Warum E-Mails Ihrer Website im Spam landen: SPF, DKIM und DMARC erklärt

E-Mail hat keinen eingebauten Nachweis, wer eine Nachricht gesendet hat, und jeder kann eine beliebige Adresse in die Absenderzeile schreiben. Empfangende Server suchen deshalb nach Belegen dafür, dass eine Nachricht wirklich von der Domain stammt, die sie angibt, und wenn sie keine finden, sortieren sie sie als Spam ein oder weisen sie ab. Mails von einer Website sind das klassische Opfer: Sie werden von einem Webserver erzeugt, nicht vom normalen Mailsystem des Unternehmens, auf einer Maschine, für die die Domain nie gebürgt hat.

Die Belege liefern drei DNS-Einträge, die die sendende Domain veröffentlicht. SPF sagt, welche Server Mails für die Domain senden dürfen. DKIM fügt eine Signatur hinzu, die beweist, dass die Nachricht mit einem von der Domain veröffentlichten Schlüssel signiert und nicht verändert wurde. DMARC sagt den Empfängern, was zu tun ist, wenn die ersten beiden Prüfungen scheitern, und bittet sie um Berichte. Geschäftliche Mailanbieter, darunter Microsoft 365 und Google Workspace, prüfen alle drei und behandeln nicht authentifizierte Mails mit Misstrauen, ganz gleich, was im Inhalt steht.

Jede Nachricht trägt zwei Absenderidentitäten. Der Envelope-Absender ist die Adresse, die der sendende Server bei der Zustellung ankündigt und an die Unzustellbarkeitsmeldungen gehen. Der From-Header ist das, was der Leser sieht. SPF prüft die Domain des Envelope-Absenders, DKIM signiert mit einer eigenen Domain, und DMARC prüft, ob mindestens eine dieser Domains zum From-Header passt. Diese Übereinstimmung heißt Alignment, und sie ist der Schritt, von dem die meisten noch nie gehört haben.

SPF ist ein TXT-Eintrag auf der Domain selbst. Er listet die IP-Adressen und eingebundenen Anbieter auf, die Mails für die Domain senden dürfen, und endet mit einer Regel für alle anderen: ~all (als verdächtig behandeln) oder -all (durchfallen lassen). Eine Website, die über das Mail-Relay des Hosting-Anbieters sendet, braucht dieses Relay im Eintrag. Ein Eintrag, der auf -all endet und das Relay vergisst, erzeugt bei jeder Nachricht der Website einen harten Fehler; das passiert oft, wenn die Büro-Mails abgesichert werden und niemand an die Website denkt.

DKIM ist ein öffentlicher Schlüssel, veröffentlicht unter selector._domainkey.example.com. Der sendende Server signiert jede Nachricht mit dem passenden privaten Schlüssel; der Empfänger holt den öffentlichen Schlüssel und prüft die Signatur. Wenn Ihre Website über einen Maildienst oder das Hosting-Relay sendet, gibt Ihnen dieser Dienst den Schlüssel zum Veröffentlichen und übernimmt das Signieren.

DMARC ist ein TXT-Eintrag unter _dmarc.example.com. Er legt eine Richtlinie für Nachrichten fest, die sowohl bei SPF als auch bei DKIM mit Alignment durchfallen: p=none (zustellen und berichten), p=quarantine (Spam-Ordner) oder p=reject. Außerdem nennt er eine Adresse für zusammengefasste Berichte, die die Empfänger täglich senden. Diese Berichte sind die einzige Möglichkeit zu sehen, welche Server in Ihrem Namen Mails senden und ob sie die Prüfungen bestehen. Beginnen Sie mit p=none, lesen Sie die Berichte einige Wochen lang, beheben Sie jeden legitimen Absender, der durchfällt, und gehen Sie dann zu quarantine oder reject über.

