SPF, DKIM und DMARC einfach erklärt für Onlineshops

Warum Posteingänge diese drei Einträge prüfen#

Jeder kann jede beliebige Adresse in die Absenderzeile einer E-Mail schreiben. Mit SPF, DKIM und DMARC erkennt ein empfangender Posteingang, ob eine Nachricht, die angeblich von ninefold.example stammt, wirklich von Ninefold kommt. Jeder davon ist ein DNS-Eintrag, den Sie auf Ihrer Domain veröffentlichen, und jeder beantwortet eine andere Frage.

Für einen Shop zeigt sich die Wirkung praktisch bei der Zustellung in den Posteingang. Google verlangt von jedem Absender, SPF oder DKIM einzurichten, und wer mehr als 5.000 Nachrichten pro Tag an private Gmail-Konten sendet, muss SPF, DKIM und DMARC haben ^S4. Yahoo legt für Massenversender dieselbe Grundlage fest ^S5. Auch unterhalb dieser Mengen baut authentifizierte E-Mail Absenderreputation auf Ihrer eigenen Domain auf, und ein DMARC-Eintrag macht es deutlich schwerer, in Ihrem Namen Phishing-E-Mails zu versenden.

Was jeder Eintrag tut#

SPF: welche Server für Sie senden dürfen

SPF ist ein TXT-Eintrag, der die Server auflistet, die für eine Domain E-Mails senden dürfen. Der empfangende Server vergleicht die IP-Adresse, die sich mit ihm verbunden hat, mit dieser Liste. SPF prüft den Envelope-Absender (die MAIL-FROM-Adresse, die bei der Zustellung verwendet wird und auch die Bounces erhält), nicht die Absenderadresse, die Ihr Kunde sieht ^S1. Ein typischer Eintrag für einen Shop, der ein Workspace-Postfach und einen E-Mail-Marketing-Dienst nutzt, sieht so aus:

v=spf1 include:spf.mailbox.example include:spf.mailservice.example ~all

Jedes include bindet die Liste eines weiteren Anbieters ein. Das Ende legt fest, was mit allem anderen geschieht: -all ist ein Fail, ~all ein Softfail, aufgrund dessen Empfänger allein nicht ablehnen sollten ^S1.

DKIM: eine Signatur auf jeder Nachricht

DKIM fügt den Headern der Nachricht eine kryptografische Signatur hinzu. Die Signatur nennt eine signierende Domain (d=) und einen Selektor (s=), und der Empfänger ruft den öffentlichen Schlüssel aus einem DNS-Eintrag unter selector._domainkey.domain ab ^S2. Haben sich die signierten Header oder der Text unterwegs verändert, schlägt die Prüfung fehl. Bei DKIM allein muss die signierende Domain nicht mit der Absenderadresse übereinstimmen ^S2; genau deshalb gibt es DMARC.

DMARC: die Richtlinie, die sie mit Ihrer sichtbaren Absenderadresse verknüpft

DMARC ist ein TXT-Eintrag unter _dmarc.yourdomain. Er bittet Empfänger zu bestätigen, dass SPF oder DKIM für eine Domain bestanden hat, die zur sichtbaren Absenderadresse passt, legt fest, wie mit fehlgeschlagenen E-Mails umzugehen ist (none, quarantine oder reject), und nennt, wohin Berichte gehen sollen ^S3. Ein erster Eintrag kann so kurz sein wie v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example.

Wie sie zusammenarbeiten: das Alignment#

SPF und DKIM können beide für die falsche Domain bestehen. Ein Marketingdienst kann SPF für seine eigene Bounce-Domain bestehen und mit DKIM als er selbst signieren, während in der Absenderzeile ninefold.example steht. Keines der beiden Ergebnisse sagt dann etwas über Ninefold aus.

DMARC schließt diese Lücke mit dem Alignment, also der Übereinstimmung der Domains. Eine Nachricht besteht DMARC, wenn SPF für eine Domain besteht, die zur Absenderdomain passt, oder DKIM für eine Domain besteht, die zu ihr passt ^S3. Standardmäßig ist das Alignment entspannt (relaxed): Eine DKIM-Signatur von mail.ninefold.example passt zu einer Absenderadresse unter ninefold.example; striktes Alignment verlangt eine exakte Übereinstimmung ^S3. Gmail und Yahoo nennen für Massenversender dieselbe Regel: Die Absenderdomain muss mit der SPF-Domain oder der DKIM-Domain übereinstimmen ^S4S5.

Ein passendes DKIM ist wichtiger als ein passendes SPF. Wird eine Nachricht weitergeleitet, verbindet sich der weiterleitende Server von seiner eigenen IP-Adresse aus, sodass SPF für die ursprüngliche Domain oft fehlschlägt ^S1. Eine DKIM-Signatur bleibt gültig, solange die Nachricht nicht verändert wird.

Was ein Shop veröffentlichen muss#

Listen Sie jeden Dienst auf, der E-Mails mit Ihrer Domain in der Absenderadresse versendet, bevor Sie das DNS anfassen. Für ein kleines Modelabel wie Ninefold sind das meist ein Workspace-Postfach, die Bestell- und Versand-E-Mails der Shop-Plattform, ein Helpdesk und ein E-Mail-Marketing-Tool. Jeder davon muss abgedeckt sein.

