Wenn ihr eine Offerte aus Outlook verschickt, eine Rechnung aus der Buchhaltung oder einen Newsletter über einen Dienstleister, hat der Empfänger ohne technische Vorkehrungen keine Möglichkeit zu prüfen, ob die Nachricht wirklich von euch stammt. Genau diese Lücke schliessen SPF, DKIM und DMARC gemeinsam. Sie sind kein Spamfilter für euren Posteingang, sondern der Echtheitsnachweis für alles, was eure Domain verlässt.
Drei Mechanismen, die erst zusammen tragen
Die drei Verfahren sind so etwas wie ein digitaler Echtheitsnachweis für eure Domain. Ihr hinterlegt im DNS eine Liste der Server, die in eurem Namen Mails verschicken dürfen, und verseht jede ausgehende Nachricht mit einem kryptografischen Siegel. Empfangende Systeme wie Outlook, Gmail oder Apple Mail prüfen das automatisch und entscheiden anhand des Ergebnisses, wie vertrauenswürdig die Nachricht ist.
Entscheidend ist, dass jedes Verfahren eine andere Frage beantwortet – und dass keines allein genügt:
| Was es prüft | Was es NICHT prüft | Überlebt eine Weiterleitung? | |
|---|---|---|---|
| SPF | Ob der sendende Server für die Domain versandberechtigt ist | Den Inhalt und die sichtbare Absenderadresse | nein – der weiterleitende Server ist ein anderer |
| DKIM | Ob die Nachricht unterwegs unverändert blieb und aus der signierenden Domain stammt | Ob die signierende Domain die ist, die der Empfänger sieht | in der Regel ja |
| DMARC | Ob SPF oder DKIM zur sichtbaren Absenderadresse passt – und was bei Fehlschlag zu tun ist | nichts von dem, was SPF und DKIM prüfen; es setzt darauf auf | – |
Die eigentliche Lücke, die DMARC schliesst, ist unscheinbar und folgenreich: SPF und DKIM prüfen technische Absenderangaben, nicht zwingend die Domain, die der Empfängerin im sichtbaren «Von»-Feld angezeigt wird. Erst DMARC verlangt, dass beides zusammenpasst.
Warum das seit 2024 keine Kür mehr ist
Bis vor wenigen Jahren war E-Mail-Authentifizierung eine Empfehlung. Das hat sich geändert, und zwar durch verbindliche Vorgaben der grossen Anbieter:
- Google verlangt seit Februar 2024 von allen Versendern an Gmail-Konten mindestens SPF oder DKIM sowie gültige Forward- und Reverse-DNS-Einträge. Wer mehr als 5’000 Mails pro Tag verschickt, braucht SPF und DKIM sowie einen veröffentlichten DMARC-Eintrag. Nicht authentifizierte Mails werden als Spam markiert oder mit Fehlercode 5.7.26 abgewiesen.
- Microsoft verlangt seit dem 5. Mai 2025 dasselbe von Domains mit mehr als 5’000 Mails pro Tag – inklusive eines DMARC-Eintrags mit mindestens
p=none, der zu SPF oder DKIM passt. - Google hat im November 2025 die Übergangsphase beendet: Nicht konforme Mails werden nicht mehr nur gefiltert, sondern verzögert oder aktiv abgewiesen.
Für Schweizer KMU ist vor allem der Microsoft-Punkt entscheidend, weil im B2B-Posteingang Microsoft 365 dominiert. Ein einfacher SPF-Eintrag, wie ihn viele Domains seit Jahren führen, genügt dafür heute nicht mehr.
Das deutsche BSI ordnet die drei Verfahren als «Stand der Technik» ein. Dieser Begriff hat über Art. 8 revDSG (technische und organisatorische Massnahmen) auch in der Schweiz rechtliche Relevanz: Wer sie nicht umsetzt, verzichtet bewusst auf den Stand der Technik bei einem zentralen Kommunikationskanal.
