DMARC einrichten: SPF und DKIM Schritt für Schritt

Du schickst eine Offerte an einen neuen Kunden, und sie kommt nie an. Oder schlimmer: Jemand verschickt in deinem Namen gefälschte Rechnungen, und deine Domain wirkt plötzlich unseriös. Beides hat oft dieselbe Ursache: Deine Domain ist nicht sauber abgesichert. Wenn du DMARC einrichten willst, zusammen mit SPF und DKIM, schliesst du genau diese Lücke. Seit Google, Yahoo und Microsoft die Regeln für E-Mail-Absender verschärft haben, ist das kein Nice-to-have mehr. Gmail hat angekündigt, ab November 2025 deutlich strenger gegen Mails vorzugehen, die die Absender-Anforderungen nicht erfüllen, und Outlook weist nicht konforme Massenmails seit Mai 2025 direkt ab. In dieser Anleitung zeigen wir dir Schritt für Schritt, wie du die drei DNS-Einträge setzt, worauf du achten musst und wie du sicher von der Beobachtung zur echten Schutzwirkung kommst.

Warum du DMARC einrichten solltest: Was sich bei Gmail und Outlook geändert hat

E-Mail wurde ursprünglich ohne Absenderprüfung erfunden. Technisch kann jeder Server eine Mail mit deiner Adresse im Absenderfeld verschicken. Genau das nutzen Phishing-Kampagnen aus. Die grossen Postfachanbieter reagieren darauf mit klaren Vorgaben.

Die Vorgaben von Google

Google verlangt in seinen Absender-Richtlinien seit Februar 2024 von allen Absendern, die an private Gmail-Adressen schreiben, mindestens SPF oder DKIM, gültige DNS-Einträge für den Mailserver, eine verschlüsselte Übertragung per TLS und eine niedrige Spam-Beschwerderate. Wer mehr als 5000 Nachrichten pro Tag an Gmail-Konten sendet, braucht zusätzlich SPF und DKIM, einen DMARC-Eintrag (die Richtlinie darf dabei auf «none» stehen), eine Übereinstimmung der Absenderdomain mit SPF oder DKIM und bei Newslettern eine Abmeldung mit einem Klick. Im November 2025 hat Google ergänzt, dass die Durchsetzung verschärft wird: Mails, die die Anforderungen nicht erfüllen, werden vorübergehend zurückgestellt oder dauerhaft abgewiesen.

Die Vorgaben von Microsoft

Microsoft zieht bei Outlook.com, Hotmail und Live nach. Seit dem 5. Mai 2025 müssen Absender mit mehr als 5000 Mails pro Tag SPF, DKIM und DMARC (mindestens «p=none», ausgerichtet auf SPF oder DKIM) erfüllen. Nicht konforme Nachrichten landen nicht mehr bloss im Junk-Ordner, sondern werden gar nicht zugestellt.

Und wenn du keine 5000 Mails am Tag verschickst?

Die meisten KMU liegen weit unter dieser Grenze. Trotzdem lohnt sich der Aufwand. Erstens bewerten die Anbieter eine sauber authentifizierte Domain grundsätzlich als vertrauenswürdiger, was deine E-Mail-Zustellbarkeit verbessert. Zweitens zählen Newsletter-Tools, CRM-Mails und Systemnachrichten deines Onlineshops ebenfalls zu deinem Versandvolumen. Drittens, und das ist der wichtigste Punkt: Ohne DMARC kann jeder Betrüger deine Domain für Phishing missbrauchen, und du merkst es nicht einmal.

SPF, DKIM und DMARC verständlich erklärt

Die drei Verfahren bauen aufeinander auf. Stell dir einen eingeschriebenen Brief vor: SPF prüft, ob der Postbote überhaupt für dich ausliefern darf. DKIM ist das Siegel auf dem Umschlag, das zeigt, dass niemand den Inhalt verändert hat. DMARC ist die Anweisung an den Empfänger, was er mit einem Brief tun soll, bei dem Postbote oder Siegel nicht stimmen.

SPF: Wer darf für deine Domain senden?

Das Sender Policy Framework ist ein TXT-Eintrag in deinem DNS. Darin listest du alle Server und Dienste auf, die Mails mit deiner Domain verschicken dürfen: dein Mailhoster, dein Newsletter-Tool, dein CRM, vielleicht dein Buchhaltungsprogramm. Der empfangende Server vergleicht die IP-Adresse des Absenders mit dieser Liste.

