Deine Mails landen im Spam? So richtest du SPF, DKIM und DMARC korrekt ein, bestehst die Bulk-Sender-Pflicht 2026 und bringst deine Zustellrate zuverlässig über 95 Prozent.
SPF, DKIM und DMARC einrichten: So landen deine Mails nicht mehr im Spam
Deine Mails kommen nicht an, obwohl der Text sauber ist und die Adressen stimmen? Dann liegt es fast nie am Betreff. Es liegt an drei DNS-Einträgen, die den Empfänger-Servern beweisen, dass du wirklich du bist: SPF, DKIM und DMARC. Fehlen sie oder sind sie falsch gesetzt, wandert die Mail direkt in den Spam-Ordner oder wird komplett abgewiesen.
Seit Februar 2024 verlangen Google und Yahoo von jedem, der mehr als 5.000 Mails pro Tag an ihre Postfächer schickt, alle drei Verfahren zwingend. 2025 hat Microsoft für Outlook.com und Hotmail mit denselben Anforderungen nachgezogen. Wer heute Kaltakquise, Newsletter oder auch nur Transaktionsmails aus einem eigenen System verschickt, kommt an sauberer Authentifizierung nicht vorbei. Dieser Artikel zeigt dir die konkreten Records und die typischen Fallen.
Was die drei Bausteine wirklich machen
Die drei Verfahren greifen ineinander, lösen aber unterschiedliche Probleme:
- SPF (Sender Policy Framework) legt fest, welche Server in deinem Namen senden dürfen. Der Empfänger prüft: Kommt diese Mail von einer IP, die für deine Domain autorisiert ist?
- DKIM (DomainKeys Identified Mail) setzt eine kryptografische Signatur in den Mail-Header. Der Empfänger prüft die Signatur gegen deinen öffentlichen Schlüssel im DNS und weiß so, dass die Mail unterwegs nicht verändert wurde.
- DMARC verbindet beide. Es sagt dem Empfänger, was passieren soll, wenn SPF und DKIM nicht zur Absender-Domain passen, und schickt dir Reports über alles, was in deinem Namen verschickt wird.
Erst das Zusammenspiel macht dich zustellbar. SPF allein reicht seit 2024 nicht mehr.
SPF einrichten
SPF ist ein einzelner TXT-Record im Wurzel deiner Domain. Für Google Workspace sieht er so aus:
``` Typ: TXT Name: @ Wert: v=spf1 include:_spf.google.com ~all ```
Wichtig sind zwei Dinge. Erstens: Du darfst pro Domain nur einen SPF-Record haben. Zwei Records (etwa weil ein weiterer Dienst dazugekommen ist) machen SPF ungültig. Sendest du über mehrere Systeme, gehören alle in denselben Record:
``` v=spf1 include:_spf.google.com include:sendgrid.net include:amazonses.com ~all ```
Zweitens: Der Mechanismus am Ende. `~all` ist ein Softfail (verdächtig, aber durchlassen), `-all` ein Hardfail (klar ablehnen). Starte mit `~all` und wechsle erst auf `-all`, wenn du sicher bist, dass du wirklich alle sendenden Dienste erfasst hast.
Achte auf das 10-Lookup-Limit: SPF erlaubt maximal zehn DNS-Abfragen. Jedes `include:` zählt. Wer zu viele Dienste einbindet, sprengt das Limit, und dann schlägt SPF pauschal fehl.
DKIM einrichten
DKIM arbeitet mit einem Schlüsselpaar. Der private Schlüssel liegt bei deinem Mailanbieter und signiert jede ausgehende Mail. Den öffentlichen Schlüssel veröffentlichst du als TXT-Record unter einem Selector:
``` Typ: TXT Name: google._domainkey Wert: v=DKIM1; k=rsa; p=MIIBIjANBgkqhki...langer-Public-Key... ```
Der Selector (hier `google`) steht vor `._domainkey` und wird von deinem Anbieter vorgegeben. In der Admin-Konsole von Google Workspace, Microsoft 365 oder deinem Versanddienst generierst du den Schlüssel und bekommst den fertigen Record zum Kopieren. Nutze wenn möglich 2048-Bit-Schlüssel statt 1024, das ist inzwischen Standard.
Ein Praxis-Tipp: Rotiere deine DKIM-Schlüssel regelmäßig, etwa halbjährlich. Viele Dienste unterstützen dafür mehrere Selectors parallel, sodass du ohne Zustellausfall wechseln kannst.
