Vorhaben besprechen

TOOLBOX · DOWNLOAD

SPF, DKIM, DMARCin fünfSchritten.

Mit SPF, DKIM und DMARC belegen Sie, dass E-Mails mit Ihrer Domain wirklich von Ihnen stammen, und sagen Empfängern, wie sie mit Fälschungen umgehen sollen. Dieser Plan führt in fünf Schritten von der Bestandsaufnahme bis zur Richtlinie p=reject, mit Beispiel-Einträgen für das DNS und den Stolpersteinen aus den Standards. Er berücksichtigt den im Mai 2026 veröffentlichten DMARC-Standard RFC 9989.

PDF herunterladen (5 Seiten)Was drinsteht

Kostenloses PDF

E-Mail-Sicherheit: SPF, DKIM und DMARC in fünf Schritten

Format
PDF, A4
Umfang
5 Seiten
Größe
269 KB
Stand
22.10.2026
Quellen
11
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Einführungsplan von der Bestandsaufnahme bis p=reject, nach RFC 7208, RFC 6376 und dem DMARC-Standard RFC 9989.

  • IT-Verantwortliche und Administratoren von Mailservern und Microsoft 365
  • Unternehmen, deren Domain für Phishing missbraucht wird oder werden könnte
  • Wer Newsletter, Rechnungen oder Tickets über externe Dienste versendet

7 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Wer was prüft

    SPF, DKIM und DMARC in einer Tabelle: was geprüft wird, wo der Eintrag steht, welcher Standard gilt.

  • 02

    Schritt 1: Alle Absender erfassen

    Jeder Dienst, der mit Ihrer Domain sendet, braucht passendes SPF oder DKIM, sonst scheitert er später an DMARC.

  • 03

    Schritt 2: SPF veröffentlichen

    Ein Eintrag pro Domain, höchstens zehn DNS-Abfragen, am Ende -all oder ~all.

  • 04

    Schritt 3: DKIM für jeden Absender

    Signieren mit rsa-sha256 und 2048-Bit-Schlüssel; der öffentliche Schlüssel steht im DNS unter dem Selektor.

  • 05

    Schritt 4: DMARC im Beobachtungsmodus

    p=none mit Berichtsadresse veröffentlichen, Berichte maschinell auswerten, Lücken schließen.

  • 06

    Schritt 5: Über quarantine zu reject

    Mindestens einen Monat p=none, ebenso lange p=quarantine, dann p=reject, mit Blick auf Mailinglisten.

  • 07

    Auf einen Blick

    Die sieben Punkte zum Abhaken, vom Absenderverzeichnis bis zur abgesicherten Zweitdomain.

AUSZUG

Schritt 5: Über quarantine zu reject

Stufen bis p=reject (RFC 9989, Abschnitt 7.4)
StufeDMARC-EintragDauer
Beobachtenv=DMARC1; p=none; rua=mailto:…mindestens einen Monat
Quarantänev=DMARC1; p=quarantine; rua=mailto:…ebenso lange; Ergebnisse mit der Beobachtungsphase vergleichen
Ablehnenv=DMARC1; p=reject; rua=mailto:…dauerhaft, wenn alle legitimen Absender bestehen
  • t=y kennzeichnet eine Richtlinie im Test: Empfänger wenden eine Stufe weniger an, bei p=reject also nur quarantine (RFC 9989, Tag t). Den früheren Tag pct gibt es seit RFC 9989 nicht mehr; ältere Anleitungen, auch von Microsoft, nennen ihn noch.
  • Subdomains: sp gilt für bestehende Subdomains, np für nicht existierende; fehlen beide, gilt p (RFC 9989, Tags sp und np).
  • Mailinglisten: Domains, deren Nutzer an Mailinglisten im Internet schreiben, sollen laut RFC 9989 kein p=reject veröffentlichen; wer es trotzdem tut, soll die Nutzer darauf hinweisen, dass die Teilnahme an Mailinglisten beeinträchtigt sein kann (Abschnitt 7.4).
DNS: Domain ganz ohne E-Mail-Verkehr
parked.example.com.         IN TXT "v=spf1 -all"
_dmarc.parked.example.com.  IN TXT "v=DMARC1; p=reject;"
parked.example.com.         IN MX  0 .

Der Null-MX-Eintrag MX 0 . sagt, dass die Domain keine E-Mails annimmt; daneben darf es keinen anderen MX-Eintrag geben, und Domains, die als Absender genutzt werden, sollen ihn nicht veröffentlichen (RFC 7505). Für ungenutzte Domains empfiehlt Microsoft DMARC-Einträge, nach denen nie E-Mails von ihnen kommen dürfen, und keine DKIM-Einträge.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. RFC 7208: Sender Policy Framework (SPF) (öffnet in neuem Tab)Abschnitte 2.6, 3.3, 4.5, 4.6.4, 5.5, 8.5, 10.1.2, 11.2
  2. RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (öffnet in neuem Tab)Abschnitte 3.5, 3.6.1, 3.6.2.1
  3. RFC 8301: Cryptographic Algorithm and Key Usage Update to DKIM (öffnet in neuem Tab)Abschnitte 3.1 und 3.2
  4. RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (öffnet in neuem Tab)Standards Track, Mai 2026, ersetzt RFC 7489
  5. RFC 9990: DMARC Aggregate Reporting (öffnet in neuem Tab)
  6. RFC 9991: DMARC Failure Reporting (öffnet in neuem Tab)
  7. RFC 7489: DMARC (frühere Fassung, Informational, März 2015) (öffnet in neuem Tab)
  8. RFC 7505: A "Null MX" No Service Resource Record (öffnet in neuem Tab)
  9. Microsoft Learn: DKIM für Microsoft 365 einrichten (öffnet in neuem Tab)
  10. Microsoft Learn: DMARC für Microsoft 365 einrichten (öffnet in neuem Tab)
  11. Microsoft Learn: SPF für Microsoft 365 einrichten (öffnet in neuem Tab)

Die DNS-Einträge sind Beispiele mit reservierten Beispieldomains. Übernehmen Sie Werte erst nach der Bestandsaufnahme: Eine zu früh gesetzte Richtlinie p=reject kann dazu führen, dass legitime E-Mails abgewiesen werden.

TOOLBOX

Passend
dazu.

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads