DMARC, SPF und DKIM einrichten, damit Ihre E-Mails ankommen
Offerten, Rechnungen und Antworten an Kunden, die im Spam-Ordner landen, kosten Geld, ohne dass es jemand merkt. Drei Einträge in den Einstellungen Ihrer Domain entscheiden mit, ob Gmail, Outlook und andere Postfächer Ihren Mails vertrauen. Hier steht verständlich, was SPF, DKIM und DMARC tun, was die grossen Anbieter heute verlangen und wie Sie die Einträge Schritt für Schritt einrichten.
Was SPF, DKIM und DMARC tun
SPF
Ein Texteintrag in Ihrer Domain mit der Liste der Server und Dienste, die Mails mit Ihrer Absenderadresse verschicken dürfen. Der Empfänger vergleicht, ob die Mail von einem dieser Server kommt.
DKIM
Ihr Mailserver signiert jede Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie in Ihrer Domain. So kann der Empfänger prüfen, dass die Mail echt ist und nicht verändert wurde.
DMARC
Verbindet beides mit der sichtbaren Absenderadresse und legt eine Regel fest, nämlich nichts tun, in den Spam verschieben oder ablehnen. Zusätzlich erhalten Sie Berichte, wer in Ihrem Namen sendet.
Ausrichtung
DMARC besteht nur, wenn die geprüfte SPF- oder DKIM-Domain zur Absenderdomain passt. Das ist der Punkt, an dem viele Newsletter- und CRM-Tools scheitern, wenn sie mit ihrer eigenen Domain signieren.
Ohne diese Einträge kann jeder Mails verschicken, die so aussehen, als kämen sie von Ihrer Firma. DMARC schützt also nicht nur Ihre Zustellung, sondern auch Ihre Kunden vor gefälschten Rechnungen in Ihrem Namen.
Was Gmail und Outlook heute verlangen
| Anbieter | Für wen | Anforderungen |
|---|---|---|
| Google (Gmail) | Alle Absender, seit Februar 2024 | SPF oder DKIM, gültiger Reverse-DNS-Eintrag, Versand über TLS, Spamrate in den Postmaster Tools unter 0,3 Prozent |
| Google (Gmail) | Mehr als 5'000 Mails pro Tag an Gmail | SPF und DKIM, DMARC mindestens mit p=none, ausgerichtete Absenderdomain, bei Werbe- und Abo-Mails Abmeldung mit einem Klick |
| Microsoft (Outlook.com, Hotmail, Live) | Mehr als 5'000 Mails pro Tag, seit Mai 2025 | SPF, DKIM und DMARC mindestens mit p=none, ausgerichtet mit SPF oder DKIM |
Google empfiehlt zusätzlich eine Spamrate unter 0,1 Prozent. Auch wer weit unter 5'000 Mails pro Tag verschickt, sollte alle drei Einträge sauber haben. Die Filter bewerten jede Mail, und eine vollständige Authentifizierung ist die Grundlage dafür, dass Ihre Domain überhaupt Vertrauen aufbauen kann. Stand der Angaben 27. Oktober 2026, Quellen unten.
DMARC, SPF und DKIM Schritt für Schritt einrichten
- 01
Alle Absender auflisten
Welche Dienste verschicken Mails mit Ihrer Domain? Typisch sind Microsoft 365 oder Google Workspace, das Webmail Ihres Hosters, ein Newsletter-Tool, das CRM, die Buchhaltungssoftware für Rechnungen, Formulare der Website und ein Onlineshop. Wer hier etwas vergisst, blockiert später eigene Mails.
- 02
Einen einzigen SPF-Eintrag anlegen
Pro Domain darf es nur einen SPF-Eintrag geben. Alle Dienste kommen in denselben Eintrag, meist mit einem include. Der SPF-Standard erlaubt höchstens zehn DNS-Abfragen pro Prüfung, darum nicht jeden je genutzten Dienst aufnehmen, sondern nur die aktiven.
- 03
DKIM bei jedem Dienst aktivieren
Jeder Dienst erzeugt einen eigenen Schlüssel, den Sie als Eintrag in Ihrer Domain hinterlegen. Google empfiehlt Schlüssel mit 2'048 Bit. Manche Hoster aktivieren DKIM inzwischen automatisch, Hostpoint etwa seit Mai 2024 für Domains mit Hosting, ältere Domains müssen dort von Hand aktiviert werden.
