwand je nach Anzahl der genutzten Dienste schwankt.
Am Anfang steht eine Bestandsaufnahme. Über welche Wege verschickst du überhaupt E-Mails? Neben dem klassischen Postfach sind das oft ein Newsletter-Tool, das Buchhaltungs- oder Warenwirtschaftssystem und manchmal ein Branchenprogramm. Erst wenn diese Liste vollständig ist, lässt sich SPF sauber setzen.
Danach folgt die Einrichtung in der richtigen Reihenfolge, zuerst SPF, dann DKIM, zum Schluss DMARC. DMARC startet bewusst im Beobachtungsmodus, damit du siehst, ob wirklich alle deine Versandwege erfasst sind, bevor Mails abgewiesen werden. Nach ein paar Wochen der Kontrolle stellst du die Regel strenger und schließt die Tür für Fälscher endgültig zu. Den letzten Schritt darfst du nicht auslassen, denn DMARC dauerhaft auf „nur beobachten“ stehen zu lassen bringt kaum Schutz.
Technisch liegen alle drei Einträge dort, wo deine Domain verwaltet wird, meist beim Hoster oder Domain-Anbieter. Änderungen brauchen ein paar Stunden, bis sie überall im Internet bekannt sind, deshalb lohnen sich etwas Geduld und ein Test mit den gängigen Prüfwerkzeugen. So siehst du schwarz auf weiß, ob SPF, DKIM und DMARC greifen, bevor du dich im Alltag darauf verlässt.
Was die Einrichtung kostet und wie aufwendig sie ist
Die gute Nachricht zuerst. Die Einträge selbst kosten nichts, sie sind Teil deiner Domain. Bezahlt wird die Zeit und das Wissen, sie richtig zu setzen, und genau daran hängt der Erfolg.
Für einen einzelnen Betrieb mit überschaubarer Zahl an Versandwegen ist die Ersteinrichtung eine Sache von Stunden, nicht von Wochen. Etwas Aufmerksamkeit braucht danach die Auswertung der DMARC-Berichte, vor allem in den ersten Wochen. Wer diese Kontrolle scheut, kann sie an einen Dienstleister abgeben. Teuer wird es eher andersherum, nämlich wenn wichtige Mails unbemerkt im Spam versickern oder Betrüger ungehindert in deinem Namen schreiben.
Warum du nicht auf die erste verlorene Mail warten solltest
Der beste Zeitpunkt für SPF, DKIM und DMARC ist, bevor etwas schiefgeht. Ein verlorenes Angebot bemerkst du oft erst, wenn der Auftrag schon weg ist, und einen Missbrauch deines Namens erfährst du meist von verärgerten Kunden. Beides lässt sich vorher verhindern, hinterher nur noch mühsam geraderücken. Einmal sauber eingerichtet, laufen die drei Nachweise dauerhaft im Hintergrund und schützen jede einzelne Mail.
Jeder Tag mit ungeschütztem Versand ist ein unnötiges Risiko. IPEXX-Systems richtet SPF, DKIM und DMARC für dich ein und behält die Berichte im Blick.
Wie SPF, DKIM und DMARC zu anderen Themen passen
Die drei Nachweise lösen nicht nur das Spam-Problem, sie sind ein Baustein deiner gesamten E-Mail-Sicherheit.
E-Mail-Sicherheit, Phishing-Schutz und dein guter Ruf
Ein Großteil aller Cyberangriffe beginnt mit einer E-Mail. Wer verhindert, dass Kriminelle im Namen der eigenen Firma schreiben, nimmt Phishing-Angriffen auf Kunden und Partner einen wichtigen Hebel. Gleichzeitig verbessert eine saubere Authentifizierung die Zustellbarkeit, deine Mails kommen also verlässlicher an. Und dann ist da der Ruf. Eine Domain, aus deren Namen Betrugsmails verschickt werden, verliert schnell an Vertrauen. SPF, DKIM und DMARC schützen also gleich mehrfach, technisch und geschäftlich.
Eine Sache solltest du aber richtig einordnen. Die drei Nachweise sind ein Baustein, kein Rundumschutz. Sie sorgen dafür, dass Absender echt sind, ersetzen aber weder einen guten Spam-Filter noch die Aufmerksamkeit deiner Mitarbeiter. Am stärksten wirken sie zusammen mit geschulten Kollegen, die eine verdächtige Mail auch dann erkennen, wenn sie technisch sauber aussieht. So greifen Technik und Mensch ineinander, statt dass du dich auf einen einzelnen Schutz verlässt.
Typische Stolpersteine im Mittelstand
Bei der Einrichtung wiederholen sich einige Fehler, die den ganzen Schutz aushebeln.
Worauf du als Geschäftsführung achten solltest
Der häufigste Fehler ist, nur einen Teil einzurichten. Wer SPF setzt, aber DKIM und DMARC weglässt, hat die Tür nur halb geschlossen. Genauso verbreitet ist es, beim SPF-Eintrag einen Versandweg zu vergessen, etwa den Newsletter-Dienst, sodass ausgerechnet die Werbe-Mails plötzlich als Fälschung gelten.
Ein zweiter Stolperstein ist DMARC, das für immer auf „nur beobachten“ steht. Solange die Regel nicht schärfer gestellt wird, schaust du zwar zu, wie in deinem Namen gefälscht wird, verhinderst es aber nicht. Umgekehrt ist zu schnelles Scharfstellen ebenso riskant. Wer sofort auf „abweisen“ geht, ohne die Berichte geprüft zu haben, blockiert womöglich eigene, echte Mails.
