SPF, DKIM und DMARC erklärt: warum deine Mails im Spam landen

E-Mail wurde in einer Zeit entworfen, in der niemand prüfte, wer sendet, und das Grundprotokoll erlaubt bis heute jedem Server, jede beliebige Adresse in die Absenderzeile zu schreiben. SPF, DKIM und DMARC sind die drei Einträge, die das beheben: SPF listet die Server, die für deine Domain senden dürfen, DKIM signiert jede Nachricht, damit sie bei der Ankunft geprüft werden kann, und DMARC sagt den empfangenden Servern, was sie tun sollen, wenn diese Prüfungen scheitern. Seit Februar 2024 verlangen Gmail und Yahoo sie von allen, die in großen Mengen senden, Outlook.com seit Mai 2025. Auch unterhalb dieser Schwellen landet eine Domain ohne sie als Erste im Spam. Dieser Leitfaden erklärt jeden Eintrag und zeigt, wie unsere auf levelui.com, levelui.ro und levelui.de aussehen.

Warum E-Mail drei Einträge braucht

Wenn eine Nachricht ankommt, weiß der empfangende Server nur, was der sendende Server ihm erzählt hat. Die Absenderadresse ist einfach Text, und nichts im ursprünglichen E-Mail-Protokoll hindert einen Fremden daran, deine Adresse dort einzutragen. Spammer und Betrüger verlassen sich genau darauf, also haben die Mailanbieter gelernt, jeder Nachricht zu misstrauen, deren Domain nicht beweisen kann, dass sie gesendet hat. Der Beweis steht im DNS deiner Domain, wo nur du ihn ändern kannst, und er besteht aus drei Teilen, die jeweils eine Lücke der anderen schließen.

Das betrifft mehr als Newsletter. Die Rechnungen, die du verschickst, die Antworten auf Anfragen, die Bestellbestätigungen deines Shops und die Benachrichtigung, die das Kontaktformular deiner Website an dich schickt, sind alles E-Mails von deiner Domain. Fehlen die Einträge oder sind sie falsch, kann jede davon im Spam landen oder abgelehnt werden, meist ohne dass es jemand merkt, bis ein Kunde sagt, er habe nie etwas bekommen.

SPF: wer senden darf

SPF, das Sender Policy Framework, ist ein einzelner TXT-Eintrag auf deiner Domain, der die Server auflistet, die für sie senden dürfen. Unserer lautet v=spf1 include:_spf.mail.hostinger.com ~all: Mail für levelui.com darf von den Servern kommen, die unser E-Mail-Anbieter auflistet, und alles andere soll mit Misstrauen behandelt werden. Das Ende zählt. ~all bittet Empfänger, andere Mail als verdächtig zu markieren, -all bittet sie, sie abzulehnen, und mit DMARC funktioniert beides.

Jeder Dienst, der als deine Domain sendet, muss in diesem einen Eintrag stehen: dein Postfach, das Newsletter-Tool, das CRM, die Rechnungssoftware und die Website, wenn sie selbst Mails verschickt. Zwei Regeln erwischen viele. Eine Domain darf nur einen SPF-Eintrag haben, ein zweiter, den ein neuer Dienst hinzufügt, macht also beide kaputt. Und SPF erlaubt bei der Auswertung höchstens 10 DNS-Abfragen; jedes include zählt, includes in includes zählen auch, und ab 10 scheitert die Prüfung sofort mit einem dauerhaften Fehler. Unserer nutzt 3 der 10: unser eines include plus die zwei Relay-Dienste, die Hostingers eigener Eintrag wiederum einbindet.

DKIM: eine Signatur, die die Reise übersteht

DKIM, DomainKeys Identified Mail, fügt jeder Nachricht eine digitale Signatur hinzu. Der sendende Server signiert die wichtigen Kopfzeilen und den Text mit einem privaten Schlüssel und veröffentlicht den passenden öffentlichen Schlüssel im DNS unter einem Namen, dem sogenannten Selektor. Der empfangende Server holt diesen Schlüssel und prüft die Signatur: Passt sie, wurde die Nachricht wirklich von jemandem mit deinem Schlüssel gesendet, und an den signierten Teilen hat sich unterwegs nichts geändert.