Viele Kontaktformular-Plugins setzen die Adresse des Besuchers in die Absenderzeile, damit der Leser einfach auf Antworten klicken kann. Diese Einstellung scheitert heute an allen drei Prüfungen zugleich: Ihr Server steht nicht im SPF-Eintrag der Domain des Besuchers, er hat keinen DKIM-Schlüssel für diese Domain, und die Absenderdomain ist die des Besuchers, sodass Alignment unmöglich ist. Veröffentlicht der Anbieter des Besuchers eine reject- oder quarantine-Richtlinie, wird der Empfänger angewiesen, die Nachricht abzuweisen oder zu verstecken, und Sie sehen die Anfrage nie.

Die richtige Einstellung ist einfach:

1. Absenderadresse: ein Postfach auf Ihrer eigenen Domain, zum Beispiel website@example.com, das SPF und DKIM abdecken.
2. Absendername: Der Name des Besuchers ist in Ordnung, er ist nur eine Beschriftung.
3. Reply-To: die Adresse des Besuchers, damit eine Antwort trotzdem die richtige Person erreicht.
4. Sendeweg: eine authentifizierte Verbindung zu Ihrem Mailanbieter oder einem Maildienst, kein unauthentifizierter Versand vom Webserver, damit die Nachricht signiert wird und von einem gelisteten Server abgeht.

Prüfen Sie auch, wohin die Nachricht geht. Liegt die Empfängeradresse auf Ihrer eigenen Domain, Ihre Postfächer aber bei einem anderen Anbieter, muss das Hosting-Konto die Mails für die Domain an diesen Anbieter weiterleiten. Steht es stattdessen auf lokaler Zustellung, übergibt der Webserver die Nachricht an ein Postfach auf sich selbst oder an gar nichts, und niemand bekommt eine Fehlermeldung. Kein DNS-Eintrag behebt das.

Die folgenden Einträge dienen der Veranschaulichung und verwenden die reservierte Domain example.com sowie eine Dokumentations-IP-Adresse. Ersetzen Sie das Include und den Schlüssel durch die Werte, die Ihr Anbieter Ihnen gibt.

So liest man es: Das Relay des Mailanbieters ist über sein Include erlaubt, der eigene Server der Website über seine IP-Adresse, und alles andere fällt durch. Die Website signiert mit dem Selector „mail“ und sendet von einer Adresse auf example.com, sodass SPF wie DKIM mit der Absenderdomain übereinstimmen. Zieht die Website später zu einem anderen Hoster um, müssen SPF und der DKIM-Schlüssel noch am selben Tag geändert werden. Zwei Warnungen: Eine Domain darf genau einen SPF-Eintrag haben, ein zweiter macht beide ungültig; und DNS-Änderungen brauchen Zeit, um sich zu verbreiten, testen Sie also Stunden nach dem Veröffentlichen, nicht Sekunden.

Die folgenden Zahlen sind ein Beispiel zur Veranschaulichung dafür, was die Korrektur der Einstellung bei einer Website ändert, die 200 Formularanfragen im Monat erhält. Vorher: 120 im Posteingang, 60 im Spam, 20 abgewiesen (120 + 60 + 20 = 200). Nachher: 196, 3 und 1 (196 + 3 + 1 = 200).

Mail-Authentifizierung ist keine einmalige Aufgabe. Jedes neue sendende System, jeder Hosterwechsel und jede verschärfte Richtlinie kann sie wieder zerstören, und deshalb gehört sie in die regelmäßige Website-Betreuung. Bei einer Website auf Managed Hosting sollten Sendeweg, SPF und DKIM dokumentiert sein, damit eine spätere Änderung sie nicht wieder aufhebt.

Ein Neubau ist ein guter Moment, all das zu prüfen, denn der Sendeweg ändert sich meist mit dem Hoster. Wenn Ihre Website umzieht oder neu gestaltet wird, setzen Sie die Mail-Einrichtung auf die Checkliste für die Migration und testen Sie sie, bevor die alte Website abgeschaltet wird.