Euer Name auf einer E-Mail ist ohne Nachweis nur eine Behauptung
Eine E-Mail funktioniert wie eine Postkarte, auf die jeder einen beliebigen Absender schreiben kann. Es gibt keine Kontrolle beim Einwurf. Wer euren Firmennamen ins Absenderfeld tippt, kann in eurem Namen schreiben – an eure Kunden, an eure Lieferanten, an eure eigene Buchhaltung.
Die drei Verfahren mit den sperrigen Namen sind nichts anderes als ein Echtheitsnachweis für eure Post. Ihr hinterlegt öffentlich, wer in eurem Namen schreiben darf, und verseht jede Nachricht mit einem Siegel, das der Empfänger automatisch prüft.
Was viele überrascht: Das ist längst keine freiwillige Vorsichtsmassnahme mehr. Google verlangt es seit Februar 2024, Microsoft seit Mai 2025 für Mails an Outlook.com, Hotmail und Live. Wer es nicht eingerichtet hat, dessen Mails werden zunehmend aussortiert – nicht, weil sie verdächtig sind, sondern weil ihnen der Nachweis fehlt. Die Geschäftspostfächer bei Microsoft 365 fallen nicht unter diese Vorgabe.
Was hinter den drei Kürzeln steckt
SPF – wer in eurem Namen schreiben darf
SPF steht für «Sender Policy Framework». Es ist eine öffentlich hinterlegte Liste der Absender, die in eurem Namen Post verschicken dürfen – euer Mailserver, euer Newsletter-Dienst, eure Buchhaltungssoftware. Kommt eine Nachricht von woanders her, fällt das auf. Der Haken: Wird eine Mail weitergeleitet, kommt sie beim Ziel von einem fremden Server – und die Prüfung schlägt fehl, obwohl nichts faul ist.
DKIM – das Siegel auf der Nachricht
DKIM steht für «DomainKeys Identified Mail». Jede ausgehende Nachricht bekommt ein unsichtbares Siegel, das nur ihr erzeugen könnt. Der Empfänger prüft es und weiss zweierlei: Die Nachricht stammt wirklich aus eurem Haus, und unterwegs hat niemand ein Wort daran geändert. Anders als bei SPF überlebt dieses Siegel auch eine Weiterleitung.
DMARC – die Regel, die beides verknüpft
DMARC steht für «Domain-based Message Authentication, Reporting and Conformance». Es schliesst eine Lücke, die man leicht übersieht: Die beiden anderen Verfahren prüfen technische Angaben – nicht zwingend den Namen, den der Empfänger tatsächlich im Absenderfeld sieht. DMARC verlangt, dass beides zusammenpasst, und legt fest, was mit einer Nachricht geschehen soll, die den Nachweis nicht erbringt.
Warum ich mit der Bestandsaufnahme anfange und nicht mit dem Eintrag
Die technische Einrichtung dieser drei Verfahren ist an einem halben Tag erledigt. Trotzdem gehen dabei regelmässig Dinge schief, und praktisch immer aus demselben Grund: Niemand wusste, wer im Haus eigentlich alles Post verschickt.
Es ist nie nur der Mailserver. Es sind der Newsletter-Dienst, das Buchhaltungsprogramm, das die Rechnungen verschickt, das Kontaktformular der Website, das Ticketsystem, die Terminerinnerung der Praxissoftware. Jedes dieser Systeme schreibt in eurem Namen – und wenn eines davon in der Liste fehlt, wird seine Post ab dem Tag der Scharfstellung weltweit abgewiesen. Still. Der Empfänger sieht nichts, ihr seht nichts, und die Offerte kommt einfach nicht an.
Deshalb ist der Teil, den viele als lästiges Vorgeplänkel abtun, aus meiner Sicht der wertvollste: die Beobachtungsphase, in der die Regel noch nichts blockiert und euch täglich meldet, wer in eurem Namen sendet. Ich habe in dieser Phase noch bei jedem Betrieb mindestens einen Dienst gefunden, an den vorher niemand gedacht hatte.
Wirtschaftlich ist die Rechnung unspektakulär: Die Einrichtung kostet einen überschaubaren Aufwand. Eine Rechnung, die im Spam landet, kostet eine Mahnung und ein Telefonat – und eine Phishing-Mail in eurem Namen kostet euch das Vertrauen eines Kunden, das ihr nicht per Eintrag zurückbekommt.