DKIM: Die digitale Signatur

Bei DomainKeys Identified Mail signiert dein Mailserver jede ausgehende Nachricht mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichst du im DNS. Der Empfänger prüft damit, ob die Mail wirklich von dir stammt und unterwegs nicht verändert wurde. Google verlangt Schlüssel mit mindestens 1024 Bit und empfiehlt 2048 Bit, sofern dein Anbieter das unterstützt.

DMARC: Die Regel, die alles zusammenführt

Domain-based Message Authentication, Reporting and Conformance prüft zwei Dinge: Hat SPF oder DKIM bestanden, und passt die geprüfte Domain zur sichtbaren Absenderadresse im Feld «From»? Diese Übereinstimmung heisst Alignment. Zusätzlich legst du fest, was mit durchgefallenen Mails passiert, und du erhältst Berichte darüber, wer alles in deinem Namen Mails verschickt.

Schritt für Schritt: DMARC einrichten mit SPF und DKIM

Du brauchst Zugriff auf die DNS-Verwaltung deiner Domain, also meist das Kundenkonto bei deinem Hoster oder Domain-Registrar. Plane für die Einrichtung rund eine Stunde ein, für die Beobachtungsphase danach einige Wochen.

Schritt 1: Alle Versanddienste erfassen

Mach zuerst eine Liste aller Systeme, die Mails mit deiner Domain versenden. Denk dabei nicht nur an dein Postfach. Typische Kandidaten sind:

• dein Mailhoster oder Microsoft 365 bzw. Google Workspace
• Newsletter-Tools wie Mailchimp, Brevo oder CleverReach
• dein Onlineshop für Bestellbestätigungen
• das Kontaktformular deiner Website
• CRM, Ticketsystem, Buchhaltungs- oder Terminsoftware

Fehlt hier ein Dienst, fällt er später bei DMARC durch. Diese Bestandsaufnahme ist deshalb der wichtigste Schritt überhaupt.

Schritt 2: Den SPF-Eintrag setzen

Lege für deine Hauptdomain einen TXT-Eintrag an. Ein Beispiel für eine Firma, die Microsoft 365 und ein Newsletter-Tool nutzt:

Typ:   TXT
Name:  @   (bzw. deinedomain.ch)
Wert:  v=spf1 include:spf.protection.outlook.com include:spf.newsletter-anbieter.example -all

So liest du den Eintrag: v=spf1 kennzeichnet die Version. Jedes include erlaubt die Server eines Dienstes, die genaue Angabe findest du in der Hilfe deines Anbieters. Das -all am Ende sagt: Alle anderen Server sind nicht berechtigt. Wenn du unsicher bist, ob deine Liste vollständig ist, starte mit ~all (Softfail) und stelle später um.

Zwei Stolperfallen solltest du kennen. Pro Domain darf es nur einen SPF-Eintrag geben, mehrere Einträge führen zu einem Fehler. Ergänze also den bestehenden Eintrag, statt einen zweiten anzulegen. Ausserdem erlaubt der SPF-Standard maximal zehn DNS-Abfragen pro Prüfung. Jedes include zählt dazu, und manche Dienste verschachteln selbst mehrere Abfragen. Bei vielen Diensten lohnt sich deshalb ein Check mit einem SPF-Prüfwerkzeug.

Schritt 3: DKIM aktivieren

DKIM richtest du nicht selbst von Grund auf ein, sondern aktivierst es bei jedem Versanddienst. Der Dienst erzeugt das Schlüsselpaar und zeigt dir einen oder zwei DNS-Einträge an, meist als CNAME oder TXT. Ein typischer Eintrag sieht so aus:

Typ:   CNAME
Name:  selector1._domainkey
Wert:  selector1-deinedomain-ch._domainkey.deinmandant.onmicrosoft.com

Der Teil vor ._domainkey heisst Selector. Damit kann jeder Dienst einen eigenen Schlüssel verwenden, ohne die anderen zu stören. Wiederhole diesen Schritt für jeden Dienst aus deiner Liste. Gerade Newsletter-Tools versenden ohne eigene DKIM-Einrichtung oft mit ihrer eigenen Domain, was beim Alignment später zum Problem wird.

Schritt 4: Den DMARC-Eintrag im Beobachtungsmodus anlegen

Jetzt folgt der eigentliche DMARC-Eintrag. Er liegt immer unter dem Namen _dmarc. Starte mit der Richtlinie «none», damit vorerst keine Mails blockiert werden:

Typ:   TXT
Name:  _dmarc
Wert:  v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r

Die einzelnen Angaben bedeuten:

• v=DMARC1: die Version, muss immer am Anfang stehen
• p=none: nur beobachten, nichts blockieren
• rua=mailto:…: an diese Adresse schicken die Empfänger tägliche Sammelberichte
• adkim=r und aspf=r: lockeres Alignment, Subdomains wie news.deinedomain.ch gelten als passend

Auch für DMARC gilt: genau ein Eintrag pro Domain. Mehrere DMARC-Einträge machen die Richtlinie ungültig.

