SPF, DKIM und DMARC erklärt: E-Mail-Authentifizierung für Shop-Betreiber

SPF, DKIM und DMARC sind drei DNS-Einträge, die beweisen, dass eine E-Mail wirklich von deiner Domain stammt. Ohne sie kann jeder Mails senden, die angeblich von deinem Shop kommen, und E-Mail-Anbieter können deinen echten Newsletter nicht von einem Betrugsversuch unterscheiden. Gmail, Yahoo und Outlook verlangen sie inzwischen von Massenversendern, für einen Shop mit E-Mail-Marketing sind sie also nicht mehr optional.

Dieser Leitfaden erklärt jeden Eintrag in einfachen Worten, zeigt, wie sie aussehen, führt durch die Einrichtung und behandelt Alignment, das Detail, über das die meisten stolpern. Am Ende geht es um BIMI, den neueren Standard, der dein Logo in manchen Postfächern anzeigt.

SPF (Sender Policy Framework) ist eine Liste der Server und Dienste, die für deine Domain E-Mails senden dürfen. Kommt eine Nachricht an, prüft der empfangende Server, ob der sendende Server auf der Liste steht. Ein einfacher SPF-Eintrag sieht so aus:

v=spf1 include:_spf.google.com include:sendingservice.example ~all

• v=spf1: Kennzeichnet den Eintrag als SPF.
• include:: Fügt die Serverliste eines anderen Dienstes hinzu, etwa die deines Postfachanbieters und deines E-Mail-Marketing-Tools.
• ~all oder -all: Sagt, was mit allen anderen passiert: ~all ist „Soft Fail“ (mit Misstrauen behandeln), -all ist „Fail“.

Zwei Regeln bringen viele ins Stolpern. Du kannst pro Domain nur einen SPF-Eintrag haben, also füge neue Dienste zum bestehenden Eintrag hinzu, statt einen zweiten anzulegen. Und SPF erlaubt höchstens 10 DNS-Abfragen: Der Standard, RFC 7208, Abschnitt 4.6.4, sagt, dass Implementierungen die Mechanismen include, a, mx, ptr und exists sowie den Modifikator redirect auf 10 begrenzen müssen, und wer darüber liegt, bekommt einen dauerhaften Fehler. Jedes include zählt, und manche includes enthalten weitere includes, also gehen lange Einträge unbemerkt kaputt.

DKIM (DomainKeys Identified Mail) versieht jede E-Mail mit einer digitalen Signatur. Dein Versanddienst signiert die Nachricht mit einem privaten Schlüssel, und du veröffentlichst den passenden öffentlichen Schlüssel im DNS. Damit prüft der Empfänger, ob die Signatur gültig ist und die Nachricht unterwegs nicht verändert wurde.

Der Eintrag liegt unter einem „Selektor“, einem Namen, den dein Versanddienst wählt, etwa s1._domainkey.yourstore.com. Jeder Dienst, über den du sendest, bekommt seinen eigenen Selektor, sodass du ohne Konflikt mehrere DKIM-Einträge haben kannst. Dein E-Mail-Tool gibt dir den genauen Namen und Wert zum Veröffentlichen.

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM mit der Adresse, die Menschen in der From-Zeile sehen, sagt Empfängern, was sie mit durchgefallenen Mails tun sollen, und bittet sie, dir Berichte zu schicken. Ein Eintrag zum Start sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourstore.com

• p=none: Nur beobachten. Empfänger stellen wie gewohnt zu, schicken dir aber Berichte. Gmail, Yahoo und Outlook akzeptieren das als Minimum für Massenversender.
• p=quarantine: Durchgefallene Mails gehen in den Spam.
• p=reject: Durchgefallene Mails werden abgelehnt.
• rua=: Wohin die täglichen Sammelberichte gehen. Sie zeigen, wer unter deiner Domain Mails sendet und ob diese bestehen.

Beginne mit p=none, lies ein paar Wochen lang die Berichte, um jeden Dienst zu finden, der in deinem Namen sendet (dein Shop, dein Helpdesk, dein Rechnungstool), bring in Ordnung, was durchfällt, und wechsle dann zu quarantine und später zu reject. Wer direkt auf reject springt, kann eigene legitime Mails blockieren.

DMARC wird nur bestanden, wenn SPF oder DKIM bestanden wird und die dabei geprüfte Domain zur Domain in deiner From-Adresse passt. Das nennt man Alignment. Eine Nachricht kann SPF für die Domain deines E-Mail-Tools bestehen und trotzdem bei DMARC durchfallen, wenn in der From-Adresse yourstore.com steht. Die übliche Lösung ist die DKIM-Signatur mit deiner eigenen Domain, die dein E-Mail-Tool einrichtet, wenn du den von ihm genannten DKIM-Eintrag hinzufügst. Googles Absenderrichtlinien für Gmail verlangen, dass die From-Domain von Massenversendern auf SPF oder DKIM abgestimmt ist.