Anders als SPF übersteht eine DKIM-Signatur die Weiterleitung, weil sie in der Nachricht mitreist, statt davon abzuhängen, welcher Server sie zugestellt hat. Gmail verlangt von Massenversendern Schlüssel mit mindestens 1.024 Bit; 2.048 ist die vernünftige Wahl. Unsere nutzen den Selektor hostingermail1 und 2.048-Bit-Schlüssel auf allen drei Domains. Jeder Dienst, über den du sendest, braucht einen eigenen DKIM-Schlüssel unter deiner Domain. Signiert ein Newsletter-Tool stattdessen mit seiner eigenen Domain, ist die Signatur gültig, zählt aber nicht für dich, und das ist der häufigste Grund, warum DMARC scheitert.

DMARC: die Richtlinie, die beides verbindet

SPF und DKIM können beide bestehen, während DMARC scheitert, weil DMARC prüft, ob sie für die Domain in der Absenderzeile bestanden haben. Diese Bedingung heißt Alignment. Ein Newsletter, der über die Server eines Anbieters geht und mit dessen Domain signiert ist, besteht SPF und DKIM für den Anbieter, nicht für dich, also scheitert DMARC für deine Domain. Mindestens eine der beiden Prüfungen muss für dieselbe Domain bestehen, die der Leser sieht.

Der Eintrag sagt dann, was mit Mail passieren soll, die scheitert: p=none heißt zustellen und nur berichten, p=quarantine heißt in den Spam verschieben, und p=reject heißt ablehnen. Die rua-Adresse bekommt von den großen Anbietern tägliche Sammelberichte, die jeden Server auflisten, der als deine Domain gesendet hat, und ob er bestanden hat. Unserer steht auf allen drei Domains auf p=quarantine, und die Berichte für levelui.ro und levelui.de gehen an eine Adresse auf levelui.com. Berichte an eine andere Domain zu schicken funktioniert nur, wenn diese Domain zustimmt, deshalb veröffentlicht levelui.com kleine Freigabe-Einträge namens levelui.ro._report._dmarc.levelui.com und levelui.de._report._dmarc.levelui.com. Ohne sie kämen die Berichte für die beiden Länderdomains schlicht nicht an.

DMARC wurde im Mai 2026 als RFC 9989 überarbeitet. Die Überarbeitung streicht das pct-Tag, das eine Richtlinie nur auf einen Prozentsatz der Mails anwendete, und führt ein t-Tag zum Testen ein. Unsere Einträge tragen noch pct=100, was ohnehin die volle Richtlinie verlangte, also ändert sich für sie nichts.

Was Gmail, Yahoo und Outlook heute verlangen

Die zweite Tabelle oben fasst es zusammen. Jeder Absender an Gmail oder Yahoo braucht mindestens SPF oder DKIM, und wer 5.000 oder mehr Nachrichten am Tag an private Konten schickt, braucht SPF, DKIM und einen DMARC-Eintrag, mit ausgerichteter Absenderdomain und einer Abmeldung mit einem Klick in Marketing-Mails. Outlook.com hat ab dem 5. Mai 2025 dieselbe Latte für Massenversender gelegt und lehnt scheiternde Mail mit dem Fehler 550 5.7.515 ab. Gmail hat die Durchsetzung bei nicht konformer Mail im November 2025 verschärft.

Ein kleines Unternehmen, das ein paar Hundert Nachrichten am Tag verschickt, liegt unter der Schwelle für Massenversender, aber das ist kein Grund, einen der drei wegzulassen. Die Filter, die diese Einträge lesen, laufen bei jeder Nachricht, und eine Domain ohne DMARC ist auch die, die sich am leichtesten fälschen lässt. Alle drei einzurichten dauert eine Stunde und kostet nichts.

So richtest du sie ein, in dieser Reihenfolge

Fang mit einer Bestandsaufnahme an: jeder Dienst, der E-Mails mit deiner Domain in der Absenderzeile verschickt, also Website, Shop, CRM, Newsletter-Tool und Rechnungssoftware. Dann veröffentlichst du einen SPF-Eintrag, der alle einschließt, und schaltest DKIM in jedem Dienst ein, was meist heißt, ein oder zwei DNS-Einträge hinzuzufügen, die dir der Dienst gibt. Prüf beides mit einer Testnachricht: In Gmail zeigt „Original anzeigen“ für jede empfangene Nachricht das Ergebnis von SPF, DKIM und DMARC.