Schritt 5: Die Berichte auswerten

Nach ein bis zwei Tagen treffen die ersten Berichte ein. Sie kommen als XML-Dateien im Anhang und sind für Menschen schwer lesbar. Ein DMARC-Analysedienst bereitet sie übersichtlich auf. Schau dir vor allem an, welche Server in deinem Namen senden und ob sie SPF und DKIM mit Alignment bestehen. Taucht ein legitimer Dienst mit Fehlern auf, ergänzt du SPF oder aktivierst DKIM für ihn. Taucht ein unbekannter Server auf, ist das häufig ein Hinweis auf Missbrauch deiner Domain.

Schritt 6: Schrittweise verschärfen

Erst wenn alle legitimen Mails sauber durchkommen, stellst du um. Zuerst auf p=quarantine: Durchgefallene Mails landen beim Empfänger im Spam-Ordner. Beobachte die Berichte weiter. Läuft alles stabil, folgt p=reject: Gefälschte Mails werden dann abgewiesen, bevor sie ein Postfach erreichen. Erst damit entfaltet DMARC seine volle Schutzwirkung gegen Spoofing.

v=DMARC1; p=reject; rua=mailto:[email protected]

Prüfen, ob alles funktioniert

Du kannst deine Einträge direkt im Terminal kontrollieren. Auf macOS und Linux funktioniert das mit dem Befehl dig:

dig +short TXT deinedomain.ch
dig +short TXT _dmarc.deinedomain.ch
dig +short CNAME selector1._domainkey.deinedomain.ch

Die erste Zeile zeigt deinen SPF-Eintrag, die zweite den DMARC-Eintrag, die dritte den DKIM-Verweis. Bekommst du keine Ausgabe, ist der Eintrag noch nicht aktiv. DNS-Änderungen brauchen je nach Einstellung einige Minuten bis wenige Stunden. Noch praktischer ist ein Test aus der Praxis: Schick dir eine Mail an ein Gmail-Konto, öffne sie und wähle «Original anzeigen». Dort siehst du für SPF, DKIM und DMARC jeweils ein «PASS» oder einen Fehler.

Typische Fehler beim DMARC einrichten

Aus unserer Arbeit mit KMU-Websites kennen wir einige Klassiker, die dir viel Ärger ersparen, wenn du sie früh vermeidest:

• Zu schnell auf reject: Wer ohne Beobachtungsphase direkt blockiert, sperrt oft eigene Rechnungen oder Shop-Mails aus.
• Vergessene Dienste: Das Kontaktformular der Website versendet häufig über einen eigenen Server und fällt dann durch.
• Zwei SPF-Einträge: Nach einem Anbieterwechsel bleibt der alte Eintrag stehen, und beide werden ungültig.
• Weiterleitungen: Bei klassischen Weiterleitungen scheitert SPF oft, weil der weiterleitende Server nicht in deinem Eintrag steht. DKIM übersteht die Weiterleitung in der Regel, deshalb ist eine funktionierende DKIM-Signatur so wichtig.
• Ungenutzte Domains vergessen: Auch Domains, die gar keine Mails versenden, können missbraucht werden. Für sie reicht ein SPF-Eintrag mit «v=spf1 -all» und ein DMARC-Eintrag mit «p=reject».

Übrigens: Eine Domain mit durchgesetztem DMARC ist auch die Voraussetzung für BIMI. Damit zeigen einige Mailprogramme dein Firmenlogo direkt neben der Nachricht an, ein schöner Nebeneffekt für dein Branding.

Häufige Fragen zu DMARC einrichten

Was ist DMARC einfach erklärt?

DMARC ist ein DNS-Eintrag, der Empfängern sagt, wie sie mit Mails umgehen sollen, die angeblich von deiner Domain stammen, aber die Prüfungen SPF und DKIM nicht bestehen. Zusätzlich verlangt DMARC, dass die geprüfte Domain zur sichtbaren Absenderadresse passt. Über Berichte erfährst du ausserdem, wer in deinem Namen Mails verschickt.

Was ist der Unterschied zwischen SPF, DKIM und DMARC?

