Einleitung: SPF Fehler bei Weiterleitungen – Woran liegt es?
In diesem Artikel erklären wir, warum automatische E-Mail-Weiterleitungen (z. B. von info@ihre-domain.de zu ihrname@gmail.com) gelegentlich zu Zustellproblemen führen. Wir zeigen, welche Rolle SPF, DKIM und DMARC für die E-Mail-Sicherheit spielen, warum diese Verfahren Weiterleitungen erschweren – und wie SpeedIT das mit SRS (Sender Rewriting Scheme) bestmöglich abfedert. Am Ende wissen Sie, welche Einstellungen sinnvoll sind und welche Alternativen bei hartnäckigen Fällen helfen.
Was sind SPF, DKIM und DMARC?
- SPF (Sender Policy Framework): Legt fest, welche Server im Namen Ihrer Domain E-Mails versenden dürfen. Geprüft wird die übergebende Server-IP gegen den SPF-Eintrag Ihrer Domain.
- DKIM (DomainKeys Identified Mail): Der sendende Server signiert die Nachricht kryptografisch. Empfänger prüfen die Signatur mit Ihrem öffentlichen DKIM-Schlüssel im DNS.
- DMARC (Domain-Based Message Authentication, Reporting & Conformance): Richtlinie im DNS, die vorgibt, was Empfänger tun sollen, wenn SPF/DKIM nicht passen. DMARC verlangt, dass mindestens eine Prüfung (SPF oder DKIM) zur sichtbaren Absender-Domain passt (Alignment).
Ziel: Missbrauch Ihrer Domain verhindern und die Zustellbarkeit erhöhen.
Warum Weiterleitungen häufig Probleme verursachen
Bei einer klassischen Weiterleitung sieht der Empfänger oft nicht mehr den ursprünglichen Versandserver, sondern den Weiterleitungsserver. Dadurch kann SPF fehlschlagen, weil der weiterleitende Server nicht im SPF der ursprünglichen Absender-Domain steht. Wenn zusätzlich die DKIM-Signatur unterwegs beschädigt wird (z. B. durch Inhaltsänderungen), bleibt auch DKIM nicht „aligned“. Mit einer strengen DMARC-Policy (z. B. p=reject) kann der Empfänger die E-Mail dann ablehnen.
Was SpeedIT dagegen tut: SRS (Sender Rewriting Scheme)
SpeedIT setzt das SRS Verfahren auf Weiterleitungen ein.
SRS schreibt den technischen Absender (Envelope-From) so um, dass der Empfänger die SPF-Prüfung gegen die Weiterleitungs-Domain durchführen kann – und SPF damit wieder bestehen kann. Das reduziert Ablehnungen deutlich. Wichtig: Auch mit SRS entscheiden Empfänger wie Gmail anhand mehrerer Faktoren (Reputation, Inhalt, Anhänge, Filter). Eine 100 %-Zustellung kann niemand garantieren.
Ihre besten Optionen für hohe Zustellbarkeit
- Weiterleitungen vermeiden: Rufen Sie das ursprüngliche Postfach direkt im Zielsystem ab (z. B. Gmail-Sammeldienst/IMAP, Outlook, Apple Mail). So bleiben SPF/DKIM/DMARC unverändert.
- DKIM überall aktivieren: Stellen Sie sicher, dass alle legitimen Absender (Shop, CRM, Newsletter-Tool) DKIM-signieren.
- DMARC mit Reporting nutzen: Starten Sie mit p=none und Auswertung der Berichte (RUA). Erhöhen Sie später schrittweise auf quarantine/reject.
- SRS nutzen (schon aktiv): Unsere Weiterleitungsserver setzen SRS ein, um SPF-Fehler bei Weiterleitungen bestmöglich zu vermeiden.
Beispiel-DNS (zur Orientierung)
SPF (schlank halten, Lookup-Limit beachten):
ihre-domain.tld. TXT "v=spf1 mx a include:spf.ws.de-serv.de -all"
DMARC (sanft starten, später verschärfen):
_dmarc.ihre-domain.tld. TXT "v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.tld; fo=1"
(DKIM: Öffentlichen Schlüssel je nach System/Selector unter selector._domainkey.ihre-domain.tld veröffentlichen.)
Typische Fehlermeldung (vereinfacht)
„550 5.7.26 Unauthenticated Email – SPF Fail …“
Deutet darauf hin, dass beim Empfänger die Authentifizierung nach der Weiterleitung nicht mehr passt (meist SPF). Mit SRS wird das häufig entschärft; bleibt DKIM gültig und aligned, akzeptieren viele Empfänger die Nachricht.
FAQ
Klappt Weiterleitung mit SRS immer?
SRS behebt das SPF-Problem. Wenn jedoch DKIM unterwegs beschädigt wird oder weitere Filter greifen, kann es trotzdem zu Ablehnungen kommen.
Warum funktioniert es manchmal und manchmal nicht?
Empfänger gewichten mehrere Signale (Reputation, Inhalt, DKIM-Gültigkeit, Rate-Limits, Filter). Je sauberer SPF/DKIM/DMARC sind, desto stabiler die Zustellung.
Was kann ich sofort tun?
- Weiterleitungen durch direkten Abruf ersetzen.
- DKIM auf allen Absendern sicherstellen.
- DMARC-Berichte aktiv auswerten und Quellen bereinigen.
Wenn es trotzdem hakt
Unser Support analysiert gern den Einzelfall. Senden Sie uns dafür bitte die vollständigen E-Mail-Header der betroffenen Nachricht. Daraus erkennen wir, wo die Authentifizierung gebrochen ist und welche Maßnahme (SRS, DKIM-Korrektur, DMARC-Feinjustierung) hilft.
Fazit
SPF, DKIM und DMARC sind die Basis für sichere, vertrauenswürdige E-Mails. Weiterleitungen können diese Prüfungen beeinträchtigen – vor allem SPF.
Mit SRS (bei SpeedIT aktiv), konsequentem DKIM und – wo möglich – dem Verzicht auf Weiterleitungen zugunsten von direktem Abruf steigern Sie die Zustellqualität deutlich.