E-Mail mit eigener Domain absichern

Wer E-Mails mit eigener Domain verschickt, braucht neben dem MX-Eintrag drei weitere DNS-Einträge: SPF nennt die erlaubten Server, DKIM signiert jede Mail, DMARC verbindet beide mit der Absenderadresse und legt fest, was mit Fälschungen geschieht. Ohne sie landen Mails bei Gmail, Yahoo und Outlook.com oft im Spam oder werden abgelehnt.

Unbeschriftete Umschläge mit kleinen roten Wachssiegeln stehen in einem hölzernen Briefständer auf einem Schreibtisch
Bild: KI-generiert

Jeder kann eine Mail verschicken, in deren Absenderzeile deine Adresse steht. Das klassische Mailprotokoll SMTP prüft das nicht, wie RFC 5321 selbst festhält [8]. Drei Verfahren schließen diese Lücke, und alle drei arbeiten über Einträge im DNS deiner Domain. SPF legt fest, welche Server für deine Domain senden dürfen [2]. DKIM setzt eine digitale Signatur in jede Mail, die der Empfänger mit einem öffentlichen Schlüssel aus dem DNS prüft [3]. DMARC verlangt, dass mindestens eine der beiden Prüfungen für die Domain aus der Absenderzeile besteht, legt fest, was mit allen anderen Mails geschehen soll, und liefert Berichte darüber, wer mit deiner Domain sendet [1].

Für DMARC gilt seit Mai 2026 RFC 9989, ein Dokument auf dem Standards Track der IETF. Es ersetzt die bisherige Fassung RFC 7489 und empfiehlt, SPF und DKIM gemeinsam einzusetzen [1].

Warum das heute Pflicht ist

Seit dem 01.02.2024 verlangt Gmail von allen Absendern mindestens SPF oder DKIM. Wer mehr als 5.000 Mails am Tag an Gmail-Konten schickt, braucht SPF, DKIM und einen DMARC-Eintrag [4]. Yahoo und Outlook.com stellen ähnliche Anforderungen [5, 6]. Fehlen die Einträge, können Mails im Spam landen oder abgewiesen werden. Das trifft auch kleine Absender, etwa einen Handwerksbetrieb, der seine Rechnungen per Mail verschickt, oder einen Verein mit Rundschreiben.

Die Ratgeber in diesem Bereich

In welcher Reihenfolge du vorgehst

Zuerst muss der Empfang stehen. Dafür sorgt der MX-Eintrag. Danach richtest du SPF und DKIM für jeden Dienst ein, der mit deiner Domain sendet, also auch für Shop, Kontaktformular und Newsletter. Erst dann folgt DMARC, zunächst nur zum Beobachten mit p=none. RFC 9989 beschreibt genau diese Reihenfolge und rät, eine strengere Stufe erst zu setzen, wenn die Berichte zeigen, dass alle eigenen Mails bestehen [1].

Eine Person in den Dreißigern montiert mit einem Schraubendreher ein neues Schloss an einer hölzernen Haustür
Bild: KI-generiert

Domains, die keine Mails verschicken

Auch eine Domain, über die nie Mails laufen, kann als gefälschter Absender herhalten. RFC 7208 nennt es eine bewährte Praxis, für solche Domains den SPF-Eintrag "v=spf1 -all" zu veröffentlichen, der keinem Server das Senden erlaubt [2]. Microsoft zeigt für diesen Fall den DMARC-Eintrag "v=DMARC1; p=reject" ohne Berichtsadressen [7]. Soll die Domain auch keine Mails empfangen, kommt ein Null-MX-Eintrag dazu, den der Ratgeber zum MX-Eintrag erklärt.

Den DNS-Check findest du bei den Werkzeugen. Betreibst du einen eigenen Mailserver, gehört ein passender Reverse-DNS-Eintrag dazu. Wie du als Empfänger gefälschte Absender erkennst, erklärt Gefälschte Absender erkennen.

  1. Gesetz RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC). IETF. Stand Mai 2026. abgerufen am 29.10.2026
  2. Gesetz RFC 7208: Sender Policy Framework (SPF). IETF. Stand April 2014. abgerufen am 29.10.2026
  3. Gesetz RFC 6376: DomainKeys Identified Mail (DKIM) Signatures. IETF. Stand September 2011. abgerufen am 29.10.2026
  4. Organisation Richtlinien für E-Mail-Absender. Google. Stand ohne Datum. abgerufen am 29.10.2026
  5. Organisation Sender Requirements and Recommendations. Yahoo. Stand ohne Datum. abgerufen am 29.10.2026
  6. Organisation Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders. Microsoft Tech Community. Stand 02.04.2025, ergänzt 29.04.2025. abgerufen am 29.10.2026
  7. Organisation Einrichten von DMARC zum Überprüfen von E-Mails in Microsoft 365. Microsoft. Stand 03.07.2026. abgerufen am 29.10.2026
  8. Gesetz RFC 5321: Simple Mail Transfer Protocol, Abschnitt 7.1. IETF. Stand Oktober 2008. abgerufen am 29.10.2026

Alle Artikel im Bereich E-Mail mit eigener Domain absichern

Weitere Artikel