SPF, DKIM und DMARC: Absendertechnik nachvollziehbar einrichten

Welche Aufgabe erfüllen SPF, DKIM und DMARC?

SPF prüft, ob der sendende Server für die Domain des Envelope-Absenders autorisiert ist. DKIM ermöglicht die Prüfung einer kryptografischen Signatur und nennt dabei eine Signaturdomain. DMARC bewertet, ob eine erfolgreiche SPF- oder DKIM-Prüfung zur sichtbaren From-Domain passt, und beschreibt den gewünschten Umgang mit Fehlschlägen. Die unterschiedlichen Domains erläutert Klaviyo im Überblick zu zustellungsrelevanten Domains.

Diese Funktionen ergänzen sich. Ein sichtbarer Absendername ist kein technischer Eigentumsnachweis. Eine bestandene SPF-Prüfung allein zeigt noch nicht, dass DMARC für den sichtbaren Absender besteht. Erfassen Sie deshalb im Prüfprotokoll die tatsächlichen Domains und Ergebnisse. So lässt sich ein Fehler gezielt einer Konfiguration zuordnen, statt alle Begriffe unter „DNS funktioniert“ zusammenzufassen.

Alle legitimen Sender vor einer Änderung erfassen

Erstellen Sie ein Senderinventar für Marketing, Shopbestätigungen, Support, Rechnungen und interne Kommunikation. Notieren Sie je Dienst sichtbare From-Domain, Versanddomain und Zuständigkeit. Auch ein selten genutzter Dienst kann wichtige Nachrichten verschicken. Eine Domainrichtlinie betrifft deren Empfänger ebenso wie den Newsletter.

Ein eigenes Modellbeispiel: Marketing läuft über Klaviyo, Rechnungen über eine Buchhaltungssoftware und Support über einen Helpdesk. DKIM funktioniert bei Marketing bereits, beim Rechnungsdienst jedoch noch nicht passend zur Absenderdomain. Eine sofortige Verschärfung der DMARC-Richtlinie würde diese Lücke nicht reparieren. Prüfen Sie zunächst die legitimen Nachrichten des Rechnungsdienstes und korrigieren Sie dessen Konfiguration. Erst danach lässt sich die gemeinsame Richtlinie begründet weiterentwickeln.

DNS-Werte aus dem richtigen Klaviyo-Account verwenden

Der aktuelle Klaviyo-Leitfaden zur DNS- und SPF-Fehlersuche unterscheidet dynamisches Routing mit NS-Einträgen und statisches Routing mit CNAME- sowie Verifizierungseinträgen. Übernehmen Sie genau die Werte, die Ihr Account für die gewählte Konfiguration vorgibt. Klaviyo betreibt SPF für den verwendeten Return-Path; ein zusätzlicher SPF-Eintrag an der Hauptdomain ist deshalb keine pauschale Klaviyo-Pflicht.

Prüfen Sie im DNS-Editor, ob der Anbieter den Domainnamen selbst ergänzt. Sonst kann aus einem vorgesehenen Host versehentlich eine doppelte Domain entstehen. Kontrollieren Sie anschließend die öffentliche Auflösung. Bereits vorhandene Einträge dürfen nicht blind ersetzt werden. Bei Änderungen am SPF-Inhalt braucht es einen zusammenhängenden gültigen Eintrag für die betroffene Domain, keine zweite parallele SPF-Definition. Sichern Sie den Ausgangsstand, damit eine fehlerhafte eigene Änderung gezielt zurückgenommen werden kann.

Was bedeutet Alignment in der praktischen Prüfung?

Alignment beschreibt die passende Beziehung der erfolgreich authentifizierten Domain zur sichtbaren From-Domain. Je nach DMARC-Einstellung wird diese Beziehung unterschiedlich streng bewertet. Prüfen Sie daher nicht nur „SPF pass“, sondern auch „DMARC pass“ in den vom Empfänger hinzugefügten Authentifizierungsergebnissen. Leiten Sie den Befund aus einer empfangenen Nachricht ab und vergleichen Sie ihn mit dem erwarteten Setup.

Die Google-Senderrichtlinien enthalten besondere Anforderungen für große Absender an persönliche Gmail-Konten, darunter SPF, DKIM, DMARC und Alignment. Verwenden Sie die aktuelle Vorgabe für den eigenen Fall. Eine bestandene Prüfung bei Gmail ist ein konkreter technischer Nachweis, aber noch keine Garantie für Inbox-Platzierung oder die Behandlung jeder Weiterleitung und jedes Empfängers.

Eine empfangene Nachricht sicher auswerten

Öffnen Sie die Originalnachricht oder Headeransicht einer eigenen Testmail. Vergleichen Sie From, Return-Path, DKIM-Signaturdomain und Authentication-Results. Nutzen Sie die vom empfangenden Mailanbieter ergänzten Ergebnisse. Ein frei im Nachrichtentext stehendes „authenticated“ ist kein Prüfbeleg. Bei mehreren Headerabschnitten muss nachvollziehbar sein, welcher empfangende Server die Bewertung vorgenommen hat.

Teilen Sie vollständige Header nur mit berechtigten Personen, weil sie Adressen und technische Metadaten enthalten können. Für ein internes Protokoll genügen häufig Domains, Ergebnisse und Zeitpunkt. Bei Verdacht auf eine fremde Nachricht sollten keine darin enthaltenen Links geöffnet werden, um den Absender zu testen. Die Authentifizierung ist ein technischer Baustein der Prüfung; eine korrekt signierte Mail kann dennoch einen irreführenden Inhalt enthalten.

DMARC-Richtlinien schrittweise entwickeln

Eine beobachtende Richtlinie kann helfen, legitime Versandquellen und Fehler zu erkennen. Prüfen Sie die Berichte mit der zuständigen Technik und ordnen Sie Sender nachvollziehbar zu. Eine starke Richtlinie sollte nicht dazu führen, dass notwendige Shop- oder Unternehmensmails unbemerkt abgelehnt werden. Die Entscheidung folgt deshalb auf die Bereinigung des Senderinventars und die erfolgreiche Prüfung der genutzten Dienste.

Ändern Sie eine Einstellung nach der anderen und beobachten Sie die relevanten Mailtypen. Ein neuer Versanddienst, ein Domainwechsel oder ein geänderter Absender kann eine erneute Prüfung verlangen. Dokumentieren Sie den Zeitpunkt, die konkrete Änderung und die empfangenen Nachweise. So lässt sich später erkennen, ob ein neuer Fehler mit der Richtlinie, einer einzelnen Integration oder einem anderen Versandweg zusammenhängt.

Checkliste zur technischen Abnahme

• Die accountbezogenen Hostnamen und Werte sind öffentlich korrekt aufgelöst.
• Vorhandene Unternehmenssender bleiben berücksichtigt.
• Klaviyo zeigt die vorgesehene Domain als verifiziert und aktiviert.
• Eine empfangene Marketingmail zeigt die erwarteten SPF-, DKIM- und DMARC-Ergebnisse.
• Shop-, Rechnungs- und Supportmails wurden gesondert geprüft.
• Ausgangsstand, Änderungen und Verantwortliche sind dokumentiert.

Schließen Sie die Abnahme erst nach echten Testsendungen ab. Eine gespeicherte DNS-Zeile belegt noch nicht die spätere Nachricht. Bei auffälligen Providerreaktionen ergänzen Sie Versandprotokoll und konkrete Antwortcodes. So bleibt klar, was technisch bestätigt ist und welche Zustellfragen darüber hinaus untersucht werden müssen.