Lange war die Absicherung von E-Mail-Domains eine Empfehlung für Fortgeschrittene. Das hat sich geändert: Seit Februar 2024 verlangen Google und Yahoo von Absendern größerer Mengen eine vollständige Authentifizierung, im Mai 2025 hat Microsoft für Outlook.com, Hotmail und Live nachgezogen. Google setzt die Regeln seit November 2025 noch strenger durch: Nachrichten, die sie nicht erfüllen, werden zunehmend vorübergehend oder dauerhaft abgewiesen. Wer Newsletter, Rechnungen oder Bestellbestätigungen verschickt, sollte jetzt handeln.
Wer betroffen ist
Die strengsten Regeln gelten für Massenabsender: Google stuft so ein, wer an einem Tag mehr als 5.000 Nachrichten an private Gmail-Konten schickt, und behält diese Einstufung dauerhaft bei. Microsoft setzt die gleiche Grenze für Adressen bei Outlook.com, Hotmail und Live an. Gezählt werden alle Nachrichten Ihrer Domain zusammen, also auch die Ihres Newsletter-Dienstes, Shops und Ticketsystems.
Doch auch wer weniger verschickt, ist betroffen: Grundlegende Anforderungen gelten für alle Absender. Und ohne DMARC lässt sich Ihre Domain leicht für gefälschte E-Mails missbrauchen.
Die Anforderungen im Überblick
Für alle Absender (Gmail)
- SPF oder DKIM für die Absenderdomain.
- Gültige Vorwärts- und Rückwärtsauflösung (PTR-Eintrag) der versendenden Server.
- Verschlüsselte Übertragung per TLS.
- Eine niedrige Spam-Beschwerderate, laut Google unter 0,3 Prozent, besser unter 0,1 Prozent.
- Korrekt formatierte Nachrichten nach dem E-Mail-Standard (RFC 5322).
Zusätzlich für Massenabsender (Gmail und Yahoo)
- SPF und DKIM.
- Ein DMARC-Eintrag, mindestens mit der Richtlinie
p=none. - Alignment: Die Domain im sichtbaren Absender (From) muss zur Domain von SPF oder DKIM passen.
- Für Werbe-E-Mails eine Abmeldung mit einem Klick (List-Unsubscribe-Kopfzeile nach RFC 8058). Abmeldungen müssen innerhalb von zwei Tagen umgesetzt werden.
Outlook.com, Hotmail und Live (Microsoft)
Für Absender mit mehr als 5.000 Nachrichten am Tag verlangt Microsoft seit dem 5. Mai 2025 ebenfalls SPF, DKIM und DMARC mit mindestens p=none, ausgerichtet an SPF oder DKIM. Nachrichten, die das nicht erfüllen, werden abgewiesen oder landen im Junk-Ordner. Außerdem empfiehlt Microsoft eine funktionierende Abmeldung, gepflegte Empfängerlisten und eine erreichbare Antwortadresse.
Die drei Bausteine kurz erklärt
- SPF legt per DNS fest, welche Server E-Mails für Ihre Domain versenden dürfen. Pro Domain darf es nur einen SPF-Eintrag geben, und er darf höchstens zehn DNS-Abfragen auslösen. Mehr dazu in unserem Beitrag zu SPF-Einträgen.
- DKIM versieht jede Nachricht mit einer digitalen Signatur. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS.
- DMARC verknüpft beides mit der sichtbaren Absenderadresse, legt fest, was mit nicht bestandenen Nachrichten passieren soll, und liefert Ihnen Berichte über alle E-Mails, die in Ihrem Namen verschickt werden. Hintergründe finden Sie in unserem Beitrag zu DKIM und DMARC.
Schritt für Schritt zur sicheren Domain
1. Inventur: Wer verschickt in Ihrem Namen?
Listen Sie alle Dienste auf, die E-Mails mit Ihrer Domain versenden: Ihr Mailserver, das Newsletter-Werkzeug, der Onlineshop, das CRM, das Ticketsystem, eine Buchhaltungssoftware oder Microsoft 365. Jeder davon muss in SPF und DKIM berücksichtigt werden.
2. SPF-Eintrag anlegen oder ergänzen
Ein Beispiel für eine Domain, die über den eigenen Mailserver und einen Newsletter-Dienst versendet. Die genaue include-Angabe nennt Ihnen Ihr Dienst:
v=spf1 mx include:spf.newsletter-dienst.example ~all3. DKIM für jeden Dienst aktivieren
Aktivieren Sie DKIM auf Ihrem Mailserver und in jedem externen Dienst, der in Ihrem Namen versendet. Die Dienste nennen Ihnen dafür einen oder mehrere DNS-Einträge. Für unser Hosting zeigt die Anleitung DKIM konfigurieren und aktivieren, wie das geht.
4. DMARC zunächst beobachtend starten
Beginnen Sie mit der Richtlinie p=none. Sie ändert noch nichts an der Zustellung, liefert Ihnen aber Berichte darüber, welche Server in Ihrem Namen senden und ob SPF und DKIM bestehen:
v=DMARC1; p=none; rua=mailto:dmarc-berichte@muster.de; adkim=r; aspf=r5. Berichte auswerten
Die Berichte kommen als XML-Dateien von den großen Postfachanbietern, meist täglich. Werten Sie sie zwei bis vier Wochen lang aus, am einfachsten mit einem DMARC-Analysewerkzeug. Taucht ein legitimer Dienst mit fehlgeschlagener Prüfung auf, ergänzen Sie SPF oder DKIM für ihn. Richten Sie für die Berichte am besten ein eigenes Postfach ein, je nach Versandmenge kommen einige zusammen.
6. Schrittweise verschärfen
Bestehen alle legitimen Nachrichten die Prüfung, stellen Sie auf p=quarantine um: Nicht bestandene Nachrichten landen dann im Spam. Mit pct= können Sie die Richtlinie zunächst nur auf einen Teil der Nachrichten anwenden. Läuft alles stabil, folgt p=reject. Erst dann ist Ihre Domain wirksam gegen Fälschungen geschützt.
Häufige Stolperfallen
- Zwei SPF-Einträge für dieselbe Domain machen beide ungültig.
- Zu viele
include-Angaben überschreiten die Grenze von zehn DNS-Abfragen. - Ein Dienst versendet mit Ihrer Absenderadresse, signiert aber mit seiner eigenen Domain. Dann fehlt das Alignment, obwohl DKIM technisch besteht.
- Eine Weiterleitung bricht SPF. Deshalb ist eine funktionierende DKIM-Signatur so wichtig.
Was wir für Sie tun können
Die nötigen DNS-Einträge pflegen Sie bei uns direkt im Kundenbereich, die Anleitung finden Sie unter DNS-Einträge bearbeiten. DKIM aktivieren Sie für Ihre Domains im Hosting mit wenigen Klicks. Für Newsletter mit größeren Verteilern beachten Sie bitte unsere Hinweise zu Massenmailing und E-Mail-Limits. Und wenn Sie unsicher sind, ob Ihre Einträge stimmen: Unser Support prüft sie gern mit Ihnen.
Fazit
SPF, DKIM und DMARC sind keine Kür mehr, sondern Voraussetzung dafür, dass Ihre E-Mails ankommen. Der Weg dorthin ist überschaubar: Dienste erfassen, SPF und DKIM einrichten, DMARC beobachtend starten und nach der Auswertung schrittweise verschärfen. Ihre Domain ist danach nicht nur zustellbar, sondern auch gegen Missbrauch geschützt.