Was ihr konkret davon habt
Eure Mails landen seltener im Spam. Das betrifft besonders Nachrichten an Geschäftskunden – also den grössten Teil des Schweizer KMU-Marktes.
Auch Mails aus Drittsystemen tragen euer Siegel. Newsletter-Dienste, Buchhaltungssoftware, das Kontaktformular eurer Website: Erst mit korrekt eingerichtetem DKIM werden sie beim Empfänger als authentisch erkannt.
Euer Name ist geschützt. Ohne DMARC kann jeder Mails verschicken, die aussehen, als kämen sie von eurer Domain – etwa um eure Kunden zu Phishing zu verleiten oder im Namen der Geschäftsleitung Zahlungsanweisungen zu fälschen. Mit DMARC sagt ihr den empfangenden Servern weltweit, wie sie mit solchen Nachrichten umgehen sollen.
Diese Massnahmen schützen euch nicht vor eingehendem Spam. Es geht ausschliesslich darum, die von euch versendeten Mails als echt erkennbar zu machen. Der Spamfilter für euren Posteingang ist ein anderes Thema.
Wie ihr die drei Verfahren in der richtigen Reihenfolge einrichtet
Die Reihenfolge ist nicht beliebig. Wer mit DMARC beginnt oder es zu früh scharf stellt, blockiert die eigene Post.
- Alle Versanddienste inventarisieren. Mailserver, Newsletter-Dienst, Buchhaltung, CRM, Ticketsystem, das Kontaktformular der Website. Diese Liste ist die Grundlage von allem – jeder vergessene Dienst wird später zum Zustellproblem.
- SPF setzen und dabei das Lookup-Limit im Auge behalten. Die Spezifikation erlaubt maximal zehn DNS-Abfragen bei der Auswertung eines SPF-Eintrags. Jedes
include:eines Dienstleisters zählt mit und kann selbst weitere auslösen. Wer darüber kommt, erhält einpermerror– und der Eintrag gilt als ungültig, nicht etwa als «fast richtig». - DKIM für jeden Dienst einzeln einrichten. Jeder Versanddienst bekommt sein eigenes Schlüsselpaar und seinen eigenen DNS-Eintrag. Das ist der aufwendigste Schritt, aber auch der wirksamste: DKIM überlebt Weiterleitungen, SPF nicht.
- DMARC mit
p=nonestarten und die Berichte lesen. In dieser Stufe passiert für die Zustellung nichts – ihr bekommt nur täglich Berichte darüber, welche Server in eurem Namen senden und ob die Prüfung besteht. Genau hier tauchen die Dienste auf, die in Schritt 1 vergessen gingen. - Erst danach schärfer stellen, über
p=quarantinezup=reject. Und zwar erst, wenn die Berichte über mehrere Wochen keine legitimen Absender mehr als Fehlschlag melden.
Zwei Fallstricke, die in der Praxis den meisten Ärger machen:
p=rejectohne Beobachtungsphase. Der häufigste Fehler und der teuerste: Ein vergessener Versanddienst – die Buchhaltung, das Ticketsystem – wird ab diesem Moment weltweit abgewiesen. Und zwar still: Der Empfänger sieht nichts, ihr seht nichts. Die Beobachtungsphase mitp=noneist kein Vorgeplänkel, sondern der eigentliche Erkenntnisgewinn.- Weiterleitungen brechen SPF. Leitet ein Empfänger eure Mail an eine andere Adresse weiter, kommt sie beim Ziel von dessen Server – und der steht nicht in eurem SPF-Eintrag. Die Prüfung schlägt fehl, obwohl alles korrekt war. Genau deshalb genügt DMARC bereits, wenn eines der beiden Verfahren passt: DKIM trägt in diesem Fall.