DMARC einrichten: erst beobachten, dann durchgreifen
DMARC ist der Baustein, an dem die meisten scheitern, weil sie zu schnell zu hart vorgehen. Der Record liegt unter `_dmarc`:
``` Typ: TXT Name: _dmarc Wert: v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r ```
Die `p`-Policy steuert, was mit nicht authentifizierten Mails passiert, und du solltest sie in drei Stufen hochziehen:
- `p=none`: nur beobachten. Nichts wird blockiert, aber du bekommst über `rua` täglich Reports, welche Server in deinem Namen senden. Lass diese Stufe zwei bis vier Wochen laufen und werte die Reports aus.
- `p=quarantine`: Mails, die durchfallen, landen im Spam. Jetzt hast du saubere Daten und weißt, dass deine legitimen Systeme sauber authentifizieren.
- `p=reject`: Mails, die durchfallen, werden komplett abgewiesen. Das ist das Ziel und der beste Schutz gegen Spoofing deiner Domain.
Das `adkim`/`aspf`-Alignment entscheidet, wie streng die Absender-Domain passen muss. `r` (relaxed) akzeptiert Subdomains, `s` (strict) verlangt exakte Übereinstimmung. Für die meisten Setups ist relaxed richtig.
Die Bulk-Sender-Anforderungen 2026 im Überblick
Wer an größere Postfächer sendet, muss über die drei Records hinaus noch ein paar Dinge erfüllen, sonst greift die Ablehnung trotz gültiger Signatur:
- DMARC-Alignment muss bestehen: Entweder SPF oder DKIM muss zur sichtbaren Absender-Domain passen.
- One-Click-Unsubscribe (RFC 8058) bei Marketing-Mails: Der `List-Unsubscribe`-Header plus `List-Unsubscribe-Post` gehört rein, damit sich Empfänger mit einem Klick abmelden können.
- Spam-Rate unter 0,3 Prozent, gemessen in den Google Postmaster Tools. Ab 0,3 Prozent wird es eng, oberhalb kippt die Zustellung.
- Gültiges Reverse-DNS (PTR) für deine sendenden IPs.
Diese Regeln sind kein Google-Sonderweg mehr, sondern der gemeinsame Standard von Google, Yahoo und Microsoft.
Häufige Fehler, die die Zustellung killen
- Zwei SPF-Records in der Zone. Es darf nur einer sein, sonst ist SPF ungültig.
- Mehr als zehn DNS-Lookups in SPF. Räume alte `include:` von Diensten aus, die du nicht mehr nutzt.
- `p=reject` ohne Vorlauf. Wer direkt scharf schaltet, blockiert oft die eigenen legitimen Mails, weil ein Nebensystem (Rechnungstool, CRM, Newsletter) nicht sauber authentifiziert.
- Fehlendes Alignment. DKIM signiert zwar, aber mit einer fremden Domain des Versanddienstes. Dann besteht DMARC nicht, obwohl SPF und DKIM technisch grün sind. Nutze eine eigene Sende-Subdomain, die du kontrollierst.
- Kalte Domain sofort volllaufen lassen. Eine frische Domain braucht ein paar Wochen Warmup mit steigendem Volumen, sonst ist die beste Authentifizierung wirkungslos.
Prüfen und live gehen
Bevor du in echten Traffic gehst, testest du das Setup mit ein paar kostenlosen Tools:
- mail-tester.com: Du schickst eine Testmail hin und bekommst einen Score plus konkrete Hinweise zu SPF, DKIM und DMARC.
- MXToolbox: prüft einzelne Records und deckt Fehler wie doppelte SPF-Einträge auf.
- Google Postmaster Tools: zeigt dir Spam-Rate, Domain-Reputation und Authentifizierungsquote deiner echten Sendungen.
- Ein DMARC-Report-Parser: Die XML-Reports aus `rua` sind roh kaum lesbar. Ein Aggregator macht daraus eine Liste sendender Quellen, damit du vor dem Sprung auf `p=reject` weißt, was in deinem Namen unterwegs ist.
Sauber gesetzt bringen dich SPF, DKIM und DMARC zuverlässig auf über 95 Prozent Zustellrate in den großen Postfächern. Der Aufwand liegt bei ein paar Stunden plus zwei bis vier Wochen Beobachtung, und er zahlt sich bei jeder einzelnen Mail aus. Wenn du diese Infrastruktur nicht selbst pflegen willst, richten wir sie im Rahmen unserer Sales-Automation und beim Tracking-Setup für dich ein, inklusive Domain-Warmup und DMARC-Monitoring. Wie das in eine ganze Outreach-Pipeline eingebettet ist, liest du im Artikel Cold-Outreach automatisieren ohne Spam.