Mails landen im Spam? SPF, DKIM und DMARC erklärt

Wenn Ihre Mails beim Empfänger im Spam landen, liegt es oft nicht am Inhalt, sondern an Ihrer Domain. Große Postfachanbieter wie Gmail oder Outlook prüfen bei jeder eingehenden Mail, ob der Absender die Domain im Absender wirklich benutzen darf. Fehlen die Nachweise dafür, landet die Mail im Spam oder wird gar nicht angenommen.

Diese Nachweise heißen SPF, DKIM und DMARC. Es sind drei Einträge bei Ihrer Domain, die Sie oder Ihr Hoster einmal richtig setzen müssen. Hier steht, was sie bedeuten, wie Sie prüfen, ob sie stimmen, und was Sie tun können, wenn trotzdem Mails im Spam landen.

Erst prüfen: Liegt es an der Domain?

Das lässt sich in zwei Minuten feststellen. Schicken Sie aus Ihrem normalen Mailprogramm eine Mail an eine Gmail-Adresse, etwa eine private. Öffnen Sie die Mail dort, klicken Sie auf die drei Punkte und dann auf „Original anzeigen“. Oben stehen drei Zeilen:

SPF: PASS oder FAIL
DKIM: PASS oder FAIL
DMARC: PASS oder FAIL

Steht überall PASS, sind Ihre Einträge in Ordnung, und die Ursache liegt woanders (siehe weiter unten). Steht irgendwo FAIL oder fehlt eine Zeile, lesen Sie weiter.

Seit Februar 2024 verlangt Google von allen Absendern, die an Gmail schicken, mindestens SPF oder DKIM, und von Absendern mit mehr als 5.000 Mails am Tag alle drei. Microsoft stellt für Outlook.com seit Mai 2025 ähnliche Anforderungen an große Absender. Kleine Betriebe sind von den strengsten Regeln nicht betroffen. Wer aber gar keine Einträge hat, landet trotzdem eher im Spam (Stand Oktober 2026; die Anbieter ändern ihre Regeln gelegentlich).

SPF: wer im Namen Ihrer Domain senden darf

SPF ist eine Liste der Server, die Mails mit Ihrer Domain verschicken dürfen. Sie steht als Texteintrag (TXT) bei Ihrer Domain. Ein einfacher Eintrag sieht etwa so aus:

ihre-firma.at  TXT  "v=spf1 mx ip4:192.0.2.10 include:_spf.beispiel-dienst.at -all"

Das heißt: Senden dürfen die Mailserver der Domain (mx), der Server mit der Adresse 192.0.2.10 und alle Server, die ein Dienst unter _spf.beispiel-dienst.at nennt. Das Ende entscheidet, was mit allen anderen geschieht:

-all: Alle anderen sind nicht erlaubt. Das ist die klare Aussage.
~all: Alle anderen sind verdächtig, aber nicht ausdrücklich verboten. Viele beginnen damit.

Drei Regeln werden oft übersehen:

Nur ein SPF-Eintrag je Domain. Gibt es zwei, ist das ein Fehler, und die Prüfung schlägt fehl. Neue Absender gehören in den bestehenden Eintrag.
Höchstens zehn Abfragen. Jedes include, a und mx kostet eine Abfrage, auch die Einträge innerhalb eines include. Sind es mehr als zehn, gilt der ganze Eintrag als fehlerhaft.
Jeder Absender muss drinstehen. Der häufigste Fehler: Newsletter-Dienst, Buchhaltungsprogramm, Webshop oder das Formular der Website verschicken Mails mit Ihrer Adresse, stehen aber nicht im SPF.

Nach einem Wechsel des Hosters muss der SPF-Eintrag den neuen Server nennen. Das wird beim Umzug leicht vergessen.

DKIM: das Siegel auf jeder Mail

DKIM ist eine Art Siegel. Der Mailserver unterschreibt jede ausgehende Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie als Eintrag bei Ihrer Domain, unter einem Namen wie default._domainkey.ihre-firma.at. Der Empfänger prüft damit, ob die Mail wirklich von Ihrem Server kommt und unterwegs nicht verändert wurde.

Den Schlüssel erzeugt Ihr Hoster oder Ihr Mailanbieter. Ihre Aufgabe ist meist nur, den Eintrag zu veröffentlichen oder veröffentlichen zu lassen. Wichtig: Jeder Dienst, der in Ihrem Namen sendet, braucht sein eigenes Siegel. Ein Newsletter-Dienst gibt Ihnen dafür einen eigenen Eintrag vor.