Wo ihr es selbst nachprüfen könnt
Die Einträge sind öffentlich; ihr braucht dafür keinen Zugang zu eurem Server:
- SPF-Eintrag eurer Domain: eine öffentliche DNS-Abfrage nach dem TXT-Eintrag der Domain zeigt ihn im Klartext.
- DMARC-Eintrag: derselbe Weg, aber unter
_dmarc.euredomain.ch. - DKIM: nur mit dem Selektor auffindbar, den der jeweilige Dienst vergibt – der steht in dessen Einrichtungsanleitung.
Was ihr dabei nicht seht: ob eure Einträge auch alle Dienste abdecken, die tatsächlich in eurem Namen senden. Diese Frage beantworten nur die DMARC-Berichte.
Euer Name auf einer E-Mail ist ohne Nachweis nur eine Behauptung
Eine E-Mail funktioniert wie eine Postkarte, auf die jeder einen beliebigen Absender schreiben kann. Es gibt keine Kontrolle beim Einwurf. Wer euren Firmennamen ins Absenderfeld tippt, kann in eurem Namen schreiben – an eure Kunden, an eure Lieferanten, an eure eigene Buchhaltung.
Die drei Verfahren mit den sperrigen Namen sind nichts anderes als ein Echtheitsnachweis für eure Post. Ihr hinterlegt öffentlich, wer in eurem Namen schreiben darf, und verseht jede Nachricht mit einem Siegel, das der Empfänger automatisch prüft.
Was viele überrascht: Das ist längst keine freiwillige Vorsichtsmassnahme mehr. Google verlangt es seit Februar 2024, Microsoft seit Mai 2025. Wer es nicht eingerichtet hat, dessen Mails werden zunehmend aussortiert – nicht, weil sie verdächtig sind, sondern weil ihnen der Nachweis fehlt. Und da die meisten Schweizer Geschäftskunden ihre Post über Microsoft empfangen, trifft das direkt eure Offerten und eure Rechnungen.
Was hinter den drei Kürzeln steckt
SPF – wer in eurem Namen schreiben darf
SPF steht für «Sender Policy Framework». Es ist eine öffentlich hinterlegte Liste der Absender, die in eurem Namen Post verschicken dürfen – euer Mailserver, euer Newsletter-Dienst, eure Buchhaltungssoftware. Kommt eine Nachricht von woanders her, fällt das auf. Der Haken: Wird eine Mail weitergeleitet, kommt sie beim Ziel von einem fremden Server – und die Prüfung schlägt fehl, obwohl nichts faul ist.
DKIM – das Siegel auf der Nachricht
DKIM steht für «DomainKeys Identified Mail». Jede ausgehende Nachricht bekommt ein unsichtbares Siegel, das nur ihr erzeugen könnt. Der Empfänger prüft es und weiss zweierlei: Die Nachricht stammt wirklich aus eurem Haus, und unterwegs hat niemand ein Wort daran geändert. Anders als bei SPF überlebt dieses Siegel auch eine Weiterleitung.
DMARC – die Regel, die beides verknüpft
DMARC steht für «Domain-based Message Authentication, Reporting and Conformance». Es schliesst eine Lücke, die man leicht übersieht: Die beiden anderen Verfahren prüfen technische Angaben – nicht zwingend den Namen, den der Empfänger tatsächlich im Absenderfeld sieht. DMARC verlangt, dass beides zusammenpasst, und legt fest, was mit einer Nachricht geschehen soll, die den Nachweis nicht erbringt.
Warum ich mit der Bestandsaufnahme anfange und nicht mit dem Eintrag
Die technische Einrichtung dieser drei Verfahren ist an einem halben Tag erledigt. Trotzdem gehen dabei regelmässig Dinge schief, und praktisch immer aus demselben Grund: Niemand wusste, wer im Haus eigentlich alles Post verschickt.