- 04
Zwei Tage warten
Google empfiehlt, Mails mindestens 48 Stunden mit SPF und DKIM zu versenden, bevor Sie DMARC aktivieren.
- 05
DMARC im Beobachtungsmodus starten
Ein Eintrag unter _dmarc.ihredomain.ch mit p=none und einer Adresse für Berichte. Noch wird nichts blockiert, Sie sehen aber, wer in Ihrem Namen sendet.
- 06
Berichte auswerten
Die Empfänger schicken täglich Berichte im XML-Format. Lesbar werden sie mit einem Auswertungsdienst. Prüfen Sie, ob alle legitimen Dienste bestehen. Fehlt einer, ergänzen Sie SPF oder DKIM.
- 07
Schrittweise verschärfen
Zuerst p=quarantine, mit dem Tag pct auch nur für einen Teil der Mails, später p=reject. Zwischen den Schritten jeweils einige Wochen Berichte prüfen.
So sehen die Einträge aus
| Eintrag | Name | Beispielwert |
|---|---|---|
| SPF bei Google Workspace | ihredomain.ch | v=spf1 include:_spf.google.com ~all |
| SPF bei Microsoft 365 | ihredomain.ch | v=spf1 include:spf.protection.outlook.com -all |
| DMARC zum Start | _dmarc.ihredomain.ch | v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.ch |
| DMARC streng | _dmarc.ihredomain.ch | v=DMARC1; p=reject; rua=mailto:dmarc@ihredomain.ch; pct=100 |
Die genauen Werte für SPF und DKIM stehen in der Hilfe des jeweiligen Dienstes. Nutzen Sie mehrere Dienste, werden die include-Angaben in einem einzigen SPF-Eintrag hintereinander geschrieben. Für die DMARC-Berichte rät Google zu einem eigenen Postfach oder einer Gruppe, nicht zu Ihrer persönlichen Adresse, weil viele Berichte eintreffen.
So prüfen Sie Ihre Einträge
- Testmail an Gmail. Schicken Sie eine Mail an eine Gmail-Adresse, öffnen Sie sie und wählen Sie «Original anzeigen». Dort steht für SPF, DKIM und DMARC jeweils PASS oder FAIL.
- DNS abfragen. Mit einem öffentlichen DNS-Prüfdienst oder auf dem Mac im Terminal mit
dig TXT _dmarc.ihredomain.chsehen Sie, was veröffentlicht ist. - Postmaster Tools. Google bietet für Absender kostenlose Postmaster Tools mit Spamrate und Authentifizierung. Sie zeigen Daten erst ab einem gewissen Volumen an Gmail.
- DMARC-Berichte. Die beste Langzeitkontrolle. Sie zeigen auch Dienste, die Sie vergessen haben, und Fälschungsversuche.
Sieben typische Fehler
Zwei SPF-Einträge
Ein zweiter Eintrag für ein neues Tool macht beide ungültig. Immer zusammenführen.
Zu viele Abfragen
Mehr als zehn DNS-Abfragen im SPF führen zu einem Fehler. Alte Dienste entfernen.
Vergessener Dienst
Die Rechnungssoftware sendet nicht über Ihren Server. Mit p=reject kommen Ihre Rechnungen dann nicht mehr an.
Zu früh auf reject
Ohne Auswertung der Berichte blockieren Sie im Zweifel eigene Mails. Erst beobachten.
Fremde Signatur
Ein Tool signiert mit seiner eigenen Domain. DKIM besteht, DMARC aber nicht. Eigene Domain im Tool hinterlegen.
Ewig p=none
Der Beobachtungsmodus schützt nicht vor Fälschungen. Er ist ein Zwischenschritt.
Subdomains vergessen
Ohne Regel für Subdomains bleibt eine Lücke. Das Tag sp legt sie fest.
Zustellbarkeit bei Akquise-Mails
Für Firmen, die neue Kunden per E-Mail ansprechen, ist eine saubere Authentifizierung nötig, aber nicht genug. Filter achten auch darauf, wie viele Mails ein Postfach schickt, wie viele zurückkommen, wie viele Empfänger als Spam markieren und ob jemand antwortet. Aus unserer Arbeit mit Akquise-Postfächern haben sich diese Regeln bewährt.