Der dritte Punkt betrifft die Pflege. Kommt ein neuer Dienst dazu, ein anderes Newsletter-Tool oder ein neues Rechnungsprogramm, muss er in SPF und DKIM ergänzt werden. Mach die E-Mail-Sicherheit deshalb zur festen Aufgabe, auch wenn du die Technik delegierst, und prüfe die DMARC-Berichte regelmäßig.
Deine nächsten Schritte mit IPEXX-Systems
Verschaff dir zuerst einen ehrlichen Überblick. Weißt du, über welche Wege in deiner Firma E-Mails rausgehen, und ob SPF, DKIM und DMARC überhaupt gesetzt sind? Kommen deine Mails zuverlässig an, oder häufen sich die Rückfragen von Kunden, die nichts erhalten haben? Diese Fragen kannst du schon ohne tiefes Technikwissen mit deinem IT-Partner durchgehen.
Auf dieser Grundlage entscheidest du, wie du vorgehst. Für viele Betriebe ohne eigene IT-Abteilung ist externe Unterstützung die wirtschaftlichere Wahl, weil sie Umwege und Fehlkonfigurationen erspart. Als IT-Systemhaus aus Wörnitz begleiten wir Unternehmen im Umkreis, von Ansbach über Rothenburg und Dinkelsbühl bis Nürnberg, von der Bestandsaufnahme bis zur fertig eingerichteten und überwachten E-Mail-Authentifizierung.
Am Ende ist es wie mit einem ordentlichen Briefkopf und einer Unterschrift. Beides zeigt dem Empfänger, dass die Post echt ist und von dir kommt. SPF, DKIM und DMARC sind genau dieser Nachweis für deine E-Mails. Einmal richtig eingerichtet, landen deine Nachrichten wieder dort, wo sie hingehören, im Posteingang statt im Spam.
Schluss mit E-Mails im Spam und Fälschungen in deinem Namen. IPEXX-Systems bringt deine E-Mail-Sicherheit in Ordnung. Kontaktiere uns für einen kostenlosen 30-Minuten-Check!
Häufige Fragen zum Thema
Warum landen meine E-Mails überhaupt im Spam?
Meist liegt es nicht am Inhalt, sondern daran, dass die Empfänger-Server deine Mail nicht zweifelsfrei als echt einordnen können. Fehlen SPF, DKIM und DMARC, stuft der Anbieter die Nachricht im Zweifel als verdächtig ein und sortiert sie aus.
Was sind SPF, DKIM und DMARC einfach erklärt?
Es sind drei Nachweise, die belegen, dass eine E-Mail wirklich von dir stammt. SPF ist die Liste erlaubter Absender-Server, DKIM eine fälschungssichere Unterschrift und DMARC die Regel, was mit verdächtigen Mails passieren soll.
Brauche ich das auch als kleiner Betrieb?
Ja. Große Anbieter wie Google und Yahoo prüfen die Authentifizierung inzwischen bei allen Absendern, unabhängig von der Größe. Gerade wenn du Angebote und Rechnungen per Mail verschickst, ist eine zuverlässige Zustellung geschäftskritisch.
Muss ich dafür neue Software kaufen?
Nein. SPF, DKIM und DMARC sind Einträge im DNS deiner Domain, also keine zusätzliche Software. Kosten entstehen nur für die fachgerechte Einrichtung und die Auswertung der Berichte.
Was passiert, wenn ich nichts unternehme?
Zwei Dinge werden wahrscheinlicher: Deine legitimen Mails landen häufiger im Spam, und Kriminelle können leichter gefälschte Nachrichten in deinem Namen verschicken. Beides schadet deinem Geschäft und deinem Ruf.
Reicht nicht SPF allein?
Nein. SPF prüft nur den Absender-Server, sichert aber nicht den Inhalt und regelt nicht, was bei einer Fälschung geschehen soll. Erst zusammen mit DKIM und DMARC entsteht ein wirksamer Schutz.
Was bedeutet die DMARC-Einstellung „p=none“?
„p=none“ heißt: nur beobachten. Du bekommst Berichte über deinen Mailverkehr, ohne dass verdächtige Mails schon blockiert werden. Das ist ein guter Start, sollte aber später auf eine strengere Regel umgestellt werden, sonst schützt DMARC kaum.
Was hat das BSI damit zu tun?
Das BSI empfiehlt in seiner technischen Richtlinie TR-03182 seit März 2024 ausdrücklich SPF, DKIM und DMARC, um Identitätsmissbrauch, Phishing und Spoofing zu verhindern. Die Verfahren gelten damit als Stand der Technik.
Wie lange dauert die Einrichtung?
Für einen einzelnen Betrieb mit wenigen Versandwegen ist die Ersteinrichtung meist in wenigen Stunden erledigt. Etwas Zeit braucht danach die Kontrolle der DMARC-Berichte, bevor die Regel scharf gestellt wird.
Können wir das komplett an einen Dienstleister abgeben?
Ja. Ein IT-Partner richtet SPF, DKIM und DMARC ein, wertet die Berichte aus und pflegt neue Versandwege ein. Für Betriebe in der Region Wörnitz, Ansbach, Rothenburg, Dinkelsbühl und Nürnberg übernimmt IPEXX-Systems die E-Mail-Sicherheit von Anfang bis Ende.