Es ist nie nur der Mailserver. Es sind der Newsletter-Dienst, das Buchhaltungsprogramm, das die Rechnungen verschickt, das Kontaktformular der Website, das Ticketsystem, die Terminerinnerung der Praxissoftware. Jedes dieser Systeme schreibt in eurem Namen – und wenn eines davon in der Liste fehlt, wird seine Post ab dem Tag der Scharfstellung weltweit abgewiesen. Still. Der Empfänger sieht nichts, ihr seht nichts, und die Offerte kommt einfach nicht an.
Deshalb ist der Teil, den viele als lästiges Vorgeplänkel abtun, aus meiner Sicht der wertvollste: die Beobachtungsphase, in der die Regel noch nichts blockiert und euch täglich meldet, wer in eurem Namen sendet. Ich habe in dieser Phase noch bei jedem Betrieb mindestens einen Dienst gefunden, an den vorher niemand gedacht hatte.
Wirtschaftlich ist die Rechnung unspektakulär: Die Einrichtung kostet einen überschaubaren Aufwand. Eine Rechnung, die im Spam landet, kostet eine Mahnung und ein Telefonat – und eine Phishing-Mail in eurem Namen kostet euch das Vertrauen eines Kunden, das ihr nicht per Eintrag zurückbekommt.
Was ich euch nicht verspreche: dass danach jede Mail ankommt. Zustellbarkeit hängt auch am Inhalt, an der Empfängerliste und an eurer Versandhistorie. Diese drei Verfahren räumen nur die Ausrede weg, an der es sonst als Erstes scheitert.
Häufige Fragen
Wie funktioniert SPF?
SPF steht für Sender Policy Framework. Im DNS eurer Domain wird ein Eintrag hinterlegt, der die Systeme auflistet, die in eurem Namen Nachrichten versenden dürfen. Der empfangende Server prüft, ob die Mail von einem dieser Systeme kam. Weiterleitungen brechen diese Prüfung, weil die Nachricht dann von einem fremden Server ausgeliefert wird.
Wie funktioniert DKIM?
DKIM steht für DomainKeys Identified Mail. Anders als SPF prüft es nicht den sendenden Server, sondern signiert die Nachricht digital – mit dem privaten Teil eines Schlüsselpaars. Der öffentliche Teil steht im DNS. Damit lässt sich prüfen, ob die Nachricht unverändert ist und tatsächlich aus der angegebenen Domain stammt. Die Signatur überlebt eine Weiterleitung.
Wofür wird DMARC verwendet?
SPF und DKIM prüfen technische Absenderinformationen, aber nicht zwingend die Domain, die im sichtbaren «Von»-Feld angezeigt wird. DMARC schliesst diese Lücke: Es verlangt, dass mindestens eines der beiden Verfahren zur sichtbaren Absenderdomain passt, und legt fest, was bei einem Fehlschlag geschehen soll.
Reicht es, nur SPF einzurichten?
Für die aktuellen Anforderungen der grossen Anbieter nicht mehr. Wer mehr als 5’000 Mails pro Tag versendet, braucht bei Google und Microsoft SPF und DKIM sowie einen DMARC-Eintrag. Und selbst darunter ist SPF allein brüchig, weil es jede Weiterleitung nicht übersteht.
Schützt mich das vor Spam in meinem Posteingang?
Nein. Diese Verfahren machen ausschliesslich eure ausgehende Post als echt erkennbar. Der Filter für eingehende Nachrichten ist ein anderes Thema und wird davon nicht berührt.
Quellen
- Google Workspace – E-Mail-Absenderrichtlinien. support.google.com/a/answer/81126 — Verbindliche Anforderungen an Versender an Gmail-Konten, in Kraft seit Februar 2024.
- Microsoft – Anforderungen für Massenversender an Outlook.com. In Kraft seit 5. Mai 2025 für Domains mit mehr als 5’000 Mails pro Tag.
- BSI – Technischer Hintergrund E-Mail-Sicherheit. bsi.bund.de — Ordnet SPF, DKIM und DMARC als «Stand der Technik» ein.