Was ich euch nicht verspreche: dass danach jede Mail ankommt. Zustellbarkeit hängt auch am Inhalt, an der Empfängerliste und an eurer Versandhistorie. Diese drei Verfahren räumen nur die Ausrede weg, an der es sonst als Erstes scheitert.
Wenn ihr eine Offerte aus Outlook verschickt, eine Rechnung aus der Buchhaltung oder einen Newsletter über einen Dienstleister, hat der Empfänger ohne technische Vorkehrungen keine Möglichkeit zu prüfen, ob die Nachricht wirklich von euch stammt. Genau diese Lücke schliessen SPF, DKIM und DMARC gemeinsam. Sie sind kein Spamfilter für euren Posteingang, sondern der Echtheitsnachweis für alles, was eure Domain verlässt.
Drei Mechanismen, die erst zusammen tragen
Die drei Verfahren sind so etwas wie ein digitaler Echtheitsnachweis für eure Domain. Ihr hinterlegt im DNS eine Liste der Server, die in eurem Namen Mails verschicken dürfen, und verseht jede ausgehende Nachricht mit einem kryptografischen Siegel. Empfangende Systeme wie Outlook, Gmail oder Apple Mail prüfen das automatisch und entscheiden anhand des Ergebnisses, wie vertrauenswürdig die Nachricht ist.
Entscheidend ist, dass jedes Verfahren eine andere Frage beantwortet – und dass keines allein genügt:
| Was es prüft | Was es NICHT prüft | Überlebt eine Weiterleitung? | |
|---|---|---|---|
| SPF | Ob der sendende Server für die Domain versandberechtigt ist | Den Inhalt und die sichtbare Absenderadresse | nein – der weiterleitende Server ist ein anderer |
| DKIM | Ob die Nachricht unterwegs unverändert blieb und aus der signierenden Domain stammt | Ob die signierende Domain die ist, die der Empfänger sieht | in der Regel ja |
| DMARC | Ob SPF oder DKIM zur sichtbaren Absenderadresse passt – und was bei Fehlschlag zu tun ist | nichts von dem, was SPF und DKIM prüfen; es setzt darauf auf | – |
Die eigentliche Lücke, die DMARC schliesst, ist unscheinbar und folgenreich: SPF und DKIM prüfen technische Absenderangaben, nicht zwingend die Domain, die der Empfängerin im sichtbaren «Von»-Feld angezeigt wird. Erst DMARC verlangt, dass beides zusammenpasst.
Warum das seit 2024 keine Kür mehr ist
Bis vor wenigen Jahren war E-Mail-Authentifizierung eine Empfehlung. Das hat sich geändert, und zwar durch verbindliche Vorgaben der grossen Anbieter:
- Google verlangt seit Februar 2024 von allen Versendern an Gmail-Konten mindestens SPF oder DKIM sowie gültige Forward- und Reverse-DNS-Einträge. Wer mehr als 5’000 Mails pro Tag verschickt, braucht SPF und DKIM sowie einen veröffentlichten DMARC-Eintrag. Nicht authentifizierte Mails werden als Spam markiert oder mit Fehlercode 5.7.26 abgewiesen.
- Microsoft verlangt seit dem 5. Mai 2025 dasselbe von Domains mit mehr als 5’000 Mails pro Tag an seinen Privatkunden-Dienst Outlook.com (inklusive Hotmail und Live) – inklusive eines DMARC-Eintrags mit mindestens
p=none, der zu SPF oder DKIM passt. Nicht konforme Mails werden seither mit Fehlercode 550 5.7.515 abgewiesen. - Google hat im November 2025 die Übergangsphase beendet: Nicht konforme Mails werden nicht mehr nur gefiltert, sondern verzögert oder aktiv abgewiesen.
Die verbindlichen Vorgaben betreffen Empfänger bei Gmail und Outlook.com. Für Geschäftspostfächer bei Microsoft 365 gibt es keine solche Schwelle. Ein einfacher SPF-Eintrag, wie ihn viele Domains seit Jahren führen, genügt für die Vorgaben heute nicht mehr.
