Kurz gesagt
Sie brauchen in der Regel alle drei. SPF erlaubt sendende Server, DKIM signiert die Nachricht, und DMARC verknüpft beides mit der sichtbaren Absenderdomain und legt eine Richtlinie fest. Ohne DMARC schützt keines davon zuverlässig vor gefälschten From-Adressen.
| Kriterium | SPF / DKIM | DMARC |
|---|---|---|
| Was wird geprüft | SPF: Darf diese IP für die Envelope-Domain senden? DKIM: Ist die Signatur gültig? | Passt mindestens ein bestandenes SPF oder DKIM zur From-Domain (Alignment)? |
| Bezieht sich auf | SPF: MAIL FROM / Return-Path. DKIM: Domain im d=-Tag | Die sichtbare Adresse im From:-Header |
| DNS-Eintrag | SPF: TXT auf der Domain. DKIM: TXT unter selector._domainkey | TXT unter _dmarc.<domain> |
| Weiterleitungen | SPF bricht meist, DKIM übersteht sie, solange die Mail unverändert bleibt | Besteht, wenn DKIM aligned überlebt |
| Mailinglisten | DKIM bricht oft, weil Betreff oder Footer geändert werden | Kann fehlschlagen, wenn weder SPF noch DKIM aligned bleiben |
| Richtlinie | Keine eigene Handlungsanweisung an den Empfänger (SPF -all wird uneinheitlich ausgewertet) | p=none, quarantine oder reject |
| Berichte | Keine | Aggregierte Reports per rua= an eine Adresse Ihrer Wahl |
| Typische Grenze | SPF: maximal 10 DNS-Lookups. DKIM: Schlüssel muss gepflegt und rotiert werden | Wirkt nur, wenn alle legitimen Absender SPF oder DKIM aligned bestehen |
SPF / DKIM passt, wenn …
- Sie anfangen: Ohne funktionierendes SPF und DKIM hat DMARC nichts, worauf es sich stützen kann.
- Sie Newsletter- oder Ticketsysteme anbinden, die in Ihrem Namen senden. Jeder braucht SPF-Freigabe oder eigenen DKIM-Schlüssel.
- Mails weitergeleitet werden. Hier rettet DKIM die Zustellung, SPF allein nicht.
- Ihr SPF-Eintrag an das Lookup-Limit stößt und Sie Absender lieber per DKIM absichern.
DMARC passt, wenn …
- Sie sehen wollen, wer in Ihrem Namen Mails verschickt. Starten Sie mit
p=noneund Reports. - Ihre Domain für Phishing missbraucht wird und Empfänger gefälschte Mails ablehnen sollen.
- große Postfachanbieter es für Massenversender verlangen.
- alle legitimen Quellen bekannt sind und Sie schrittweise auf
quarantineundrejectgehen wollen.
Stolpersteine aus dem Betrieb
- Mehr als ein SPF-Eintrag auf derselben Domain führt zu
permerror. Alles in einen Eintrag zusammenführen. - Zu viele
include:überschreiten das Limit von 10 DNS-Lookups. Das fällt oft erst auf, wenn ein Anbieter seinen eigenen Eintrag erweitert. - DKIM-Schlüssel im DNS wird bei langen 2048-Bit-Schlüsseln falsch eingetragen, etwa abgeschnitten oder mit falschen Anführungszeichen. Mit
dig TXTprüfen. - Direkt mit
p=rejectzu starten, sperrt oft vergessene Absender aus, etwa Rechnungsversand oder Scanner. Erst Reports auswerten.
Häufige Fragen
Reicht SPF allein?
Nein. SPF prüft nur die Envelope-Domain, nicht die Adresse, die Empfänger im Mailprogramm sehen. Erst DMARC verbindet das Ergebnis mit der From-Domain. Außerdem bricht SPF bei Weiterleitungen.
Brauche ich DKIM, wenn SPF schon besteht?
Ja. DKIM überlebt Weiterleitungen, SPF meist nicht. Für ein stabiles DMARC-Ergebnis sollte mindestens DKIM aligned bestehen, idealerweise beides.