SPF, DKIM und DMARC entscheiden mit, ob Ihre Rechnungen, Bestellbestätigungen und Mahnungen beim Empfänger ankommen oder in der Ablage für verdächtige Nachrichten landen. Die Einträge sind klein und liegen im DNS. Falsch sind sie meist, weil neben Microsoft noch die Website, ein Newsletter-Dienst und ein Scanner senden und jemand einen zweiten SPF-Eintrag ergänzt hat, statt den bestehenden zu erweitern. Empfangende Server werten das nicht als „doppelt abgesichert“.

Welche Absender die Prüfung sonst durchfallen lassen

SPF darf pro Domain nur ein Eintrag sein und verträgt nur eine begrenzte Zahl von DNS-Nachschlagen in den Include-Ketten. Microsoft, Website-Hoster, Buchungsportal und Newsletter summieren sich schnell. Ein zweiter TXT-Eintrag, der ebenfalls mit der SPF-Kennung beginnt, macht die Prüfung ungültig. Zusätzlich scheitern Absender, die gar nicht im Eintrag stehen: das Kontaktformular, das über den Hoster sendet, oder das CRM, das im Namen Ihrer Domain verschickt.

DKIM signiert ausgehende Nachrichten, damit der Empfänger erkennt, dass sie unterwegs nicht verändert wurden. In Microsoft 365 wird das im Defender-Portal aktiviert und mit zwei CNAME-Einträgen im DNS veröffentlicht. DMARC sagt dem Empfänger, was mit Nachrichten geschehen soll, die SPF oder DKIM nicht bestehen und nicht zur sichtbaren Absenderdomain passen. Wer sofort auf Ablehnen stellt, ohne die Berichte gelesen zu haben, sortiert eigene Bestellmails aus, sobald ein legitimer Absender fehlt.

Eine SPF-Zeile, DKIM einschalten, DMARC stufenweise

  1. Sender. Alle Systeme, die mit Ihrer Domain senden, werden aufgeschrieben: Microsoft 365, Website, Newsletter, CRM, Scanner, Branchensoftware. Was nicht auf der Liste steht, darf nicht senden.
  2. SPF. Es bleibt genau ein SPF-TXT-Eintrag. Jeder echte Absender wird dort aufgenommen, und die Kette der Includes wird auf zu viele Nachschlagen geprüft.
  3. DKIM. Für Microsoft 365 werden die beiden CNAME-Einträge gesetzt und die Signatur aktiviert. Weitere Dienste signieren mit dem Schlüssel, den deren Dokumentation für Ihre Domain vorsieht.
  4. DMARC. Zuerst eine Richtlinie, die nur berichtet, an eine gelesene Adresse. Die Ausrichtung auf die sichtbare Absenderdomain wird mit echten Nachrichten geprüft.
  5. Enger. Quarantäne folgt, wenn die Berichte keine legitimen Ausreißer mehr zeigen. Ablehnen kommt erst danach und nur mit einem Rückweg, die Richtlinie schnell wieder zu lockern.

Die Reihenfolge ist Inventur, ein gültiger SPF-Eintrag, DKIM für Microsoft und die anderen echten Absender, dann DMARC zunächst nur mit Bericht. Erst wenn die Berichte keine unbekannten legitimen Sender mehr zeigen, wird die Richtlinie enger, etwa auf Quarantäne. Ablehnen ist ein später Schritt, kein Start. Jede Stufe bleibt ein Werktag mit jemandem, der die Berichtsadresse liest.

Woran Projekte in der Praxis scheitern

  • Einen zweiten SPF-Eintrag anlegen, statt den ersten zu ergänzen.
  • DKIM im Portal aktivieren, die DNS-Einträge aber nie setzen, oder umgekehrt.
  • DMARC sofort auf Ablehnen stellen, weil ein Merkblatt das als „sicher“ bezeichnet.
  • Einen neuen Newsletter-Dienst buchen und DNS erst nach den ersten fehlenden Einladungen anfassen.

Beispiel aus dem Betriebsalltag

Ein Seminaranbieter in Wien hatte Microsoft 365 sauber angebunden und danach das Newsletter-Werkzeug „auch noch“ mit einem zweiten SPF-Eintrag versorgt. Kurz darauf landeten Einladungen und auch Teile der normalen Korrespondenz beim Empfänger in der Verdacht-Ablage, weil die Domain zwei konkurrierende SPF-Zeilen hatte. Wir haben beide Zeilen zu einem Eintrag zusammengeführt, die Include-Kette auf die Nachschlagegrenze geprüft, DKIM für Microsoft und den Newsletter aktiviert und DMARC mit Berichten ohne Ablehnung gesetzt. Nach zwei Wochen zeigten die Berichte noch das Buchungsformular des Webhosters; das wurde ergänzt, bevor die Richtlinie auf Quarantäne ging.

Kurze Entscheidungshilfe

  • Gibt es genau einen SPF-Eintrag, und sind alle echten Absender darin?
  • Ist DKIM für Microsoft 365 im Portal aktiv und im DNS veröffentlicht?
  • Landen DMARC-Berichte bei einer Person, die sie ansieht?
  • Ist die aktuelle DMARC-Richtlinie bewusst gewählt und nicht aus einem kopierten Beispiel übernommen?

Wenn SPF, DKIM und DMARC für die Firmendomain bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Exchange-Online-Migration planen Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.