- Hauptdomain schützen. Viele Firmen schicken Akquise-Mails von einer zweiten, klar erkennbaren Domain, damit Rechnungen und Kundenmails nicht leiden, falls etwas schiefgeht. Auch diese Domain braucht SPF, DKIM, DMARC und eine Website, die auf Ihre Firma verweist.
- Langsam hochfahren. Neue Postfächer mit wenigen Mails pro Tag beginnen und über Wochen steigern. Automatische Aufwärmdienste bieten viele Versandwerkzeuge an. Ihr Nutzen ist nicht unabhängig belegt, echte Antworten wiegen mehr.
- Wenige Mails pro Postfach. Wir arbeiten mit rund 15 Erstmails pro Postfach und Tag. Mehr Volumen kommt nur über mehr Relevanz, nicht über mehr Postfächer.
- Klartext statt Werbelayout. Keine Bilder, Anhänge oder Verfolgungspixel in der ersten Mail.
- Adressen prüfen. Unzustellbare Adressen sofort sperren. Eine Rücklaufquote über zwei Prozent ist ein Warnzeichen.
- Recht beachten. Massenwerbung per E-Mail braucht in der Schweiz grundsätzlich eine Einwilligung. Was das heisst, steht unter Cold E-Mail in der Schweiz.
Welche Versandwerkzeuge es gibt und worauf Sie beim Datenschutz achten, vergleichen wir unter Cold-Email-Tools im Vergleich.
Fragen zu DMARC und Zustellbarkeit
Ist DMARC in der Schweiz Pflicht?
Gesetzlich nicht. Faktisch verlangen Google und Microsoft DMARC von Absendern mit mehr als 5'000 Mails pro Tag an ihre Postfächer. Für alle anderen ist es eine dringende Empfehlung, auch zum Schutz vor gefälschten Mails in Ihrem Namen.
Was bedeutet p=none?
Die Empfänger sollen bei fehlgeschlagener Prüfung nichts Besonderes tun, Ihnen aber Berichte schicken. Das ist der richtige Startpunkt, schützt aber noch nicht vor Fälschungen.
Landen meine Mails mit DMARC nicht mehr im Spam?
Nicht automatisch. DMARC ist eine Voraussetzung für Vertrauen. Ob eine Mail im Posteingang landet, hängt zusätzlich von Inhalt, Volumen, Beschwerden, Rückläufern und Reaktionen der Empfänger ab.
Wie lange dauert die Umstellung auf p=reject?
Bei einer einfachen Firmendomain mit wenigen Diensten oft einige Wochen, weil zwischen den Stufen Berichte ausgewertet werden. Bei vielen Diensten oder Tochterfirmen länger.
Brauche ich ein DMARC-Tool?
Für das Einrichten nicht. Für das Lesen der Berichte ist ein Auswertungsdienst sehr hilfreich. Prüfen Sie dabei, wo der Dienst die Daten speichert, denn die Berichte enthalten Angaben zu Servern und Versandmengen.
Was hat DMARC mit dem Logo im Posteingang zu tun?
Der Standard BIMI zeigt das Firmenlogo neben der Mail an. Er setzt eine DMARC-Richtlinie quarantine oder reject voraus. Für Gmail braucht es zusätzlich ein Markenzertifikat.
Quellen
- Google, Richtlinien für E-Mail-Absender, support.google.com, geprüft am 27. Oktober 2026
- Google Workspace, DMARC einrichten, knowledge.workspace.google.com, geprüft am 27. Oktober 2026
- Microsoft, Outlook's New Requirements for High-Volume Senders, April 2025, techcommunity.microsoft.com
- Hostpoint, E-Mail-Sicherheit mit DKIM und DMARC, Oktober 2024, hostpoint.ch
- RFC 7208 (SPF) und RFC 7489 (DMARC), rfc-editor.org
Passende Themen
Landen Ihre Mails im Spam?
Im Erstgespräch schauen wir gemeinsam auf Ihre Domain, welche Dienste in Ihrem Namen senden und was für eine saubere Zustellung fehlt. Wenn Sie danach selbst umsetzen wollen, ist das völlig in Ordnung.
Lieber direkt? +41 78 814 14 58 oder info@maltconsulting.ch