• Liste jeden Dienst auf, der E-Mails unter deiner Domain sendet: deinen Postfachanbieter, deine Shop-Plattform, dein E-Mail-Marketing-Tool, Helpdesk, Rechnungstool und so weiter.
• Suche oder erstelle bei deinem DNS-Host (oft dein Domain-Registrar oder Cloudflare) den SPF-TXT-Eintrag und nimm jeden Dienst auf. Behalte einen einzigen Eintrag und zähle die Abfragen.
• Füge die DKIM-Einträge hinzu, die dir jeder Versanddienst gibt.
• Füge unter _dmarc einen DMARC-Eintrag mit p=none und einer Adresse für Berichte hinzu.
• Sende Test-E-Mails an Gmail und öffne „Show original“ (auf Deutsch „Original anzeigen“), um zu bestätigen, dass bei SPF, DKIM und DMARC jeweils PASS steht.
• Lies ein paar Wochen lang die DMARC-Berichte, bring in Ordnung, was durchfällt, und verschärfe dann die Richtlinie.

DNS-Änderungen brauchen manchmal Zeit, bis sie überall sichtbar sind. Schlägt eine Prüfung direkt nach dem Veröffentlichen fehl, warte und versuche es noch einmal, bevor du den Eintrag änderst.

BIMI (Brand Indicators for Message Identification) lässt unterstützende Postfächer dein Logo neben deinen E-Mails anzeigen. Es baut auf DMARC auf und ersetzt es nicht. Googles Anleitung zur BIMI-Einrichtung, geprüft am 19. Oktober 2026, nennt für Gmail diese Voraussetzungen:

• Eine DMARC-Richtlinie quarantine oder reject, mit pct auf 100. Reines Beobachten (p=none) reicht nicht.
• Ein Verified Mark Certificate (VMC), das ein markenrechtlich geschütztes Logo voraussetzt, oder ein Common Mark Certificate (CMC), wenn dein Logo nicht geschützt ist.
• Das Logo im Format SVG Tiny Portable/Secure (SVG Tiny PS), mindestens 96 mal 96 Pixel groß.

BIMI lohnt sich für Marken, die schon eine strenge DMARC-Richtlinie haben und die zusätzliche Wiedererkennung wollen. Für die meisten Shops gehen korrektes SPF, DKIM und DMARC vor. SmartyTap richtet BIMI nicht für dich ein; den BIMI-Eintrag und das Zertifikat würdest du selbst bei deinem DNS-Host und Zertifikatsanbieter veröffentlichen.

Wenn du in SmartyTap eine Absenderdomain hinzufügst, gibt es dir den DKIM-Eintrag zum Veröffentlichen, prüft die DNS-Einträge deiner Domain (darunter DKIM und DMARC) und sagt dir, was noch in Ordnung gebracht werden muss. Neue Absenderdomains folgen dann einem Aufwärmplan, und das Abmelden mit einem Klick sowie die automatische Sperre von Bounces und Beschwerden sind eingebaut. Siehe Authentifizierung der E-Mail-Domain in der Dokumentation.

SmartyTap Starter kostet US$20 pro Monat für 2.500 Kontakte, 25.000 E-Mails und 250 SMS-Credits/Segmente. Pro kostet US$199 pro Monat (oder US$1.990 pro Jahr) für 25.000 Kontakte, 250.000 E-Mails und 2.500 SMS-Credits/Segmente. Ein Credit deckt ein Segment ab und kostet 2 US-Cent. Neue Workspaces brauchen zum Senden einen bezahlten Plan, und es gibt keine kostenlose Testphase. Siehe SmartyTap-Preise.

Glossar: SPF, DKIM, DMARC und BIMI. Lies als Nächstes: Leitfaden zur E-Mail-Zustellbarkeit, so bereinigst du deine E-Mail-Liste, E-Mail-Marketing für Shopify und Black-Friday-Checkliste für E-Mail und SMS.

SPF listet auf, welche Server für deine Domain Mails senden dürfen. DKIM signiert jede Nachricht, damit Empfänger bestätigen können, dass sie unverändert von deiner Domain kommt. DMARC prüft, ob einer der beiden zu deiner From-Adresse passt, sagt Empfängern, was sie tun sollen, wenn das nicht der Fall ist, und schickt dir Berichte.

Wenn du Massen-E-Mails versendest, ja. Gmail, Yahoo und Outlook verlangen von Massenversendern SPF, DKIM und einen DMARC-Eintrag (mindestens p=none, geprüft am 19. Oktober 2026), und alle drei verbessern auch bei kleineren Absendern die Platzierung im Posteingang.

Nein. Eine Domain sollte genau einen SPF-Eintrag haben. Zwei Einträge führen dazu, dass SPF fehlschlägt. Fasse alle Dienste in einem Eintrag zusammen und bleib unter 10 DNS-Abfragen.

Beginne mit p=none und einer Adresse für Berichte. Sobald die Berichte zeigen, dass all deine legitimen Mails bestehen, wechsle zu p=quarantine und dann zu p=reject.