Definition
SPF, DKIM und DMARC sind die drei DNS-basierten Standards zur E-Mail-Authentifizierung. SPF legt fest, welche Server für eine Domain senden dürfen, DKIM signiert Nachrichten kryptografisch, und DMARC teilt Empfängern mit, wie mit Mails zu verfahren ist, die diese Prüfungen nicht bestehen, und sendet Berichte zurück.
SPF (Sender Policy Framework, RFC 7208) ist ein DNS-TXT-Eintrag, der die IP-Adressen und Dienste auflistet, die Mails mit der Domain im Envelope-Absender versenden dürfen. Empfänger gleichen den einliefernden Server damit ab. SPF erlaubt höchstens 10 DNS-Lookups – ein Limit, das oft überschritten wird, wenn viele Dienstleister hinzukommen.
DKIM (DomainKeys Identified Mail, RFC 6376) fügt den Headern jeder Nachricht eine digitale Signatur hinzu. Der Empfänger prüft sie mit einem öffentlichen Schlüssel, der im DNS unter einem Selektor veröffentlicht ist. Gmail verlangt Schlüssel mit mindestens 1.024 Bit und empfiehlt 2.048 Bit.
DMARC baut auf beiden auf. Eine Domain veröffentlicht eine Richtlinie (p=none, quarantine oder reject) und Adressen für Berichte. Eine Nachricht besteht DMARC, wenn SPF oder DKIM für eine Domain erfolgreich ist, die mit der sichtbaren From-Domain übereinstimmt (Alignment). DMARC war ursprünglich in RFC 7489 spezifiziert, der im Mai 2026 durch eine neue Standards-Track-Spezifikation, RFC 9989, abgelöst wurde.
Gmail verlangt SPF, DKIM und DMARC von Massenversendern. Führen Sie DMARC schrittweise ein: Beginnen Sie mit p=none, werten Sie die Berichte aus, um jeden legitimen Absender zu finden (CRM, Helpdesk, Messaging-Plattform), korrigieren Sie deren SPF und DKIM und wechseln Sie dann zu quarantine und reject.
Beispiel
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"