Veröffentliche DMARC zuerst mit p=none, lies die Berichte zwei bis vier Wochen lang und verschärfe erst dann. Die Berichte zeigen Dienste, die du vergessen hast, etwa ein altes Kontaktformular oder ein Buchungstool, die noch als deine Domain senden. Bring jeden davon in Ordnung, wechsle dann zu p=quarantine und zu p=reject, sobald die Berichte sauber sind. Wer am ersten Tag direkt auf reject geht, entdeckt einen vergessenen Absender, indem er dessen Mails verliert.

Warum deine Mails trotzdem im Spam landen können

Authentifizierung beweist, wer eine Nachricht gesendet hat; sie sorgt nicht dafür, dass jemand sie haben will. Auch wenn alle drei Einträge bestehen, kann Mail im Spam landen, wenn Empfänger sie als Spam markieren, wenn die Domain neu ist und keine Sendehistorie hat, wenn die Nachricht auf Domains mit schlechtem Ruf verlinkt oder wenn der sendende Server auf einer Sperrliste steht. Die Postmaster Tools von Gmail zeigen dir kostenlos Spamrate und Ruf deiner Domain, sobald du sie bestätigt hast.

Website-Mail ist ein häufiger Übeltäter. Kontaktformulare auf Shared Hosting senden oft über den Webserver selbst statt über dein Postfach, von einem Server, den dein SPF-Eintrag nicht nennt, und ohne deine DKIM-Signatur. Formular-Mails per SMTP über dein echtes Postfach zu senden behebt das. Wenn du eine Domain für ein neues Unternehmen wählst, lohnt sich vorher unser Leitfaden, wie du einen Domainnamen wählst, und läuft die Website auf Shared Hosting, erklärt VPS vs. Shared Hosting, was dieses Konto kann und was nicht.

Ein letzter Schritt: dein Logo im Posteingang

Sobald DMARC auf quarantine oder reject steht, kann ein vierter Eintrag namens BIMI auf dein Logo zeigen, und einige Mailanbieter zeigen es neben deinen Nachrichten an. Unserer ist auf allen drei Domains aktiv. Yahoo und AOL zeigen es allein aufgrund des Eintrags; Gmail und Apple Mail zeigen ein Logo nur mit einem zusätzlichen, kostenpflichtigen Zertifikat. Für die Zustellung ist es nicht nötig, aber es ist eine kleine, sichtbare Belohnung dafür, dass die anderen drei stimmen.

Quellen

Die Anforderungen stammen von den Seiten der jeweiligen Mailanbieter, die Formate der Einträge aus den veröffentlichten Standards, geprüft am 28. Oktober 2026. Unsere eigenen Einträge wurden am selben Tag aus dem öffentlichen DNS gelesen.

• Google Workspace-Admin-Hilfe — Richtlinien für E-Mail-Absender ↗

  Anforderungen an alle Absender und an Absender mit 5.000+ Nachrichten am Tag; DKIM-Schlüssel mit mindestens 1.024 Bit; Spamrate unter 0,3 %; Fehler 5.7.26.

• Google Workspace-Admin-Hilfe — FAQ zu den Absenderrichtlinien ↗

  Gmail verschärft die Durchsetzung bei nicht konformem Traffic ab November 2025.

• Yahoo Sender Hub — Best Practices für Absender ↗

  Anforderungen an alle Absender und Massenversender ab Februar 2024; Abmeldungen binnen 2 Tagen umsetzen. Englisch.

• Microsoft-Support — NDR-Fehler 550 5.7.515 in Outlook.com beheben ↗

  Die Anforderungen an Absender mit 5.000+ Nachrichten am Tag an Microsofts Privatkunden-Mail. Englisch.

• RFC 7208 — Sender Policy Framework (SPF) ↗

  Abschnitt 4.6.4: höchstens 10 Begriffe mit DNS-Abfrage, sonst ein dauerhafter Fehler. Englisch.

• RFC 6376 — DomainKeys Identified Mail (DKIM) Signatures ↗

  Wie die Signatur und der Selektor-Eintrag funktionieren. Englisch.

• RFC 9989 — Domain-based Message Authentication, Reporting, and Conformance (DMARC) ↗

  Veröffentlicht im Mai 2026 als Standard; löst RFC 7489 ab und streicht das pct-Tag. Englisch.

• RFC 7489 — DMARC, Abschnitt 7.1 ↗

  Die ursprüngliche Definition des Freigabe-Eintrags für Berichte an eine andere Domain. Englisch.