Das deutsche BSI ordnet die drei Verfahren als «Stand der Technik» ein. Dieser Begriff hat über Art. 8 revDSG (technische und organisatorische Massnahmen) auch in der Schweiz rechtliche Relevanz: Wer sie nicht umsetzt, verzichtet bewusst auf den Stand der Technik bei einem zentralen Kommunikationskanal.
Was ihr konkret davon habt
Eure Mails landen seltener im Spam. Das betrifft besonders Nachrichten an Geschäftskunden – also den grössten Teil des Schweizer KMU-Marktes.
Auch Mails aus Drittsystemen tragen euer Siegel. Newsletter-Dienste, Buchhaltungssoftware, das Kontaktformular eurer Website: Erst mit korrekt eingerichtetem DKIM werden sie beim Empfänger als authentisch erkannt.
Euer Name ist geschützt. Ohne DMARC kann jeder Mails verschicken, die aussehen, als kämen sie von eurer Domain – etwa um eure Kunden zu Phishing zu verleiten oder im Namen der Geschäftsleitung Zahlungsanweisungen zu fälschen. Mit DMARC sagt ihr den empfangenden Servern weltweit, wie sie mit solchen Nachrichten umgehen sollen.
Diese Massnahmen schützen euch nicht vor eingehendem Spam. Es geht ausschliesslich darum, die von euch versendeten Mails als echt erkennbar zu machen. Der Spamfilter für euren Posteingang ist ein anderes Thema.
Wie ihr die drei Verfahren in der richtigen Reihenfolge einrichtet
Die Reihenfolge ist nicht beliebig. Wer mit DMARC beginnt oder es zu früh scharf stellt, blockiert die eigene Post.
- Alle Versanddienste inventarisieren. Mailserver, Newsletter-Dienst, Buchhaltung, CRM, Ticketsystem, das Kontaktformular der Website. Diese Liste ist die Grundlage von allem – jeder vergessene Dienst wird später zum Zustellproblem.
- SPF setzen und dabei das Lookup-Limit im Auge behalten. Die Spezifikation erlaubt maximal zehn DNS-Abfragen bei der Auswertung eines SPF-Eintrags. Jedes
include:eines Dienstleisters zählt mit und kann selbst weitere auslösen. Wer darüber kommt, erhält einpermerror– und der Eintrag gilt als ungültig, nicht etwa als «fast richtig». Als Endung genügt~all: Den Schutz vor Fälschungen liefert später DMARC, während ein strenges-allweitergeleitete Mails abweisen kann, bevor DKIM überhaupt geprüft ist (Details im Beitrag zum SPF-Record). - DKIM für jeden Dienst einzeln einrichten. Jeder Versanddienst bekommt sein eigenes Schlüsselpaar und seinen eigenen DNS-Eintrag. Das ist der aufwendigste Schritt, aber auch der wirksamste: DKIM überlebt Weiterleitungen, SPF nicht.
- DMARC mit
p=nonestarten und die Berichte lesen. In dieser Stufe passiert für die Zustellung nichts – ihr bekommt nur täglich Berichte darüber, welche Server in eurem Namen senden und ob die Prüfung besteht. Genau hier tauchen die Dienste auf, die in Schritt 1 vergessen gingen. - Erst danach schärfer stellen, über
p=quarantinezup=reject. Und zwar erst, wenn die Berichte über mehrere Wochen keine legitimen Absender mehr als Fehlschlag melden.
Zwei Fallstricke, die in der Praxis den meisten Ärger machen:
p=rejectohne Beobachtungsphase. Der häufigste Fehler und der teuerste: Ein vergessener Versanddienst – die Buchhaltung, das Ticketsystem – wird ab diesem Moment weltweit abgewiesen. Und zwar still: Der Empfänger sieht nichts, ihr seht nichts. Die Beobachtungsphase mitp=noneist kein Vorgeplänkel, sondern der eigentliche Erkenntnisgewinn.- Weiterleitungen brechen SPF. Leitet ein Empfänger eure Mail an eine andere Adresse weiter, kommt sie beim Ziel von dessen Server – und der steht nicht in eurem SPF-Eintrag. Die Prüfung schlägt fehl, obwohl alles korrekt war. Genau deshalb genügt DMARC bereits, wenn eines der beiden Verfahren passt: DKIM trägt in diesem Fall.
