Reicht SPF allein als Schutz gegen Spoofing?

Nein. SPF prüft nur die sendende IP, schützt aber nicht den sichtbaren Absender im From-Feld, den der Empfänger tatsächlich sieht. Erst DMARC bindet SPF und DKIM an die sichtbare Absenderdomain. Mit p=reject werden gefälschte Mails unter Ihrer Domain dann abgelehnt.

Wie lange dauert die Einführung von SPF, DKIM und DMARC?

Die technische Einrichtung ist an einem Tag erledigt. Die DMARC-Beobachtungsphase bis zur sicheren Scharfschaltung dauert üblicherweise vier bis acht Wochen, weil alle versendenden Systeme erst sauber authentifizieren müssen. Wer diese Phase abkürzt, blockiert leicht eigene Geschäfts-Mails.

Was bedeuten die Reports, die nach der DMARC-Einrichtung ankommen?

Die rua-Reports zeigen, welche Server unter Ihrer Domain senden und ob sie SPF und DKIM bestehen. So erkennen Sie sowohl vergessene legitime Dienste als auch Spoofing-Versuche. Ein DMARC-Auswertungstool macht die XML-Reports lesbar. Ohne Auswertung sehen Sie weder das eine noch das andere.

Wissen

DKIM, DMARC und SPF einrichten: E-Mail-Authentifizierung Schritt für Schritt

Ohne SPF, DKIM und DMARC kann jeder in Ihrem Namen E-Mails verschicken, auch Phishing-Mails an Ihre Kunden. Diese Anleitung richtet die drei Verfahren mit konkreten DNS-Einträgen ein.

Bünyamin Pollin

Geschäftsführung & Technische Leitung

04.03.2026Aktualisiert 20.05.20263 Min Lesezeit

Inhalt

SPF, DKIM und DMARC sind drei DNS-basierte Verfahren, die zusammen verhindern, dass Fremde in Ihrem Namen E-Mails verschicken. Einzeln decken sie jeweils nur einen Teil ab. Ohne sie landen eigene Mails häufiger im Spam, und Kriminelle können Ihre Absenderadresse für Phishing fälschen.

Reihenfolge zählt

Richten Sie zuerst SPF und DKIM vollständig ein und prüfen Sie, dass alle legitimen Versand-Systeme korrekt erfasst sind. Erst danach DMARC scharf schalten, sonst blockieren Sie versehentlich eigene E-Mails.

Schritt 1: SPF legt fest, wer für die Domain senden darf

SPF ist ein TXT-Eintrag im DNS, der die berechtigten Versand-Server auflistet. Empfangende Server prüfen die Absender-IP gegen diese Liste. Für einen Microsoft-365-Tenant sieht der Eintrag so aus:

SPF: TXT-Eintrag auf der Root-Domain

Name:  example.de
Typ:   TXT
Wert:  v=spf1 include:spf.protection.outlook.com -all

Das -all am Ende weist empfangende Server an, alle nicht gelisteten Quellen abzulehnen. Jeder zusätzliche Dienst, der Mails versendet (Newsletter-Tool, CRM, Ticketsystem, Shop), muss in den Eintrag. Ein SPF-Eintrag pro Domain, mehrere include-Mechanismen sind erlaubt:

SPF mit mehreren versendenden Diensten

v=spf1 include:spf.protection.outlook.com include:_spf.example-newsletter.com -all

Maximal 10 DNS-Lookups

SPF erlaubt nur 10 verschachtelte DNS-Abfragen. Wer zu viele include-Mechanismen aneinanderreiht, überschreitet das Limit, und die Prüfung schlägt fehl. Bei vielen Diensten hilft SPF-Flattening oder die Konsolidierung über einen einzigen Versand-Dienst.

