Wissen · Microsoft 365
SPF, DKIM und DMARC: Schutz für Ihre Firmen-E-Mail
Was SPF, DKIM und DMARC bewirken und wie Sie Versanddienste geordnet prüfen. Verständlich erklärt für kleine Unternehmen mit Microsoft 365.
Die kurze Antwort
SPF, DKIM und DMARC helfen empfangenden Mailservern, Nachrichten mit Ihrer Absenderdomain zu bewerten. Dafür müssen alle berechtigten Versanddienste erfasst und passend eingerichtet sein. Die Verfahren erschweren bestimmte Formen des Absendermissbrauchs, garantieren aber keine Zustellung im Posteingang.
Die drei Verfahren verständlich erklärt
| Verfahren | Vereinfacht erklärt | Wichtige Grenze |
|---|---|---|
| SPF | Legt fest, welche Systeme für eine Domain versenden dürfen. | Geprüft wird eine technische Absenderdomain, nicht allein der sichtbare Absender. |
| DKIM | Versieht Nachrichten mit einer prüfbaren Signatur eines Versanddienstes. | Eine gültige Signatur muss für DMARC zur sichtbaren Absenderdomain passen. |
| DMARC | Verknüpft den sichtbaren Absender mit SPF oder DKIM und veröffentlicht eine gewünschte Behandlung. | Mindestens ein passendes Verfahren muss erfolgreich sein; Empfänger entscheiden über ihre Behandlung. |
Das Zusammenspiel ist wichtig. Ein bloß vorhandener DNS-Eintrag belegt noch nicht, dass die Nachrichten Ihres Rechnungsprogramms oder der Website korrekt versendet werden. Prüfen Sie deshalb echte Nachrichten aus jedem verwendeten Dienst.
Zuerst alle Versandquellen erfassen
Neben Outlook versenden häufig weitere Systeme unter einer Firmenadresse: Websiteformulare, Newsletter, Rechnungsprogramme, Scanner oder Buchungssysteme. Notieren Sie für jede Quelle die verwendete Adresse und den technischen Anbieter.
Beispiel: Microsoft 365 versendet die normalen E-Mails, während das Rechnungsprogramm direkt über einen anderen Dienst sendet. Wird nur Microsoft berücksichtigt, kann eine später strengere Richtlinie die Rechnungsnachrichten beeinträchtigen. Deshalb beginnt die Einrichtung mit der vollständigen Liste.
Klären Sie außerdem den Zugang zur DNS-Verwaltung der Domain. DNS-Einstellungen verbinden die Domain mit ihren Diensten. Änderungen sollten dokumentiert werden, damit sich der vorherige Zustand bei Bedarf nachvollziehen lässt.
In kontrollierten Schritten einrichten
- Bestand prüfen: vorhandene DNS-Einträge und berechtigte Versandquellen aufnehmen.
- SPF abstimmen: die Vorgaben der Anbieter in einer passenden Konfiguration zusammenführen.
- DKIM aktivieren: jeden unterstützten Versanddienst nach dessen Dokumentation einrichten.
- DMARC beobachten: Berichte und Testnachrichten auswerten, bevor die gewünschte Behandlung verschärft wird.
- Nachtesten: normale E-Mails, Rechnungen und Formulare einzeln kontrollieren.
Übernehmen Sie keine allgemeine DNS-Vorlage ungeprüft. Mehrere eigenständige SPF-Einträge für dieselbe Domain oder nicht berücksichtigte Anbieter können Fehler verursachen. Die konkreten Werte richten sich nach den tatsächlich verwendeten Diensten.
Auch Weiterleitungen und Verteiler können das Ergebnis beeinflussen. Entscheidend ist deshalb nicht nur ein Online-Test der DNS-Einträge, sondern die Prüfung des realen Versandwegs.
Was diese Einstellungen nicht leisten
Eine technisch korrekt authentifizierte E-Mail kann weiterhin unerwünscht oder betrügerisch sein. Ebenso sind ähnliche, aber andere Domains und kompromittierte echte Konten damit nicht vollständig abgedeckt. Kontoschutz, E-Mail-Filter und ein verständlicher Meldeweg bleiben nötig.
Zustellung hängt zudem von weiteren Signalen und den Regeln des Empfängers ab. Deshalb wäre die Zusage „Danach landen alle E-Mails im Posteingang“ falsch. Die Einrichtung schafft eine nachvollziehbare Grundlage für Ihren berechtigten Versand.
Die übrigen Einstellungen ordnen wir im Artikel Microsoft-365-Sicherheit für KMU ein. Bei einem E-Mail-Umzug sollten bestehende Versanddienste von Anfang an berücksichtigt werden.
Änderungen später mitpflegen
Wenn ein neuer Newsletterdienst, ein anderes Rechnungsprogramm oder eine neue Website hinzukommt, muss der Versand erneut geprüft werden. Halten Sie deshalb die Liste der berechtigten Anbieter aktuell und benennen Sie einen Verantwortlichen für Änderungen.
nexora IT kann die vorhandene Konfiguration und Testnachrichten prüfen sowie die abgestimmten Anpassungen umsetzen. Domain, Versanddienste und der gewünschte Umfang werden vorher geklärt. Neue Richtlinien werden nicht ohne Rücksicht auf laufende Geschäftsprozesse verschärft.
Checkliste für Ihren Betrieb
- Alle Programme und Dienste mit Firmenabsender bekannt?
- DNS-Zugang und vorhandene Einträge dokumentiert?
- Testnachrichten je Versanddienst geprüft?
- Verantwortlicher für neue Versandquellen benannt?
Häufige Fragen
Ist DMARC dasselbe wie ein Spamfilter?
Nein. DMARC dient der Bewertung der Absenderdomain in Verbindung mit SPF oder DKIM. Ein Spamfilter bewertet zusätzlich andere Merkmale einer Nachricht.
Sollten wir sofort eine ablehnende DMARC-Richtlinie setzen?
Erst müssen berechtigte Versandwege korrekt eingerichtet und geprüft sein. Eine ungeprüfte Verschärfung kann erwünschte Nachrichten beeinträchtigen.
Quellen und Einordnung
Fachliche Grundlagen: die unten verlinkten Originalquellen, geprüft am 8. November 2026. Die Empfehlungen zur Planung sind unsere Einordnung für kleine Unternehmen. Funktionen und Lizenzbedingungen werden vor einer Umsetzung erneut abgeglichen.