DMARC: was der Empfänger tun soll

DMARC verbindet die beiden. Der Eintrag steht unter _dmarc.ihre-firma.at und sagt dem Empfänger, was er mit einer Mail tun soll, die weder SPF noch DKIM passend zu Ihrer Absenderdomain besteht:

_dmarc.ihre-firma.at  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.at"

p=none: nur beobachten, nichts aussortieren.
p=quarantine: in den Spam legen.
p=reject: ablehnen.

„Passend“ heißt: Die Domain, die SPF oder DKIM bestätigt, muss zur Domain im sichtbaren Absender gehören. Eine Mail kann also SPF bestehen und DMARC trotzdem nicht, wenn ein fremder Dienst sie mit seiner eigenen Domain bestätigt.

Beginnen Sie mit p=none und einer Adresse für Berichte (rua). Die großen Anbieter schicken Ihnen dann regelmäßig Berichte, welche Server Mails in Ihrem Namen verschickt haben. Darin sehen Sie vergessene Absender, und manchmal auch Betrüger, die Ihre Domain missbrauchen. Erst wenn die Berichte einige Wochen lang nur Ihre eigenen Absender zeigen, verschärfen Sie auf quarantine und später auf reject.

So prüfen Sie Ihre Einträge

Unter Windows öffnen Sie die Eingabeaufforderung und geben ein:

nslookup -type=TXT ihre-firma.at
nslookup -type=TXT _dmarc.ihre-firma.at
nslookup -type=TXT default._domainkey.ihre-firma.at

Beim DKIM-Eintrag ersetzen Sie default durch den Namen, den Ihr Hoster verwendet; er steht in der Signatur einer Mail im Feld s=. Bequemer sind frei verfügbare Prüfseiten im Internet, die SPF, DKIM und DMARC auf einmal auswerten. Achten Sie bei jedem Ergebnis auf diese Punkte:

Es gibt genau einen Eintrag, der mit v=spf1 beginnt.
Alle Dienste, die in Ihrem Namen senden, stehen darin.
Der DKIM-Eintrag existiert und enthält einen Schlüssel (p= mit einer langen Zeichenfolge).
Es gibt einen DMARC-Eintrag, und die Berichtsadresse ist ein Postfach, das es wirklich gibt.

Wenn alle drei stimmen und Mails trotzdem im Spam landen

Der Inhalt: Mails, die nur aus einem Bild bestehen, verkürzte Links oder auffällige Betreffzeilen machen Filter misstrauisch.
Die Adresse des Servers steht auf einer Sperrliste. Das passiert, wenn von derselben Adresse Spam verschickt wurde, manchmal von einem fremden Kunden desselben Anbieters. Das kann nur Ihr Hoster beheben.
Der Rückwärtseintrag fehlt. Google verlangt, dass zur Adresse des sendenden Servers ein passender Name hinterlegt ist. Auch das richtet der Betreiber des Servers ein.
Das Formular der Website sendet mit der Adresse des Besuchers als Absender. Dann schickt Ihr Server Mails im Namen fremder Domains, und deren Einträge schlagen fehl.
Plötzlich viele Mails aus Ihrem Namen. Kommen Rückläufer von Mails, die Sie nie geschrieben haben, kann Ihre Website missbraucht werden. Lesen Sie dann, was zu tun ist, wenn die Website befallen ist.

Was wir bei unserer eigenen Domain gemacht haben

Auch bei harb.at war im Oktober 2026 der Versand des Rückrufformulars nicht sauber eingerichtet. Ein Grund war genau der häufigste Fehler: Der Server, auf dem die Website läuft, stand nicht in der SPF-Liste. Wir haben den Eintrag ergänzt und das Formular außerdem so umgestellt, dass es über den regulären Mailserver der Domain sendet statt direkt vom Webserver. Heute ist der SPF-Eintrag von harb.at mit -all abgeschlossen, DKIM ist eingerichtet, und DMARC steht vorerst auf p=none mit Berichten. Das ist der vorsichtige Anfang, den wir auch Ihnen empfehlen.

Kurz zusammengefasst

Mails landen oft im Spam, weil die Domain keine oder falsche Nachweise hat.
SPF nennt die erlaubten Absender: ein Eintrag, alle Dienste darin, höchstens zehn Abfragen.
DKIM ist das Siegel; jeder Dienst, der in Ihrem Namen sendet, braucht sein eigenes.
DMARC mit p=none und Berichten beginnen, nach einigen Wochen verschärfen.
Stimmen alle drei, liegt es an Inhalt, Sperrliste, Rückwärtseintrag oder am Formular der Website.

Sie möchten, dass jemand Ihre Einträge prüft und richtig setzt? Bei Webhosting bei Harb gehören E-Mail-Postfächer dazu. Sprechen Sie uns an, wir sehen uns SPF, DKIM und DMARC Ihrer Domain an und sagen Ihnen, was fehlt.