1. Ein SPF-Eintrag, der jeden Dienst einschließt, der als Ihre Domain sendet.
2. DKIM in jedem dieser Dienste aktiviert, mit Ihrer Domain als signierender Domain. Jeder Dienst gibt Ihnen einen eigenen Eintrag und Selektor, sodass mehrere DKIM-Einträge nebeneinander bestehen können.
3. Ein DMARC-Eintrag, beginnend mit p=none und einer Berichtsadresse, damit Sie sehen, wer in Ihrem Namen sendet, bevor Sie etwas durchsetzen. Der Ratgeber zur DMARC-Einrichtung führt Sie durch den Wechsel zu quarantine und reject.

Authentifizierung ist ein Teil dessen, was Postfachanbieter erwarten. Sie achten auch auf die One-Click-Abmeldung und auf Ihre Spam-Beschwerderate; den Rest behandelt der Ratgeber zu den Grundlagen der Zustellbarkeit.

Häufige Fehler#

• Zwei SPF-Einträge. Eine Domain darf nur einen Eintrag haben, der mit v=spf1 beginnt; bei zwei liefert SPF für jede Nachricht einen permanenten Fehler ^S1. Führen Sie sie zu einem Eintrag zusammen.
• Zu viele Lookups. Jedes include, a, mx, ptr, exists und redirect kostet eine DNS-Abfrage, und SPF bricht nach 10 mit einem Fehler ab ^S1. Entfernen Sie Dienste, die Sie nicht mehr nutzen, statt Includes zu stapeln.
• DKIM mit der Domain des Anbieters signiert. Die Signatur besteht, passt aber nicht zu Ihrer Absenderadresse. Richten Sie DKIM in jedem Tool auf Ihrer eigenen Domain ein.
• Direkt auf p=reject springen. Ein vergessener Absender, etwa die Bestellbestätigungen Ihrer Shop-Plattform, scheitert dann unbemerkt. Beginnen Sie mit p=none und lesen Sie zuerst die Berichte.
• Keine Berichtsadresse. Ein DMARC-Eintrag ohne rua liefert Ihnen keine Daten, mit denen Sie arbeiten können. Yahoo empfiehlt ausdrücklich ein funktionierendes rua-Tag während der Einrichtung ^S5.

So prüfen Sie Ihre Einträge#

Was veröffentlicht ist, prüfen Sie mit einer DNS-Abfrage; was die Empfänger tatsächlich gesehen haben, lesen Sie in einer echten Nachricht ab.

• Im Terminal: dig +short TXT ninefold.example zeigt den SPF-Eintrag, dig +short TXT _dmarc.ninefold.example zeigt DMARC, und dig +short TXT selector._domainkey.ninefold.example zeigt einen DKIM-Schlüssel, sobald Sie den Selektor kennen.
• Im Browser: Jedes DNS-Lookup-Tool, das TXT-Einträge abfragt, liefert dieselben Antworten.
• In einer echten Nachricht: Senden Sie eine Test-E-Mail an eine Gmail-Adresse, öffnen Sie sie und wählen Sie Mehr und dann Original anzeigen ^S6. Der Header zeigt für diese Nachricht je ein Ergebnis für SPF, DKIM und DMARC sowie die Domains, für die jede Prüfung bestanden hat.

DMARC ist inzwischen auf dem IETF-Standardisierungspfad: RFC 9989, veröffentlicht im Mai 2026, ersetzt RFC 7489 ^S3S7. Einträge beginnen weiterhin mit v=DMARC1, sodass ein nach den älteren Regeln geschriebener Eintrag weiter funktioniert ^S3.

Authentifizierung mit Tellnod in Claude oder ChatGPT einrichten#

Tellnod ist ein MCP-Connector, mit dem Sie Marketing-E-Mails in Claude oder ChatGPT schreiben, in der Vorschau prüfen und versenden. Ab dem ersten Tag können Sie von einer nach Ihrem Shop benannten Adresse auf der gemeinsamen Domain von Tellnod senden, etwa hello@yourshop.tellnodmail.com, ganz ohne DNS-Änderungen und innerhalb der Grenzen von 500 Empfängern pro Kampagne und 1.000 E-Mails im Monat. Die Verifizierung Ihrer eigenen Domain hebt diese Grenzen auf und ist die Einrichtung, die wir empfehlen.

Um Ihre Domain zu verifizieren, schreiben Sie im Chat zum Beispiel: „Richte ninefold.example als meine Versanddomain ein.“ Tellnod gibt Ihnen die SPF-, DKIM- und DMARC-Einträge und prüft sie für Sie. Wenn jemand anderes Ihr DNS verwaltet, schreiben Sie: „Erstelle einen Einrichtungslink für unseren Webentwickler.“ Diese Person kann die Einträge bei unterstützten DNS-Anbietern mit einem Klick hinzufügen oder sie kopieren, ohne ein Konto anzulegen, und Sie werden im Chat und per E-Mail benachrichtigt, sobald die Domain verifiziert ist. DNS-Änderungen dauern meist einige Minuten, können aber bis zu 48 Stunden brauchen.

Die Authentifizierung ändert nichts am Ablauf des Versands: Jede Kampagne zeigt eine Vorschau für Desktop und Smartphone, und nichts wird verschickt, bevor Sie auf der Bestätigungskarte auf Confirm klicken. Um zu beginnen, verbinden Sie Tellnod mit Claude oder ChatGPT; die Preisseite nennt den kostenlosen Tarif und die kostenpflichtigen Stufen.

Häufige Fragen#