SPF legt fest, welche Server für deine Domain senden dürfen, DKIM signiert jede Mail digital, und DMARC verknüpft beide Prüfungen mit der Absenderadresse und bestimmt, was bei einem Fehler passiert. Die drei Verfahren ergänzen sich. Erst zusammen bieten sie einen wirksamen Schutz gegen gefälschte Absender.

Ist DMARC für kleine Unternehmen Pflicht?

Eine gesetzliche Pflicht gibt es für Schweizer KMU nicht, aber Google und Microsoft verlangen DMARC von Absendern mit mehr als 5000 Mails pro Tag. Für kleinere Absender fordert Google mindestens SPF oder DKIM. Ein DMARC-Eintrag schützt dich zudem vor Missbrauch deiner Domain, unabhängig vom Versandvolumen.

Welche DMARC-Richtlinie soll ich wählen: none, quarantine oder reject?

Starte immer mit p=none, prüfe die Berichte und wechsle erst dann über p=quarantine zu p=reject, wenn alle legitimen Mails sauber durchkommen. Nur p=reject verhindert zuverlässig, dass gefälschte Mails zugestellt werden. Die Richtlinie none dient ausschliesslich der Beobachtung und blockiert nichts.

Wie lange dauert es, DMARC einzurichten?

Die DNS-Einträge sind in rund einer Stunde gesetzt, die sichere Umstellung bis p=reject dauert aber meist mehrere Wochen bis Monate. Die Zeit brauchst du für die Auswertung der Berichte. Je weniger Versanddienste du nutzt, desto schneller kommst du ans Ziel.

Was kostet DMARC?

Die DNS-Einträge für SPF, DKIM und DMARC selbst kosten nichts, sie gehören zur normalen Domainverwaltung. Kosten entstehen höchstens für einen Analysedienst, der die Berichte aufbereitet, oder für externe Unterstützung bei der Einrichtung. Viele Analysedienste bieten für kleine Versandmengen auch kostenlose Einstiegspakete an.

Wie prüfe ich, ob DMARC funktioniert?

Am einfachsten schickst du eine Mail an ein Gmail-Konto und kontrollierst unter «Original anzeigen», ob SPF, DKIM und DMARC mit PASS bewertet werden. Alternativ fragst du die Einträge mit dig oder einem Online-Prüfwerkzeug ab. Die täglichen DMARC-Berichte zeigen dir zusätzlich die Ergebnisse aller Empfänger.

Kann DMARC dazu führen, dass meine eigenen Mails blockiert werden?

Ja, wenn du p=quarantine oder p=reject setzt, bevor alle legitimen Versanddienste korrekt mit SPF oder DKIM eingerichtet sind. Deshalb ist die Beobachtungsphase mit p=none so wichtig. Mit p=none werden keine Mails blockiert, du siehst aber in den Berichten, wo noch Lücken bestehen.

Warum landen meine Mails trotz SPF im Spam?

SPF allein reicht oft nicht, weil Google und Microsoft auch DKIM, DMARC-Alignment, gültige DNS-Einträge und eine niedrige Beschwerderate berücksichtigen. Prüfe, ob die Absenderdomain zu SPF oder DKIM passt und ob dein Newsletter-Tool mit deiner eigenen Domain signiert. Auch der Inhalt und die Empfängerqualität spielen eine Rolle.

Hilft DMARC auch bei der Sichtbarkeit in KI-Suchen wie ChatGPT oder Google AI Overviews?

Nein, DMARC hat keinen direkten Einfluss auf Rankings in Google oder auf Antworten von KI-Assistenten, denn es betrifft den Mailversand und nicht deine Website. Indirekt stärkt eine geschützte Domain aber dein Vertrauen bei Kunden. Für die KI-Sichtbarkeit zählen vor allem hilfreiche Inhalte, strukturierte Daten und eine technisch saubere Website.

Fazit: DMARC einrichten lohnt sich für jedes KMU

Mit SPF, DKIM und DMARC sorgst du dafür, dass deine Mails ankommen und Betrüger deine Domain nicht missbrauchen können. Der technische Aufwand ist überschaubar, entscheidend ist ein sauberes Vorgehen: alle Versanddienste erfassen, mit p=none beobachten und dann Schritt für Schritt verschärfen. Wenn du DMARC einrichten möchtest, aber keine Lust auf DNS-Einträge und XML-Berichte hast, unterstützen wir dich gern. Als Agentur für Webdesign, IT-Security und Automatisierung kümmern wir uns um Website, Hosting und Mailversand aus einer Hand. Wirf einen Blick auf unsere Leistungen oder nimm direkt Kontakt mit uns auf.