Wo ihr es selbst nachprüfen könnt
Die Einträge sind öffentlich; ihr braucht dafür keinen Zugang zu eurem Server:
- SPF-Eintrag eurer Domain: eine öffentliche DNS-Abfrage nach dem TXT-Eintrag der Domain zeigt ihn im Klartext.
- DMARC-Eintrag: derselbe Weg, aber unter
_dmarc.euredomain.ch. - DKIM: nur mit dem Selektor auffindbar, den der jeweilige Dienst vergibt – der steht in dessen Einrichtungsanleitung.
Was ihr dabei nicht seht: ob eure Einträge auch alle Dienste abdecken, die tatsächlich in eurem Namen senden. Diese Frage beantworten nur die DMARC-Berichte.
Häufige Fragen
Wie finde ich heraus, wo wir heute stehen?
Schickt von eurer Firmenadresse eine Mail an ein privates Gmail-Postfach und öffnet dort «Original anzeigen». Gmail zeigt euch oben drei Zeilen: SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance), jeweils mit «PASS» oder «FAIL». Drei Mal «PASS» für euren Hauptversand ist ein guter Anfang – wiederholt den Test aber für Newsletter, Buchhaltung und Kontaktformular, denn jeder Versandweg kann anders abschneiden.
Wir verschicken keine 5’000 Mails am Tag. Betrifft uns das trotzdem?
Ja, wenn auch nicht als formale Pflicht. Die Schwelle von 5’000 Mails pro Tag gilt bei Google und Microsoft (Outlook.com) für die verbindlichen Vorgaben; darunter zählt die Authentifizierung als Vertrauenssignal bei der Frage, ob eure Mail im Posteingang oder im Spam landet. Wartet also nicht, bis eine Mail fehlt.
Was frage ich meine IT oder meinen Hoster?
Stellt drei Fragen: «Welche Dienste verschicken heute in unserem Namen Mails?», «Sind SPF, DKIM und DMARC für jeden dieser Dienste eingerichtet?» und «Wer liest die DMARC-Berichte, und was stand zuletzt darin?». Die erste Frage ist die wichtigste – an ihr scheitern die meisten Einführungen, weil die Buchhaltung oder das Ticketsystem vergessen gehen. Lasst euch die Antworten schriftlich geben, dann habt ihr eine Grundlage für die nächste Überprüfung.
Wie viel Aufwand ist das, und wer muss mitmachen?
Die Technik ist überschaubar, die Einträge selbst sind an einem halben Tag gesetzt. Die eigentliche Arbeit ist die Bestandsaufnahme aller Versandwege und eine Beobachtungsphase von mehreren Wochen, in der die Regel noch nichts blockiert. Dafür braucht es neben der IT jemanden, der die Systeme im Betrieb kennt – wer verschickt Rechnungen, wer Newsletter, wer Terminerinnerungen? Plant diese Abstimmung ein, nicht nur die Konfiguration.
Schützt uns das auch vor Spam und Phishing im eigenen Posteingang?
Nein. Die drei Verfahren machen ausschliesslich eure ausgehende Post als echt erkennbar und schützen damit eure Kunden vor Fälschungen in eurem Namen. Was in eurem Posteingang ankommt, filtert euer Mail-Anbieter mit eigenen Mechanismen. Wer beides verwechselt, wiegt sich in falscher Sicherheit – fragt deshalb separat nach, wie eingehende Mails geprüft werden.
Quellen
- Google Workspace – E-Mail-Absenderrichtlinien. support.google.com/a/answer/81126 — Verbindliche Anforderungen an Versender an Gmail-Konten, in Kraft seit Februar 2024.
- Microsoft – Anforderungen für Massenversender an Outlook.com. Strengthening Email Ecosystem: Outlook’s New Requirements for High‐Volume Senders — gilt seit 5. Mai 2025 für Domains, die mehr als 5’000 Mails pro Tag an Outlook.com, Hotmail und Live senden; nicht konforme Mails werden abgewiesen (Präzisierung vom 29. April 2025).
- BSI – Technischer Hintergrund E-Mail-Sicherheit. bsi.bund.de — Ordnet SPF, DKIM und DMARC als «Stand der Technik» ein.