Schritt 2: DKIM signiert jede Mail

DKIM signiert jede ausgehende Mail mit einem privaten Schlüssel; der öffentliche Schlüssel liegt im DNS. Empfangende Server prüfen damit, ob die Mail wirklich von der Domain stammt und unterwegs nicht verändert wurde. In Microsoft 365 aktivieren Sie DKIM im Defender-Portal und veröffentlichen die beiden CNAME-Einträge:

DKIM: zwei CNAME-Einträge (Microsoft 365)

Name:  selector1._domainkey.example.de
Typ:   CNAME
Wert:  selector1-example-de._domainkey.ihrtenant.onmicrosoft.com

Name:  selector2._domainkey.example.de
Typ:   CNAME
Wert:  selector2-example-de._domainkey.ihrtenant.onmicrosoft.com

Nach dem Veröffentlichen der CNAMEs schalten Sie die Signierung im Portal ein. Zwei Selektoren ermöglichen einen unterbrechungsfreien Schlüsselwechsel. Bei einem generischen Mailserver ohne Microsoft 365 erzeugen Sie das Schlüsselpaar selbst und veröffentlichen den öffentlichen Schlüssel als TXT-Eintrag.

Schritt 3: DMARC setzt die Richtlinie durch

DMARC verbindet SPF und DKIM zu einer Regel: Was soll mit Mails geschehen, die keine der beiden Prüfungen bestehen? Starten Sie immer im Beobachtungsmodus mit p=none plus Reporting, damit Sie sehen, welche legitimen Systeme noch nicht sauber authentifizieren.

DMARC: Start im Beobachtungsmodus

Name:  _dmarc.example.de
Typ:   TXT
Wert:  v=DMARC1; p=none; rua=mailto:[email protected]; fo=1

Werten Sie die Reports zwei bis vier Wochen aus. Wenn alle legitimen Quellen authentifizieren, eskalieren Sie auf quarantine (verdächtige Mails in den Spam) und schließlich auf reject (komplette Ablehnung):

DMARC: Zielzustand nach der Einführung

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s

Niemals direkt mit p=reject starten

Wer DMARC ohne Beobachtungsphase scharf schaltet, blockiert mit hoher Wahrscheinlichkeit eigene legitime Mails, etwa aus dem Newsletter-Tool oder dem ERP. Gehen Sie immer über none und quarantine.

Häufige Fehler

Mehrere SPF-Einträge auf derselben Domain. Erlaubt ist genau einer, der mehrere include-Mechanismen enthalten darf.
Newsletter- oder CRM-Versand vergessen, dadurch landen Marketing-Mails nach der DMARC-Scharfschaltung im Nichts.
DKIM aktiviert, aber CNAMEs nicht veröffentlicht. Die Signierung schlägt dann still fehl.
DMARC dauerhaft auf p=none belassen. Das liefert Reports, schützt aber nicht aktiv vor Spoofing.

Quellen

Häufige Fragen

Reicht SPF allein als Schutz gegen Spoofing?
Nein. SPF prüft nur die sendende IP, schützt aber nicht den sichtbaren Absender im From-Feld, den der Empfänger tatsächlich sieht. Erst DMARC bindet SPF und DKIM an die sichtbare Absenderdomain. Mit p=reject werden gefälschte Mails unter Ihrer Domain dann abgelehnt.
Wie lange dauert die Einführung von SPF, DKIM und DMARC?
Die technische Einrichtung ist an einem Tag erledigt. Die DMARC-Beobachtungsphase bis zur sicheren Scharfschaltung dauert üblicherweise vier bis acht Wochen, weil alle versendenden Systeme erst sauber authentifizieren müssen. Wer diese Phase abkürzt, blockiert leicht eigene Geschäfts-Mails.
Was bedeuten die Reports, die nach der DMARC-Einrichtung ankommen?
Die rua-Reports zeigen, welche Server unter Ihrer Domain senden und ob sie SPF und DKIM bestehen. So erkennen Sie sowohl vergessene legitime Dienste als auch Spoofing-Versuche. Ein DMARC-Auswertungstool macht die XML-Reports lesbar. Ohne Auswertung sehen Sie weder das eine noch das andere.

Umsetzung durch Visgenix

E-Mail-Sicherheit aus einer Hand

Visgenix konfiguriert SPF, DKIM und DMARC im Managed-Microsoft-365-365°-Paket, wertet die Reports aus und eskaliert schrittweise bis zur Reject-Policy. Hosting und E-Mail aus Rechenzentren in Frankfurt am Main.

Managed Microsoft 365

← Zurück zur Wissensdatenbank